Воруют пароли WebMoney, AVZ: Перехватчик не определен!

Здравствуйте. Троянами были выкрадены с моего ПК пароли на Вебмани, и естественно украли деньги. Использую Антивиурс Касперского-8. После кражи поставил Outpost Firewall Pro 2009, но какой-то он старнный: Не показывает список портов, активных соединений, меньше намного функций, чем в старом (не помню только в каком), при загрузке ПК выдает 2 сообщения, что какие-то сетевые драйверы не были запущены. После обновлений баз в Фаерволе он всеравно пишет, что сигнатуры устарели (хотя и обновлены, дата выпуска баз на неделю раньше..)
Проверил систему, как написано в [url]http://virusinfo.info/pravila.html[/url]
Сделал все, что нужно. Cureit! не находит ничего, каспер с фаерволом тоже.. АВЗ только вот жалуется при выполнении скриптах и полном эвристическом анализе (поставил макс. настройки при поиске вирусов) жалуется на перехватчики.. "Перехватчик не определен" Вот к примеру пара строк из Протокола:

\FileSystem\ntfs[IRP_MJ_SET_SECURITY] = 8A4BB1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_PNP] = 8A4BB1F8 -> перехватчик не определен

Пользуюсь утилитой (последней) КК.. Она ничего не находит. Помогите пожалуйста избавится от всех троянов-перехватчиков, помогите настроить фаервол или скачать другой, или посоветуйте утилиты, типа как КК.ехе

И что еще мне нужно сделать и какие иметь программы и защиты на ПК (как Вам кажется лучше), чтобы полностью защититься от атак хакеров.

С Уважением, Максим.

Обновите AVZ с сайта разработчика и повторите логи.
В этих все чисто.

[QUOTE=NomaK;453520]Троянами были выкрадены с моего ПК пароли на Вебмани[/QUOTE]Почему Вы думаете, что с ПК, а не по дороге? Пароль был сохранен в проводнике? На ПК?[QUOTE]После кражи поставил Outpost Firewall Pro 2009, но какой-то он старнный[/QUOTE]это самообман: никакой защитный софт не предотвратит кражу паролей. Храните их записанными на бумажке.
[QUOTE]АВЗ только вот жалуется на перехватчики.. "Перехватчик не определен" [/QUOTE]Он не жалуется. Это нормально :).
[QUOTE]Пользуюсь утилитой (последней) КК.. [/QUOTE]Это кто?
[QUOTE]
что еще мне нужно сделать[/QUOTE][url]http://virusinfo.info/showthread.php?t=30339[/url]
[QUOTE]какие иметь программы и защиты на ПК ...., чтобы полностью защититься от атак хакеров.[/QUOTE]Таких программ нет :)

В принципе: Чем больше т.н. [I]защитных[/I] программ Вы ставите, тем больше у нехорошего человека шансов, взломать Ваш ПК.

В логах ничего подозрительного.

[QUOTE='Rene-gad;453599'](последней) КК..[/QUOTE] - КидоКиллер, наверное

Забыл добавить, что ВСЕ базы в АВЗ и в касперском и в фаерволе обновлены и обновляются ежедневно. Как быть логи чистыми могут, если при выполнении двух скриптов АВЗ выделяет в протоколе красным цветом, что Перехватчик не определен.. т.е. последние базы даже не знают, что это за перехватчик? все пароли я храню в еще более "лучшем" месте-в голове, причем пароли на кошелек Вебмани и на все остальные-индивидуальные, содержат верхний и нижинй регистры и цифры.. т.е. Дать или показать пароли я никому не мог, вывод только один, и я это точно знаю-их выкрали именно трояном. (за мой ПК никто не садился, никому не говорил паролей, за компом 10 лет сижу и впринципе всегда успешно боролся с вирусами и мне в этом помогали, да и сам не плохой хакер..А этот так и не обнаружил, посему и знаю, что до сих пор сидит какой-то олень у меня..Причем через Инет сидит...) Кстати, когда выкрали пароли, я сново обновил все свои антивирусы, проверил все, потмо переставил систему, форматнул (естественно) С:, поставил на него систему, и потом решил проверить..Опять же (после форматирования!) на диске С: перехватчик не определен..А файл klif.sys он самый и есть.. Но АВЗ его удалить не может, пишет что нужна перезагрузка-а когда гружу ПК, то он сново там висит..

И еще, почему думаю, что выкрали с ПК, а не подороге? да потому, что когда используешь перехватчик пакетов\снифер, то получаешь пароли в md5, а у меня они с верхним и нижним регистром+цифры.. => что любым дешифратором будешь подбирать нужный пароль лет 20.. Хотя могли и по дороге, даже скорее всего, что именно так..тогда как расшифровали мд5-кеш?

В проге RootKitRUnlocker3.8.342.554 (последняя) в вкладке SSDT нашел "Захваченные" моменты (Hooked) NTAdjustPrivilegesTuken, NTClose, NTConnectPort, NTCreateFile, NTCreateKey и так далее. Это означает ли (может я и ошибаюсь, прогу только что скачал и запустил), что найдены захваченные некоторые функции? к примеру что-то связанное с портами, с созданием файлов, ключей рееста, каких-то привелегий?

[QUOTE=NomaK;453915]Как быть логи чистыми могут, если при выполнении двух скриптов АВЗ выделяет в протоколе красным цветом, что Перехватчик не определен..[/QUOTE]Ну и что? Не определен - не означает зловреден :) При работе АВЗ [B]абсолютно все [/B]получают такое сообщение .
[QUOTE]А файл klif.sys он самый и есть.. [/QUOTE]
Это файл от Касперского. Если он Вам определенно не нравится - удалите все продукты ЛК. :)

Блин, ну что же это может тогда быть? ведь по сути, троян так и не найден..Посоветуйте с браундменом чтоли.. Помню утилитка где-то валялась, так она верищит на любой скан портов.. ASP (если я не ошибаюсь) зеленый кругылй значек такой.. Даже если по локалке кто-нибудь Нетлук или Ленскоп запустит и очередь его сканера дойдет до тебя, то эта утилитка выдаст полнейшую инфу о том, кто сканирует или атакует, его айпишник там все порты и т.п.. Подобные утилиты можете посоветовать? Хочу уже создать новый WMID (в Вебмани) и перечислить туда деньги, а не могу-т.к. знаю, что и новый пароль от нового WMID`а будет вытянут у меня и деньги сново могут своровать..

И что насчет того, что фаервол при запуске винды не может загрузить некоторые сетевые драфреы? (прием в пунктах Запущеные процессы и порты (в фаерволе)) они пустые!

Программа RootKit Unlocker LE v3.8.342.544 (последняя) во вкладке "драйвера" не видит инодного Скрытого (Hidden) Зато во вкладке SSDT -Захваченные есть (Hooked-YES) К примеру: NTAdjustPrivilegesTuken, NTClose, NTConnectPort, NTCreateFile, NTCreateKey, NTDeletekey и так далее... Есть возможность Разблокировать все (из перечисленных и из тех что есть у меня там) Я так понимаю (м.б. ошибаюсь конечно, прогу только что скачал и запустил) Что захвачены возможности создания файлов, что-то с портами, с ключами реестра. Так?

[QUOTE=NomaK;453930]ведь по сути, троян так и не найден..[/QUOTE]А кто Вам сказал, что ВСЕХ троянов можно обнаружить? :)
Вы всегда замочек в проводнике проверяете, когда на https - странички идете? Может phishing ом у Вас деньги вытянули?
[QUOTE=NomaK;453930]Подобные утилиты можете посоветовать? [/QUOTE]
Не могу, т.к. не пользуюсь :) Смотрите в соотв. разделах нашего форума. Там можете создать новую тему с вопросом по таким утилитам.
[QUOTE=NomaK;453930]
И что насчет того, что фаервол при запуске винды не может загрузить некоторые сетевые драфреы?[/QUOTE]Обратитесь в техподдержку Agnitum. Я в необходимости файрвола очень сомневаюсь и сам не пользуюсь :)

хм.. Значит, стоит тупо смириться..

[QUOTE=NomaK;453941]Значит, стоит тупо смириться..[/QUOTE]Ну что Вы прикажете с карманниками делать? Понашивайте рыболовных крючков в карман, где кошелек лежит - одного поймаете ... :)

ну чтож, поставил уже на сайте вебмани, чтобы в мой кипер можно ыбло войти только с одного айпишника...

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

новой версией программы AVZ 4.32 Нашел вот это: C:\Windows\System32\Drivers\karlchen.sys - Перехватчик KernelMode..

[size="1"][color="#666686"][B][I]Добавлено через 15 минут[/I][/B][/color][/size]

КОЧМАРГ! Выполнил в новом АВЗ скрипты под номером 4 и 5, в общем поместил кучу системных файлов на карантин. Вот список некоторых файлов: Нетлук (из программфайлс, это же простой сканер сети на ресурсы) из систем32: xlive.dll (за что его то?) SHDOCVW.dll, Perfom.exe, xpsp2res.dll, COMRes.dll,shimgvw.dll, printui.dll, ntlanui2.dll, shscrap.dll
, что самое интересное, так это - cmd.exe тоже туда попал.. Ну и так далее (всего 31 штука)

Давайте новые логи по правилам
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL]

Сделал лог.(прога ругается на NEtshell.dll, пишет, что она захвачена ( Hidden)
Кстати нашел ту прогу, которая обнаруживает сканирование портов:

[url]http://www.izone.ru/security/utilities/aps-download.htm[/url]


Выкладываю логи с GMER:

[QUOTE=NomaK;453998]Выкладываю логи с GMER:[/QUOTE]
А остальные логи? :)
NEtshell.dll в идее системный файл: [url]http://www.liutilities.com/products/wintaskspro/dlllibrary/netshell/[/url]

Попробуйте прислать его нам по правилам (приложение 2 и 3 ).

Какие еще остальыне логи? все сделал по правилам ГМара, после сканирования нажал сохранить лог на раб. стол сохранил он один был и отправил его вам !

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

И как его еще прислать его вам по правилам, сайт на английском.. как прислать нетшелл? скачал сканирование системы оттуда..

Предлагаю 2 варианта:
1. прекратить цирк и [U][I]четко делать [COLOR=red]только то[/COLOR], что просят хелперы[/I][/U] (попросили же - новые логи по правилам + логи GMER - лог GMER есть, новых логов по правилам - нет ... новые логи просят начиная с поста №2, сейчас уже пост номер 15, логов все нет ...)
2. просто прекратить цирк (т.е. закрыть тему)

Прочитайте пожалуйста внимательно.

"Обновите AVZ с сайта разработчика и повторите логи.
В этих все чисто." Далее я ответил, что базы обновлены на всех антивирусах: "Забыл добавить, что ВСЕ базы в АВЗ и в касперском и в фаерволе обновлены и обновляются ежедневно." смысл делать повторно логи, если с момента их создания я инчего не менял? хотите логи по правилам? они выложены все тут в моих "первых" постах. Логи по правилам ГМер тоже есть.


Вопрос по Нетшеллу.длл: "Попробуйте прислать его нам по правилам (приложение 2 и 3 )." Где такие правила новые? ссылочку дайте пожалуйста, а если эти правила и есть та ссылка: [url]http://www.liutilities.com/products/...rary/netshell/[/url], то там правил никаких нет, это анегл. сайт с прогарммой, от туда я скачал сканер, который очень сильно тупит. При установке этой программы обновляется она через Инет, доходит до 100% и пишет ошибку, повторяю так тысачу раз в общем потратил 25 метров на это..

[size="1"][color="#666686"][B][I]Добавлено через 35 минут[/I][/B][/color][/size]

Не большая проблемка произошла, после использования АВЗ: в папке Мой компьютер появились 3 папки: Общие документы, документы-Админ, и Web Folders.. Как от нихз избавиться, а еще лучше, как откатить изменения из пункта в АВЗ Восстановление системы. (я восстанавливал систему через АВЗ потому, что при загрузке ПК как только прогружается раб. стол вылазиет сообщение "sfc /scannow" точнее его функция, т.е. запрашивается диск и так вечно что-то проверяет, а диск (ЗверДВД) я втаскиваю, но "sfc /scannow" говорит мне, что это не тот диск, с которого была установлена система.. Так же из Пуск-Все программы-Стандартные от туда пропали Фотошопы (ярлыки) и много других ярлыков, далее там вкладка есть Стандартные-от туда вообще все почти поисчезало, включай калькулятор, во вкладке Служебные-там лишь только Интернет Эксплорер висит.. Что делать? Можно ли откатыть изменения ? (Восстановление системы выключено, т.к. я прочел здесь на форуме, что там могут лежать вирусы..)

Заного сделал все логи. Посмотрите, пожалуйста их.

И помогите разобраться с откатом системы, а то не хочется по новой ее переустанавливать.. Кстати в АВЗ много файлов на карантине висит, Нажимаю восстановить-ничего вообще непроисходит, они дальше там лежат..

[QUOTE=NomaK;454384]
"Попробуйте прислать его нам по правилам (приложение 2 и 3 )." Где такие правила новые? [/QUOTE]Это [B]наши[/B] правила: [url]http://virusinfo.info/showthread.php?t=1235[/url]

[QUOTE]при загрузке ПК как только прогружается раб. стол вылазиет сообщение "sfc /scannow" точнее его функция, т.е. запрашивается диск и так вечно что-то проверяет, а диск (ЗверДВД) я втаскиваю, но "sfc /scannow" говорит мне, что это не тот диск, с которого была установлена система..[/QUOTE]
Сервис Пак доустанавливали? Или обновления какие? Нужно дистрибутив с сервис паком интегрировать: [url]http://articles.softportal.com/article-425.html[/url]

[QUOTE=NomaK;453949]
новой версией программы AVZ 4.32 Нашел вот это: C:\Windows\System32\Drivers\karlchen.sys - Перехватчик KernelMode..Выполнил в новом АВЗ скрипты под номером 4 и 5, в общем поместил кучу системных файлов на карантин. [/QUOTE]
Поэтому я и попросил сделать новые логи.
karlchen.sys - не увидел.

В логах ничего подозрительного

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

[QUOTE=NomaK;454384]Мой компьютер появились 3 папки: Общие документы, документы-Админ, и Web Folders.. Как от нихз избавиться, а еще лучше[/QUOTE]
Для удаления Web Folders скопируйте код
[CODE]Windows Registry Editor Version 5.00

; Remove Web Folders Icon
; Howtogeek.com

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\MyComputer\NameSpace\{BDEADF00-C265-11D0-BCED-00A0C90AB50F}][/CODE]
в чистый текстовый файл, сохраните его как 133.reg и запустите двойным щелчком.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=NomaK;454384]
я восстанавливал систему через АВЗ[/QUOTE]Зачем?
[QUOTE][COLOR="Red"]Если Вы ....делаете все по-своему, не удивляйтесь тому, что Ваша тема может быть закрыта.[/COLOR][/QUOTE]

Спасибо за помощь! Просто сделал нового пользователя и туда все свои файлы перенес.. Сейчас все отлично, вот только в папке Мой компьютер остался противный ярлык Web Folders.. А еще я установил новый фаервол - COMODO Internet Security.. Одобряете его ?

Кстати, что там с логами ?

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Хорошо я понял, спасибо за рег-файл, спасибо за помощь! Думаю, что теперь с моими 4-мя антивирусами на мой новый WMID не узнают пару логин\пароль.. Спасибо за помощь !

(И все-таки, что такое тогда karlchen.sys ? Просто если вот просто так проверять комп на вирусы АВЗ, то он некоторые файлы, причем безобидные, помещает в карантин, и у меня из меню пуска пропадают cmd калькуляторы и т.п..Раньше такого не было, когда я пользовался АВЗ года 3-4 назад..)