Вложений: 3
Подозрение на наличие в системе руткита, трояна и кейлоггера.
Дня два назад заметил в системе странные вещи, которые сначала списывал на глюки железа или венды:
1) Периодически на короткий промежуток времени переставали работать разные комбинации клавиш с клавишей "shift", например "shift+y", "shift+/", "ctrl+shift", возможно и другие комбинации клавишь перестают работать, но я не помню, чтобы такое заметил.
2) При выделении, копировании, переименовании файлов и обычных окнах вендозного эксплорера(explorer.exe) периодически стало вылезать окно где мне венда предлагала выбрать куда я хочу скопировать файлы, по дефолту путь обычно был то-ли "[COLOR="DimGray"]C:\Windows\System32\drivers[/COLOR]", то-ли просто "[COLOR="DimGray"]C:\Windows\System32\[/COLOR]".
Через некоторое время после начала глюков я запустил утилиту HiJackThis, и запустил скан, в результатах скана заметил несколько странных записей, о которых я к сожалению помню только то, что там фигурировало "[tsuninstall]", "RunOnce" и таких записей, практически идентичных было три, у одной в конце видел "SYSTEM", у другой, если не изменяет память "NETWORK", а у трей то-ли ничего не было, то-ли было имя пользователя(Administrator), кроме того в первых строчках результатов скана HTJ была вот такая строка:
[COLOR="DimGray"]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 89.107.26.229:3128[/COLOR]
насчет которой я сначала решил, что просто забыл удалить прокси сервер из его настроек.
После этого я скачал утилиту Dr.Web CureIT, перезагрузился в сэйф мод, и прогнал полную проверку системного диска, результатом стало только это:
[COLOR="DimGray"]C:\WINDOWS\system32\3913560.exe инфицирован Trojan.Popuper.6943 - удален[/COLOR]
После завершения скана, я на всякий случай провериться ещё и Virus Removal Tool от касперского, тоже свежескачанной. Запустил проверку в максимально "параноидальном" режиме сначала с проверкой "программ и документов" по расширению и потом "прорамм и документов" по содержимому, эта утилита ничего больше не смогла найти.
После произведения вышеупомянутых действий я загрузился в обычном режиме, и на всякий случай ещё раз запустил HiJackThis, где заметил, что строка в которой говорилось о проси сервере установленном в IE вернулась обратно на своё место, ещё раз пофиксил её, но при следующем запуске HTJ через пару минут она снова была там...
Через некоторое время после загрузки проблемы с комбинациями клавиш, в которых учавствовал "shift" и окна с вопросами отом куда я хочу переместить файлы вернулись, так же был замечен ещё один глюк, при переключении в окно проигрывателя(foobar2000), через некоторое время проигрываемый трек начал с интервалом в несколько милисекунд на несколько милисекунд ставиться на паузу, в общем создавалось ощущение, что система просто начала подтормаживать...
Ну собственно через некоторое время после этого я решил обратиться сюда, ещё раз просканировался утилитой CureIt в безопасном режиме, которая уже ничего не нашла, а дальше выполнил указания по диагностике.
P.S. Надеюсь я не слишком много личшней информации изложил тут.
P.P.S. Ума не приложу откуда эта штука взялась, т.к. я не использую Internet Explorer для просмотра страниц, а пользуюсь только оперой с отключенной жавой, FF с noscript'ом, недавно так же поставил Google Chrome, Iron(броузер на движке Chronium, который используется в упомянутом Google Chrome) и Arora, которыми несколько раз просматривал разный страници. Кроме того, почти всё, что я скачиваю, я обычно проверяю на virustotal.com, изредка конечно бывает что что-то не проверяю, но обычно это что-то вроде дистрибутива опервы слитого с её сайта, хотя такие вещи тоже стараюсь проверять... Ну, кроме этого у меня ос Win2k3, в которой отключены потенциально опасные сервисы вроде удаленного реестра(ну, возможно не все), отключен NetBios, включено автоматическое обновление и вобще я стараюсь не пользоваться софтом о котором известно, что он весьма дырявый, например mIRC, Outlook и уже упомянутый Internet Explorer...
[B][COLOR="Red"]UPDATE:[/COLOR][/B]
Забыл добавить, файл "ah8w1pvh.SYS" и "a3srl5u5.SYS" - это судя по всему одно и то же и судя по всему он меняет своё имя после каждой перезагрузки или с интервалом в несколько минут, кроме того просто так его в папке не видно.
