Вложений: 2
LSASS.EXE и попытки взаимодействия с памятью
Некоторое время назад начал обращать внимание на странное поведение системы.
при старте ОС системный процесс [B]LSASS.EXE[/B] пытается получить контроль над памятью процесса файлового менеджера [B]DOPUS.EXE[/B] (Directory Opus). В случае разрешения внедрения — всё идёт в обычном ключе. Если внедрение запретить — исчезает возможность подключиться к интернету (при попытке запуска подключения к интернету (именно к интернету, LAN работает корректно) система ссылается на [B]ошибку 711[/B], что, AFAIK, значит остановку необходимой для запуска диспетчера подключений службы). Ручной мониторинг служб через стандартные средства ОС и сторонние приложения показывает, что все необходимые службы запущены. Их перезапуск положения не меняет.
Спустя несколько дней ситуация усугубилась — началось всё с попытки Directory Opus получить сетевой доступ (по-дефолту допускаются его обращения только на адрес 1го FTP. на остальные обращения включен "режим обучения"). При этом ситуация никак не предполагала сетевой активности приложения. Не происходило никакой попытки обращения к сетевым ресурсам и/или обновления ПО. Попытка была заблокирована, адрес обращения неизвестен. В дальнейшем подобных попыток не зафиксировано.
Дальше — хуже. На данный момент даже простой запуск файлового менеджера в 3/4 случаях приводит к остановке системы. Симптомы: Загрузка ЦП доходит до 100% (грузит процесс [B]EKRN.EXE[/B], т.е. NOD32 v4). Причём физического сканирования HDD не идёт. Активность жёсткого — нулевая. Иногда помогает отключение через трей-меню NOD'a опции "защита файловой системы в режиме реального времени". Стоит отметить, что зависание (и загрузка ЦПУ) происходит не сразу, а спустя 30-40 секунд от начала работы с файловым менеджером.
Попытки сканирования NOD'ом (автообновление баз раз в 2 часа все последние месяцы), Cure It от Dr.Web'a (скачан этой ночью), AVZ (обновления от сегодняшнего утра) приводят к сравнительно одинаковым результатам — сканирование идёт спокойно, не находит ничего, но на какой-то определённом моменте происходит ступор, сканер умирает и не реагирует на внешние команды. e.g. ситуация строго идентичная той, что бывает при попытке запуска Directory Opus.
Единственное что — NOD сканирование проводит без убийства системы (правда всё-равно не находит ничего). А Cure It нашла какой-то скриптик _вероятно_ вредоносный в папке Оперы. В остальном всё чисто.
Интересные факты:
Так-же были зафиксированы попытки [B]LSASS.EXE[/B] обратиться к памяти антивируса и [B]EHttpSrv.EXE[/B] (локальный сервер обновлений для NOD'a) и [B]DUTRAFFIC.EXE[/B] (в случае с Дутраффиком - довольно часто). Остальное ПО он пока игнорирует.
Диспетчер процессов не показывает никаких подозрительных DLL в теле [B]LSASS.EXE[/B] (хотя, да, это не показатель)
Ещё интересный момент - в стандартном виндовом диспетчере задач вдруг неожиданно столбец "имя пользователя" стал девственно чистым у всех процессов. Разве что "Бездействие системы" гордо щеголяет записью "SYSTEM" в соответствующем поле
В момент финального "ступора" системы происходит примерно следующее: система просто перестаёт реагировать на внешние команды. Открытые приложения сначала просто визуально "зависают" (рамка окошка и пустое пространство внутри + "песочные часы" курсора), а через несколько секунд превращаются в "статические декорации", не реагирующие вообще не на что (как скриншот прямо) при этом проигрываемый в AIMP'e трек доигрывается без проблем до конца, но следующий трек уже не начинается. Характерно, что закачка торрента судя по миганию лампочек на модеме и свитче идёт без остановок и на полной скорости вплоть до момент ребута системы через "reset"
[SIZE="5"][B]UPD: [/B][/SIZE]
Пока писал текст - удалось победить проблему с зависанием системы. как оказалось - виноват был установленный на машине сервер [B]RADMIN[/B]'a, содержащий модуль трояна.
Все остальные проблемы по-прежнему актуальны. Описание неприятностей с ребутами на всякий случай оставляю, вводной информации много не бывает
P.S. да, и кстати - контрольные суммы моей версии [B]LSASS.EXE[/B] и версии с офдистриба совпадают полностью
P.P.S. как видно по логу - файл карантина по сканированию с эвристикой содержит в основном стандартный треш в виде исполняемых файлов с изменёнными в процессе бэкапа перед патчем разрешениями, плюс модуль файрволла и собсна допуса... архив сюда не цепляю (временно сижу на _ОЧЕНЬ_ плохом интернете. по требованию файлы, конечно, приложу)
