H@tkeysH@@k.dll, Downloader.Trojan

Привет всем! Прошу о помощи - всякая бяка лезе непрерывно.
Антивирь Symantec Corporate Ed. Зафиксировал Downloader.Trojan A0080814.DLL в C:\System Volume Information\_restore{665F7314-4139-4590-B83E-798FE3716D42}\RP357\. Почистила, так он дал клоны, опять удалила. Что еще сделать, чтобы не появлялся больше? И вот еще в систему что-то залезло, в Windows\System32, которое идентифицируется в AVZкак [EMAIL="H@tKeysH@@k.DLL"]H@tKeysH@@k.DLL[/EMAIL], удалить Avz не может из-за настроек. ЧТо делать? логи отправила.

[QUOTE=memorex]Привет всем! Прошу о помощи - всякая бяка лезе непрерывно.
Антивирь Symantec Corporate Ed. [/QUOTE]

в HiajckThis пофиксите строки:

R3 - URLSearchHook: (no name) - {30DA811B-BCBF-4aa7-B5E3-CEE0E03EF2B2} - (no file)
R3 - URLSearchHook: (no name) - _{855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
O2 - BHO: (no name) - {D2CAFC8B-0C3F-4AD8-AB05-3460AE1E39FC} - (no file)
O8 - Extra context menu item: &Search - [url]http://bar.mywebsearch.com/menusearch.html?p=ZRxdm185YYKZ[/url]
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - [url]http://ak.imgfarm.com/images/nocache/funwebproducts/ei-2/PopularScreenSaversFWBInitialSetup1.0.0.8-2.cab[/url]
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.4.0_03) -
O16 - DPF: {CAFEEFAC-0014-0000-0003-ABCDEFFEDCBA} (Java Runtime Environment 1.4.0_03) -
O18 - Protocol: bt2 - {1730B77B-F429-498F-9B15-4514D83C8294} - (no file)
O18 - Filter: application/x-bt2 - {6E1DDCE8-76BC-4390-9488-806E8FB1AD77} - (no file)


файл прислать на проверку по правилам форума:
C:\DOCUME~1\ServiceP\LOCALS~1\Temp\mc21.tmp
C:\Program Files\NoAdware4\noadwareutils.dll

не понятно, зачем нужен Nuke Nabber - в системе он выглядит лишним

Norton Antivirus лучше поменять на что-то более серьезное

У меня не Norton, а Symantec Antivirus Corporate Edition. Нортон был, я его уже давно убрала. Nuke Nabber советовал провайдер в виде защиты от нюкеров.
А какой антивирь принципиально лучше?

C:\DOCUME~1\ServiceP\LOCALS~1\Temp\mc21.tmp вдруг загадочным образом исчез.
а :\Program Files\NoAdware4\noadwareutils.dll

не могу загрузить в форум,сообщение, что некорректный сайт.

[email]H@tKeysH@@k.DLL[/email] относится к категории RiskWare, чтобы удалить его в AVZ нужно поставить птичку "выполнать лечение" и для категории RiskWare выбрать в качестве действия удаление. Затем просканировать систему.
Если не получается отправить файл на [url]https://virusinfo.info/upload_virus.php[/url] пришлите его на [email][email protected][/email] в запароленном архиве. Также поищите и пришлите как описано в правилах:
C:\Recycled\1.exe

Если не сложно, сделайте это: [url]http://virusinfo.info/index.php?page=upload_clean[/url]

[QUOTE=memorex]У меня не Norton, а Symantec Antivirus Corporate Edition. Нортон был, я его уже давно убрала.
[/QUOTE]
Нортон и Симантек - одно и то же.
"говорим "Ленин" - подразумеваем "партия", говорим "партия" - подразумеваем "Ленин"". так и здесь то же самое.

[QUOTE=memorex]
Nuke Nabber советовал провайдер в виде защиты от нюкеров.
[/QUOTE]
у Вас файервол стоит Outpost, он гораздо лучше и делает даже больше того, что умеет НюкНаббер. так что НюкНаббера можете выкинуть.
тем более что атака Nuke вашей ОС (WinXP) не грозит.

[QUOTE=memorex]
А какой антивирь принципиально лучше?
[/QUOTE]
рекомендую что-то из Kaspersky, DrWeb, Nod32, Vba32.

[QUOTE=memorex]
C:\DOCUME~1\ServiceP\LOCALS~1\Temp\mc21.tmp вдруг загадочным образом исчез.
[/QUOTE]
ищите лучше, через программу AVZ.
просто так ничего не исчезает.

[QUOTE=memorex]
а :\Program Files\NoAdware4\noadwareutils.dll
не могу загрузить в форум,сообщение, что некорректный сайт.[/QUOTE]
правила форума читать надо! отправляйте файлы как Вам посоветовал HATTIFNATTOR

[QUOTE=MOCT]рекомендую что-то из Kaspersky, DrWeb, Nod32, Vba32.
[/QUOTE]
Я бы ещё BitDefender добавил.

[QUOTE=memorex]
C:\DOCUME~1\ServiceP\LOCALS~1\Temp\mc21.tmp вдруг загадочным образом исчез.
[QUOTE=MOCT]ищите лучше, через программу AVZ.
просто так ничего не исчезает.[/QUOTE][/QUOTE]
;) это AVZ.SYS, лог делался с противодействием руткитам

[quote=RiC]
;) это AVZ.SYS, лог делался с противодействием руткитам[/quote]
тогда вопрос к Олегу: может пора сделать так, чтобы AVZ знал хотя бы себя??? а то постоянно AVZ висит в списке "грязных" файлов в исследовании системы.

[QUOTE=RiC]Я бы ещё BitDefender добавил.


;) это AVZ.SYS, лог делался с противодействием руткитам[/QUOTE]

Нет, не слишком похоже это на avz.sys:
- не совпадает длина, у avz.sys - больше;
- avz.sys грузится в "исходном виде" (т.е. именно как avz.sys, а не иначе - если, конечно, Олег ничего не переделал в последнее время - полагаю, что нет :));
- avz.sys, насколько я понимаю, исключается из списка "незнакомых" драйверов...

[QUOTE=MOCT]тогда вопрос к Олегу: может пора сделать так, чтобы AVZ знал хотя бы себя??? а то постоянно AVZ висит в списке "грязных" файлов в исследовании системы.[/QUOTE]
aintrust прав все три раза - avz.sys грузится как есть, из каталога AVZ и без переименования, и он естественно распознается как безопасный. Есть подозрение, что mc21.tmp - это что-то типа EXE/DLL, хранимой внутри какого-то приложения. Я подобное поведение десятки раз наблюдал на вполне безопасных программах

[quote=Зайцев Олег] Есть подозрение, что mc21.tmp - это что-то типа EXE/DLL, хранимой внутри какого-то приложения. [/quote]
однозначно.

а по поводу безопасности - пусть даже и безопасная, так все равно не помешает в базу чистых добавить, чтобы больше такие записи нас не смущали

[QUOTE=MOCT]однозначно.

а по поводу безопасности - пусть даже и безопасная, так все равно не помешает в базу чистых добавить, чтобы больше такие записи нас не смущали[/QUOTE]
Да как же этот "объект" добавить в базу безопасных, если каждый раз он создается (или же [I]может[/I] создаваться) с новым именем? :)

[QUOTE=aintrust]Да как же этот "объект" добавить в базу безопасных, если каждый раз он создается (или же [I]может[/I] создаваться) с новым именем? :)[/QUOTE]
а кто же их добавляет в базу [I]по имени[/I] :P

[QUOTE=MOCT]а кто же их добавляет в базу [I]по имени[/I] :P[/QUOTE]
Да, действительно, перечитал еще раз - мое сообщение трудно не понять двусмысленно... :) Хотя то, что "объекты" [U]добавляются в базу по имени[/U], я вроде и не писал...

Нет, тут имелось ввиду несколько другое: "объект" каждый раз [U]временно[/U] (вот ключевое слово, которое я упустил в предыдущем сообщении) создается с новым именем, что затрудняет его добавление в базу (именно из-за временности, а не из-за нового имени, естественно), т.к., в большинстве случаев, после того момента, как "объектом" воспользовалась (к примеру, загрузила его в качестве драйвера) программа, его создавшая, этот "объект" (файл) физически удаляется (хотя при этом продолжает существовать в памяти) - в результате время жизни "объекта" на диске может составлять несколько десятков миллисекунд, что сильно затрудняет нахождение такого "объекта". Так, к примеру, поступает большинство утилит от Sysinternals, загружающих драйверы (Process Explorer, к примеру, или Rootkit Revealer). Если бы "объект" существовал хотя бы в течение времени жизни программы, его породившей, имея при этом неизменное имя, это (в некоторой степени, конечно) позволило бы облегчить его нахождение и последующее включение в базы "чистых" файлов.

[QUOTE=aintrust]
Нет, тут имелось ввиду несколько другое: "объект" каждый раз [U]временно[/U] (вот ключевое слово, которое я упустил в предыдущем сообщении) создается с новым именем, что затрудняет его добавление в базу (именно из-за временности, а не из-за нового имени, естественно), т.к., в большинстве случаев, после того момента, как "объектом" воспользовалась (к примеру, загрузила его в качестве драйвера) программа, его создавшая, этот "объект" (файл) физически удаляется (хотя при этом продолжает существовать в памяти) - в результате время жизни "объекта" на диске может составлять несколько десятков миллисекунд, что сильно затрудняет нахождение такого "объекта". [/QUOTE]
а что, утилиты восстановления удаленных файлов уже отменили? :P

[QUOTE=MOCT]а что, утилиты восстановления удаленных файлов уже отменили? :P[/QUOTE]
Это и не слишком надежно, и, по сути, бессмысленно для описанной мною выше ситуации...

В большинстве случаев все эти временно загружаемые объекты легко "выдираются" из файлов многочисленными утилитами для работы с ресурсами (ResHacker, к примеру) - только вряд ли обычный пользователь (а мы ведь говорим именно о нем) станет этим заниматься (впрочем, как и предлагаемым вами восстановлением файлов).

PS. По-моему, уже пошел полный офф-топик, пора завязывать... :)

[QUOTE=aintrust]В большинстве случаев все эти временно загружаемые объекты легко "выдираются" из файлов многочисленными утилитами для работы с ресурсами (ResHacker, к примеру) - только вряд ли обычный пользователь (а мы ведь говорим именно о нем) станет этим заниматься (впрочем, как и предлагаемым вами восстановлением файлов).[/QUOTE]
впрочем, пользователь и не будет добавлять его к антивирусной базе.

с чего мы начали? с того, что подгружаемые файлы трудно добавить в базу безопасных. чем мы закончили? тем что они без проблем выдираются редактором ресурсов. а о чем вообще тогда весь разговор? ну раз легко выдираются - так нужно добавлять!

[QUOTE=MOCT]впрочем, пользователь и не будет добавлять его к антивирусной базе.

с чего мы начали? с того, что подгружаемые файлы трудно добавить в базу безопасных. чем мы закончили? тем что они без проблем выдираются редактором ресурсов. а о чем вообще тогда весь разговор? ну раз легко выдираются - так нужно добавлять![/QUOTE]
Хм... мне это казалось очевидным. :)

Начали мы с того, что [U]обычному пользователю[/U] "подгружаемые файлы трудно добавить в базу безопасных" (а, точнее, найти на диске и отослать такие файлы для обработки и последующего включения в базу чистых), а закончили (я надеюсь! :)) тем, что [U]продвинутому пользователю или профи[/U] это легко сделать, выдрав редактором ресурсов. Проблема только в том, что жалуются и просят помощи (смотрите исходное сообщение в этой ветке) именно те самые [U]обычные пользователи[/U], которые не станут ни "выдирать" эти файлы, ни восстанавливать их. :)

Тем более, что ещё надо знать, откуда из выдирать.

[QUOTE=pig]Тем более, что ещё надо знать, откуда из выдирать.[/QUOTE]
компетентность Олега уже под вопросом?

если попадается легальный софт с такими дропами, то и подбрасываемые файлы добавляются базу и перестают светиться в логах. что тут вообще обсуждать? зачем тут инсинуации про обучение юзеров выдиранию ресурсов из файла, упакованного полиморфным упаковщиком???

В компетентности Олега никто не сомневается. Это у меня непонятки - глядя на имя C:\DOCUME~1\ServiceP\LOCALS~1\Temp\mc21.tmp, никак не могу собразить, в сторону какого именно легального софта надлежит поворотить голову.