Аномалии в отображении элементов "Моего компьютера"

[B]1.[/B] Проблема поиска элементов в диалоговом окне "Мой компьютер". При активизации значка на Рабочем
столе появляется диалоговое окно, в статусе - строка "Поиск элементов...", привычные значки (в т.ч.
приводов, жестких дисков, прочих накопителей) не отображаются несколько минут. При этом "поиск элементов" может сопровождаться одним из следующих или всеми явлениями сразу:
[INDENT]а) если запустить "Диспетчер задач", отобразить вкладку с графиком загрузки центрального процессора, загрузка колеблется на уровне 70-100%, при этом во вкладке "Процессы" того же Диспетчера задач ни один процесс не занимает столько ресурсов;
б) если вставить usb-флэш накопитель, то некоторое время окно диалога "Мой компьютер" отображает только соответствующий значок с возможностью его активации двойным щелчком;
в) ОС может перестать реагировать отвечать на манипуляции мышью (перетаскивание, свертка и т.д.).[/INDENT][B]2.[/B] Загрузка Windows (далее - ОС) временами осуществляется не корректно: отображаются фон Рабочего
стола (Desktop) без каких либо дополнительных элементов, а также курсор мыши, который никак не
отражает поведение жесткого диска. Проблема решается перезагрузкой ОС, иногда со второй или третьей
перезагрузки.
[B]3.[/B] Проблема запуска некоторых приложений. Запуск WinRar 3.0, Adobe Photoshop CS2 (в т.ч. работа с
драйвером Twain), Paint и др. может зависнуть на несколько минут, при этом соответствующие программам
процессы уже запущены, что легко проверить опять же в Диспетчере задач. При этом такие приложения,
как MS Word, ACDSee запускаются без каких-либо аномалий.
[B]4.[/B] Периодически после подключения к интернет, но при отсутствии какой-либо явной сетевой актвиности,
инициированной пользователем, видно, что осуществляет интенсивная пересылка пакетов данных (не только
входящих, но и исходящих).
[B]5.[/B] Попытка вложения какого-либо файла через вызов контекстного меню (опция "Отправить...")
оборачивается зависанием ОС.
[B]6.[/B] ОС больше не позволяет создавать контрольные точки восстановления системы, требуя при этом
перезагрузить компьютер и попробывать еще раз. Попытки отката к существующим точкам восстановления и
перезагрузка ОС проблему не решают.
[B]7.[/B] Компьютер может зависнуть в момент выбора одного из специальных режимов загрузки ОС: "безопасный...", "безопасный... с поддержкой коммандной строки" и т.д.
[B]8.[/B] Дефрагментация и проверка разделов жесткого диска теперь не доступна. Комментарий системы - "Не удалось....".
[B]9.[/B] Пункты [I]1, 3, 5, 6, 8[/I] возникли одновременно, им не предшествовала ни установка ПО, ни обновление драйверов, ни изменения в аппаратной части ПК.

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\usr\sbin\mspool.exe','');
QuarantineFile('c:\usr\sbin\inetd.exe','');
QuarantineFile('c:\windows\system32\rserver30\newtstop.dll','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\analog.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\lvds.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\sdvo.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tv.sys','');
QuarantineFile('C:\WINDOWS\system32\cftu.exe','');
QuarantineFile('C:\WINDOWS\system\svhost.exe','');
QuarantineFile('C:\WINDOWS\system\msile.exe','');
QuarantineFile('C:\WINDOWS\system32\dllcache\wintcps.exe','');
DeleteFile('C:\WINDOWS\system32\dllcache\wintcps.exe');
DeleteFile('C:\WINDOWS\system\msile.exe');
DeleteFile('C:\WINDOWS\system\svhost.exe');
DeleteFile('C:\WINDOWS\system32\cftu.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=49510[/url]).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

Спешу оговориться, ниже приведенные файлы:

[B]c:\usr\sbin\mspool.exe[/B]
[B]c:\usr\sbin\inetd.exe[/B]

могут оказаться модулями СУБД, установленной на компьютере. СУБД - Borlas TradeX. Как, я понял, программный комплекс реализован на платформе MS Access и MS SQL Server. К серверу обращается клиентский компьютер, на котором в качестве ОС установлена урезанная Linux Red Hat. Таким образом, имеются опасения, как бы не удалились нужные для работы программы.
Опытным путем уже было установлено, что при отсутствии файла [B]inetd.exe[/B] (в каталоге [B]c:\\Windows\System32[/B]) не происходит обновление данных ПК-сервера на ПК-клиенте.

Карантин не изымает файлы из системы, так что не беспокойтесь, это не нарушит работу. Касаемо этих двух файлов - если точно знаете, можно убрать из скрипта строки с их упоминанием.

[QUOTE=Bratez;428725]Карантин не изымает файлы из системы, так что не беспокойтесь, это не нарушит работу. Касаемо этих двух файлов - если точно знаете, можно убрать из скрипта строки с их упоминанием.[/QUOTE]
Еxe-файлы:
[B]c:\usr\sbin\mspool.exe[/B]
[B]c:\usr\sbin\inetd.exe[/B]
хотя и известны, но кто знает, что они не инфицированы. отсылаю "образцы" их же разработчикам - посмотрим, что скажут в Москве.

Далее - о повторной диагностике:
1. Cканировался DrWeb CureIt. Безопасный режим. В действиях утилиты указал на всякий случай исключительно "информировать". Все, что выглядело подозрительным или враждебным перенес в карантин утилиты. Вот, как выглядит его отчет:
[CODE][COLOR=dimgray]mirc.exe;C:\_raphique\mirc631rus;Program.mIRC.623;;[/COLOR]
[COLOR=dimgray]mirc32.exe;C:\_raphique\mirc631rus\mirc old;Program.mIRC.58;;[/COLOR]
[COLOR=dimgray]mirc.exe\mirc32.exe;C:\Distr\!Messenger\mirc\mirc.exe;Program.mIRC.58;;[/COLOR]
[COLOR=dimgray]mirc.exe;C:\Distr\!Messenger\mirc;Архив содержит инфицированные объекты;;[/COLOR]
[COLOR=dimgray]mirc32.exe\mirc32.exe;C:\Distr\!Messenger\mirc\mirc32.exe;Program.mIRC.58;;[/COLOR]
[COLOR=dimgray]mirc32.exe;C:\Distr\!Messenger\mirc;Архив содержит инфицированные объекты;;[/COLOR]
[COLOR=dimgray]trademail_1.28.msi/stream001\File318;C:\Distr\Borlas\TradeMail\1.28\trademail_1.28.msi/stream001;Program.SrvAny;;[/COLOR]
[COLOR=dimgray]stream001;C:\Distr\Borlas\TradeMail\1.28;Архив содержит инфицированные объекты;;[/COLOR]
[COLOR=dimgray]trademail_1.28.msi;C:\Distr\Borlas\TradeMail\1.28;Архив содержит инфицированные объекты;;[/COLOR]
[COLOR=dimgray]trademail_1.30.msi/stream001\File318;C:\Distr\Borlas\TradeMail\1.30\trademail_1.30.msi/stream001;Program.SrvAny;;[/COLOR]
[COLOR=dimgray]stream001;C:\Distr\Borlas\TradeMail\1.30;Архив содержит инфицированные объекты;;[/COLOR]
[COLOR=dimgray]trademail_1.30.msi;C:\Distr\Borlas\TradeMail\1.30;Архив содержит инфицированные объекты;;[/COLOR]
[COLOR=dimgray]trademail_1.32.msi/stream001\File335;C:\Distr\Borlas\TradeMail\distr\TradeMail\1.32\trademail_1.32.msi/stream001;Program.SrvAny;;[/COLOR]
[COLOR=dimgray]stream001;C:\Distr\Borlas\TradeMail\distr\TradeMail\1.32;Архив содержит инфицированные объекты;;[/COLOR]
[COLOR=dimgray]trademail_1.32.msi;C:\Distr\Borlas\TradeMail\distr\TradeMail\1.32;Архив содержит инфицированные объекты;;[/COLOR]
[COLOR=dimgray]posxlic.exe;C:\USR;Модификация BackDoor.Generic.1382;;[/COLOR]
[COLOR=dimgray]aliserv3.sys;C:\WINDOWS\system32\drivers;Trojan.Packed.2479;;[/COLOR][/CODE]
Создал архив с набором вышеуказанных файлов. Если требуется, вышлю.
2. Карантинный файл AVZ, который Вы запрашивали, отправляю повторно, но уже без спорных [B]mspool.exe, inetd.exe[/B]. Жду Ваших комментариев.

p.s.
[QUOTE=Bratez;428431]Сделайте новые логи (только п.2 и 3 раздела Диагностика).[/QUOTE]
Просьба - уточнить, какие именно логи. С логом CureIt все понятно - это вроде пункт 2ой, а вот в 3ем пунке про логи AVZ речи не ведется. Возможно, я не так понял рекоммендации.

[size="1"][color="#666686"][B][I]Добавлено через 38 минут[/I][/B][/color][/size]

[QUOTE=raphi;428409][B]1.[/B] Проблема поиска элементов в диалоговом окне "Мой компьютер".
...
[B]3.[/B] Проблема запуска некоторых приложений. Запуск WinRar 3.0, Adobe Photoshop CS2
...
[B]5.[/B] Попытка вложения какого-либо файла через вызов контекстного меню (опция "Отправить...")
оборачивается зависанием ОС.
[B]6.[/B] ОС больше не позволяет создавать контрольные точки восстановления системы
[B]8.[/B] Дефрагментация и проверка... диска теперь не доступны...
...[/QUOTE]

Кстати, все эти симптомы перестали проявляться после повторной диагностики.

Однако остается сам факт странной сетевой активности (пункт №4 поста). Вот пример такой активности (пресечена и выявлена OutpostFirewall 9 Trial):
[CODE]приложение: c:\program files\microsoft sql server\mssql\binn\sqlservr.exe
порт: 1433
удаленный адрес: h-22-21.A161.priv.bahnhof.se[/CODE]
Уж очень подозрительный адрес удаленного сервера. Это значит, что MS SQL мог модифицироваться под нужды злоумышленников?

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[QUOTE=raphi;429189]Просьба - уточнить, какие именно логи. С логом CureIt все понятно - это вроде пункт 2ой, а вот в 3ем пунке про логи AVZ речи не ведется. Возможно, я не так понял рекоммендации.[/QUOTE]
Все очень просто.
Открываем правила и читаем:[QUOTE]
[B][COLOR=brown]Диагностика[/COLOR][/B]
...
[B]2. Подключитесь[/B] к сети Интернет, запустите AVZ*. Вновь откройте меню [B]"Файл"=>"Стандартные скрипты"[/B] и отметьте теперь пункт [B]"Скрипт сбора информации для раздела "Помогите!" virusinfo.info"[/B]. Нажмите "Выполнить отмеченные скрипты". Будет выполнено автоматическое исследование системы, полученный лог avz_sysinfo.htm будет сохранен в директории AVZ в папке "LOG" в архиве [B]virusinfo_syscheck.zip[/B].

[B]3. Запустите[/B] HijackThis*....
[/QUOTE]

[COLOR="DimGray"][QUOTE=Bratez;429357][COLOR="DimGray"]Все очень просто.
Открываем правила и читаем:[/COLOR][/QUOTE]
Прошу прощения, руководствовался распечаткой офф-лайн версии правил ([url]http://virusinfo.info/attachment.php?attachmentid=13693[/url]). Оказывается, что она не совпадает с он-лайном - непорядок.

[QUOTE][size="1"][color="#666686"][B][I]Добавлено через 1 час 35 минут[/I][/B][/color][/size]
[COLOR="DimGray"]From: Коваленко Алексей [mailto:[email protected]]
Sent: Thursday, July 09, 2009 3:57 PM
Subject: RE: TradeX:hotline: безопасность программных модулей TradeX

Добрый день!
Рекомендуется проверить данные файлы другим антивирусом.В файлах присланных Вами нашими специалистами проблем не обнаружено.

C уважением,
Алексей Коваленко.
Ведущий эксперт-технолог
Borlas Retail (Борлас Информационные Торговые Системы)
e-mail: [email][email protected][/email][/COLOR]
[/QUOTE]
Вот, что мне ответили по файлам:
posxlic.exe
aliserv3.sys
trademail_1.28.msi
trademail_1.30.msi
trademail_1.32.msi
mspool.exe
inetd.exe[/COLOR]

[QUOTE=Bratez;428431]Сделайте новые логи (только п.2 и 3 раздела Диагностика). [/QUOTE]
Прилагаю логи от 12.07.2009. С момента предыдущих логов:
- cнес Eset NOD32 (оказался малоэффективным);
- установил Avira Antivir Personal, Outpost Firewall Pro.

В логах ничего плохого не видно.
Восстановление системы отключите. Потом можно включить обратно.

Отключил восстановление системы. Применил настройки.
Через минуту, снова включил и применил настройки.
Я все правильно понял?

Да, надо было сделать именно так.

Я в растерянности. Первую половину дня пытался загрузить компьютер так, чтобы без тормозов. Выглядело все так: старти Windows, попытка открыть Мой компьютер, и, о! чудо! - снова ненавистный фонарик "ищущий элементы", дальше система просто зависла. Зависания имели место при каждой перезагрузке в нормальном режиме. При этом проблем с созданием контрольных точек не возникало, как и с отключением-включением восстановления системы.

Решил, что дело в конфликте отконфигурированного Avira Antivir и Outpost Firewall. В безопастном режиме снес Avira Antivir, файрвол оставил. Перезагрузка в нормальном режиме увенчалась успехом. Элементы Моего компьютера на своих местах.
Возникает вопрос: как может антивирус нормально работать с файрволом два дня, а на третий - "пустить поезд под откос"?!
Еще раз провериться на ВИЧ?

И немного офтопа, если позволите. Вчера был в налоговой - сотрудники на ушах: говорят, что тормозят ПК, "Мой компьютер" открывается по полчаса. То же самое у кредитных инспекторов (не буду показывать пальцем на банк). Эпидемия?!

Раскошелил начальство на лицензионное антивирус-фаервольное ПО. Проблем больше не наблюдаю. Тема закрыта.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]52[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]