Помогите, создается несуществующий PCI Device!

Добрый день!
У меня WinXP SP2 встроенный.
Проверка Авастом выявила кучу троянов, но главные (как мне казалось) - spool.exe и msftp.dll он не хотел "прибивать". Трафик "шел" очень охотно, без видимых причин.
---
Во время "ручной работы" случайно поставил на общий доступ папки :O. Своим умом, как это вернуть на место, не понял.
---
Прочел ваши правила, постарался сделать все, как написано.

После проверки CureIt выявил множество троянов (и других вредителей), может около 60. Главное, вышеописанные "бяки" прибились и перестали заново появляться. До этого вручную ничего сделать не удавалось.
Но осталось, видимо, много еще чего интересного...
До сих пор пытается установить некий PCI Device. Кажется,
Шлю вам логи.
P.S. На диске C:/ (в корне) заметил странный файлик os357577.bin. У меня он определяется, как VLC media file, но не похоже, что я такие сохранял.

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
SetServiceStart('Microsoft PS Service', 4);
StopService('Microsoft PS Service');
QuarantineFile('C:\WINDOWS\system32\CTHELPER.EXE','');
QuarantineFile('C:\Documents and Settings\Kirill\Local Settings\Application Data\cftmon.exe','');
QuarantineFile('C:\Program Files\Pixologic\ZBrush3\ZData\ZPlugs\WebZPlug.dll','');
QuarantineFile('C:\WINDOWS\system32\nvtuicpl.cpl','');
QuarantineFile('C:\WINDOWS\system32\winsys2.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\spool.exe','');
QuarantineFile('C:\WINDOWS\system32\_svchost.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\PROCEXP111.SYS','');
QuarantineFile('C:\WINDOWS\System32\Drivers\atf0y3lg.SYS','');
QuarantineFile('c:\windows\system32\psiservice.exe','');
DeleteFile('C:\WINDOWS\system32\_svchost.exe');
DeleteFile('C:\WINDOWS\system32\drivers\spool.exe');
DeleteFile('C:\WINDOWS\system32\winsys2.exe');
DeleteFile('C:\Documents and Settings\Kirill\Local Settings\Application Data\cftmon.exe');
DeleteService('Microsoft PS Service');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=17685[/url]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]
O4 - HKCU\..\Run: [ntuser] C:\WINDOWS\system32\drivers\spool.exe
O4 - HKCU\..\Run: [autoload] C:\Documents and Settings\Kirill\Local Settings\Application Data\cftmon.exe [/CODE]

Повторите логи

[size="1"][color="#666686"][B][I]Добавлено через 59 секунд[/I][/B][/color][/size]

[b] os357577.bin[/b] - пришлите по правилам

[QUOTE=Kirik;184346]Во время "ручной работы" случайно поставил на общий доступ папки :O. Своим умом, как это вернуть на место, не понял.[/QUOTE]
В свойствах папки закладка Доступ. Или я не очень понимаю,что именно вы включили.

[quote=pig;184372]В свойствах папки закладка Доступ. Или я не очень понимаю,что именно вы включили.[/quote]
Ох включил :) и там вот включил, но точно не вспомню. Я так понял, что теперь на доступе C$ D$ E$ (мои партиции ЖД). Правда, может это никаких проблем не принесет (в нашей сетке отрубили передачу файлов напрямую давно), но все же - это, кажется, непорядок.

Скрипт выполню сегодня ближе к ночи, сейчас нахожусь на работе.

"Доллары" вам отключат, это легко.

[quote=akoK;184359]1.[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

...

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [B]приложения 3 [URL="http://virusinfo.info/showthread.php?t=1235"]правил [/URL][/B].
Загружать по ссылке: [URL]http://virusinfo.info/upload_virus.php?tid=17685[/URL]

2.Пофиксить в HijackThis следующие строчки ( [URL]http://virusinfo.info/showthread.php?t=4491[/URL] )
[code]
O4 - HKCU\..\Run: [ntuser] C:\WINDOWS\system32\drivers\spool.exe
O4 - HKCU\..\Run: [autoload] C:\Documents and Settings\Kirill\Local Settings\Application Data\cftmon.exe [/code]Повторите логи

[SIZE=1][COLOR=#666686][B][I]Добавлено через 59 секунд[/I][/B][/COLOR][/SIZE]

[B] os357577.bin[/B] - пришлите по правилам[/quote]

Все прислал, только в двух архивах (второй, с [B] os357577.bin[/B],к сожалению не смог добавить через AVZ, упаковал с паролем virus в zip через WinRar). С HijackThis вышло так, что он этих двух строчек не показал :O.

После прогона вашего скрипта AVZ компьютер не перезагружался сам, и я не смог его перезагрузить по-обычному (пришлось ресет делать). Здесь тоже надо было антивирус выгружать; базы перед этим надо было обновлять? я не понял, относится ли это к любым скриптам, выполняемым в AVZ. :O

Прикладываю новые логи.

[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\amzlm1kw.SYS','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=17685[/url]

[quote=akoK;184797][URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/URL]

...

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [B]приложения 3 [URL="http://virusinfo.info/showthread.php?t=1235"]правил [/URL][/B].
Загружать по ссылке: [URL]http://virusinfo.info/upload_virus.php?tid=17685[/URL][/quote]


Выполнил, на сей раз комп перезагрузился. Перед (или сразу после, неизвестно) окончанием выполнения скрипта Аваст ругнулся: "обнаружен вирус - vdiyodg1.sys Win32^Trojan-gen"
Теперь я припоминаю (забыл про это написать), что тоже самое было и вчера, только имя *.sys было, кажется, другое.
Поиск файла AVZ (в папках Windows и Documents&Settings) после перезагрузки ничего не дал. "PCI device" никуда не исчез.
Карантин прислал.

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

Я понимаю, что у меня опыта гораздо меньше... Можно ли попробовать убрать строки в реестре, где прописывается это устройство и посмотреть, что будет делать троян для восстановления?

Ааа, так антивирус перед выполнением скрипта необходимо отключать давайте новые логи

[quote=akoK;184943]Ааа, так антивирус перед выполнением скрипта необходимо отключать давайте новые логи[/quote]

Все, теперь я уяснил :blush:

Логи сделал по 8-12п. правил.

Странно ...:?
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\ctagent.dll','');
QuarantineFile('C:\Program Files\Pixologic\ZBrush3\ZData\ZPlugs\WebZPlug.dll','');
QuarantineFile('D:\NTGLM7X.sys','');
QuarantineFile('D:\NTACCESS.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
QuarantineFile('C:\WINDOWS\system32\PSIService.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\aff17ft2.SYS','');
QuarantineFile('C:\Program Files\Mozilla Firefox\extensions\[email protected]\components\qfaservices.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=17685[/url]

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

C:\PROGRAM FILES\PROCEXP\PROCEXP.EXE

Это вы запускаете?

[quote=akoK;184996]Странно ...:?

...

[SIZE=1][COLOR=#666686][B][I]Добавлено через 2 минуты[/I][/B][/COLOR][/SIZE]

C:\PROGRAM FILES\PROCEXP\PROCEXP.EXE

Это вы запускаете?[/quote]

На 99% уверен, что я, но перед логами по идее должен был выгрузить. Запускаю, чтобы выгрузить Аваст, - там просто так "выйти" нельзя. Это замена диспетчеру задач (она вроде даже как официальная) с более полным функционалом. Дома проверю.

У меня в логах setapapi этот девайс указывается определенным образом. До обращения на ваш форум я нашел строки в реестре, которые совпадали с его "идентификацией". Конечно, сам, без знаний и утилит я ничего удалить не смог.

[size="1"][color="#666686"][B][I]Добавлено через 5 часов 48 минут[/I][/B][/color][/size]

Выполнил и закачал карантин.
Procexp.exe - это точно замена для диспетчера задач (Process Explorer).

в карантине ....
C:\WINDOWS\system32\ctagent.dll
C:\Program Files\Pixologic\ZBrush3\ZData\ZPlugs\WebZPlug.dll
C:\WINDOWS\system32\DRIVERS\tcpip.sys
C:\WINDOWS\system32\PSIService.exe
C:\Program Files\Mozilla Firefox\extensions\[email protected]\components\qfaservices.dll
все чистые .....

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

советую временно деинсталировать адобе ...

[quote=V_Bond;185211]в карантине ....
C:\WINDOWS\system32\ctagent.dll
C:\Program Files\Pixologic\ZBrush3\ZData\ZPlugs\WebZPlug.dll
C:\WINDOWS\system32\DRIVERS\tcpip.sys
C:\WINDOWS\system32\PSIService.exe
C:\Program Files\Mozilla Firefox\extensions\[email protected]\components\qfaservices.dll
все чистые .....

[SIZE=1][COLOR=#666686][B][I]Добавлено через 2 минуты[/I][/B][/COLOR][/SIZE]

советую временно деинсталировать адобе ...[/quote]

Из адобов остался только Акробат Ридер 5 и Флэш Плеер 9.
Девайс все еще "вылазит". Откуда же копыта ростут? :O

Акробат Ридер любит устанавливать чнго нибудь ... попробуйте убрать для чистоты эксперимента ...

А если попытаться этому PCI Device обновить драйвер? У меня на работе завелась машина, которая при загрузке системы не может установить драйвер для какого-то очень системного таймера. Причём когда прихожу я и руками в диспетчере устройств велю обновить драйвер, всё сразу же находится. Там же, в системе, без дополнительных дисков. А при перезагрузке опять теряет.

[quote=V_Bond;185257]Акробат Ридер любит устанавливать чнго нибудь ... попробуйте убрать для чистоты эксперимента ...[/quote]

5-й тоже убрал. Вряд ли это адоб флэш плеер шалит.

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

[quote=pig;185270]А если попытаться этому PCI Device обновить драйвер? У меня на работе завелась машина, которая при загрузке системы не может установить драйвер для какого-то очень системного таймера. Причём когда прихожу я и руками в диспетчере устройств велю обновить драйвер, всё сразу же находится. Там же, в системе, без дополнительных дисков. А при перезагрузке опять теряет.[/quote]
Честно говоря... Вот тогда я ошибся и не отключил Аваст, а после выполнения скрипта он ругнулся (на vdiyodg1.sys Win32^Trojan-gen). Поэтому, честно говоря, я боюсь устанавливать непонятно что. Тем более, это чудо (неопределенный pci device) стало появляться, аккурат, после "выползания" троянов.
Надо ли рисковать или есть способ выявить, что это такое?

Способ только один - попросить систему поискать драйвер на устройство. Хотя можно внимательно посмотреть на свойства - вдруг там код устройства светится (PCI_VEN и так далее). Тогда точно что-то аппаратное, с троянами напрямую не связанное. Трояны могли драйвер попортить, например.

[quote=pig;185636]Способ только один - попросить систему поискать драйвер на устройство. Хотя можно внимательно посмотреть на свойства - вдруг там код устройства светится (PCI_VEN и так далее). Тогда точно что-то аппаратное, с троянами напрямую не связанное. Трояны могли драйвер попортить, например.[/quote]

#-199 Выполнение "C:\WINDOWS\system32\rundll32.exe" с командной строкой: rundll32.exe newdev.dll,ClientSideInstall \\.\pipe\PNP_Device_Install_Pipe_0.{05E20CFE-8F33-4857-8F11-D77A64825F66}
#I060 Установка выбранного драйвера.
#-019 Поиск идентификаторов аппаратуры: pci\ven_10de&dev_044a&subsys_10ec0888&rev_a1,pci\ven_10de&dev_044a&subsys_10ec0888,pci\ven_10de&dev_044a&cc_040300,pci\ven_10de&dev_044a&cc_0403

вот так он пытается.. собственно, код есть, но какой там девайс, ума не приложу. Сетевая карта, звуковуха - все.. Больше PCI-ных нет. :wacko2:

spool.exe, _svhost.exe и msftp.dll опять появились :O
Есть подозрение на причастность Total Commander 7.0 или сайта picred.com
Вчера (по описанию) на ТК был запущен (там есть иконка) Интернет Эксплорер, затем совершен вход на picred.com (как я понял, набор первых двух букв, а дальше выбор сайта из свитка).
Совпало так, что сразу после нажатия "войти" на сайте, Аваст выдал сообщение о трояне. Логи Аваста пока не смотрел, но сделал логи AVZ и HiJackThis.