Не работают сертификаты CryptoPro

Ситуация такая - был вирус в svchost.
вроде чистил реестр и всё такое.
но после всех манипуляций - может быть и многих неправильных.
практически всё восстановилось, кроме сертификатов.
т.е. при попытке открыть любой нужный сертификат - в частности CryptoPro 3.0
в свойствах сертификата пишется - целостность этого сертификата не гарантирована. возможно он поврежден или изменен. и самое главное -
в составе сертификата - открытый ключ равен 0 (ноль) байт, а должен где-то 512.
на форуме крипто-про - такое явление объяснили - вирусом, который мог испортить сертификат. дали ссылку на ваш сайт.
если ещё что-то надо от меня - спросите!

Два антивируса это много, но бесполезно. НОД работает или нет?
Если нет, то его деинсталлировать.

КриптоПро м.б. надо просто деинсталлировать.

а какой второй?
у меня стоит НОД - просто на время запуска ваших программ - я его отключал.
про криптопро - пробовал удалять и заново устанавливать - сертификаты всё равно не читаются.

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - C:\Program Files\Symantec AntiVirus\DefWatch.exe

Это все сервисы Симантека. Если он не работает, то надо деинсталлировать при помощи фирменной утилиты производителя.

C:\Program Files\SpamPal\spampalLSP.dll - поискать через AVZ

ааа..
про симантек.... попробую...
хм....
руками удалить не получилось...
просто до этого пробовал - просто удалить папки - только восстановление симантека помогло заработать системе...
инсталлятора, соотвественно и деинсталлятора нет... подскажите как лучше удалить симантек?
про фирменную утилиту... и где же её взять?
в установке и удалении программ - нет симантека... только LiveUpdate 3.0 который не хочет удаляться , пока не будут удалены остальные компоненты антивиря.

C:\Program Files\SpamPal\spampalLSP.dll - поискать через AVZ
AVZ - ничего не нашел...

[url]http://www.softpedia.com/progDownload/WinSockFix-Download-15337.html[/url] - качаем вот эту утилиту. Запоминаем настройки сети.
Запускаем WinSockXPFix, делаем Fix. Затем восст. настройки сети.

Для удаления Симантека см. раздел "Чаво". Там есть тема со ссылкой на утилиту.

После этого всего безобразия делаем новые логи.

утилиту скачал - но при попытке создать backup - появились ошибки...
error saving file ....
или надо было запомнить настройки сети другим способом?
про симантек посмотрю, спасибо...
логи можно будет выложить в этой же теме?

Да, запоминать простым записыванием на бумажку.

Логи,конечно, сюда.

Symantec удалить не получается - Norton_Removal_Tool - пишет удалите сначала Антивирь 9 через установка и удаление программ - но у меня в списке прог - такого нет...
как ещё можно удалить симантек?

Суровый вариант - убить все сервисы и его модули в ядре скриптом AVZ.
После этого прочистка реестра Wise Registry Cleaner.

Более легкий может подскажет кто-то другой.

про убиение симантика AVZ - какой скрипт необходимо использовать?
для очистки реестра надеюсь registry mechanic тоже подойдет?

[QUOTE=Dma1;198860]про убиение симантика AVZ - какой скрипт необходимо использовать?
для очистки реестра надеюсь registry mechanic тоже подойдет?[/QUOTE]

Скрипт напишу.

Возможно. Я его не использую, поэтому не могу сказать со 100% гарантией.

ок...
жду тогда от Вас скрипт...
а с регистром уж буду сам мучаться...
лишь бы симантек убился...

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('SNDSrvc', 4);
SetServiceStart('DefWatch', 4);
SetServiceStart('NAVENG', 4);
SetServiceStart('NAVEX15', 4);
SetServiceStart('eeCtrl', 4);
SetServiceStart('EraserUtilRebootDrv', 4);
DeleteFile('C:\WINDOWS\system32\NavLogon.dll');
DeleteFile('C:\PROGRA~1\SYMANT~1\VPTray.exe');
DeleteFile('C:\Program Files\Common Files\Symantec Shared\EENGINE\EraserUtilRebootDrv.sys');
DeleteFile('C:\Program Files\Common Files\Symantec Shared\EENGINE\eeCtrl.sys');
DeleteFile('C:\PROGRA~1\COMMON~1\SYMANT~1\VIRUSD~1\20080210.006\navex15.sys');
DeleteFile('C:\PROGRA~1\COMMON~1\SYMANT~1\VIRUSD~1\20080210.006\naveng.sys');
DeleteFile('C:\Program Files\Symantec AntiVirus\DefWatch.exe');
DeleteFile('C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe');
BC_DeleteSvc('SNDSrvc');
BC_DeleteSvc('DefWatch');
BC_DeleteSvc('NAVENG');
BC_DeleteSvc('NAVEX15');
BC_DeleteSvc('eeCtrl');

BC_ImportDeletedList;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]

После этого всего новые логи в студию.

Там еще после этого нужно кучу директорий поудалять.

всё сделал как вы сказалали..
только не уверен что симантек умер..
смотрите сами...
новые логи....

вроде удалил симантек - посмотрите пожалуйста...
новые логи прилагаю..
что теперь делать?
самое главное - первоначальная проблема осталась - сертификаты не определяются как действительные....
какие предложения?

В этой области: сертификатов, подсказать не могу. М.б. они у Вас засвеченные и их теперь менять надо. Попробуйте связаться с банком, или организацией их выдавшей.

да в том то и дело - что на другом компьютере всё нормально...
разработчики говорят - что в системе сидит зараза...
и именно из-за этого сертификат недействителен на этом компьютере... эта же дискета на другом копьютере работает и сертификат действителен...
и ещё вопрос - просмотрев логи - что можете сказать? система рабочая???
внешних признаков вирусов или других вредоносных элементов не наблюдается?
и ещё - со слов разработчиков - система могла быть "поедена вирусом", остается только переустанавливать её? или есть другие варианты восстановления?

Сейчас посмотрю внимательнее. Для своего успокоения можно провериться AVPTool с актуальными базами Касперского, либо КуреИтом с базами Доктора 4.44

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

Осталось немного симантека.
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('SymEvent');
DeleteService('SAVRTPEL');
DeleteService('SAVRT');
DeleteFile('C:\Program Files\Symantec AntiVirus\savrt.sys');
DeleteFile('C:\Program Files\Symantec AntiVirus\Savrtpel.sys');
DeleteFile('C:\Program Files\Symantec\SYMEVENT.SYS');
DeleteFile('C:\Program Files\Common Files\Symantec Shared\SSC\vpshell2.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Это все можно и ручками поудалять. То, что советовал выше, сделай обязательно.
Желательно Куреит или AVPTool записать на СД.

всё сделал...
Куреит ничего не находит..
хм..
ладно - напиши тогда разработчикам в КриптоПро - спасибо за помощь...

Куреитом полную проверку делал или только начальную?

делал полную проверку... всё чисто!

[size="1"][color="#666686"][B][I]Добавлено через 1 час 20 минут[/I][/B][/color][/size]

итак - что вновь обнаружил... всё-таки какой-то гад сидит внутри системы...
TCPView - вот что показывает - естественно цвето-музыка.... вот некоторые строчки
svchost.exe:828 TCP mk_gurbich:1761 cds459.lon.llnw.net:http SYN_SENT
svchost.exe:828 TCP mk_gurbich:1763 cds462.lon.llnw.net:http SYN_SENT
svchost.exe:828 TCP mk_gurbich:1767 cds459.lon.llnw.net:http SYN_SENT
svchost.exe:828 TCP mk_gurbich:1765 213-248-111-27.customer.teliacarrier.com:http SYN_SENT
svchost.exe:828 TCP mk_gurbich:1768 213-248-111-16.customer.teliacarrier.com:http SYN_SENT
и вот этот гад - в течение дня где-то 50 метров траффика кушает..
как его найти и уничтожить???

[size="1"][color="#666686"][B][I]Добавлено через 1 час 33 минуты[/I][/B][/color][/size]

посчитал - сейчас у меня работаю 12 svchost вместо положенных 4-5.... как от них избавиться???

Логи нужны новые. Только с закрытыми qip & thebat!. М.б. что-то новое залетело, кстати без них svchost будет поменьше.

про новое - это вряд ли...
всё уже давно сидит...
закрыл НОД, Бат и QIP и заодно маил агент.
новые логи прилагаю.

C:\WINDOWS\System32\Drivers\mdmMod2.sys - пришлите согласно приложения 3 правил ....

[QUOTE=V_Bond;200945]C:\WINDOWS\System32\Drivers\mdmMod2.sys - пришлите согласно приложения 3 правил ....[/QUOTE]
это программа - Реан-Поли от Медиком МТД.
про добавление - чтобы отправить согласно приложения 3 - этот файл должен быть в карантине - но AVZ его туда не отправляет.
как по-другому вам его прислать?

если это известная вам программа , присылать не нужно ....
какие -то проблемы остались ?

[QUOTE=V_Bond;201185]если это известная вам программа , присылать не нужно ....
какие -то проблемы остались ?[/QUOTE]
проблема всё та же - постоянно съедается траффик...
приводил ссылки то что пишет TCPView
а кто его ест и как от трояна или кто там сидит избавиться - не знаю!!!
ни один антивирус его не видит!

Пришли вот этот файлик:
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('WmdmPmSN.sys','');
BC_QrSvc('WmdmPmSN');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Что-то его совершенно никто в гугле не знает, подозрительно мне это.

InterBase дает трафик ...

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[code]
посчитал - сейчас у меня работаю 12 svchost вместо положенных 4-5.... как от них избавиться???
[/code]
может быть больше двадцати ...

[QUOTE=PavelA;201213]Пришли вот этот файлик:
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('WmdmPmSN.sys','');
BC_QrSvc('WmdmPmSN');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Что-то его совершенно никто в гугле не знает, подозрительно мне это.[/QUOTE]

может этот файл руками вам прислать?
потому что после выполнения вашего скрипта - папка появилась в карантине - но она пустая... соотвественно через AVZ ничего заархивировать нельзя!
что делать???

и ещё - после выполнения ваших скриптов - при перезагрузке или выключении компа он минуты 3-4 думает - а только потом выключается. в чем может быть причина повисания перед выключением???

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=V_Bond;201214]InterBase дает трафик ...

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[code]
посчитал - сейчас у меня работаю 12 svchost вместо положенных 4-5.... как от них избавиться???
[/code]
может быть больше двадцати ...[/QUOTE]

как от него избавиться? или так и должно быть????
но про траффик - повторюсь - в TCPView то видно что кто-то заходит на левые сайты...

Файлик этот есть на диске? Если есть, то попробуй проделать скрипт еще раз в защищенном режиме.

Для анализа работы сетки можно попробовать триальную версию X-Netstat с сайта [url]www.freshsw.com[/url] Программа показывает много чего интересного.

Подвисает при перезагрузке по причине того, что запущенные процессы завершаются без оповещения.

нет - такого файла на диске нет! может он как-то по-другому называется???

про перезагрузку - раньше ведь такого не было...
а теперь и когда без скриптов перезагружаешь комп - всё подвисает после надписи завершение работы...
какие варианты исправления долгого выключения?

в AVZ Сервис - Диспетчер служб - выбрать справа показать ВСЕ
Найти:
Служба серийных номеров переносных устройств мультимедиа

Сверху есть кнопочки для копирования в карантин. М.б. получиться таким способом получить этот файл

эта служба не запущена - и при попытке скопировать в карантин - пишет что всё скопирована - но папка всё же остается пустой!

вот что пишет AVZ
Ошибка карантина файла, попытка прямого чтения (WmdmPmSN.sys)
Карантин с использованием прямого чтения - ошибка

Значит, можно к ногтю ее, оттуда же.

[QUOTE=PavelA;201367]Значит, можно к ногтю ее, оттуда же.[/QUOTE]

не понял - откуда оттуда же?
такого файла на диске нет!!!

Из Менеджера сервисов AVZ ее можно удалить.

По теме: запросил "помощь зала". Жди вопросов.

Значится так. Надо скачать Process Explorer, он маленький. Раньше жил на sysinternals.com

В нем, если навести мышу на svchost, то он покажет что он запускает.
Особо естественно интересны те, которые стучатся наружу.
Вообще, можно их всех (svchost) поизучать.

THK borka за совет.

[QUOTE=PavelA;201414]Из Менеджера сервисов AVZ ее можно удалить.

По теме: запросил "помощь зала". Жди вопросов.

Значится так. Надо скачать Process Explorer, он маленький. Раньше жил на sysinternals.com

В нем, если навести мышу на svchost, то он покажет что он запускает.
Особо естественно интересны те, которые стучатся наружу.
Вообще, можно их всех (svchost) поизучать.

THK borka за совет.[/QUOTE]

из менеджера сервисов - удалил - хоть и он был не запущен!

далее...
я готов к вопросам!!!

скачал процесс экслпорер - установил.... а дальше что с ним делать то???
показывает что svchost заходит на сайты - а как выяснить какой файл запускает эту цепочку реакций??? т.е. как поизучать?

[url]http://technet.microsoft.com/en-us/sysinternals/bb896653.aspx[/url] - ссылочка на описание.
Скриншот: [url]http://technet.microsoft.com/en-us/sysinternals/bb896653.ProcessExplorer(en-us,MSDN.10).jpg[/url]

Через netview получаешь PID процесса, а затем в Process explorer ищешь его и открываешь "+", видишь что он вызывает.