Printable View
1.3 Проверка IDT и SYSENTER
Анализ для процессора 1
Проверка IDT и SYSENTER завершена
>>>> Обнаружена маскировка процесса 3904 ?
>>>> Обнаружена маскировка процесса 24060 ?
>>>> Обнаружена маскировка процесса 24264 ?
>>>> Обнаружена маскировка процесса 2008 ?
>>>> Обнаружена маскировка процесса 3712 ?
1.4 Поиск маскировки процессов и драйверов
Пытался удалить процессы через дипетчер процессов в AVZ но они не убивались. Что делать?
P.S.
TaskList & ProcessExplorer их невидят.
[QUOTE]Что делать?[/QUOTE]
Читать [B][URL="http://virusinfo.info/showthread.php?t=1235"]ПРАВИЛА[/URL][/B]!
в AVZ выполнить скрипт, после перезагрузки, поискать файлы,указанные ниже и прислать карантин, согласно Приложения 2 (см. картинку)
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\012Net\012Net-Cable dialer\fts.exe','');
QuarantineFile('C:\Program Files\012Net\012Net-Cable dialer\FWPortal.exe -no_dialog','');
QuarantineFile('C:\WINDOWS\system32\apihook.dll','');
QuarantineFile('C:\PROGRA~1\PSPADE~1\PSPADS~1.DLL','');
QuarantineFile('C:\WINDOWS\system32\dllhost.exe','');
DeleteFile('C:\WINDOWS\system32\dllhost.exe');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
Искать в AVZ
[CODE]
C:\Documents and Settings\Borison\Desktop\Net tools\Magic Nettrace 2.8.1 Crracked.zip
C:\Program Files\Hackman\Patch.exe
C:\Program Files\Multi Password Recovery\HookLib.dll
C:\Program Files\jv16 PowerTools 2006\patch.exe
C:\Documents and Settings\Borison\Desktop\Net tools\Magic.NetTrace.2.9.1.WinALL.Keygen.Only.READ.NFO-ViRiLiTY.rar[/CODE]
Выслал то что нашел. Некоторые файлы пришлось аривировать вручную.
potentially unwanted program Spyware-Buddy Эту программу сами ставили?
Очень странная дата стоит на компе 19 дек. 2006г
В AVZ надо включить AVZPM. Сделать "Исследование системы".
Лог прислать.
Затем отключить AVZPM.
Те файлы, что пришли чистые. Надо искать дальше. Плюс не дошли файлы, указанные в нижнем списке.
Добавил нижний список. Думаю что ложняк. Файлы стоят 3 мес.
[QUOTE=Cpuuuh;95243]Добавил нижний список. Думаю что ложняк. Файлы стоят 3 мес.[/QUOTE]
Это прояснит сканирования с активным AVZPM. Алгоритм:
1. Включить AVZPM
2. Перезагрузиться
3. Выполнить сканирование и записстить сюда логи
4. Отключить AVZPM
Ложняк исключен, но возможно вот что - на компьютере быстро создаются и уничтожаются какие-то процессы. Виноват в этом может быть Apache (я видел его в логах) или еще что-то.
Все результаты сканирования шли с AVZMP. Он у меня всегда включен.
[QUOTE=Cpuuuh;95326]Все результаты сканирования шли с AVZMP. Он у меня всегда включен.[/QUOTE]
Тогда видимо правильна вторая моя гипотеза - какое-то приложение создает и завершает процессы, которые работают сравнительно небольшое время. Стоит понаблюдать список процессов в динамике при помощи ProcessExplorer.
Вот вопрос несколько раз замечал что дочерним процессом service (если не забыл) идет WMI. Что это может значить учитывая что ПК дома. Я тушил его в "службах" и ставил disable но он включался (переодичность непомню). Сейчас вроде бы тихо может cureit вылечил.
2. Сканил 127,0,0,1 xspider пишет что открыт 1025 порт "Сервис разрывает соединение при попытке подключения к нему.
Вероятно закрыт доступ к этому сервису для IP адреса с которого проводилась проверка". Фаер у меня встроенный в SP2. netsh firewall show state 1025 ненаходит т.е. порт не используют для удаленного контроля?
Спасибо.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] e:\\windows\\syswms32.dll - [B]not-a-virus:Monitor.Win32.SpyBuddy.b[/B] (DrWEB: Program.SpyBuddy)[/LIST][/LIST]