AVZ подозрение на троянскую DLL

Добрый день
Приходится опять к Вам обращаться
так как в прошлый раз очень сильно мне помогли [URL]http://virusinfo.info/showthread.php?t=8727[/URL]

Дело вот в чем
Комп вроде работает нормально никаких глюков "видимых"
При проверке Curet от веба ничего не нашел
Проверка AVZ нашел
Сделал новые логи высылаю
Также в карантин попал один файл C\ Windows\TEMP\Command.com
Похожая тема [URL]http://virusinfo.info/showthread.php?t=8841[/URL]
Что делать с карантином???
Добавил логи

Карантин по ссылке вверху темы (Прислать запрошенные файлы), протоколы сюда.

Протокол avz_log

И КАРАНТИН
Файл сохранён как 070406_154727_virus_4616334f9c105.zip
Размер файла 43911
MD5 abef81a039772599cf1f77da84dd12c9

Странное какое-то название драйвера uze4odky.sys
В AVZ выполнить скрипт:

[CODE]
begin
SearchRootkit(true, true);
QuarantineFile('\??\C:\WINDOWS\system32\Drivers\uze4odky.sys','');
BC_ImportQuarantineList;
// Активация драйвера Boot Cleaner
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Прислать, как положено, после перезагрузки.

Временный Интернет файлы почистить не помешает. Меньше мусора будет.

Что за слово "исправил" в логе HijackThis?
Страшно за информацию стало.>:(

>>> Странное какое-то название драйвера uze4odky.sys

Ставлю свой наградной ключ, что это драйвер AVZ. :)

[QUOTE=NickGolovko;102900]>>> Странное какое-то название драйвера uze4odky.sys

Ставлю свой наградной ключ, что это драйвер AVZ. :)[/QUOTE]

В других темах в логах такого ;) я не видел.

[quote]begin
SearchRootkit(true, true);
QuarantineFile('\??\C:\WINDOWS\system32\Drivers\uze4odky.sys','');
BC_ImportQuarantineList;
// Активация драйвера Boot Cleaner
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.[/quote]
Выполнил
Каантин залил
Файл сохранён как 070406_165028_virus_461642146f679.zip
Размер файла 44502
MD 596f1d5f9b97864f005e5cfeddcf45f6d

[quote]Что за слово "исправил" в логе HijackThis?
Страшно за информацию стало.>:([/quote]
Нет не страшно, но просто не хочется лишний раз разглашать
информацию которая проходит через меня.
Просто один раз так уже подставили со всеми вытекающими отсюда последствиями.
[QUOTE]Временный Интернет файлы почистить не помешает. Меньше мусора будет.
[/QUOTE]Сегодня утром только чистил

[QUOTE=АлексейН;102915]Сегодня утром только чистил[/QUOTE]

А в последнем логе AVZ опять Troian.Downloader болтается.

В карантине приехал command.com. Он чистый.

В АВЗ поискать C:\WINDOWS\system32\Drivers\uze4odky.sys. Если не захочет добавляться в карантин, значит чистый.

Ошибка прямого чтения
Так в он в двух местах
лог прикладываю
Карантин не хочет

Постараюсь продолжить завтра
Если не получится то только аж с понедельника
Пока спасибо за текущую помощь


До встреч

Попробуй через Safe Mode его в карантин засунуть.

Добрый всем день

Сегодня проверил AVZ комп опять, нашел опять тоже
самое
логи и лог карантина
Что с карантином делать[QUOTE]
C:\WINDOWS\system32\cpadvai.dll --> Подозрение на троянскую DLL. Обнаружена маскировка реального имени DLL
C:\WINDOWS\system32\cpadvai.dll>>> Поведенческий анализ: [/QUOTE]
Это как понимать

Прежде чем делать логи очистил Temporary Internet Files
[QUOTE]C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\P8WFL5SL\original[1].exe >>>>> Trojan-Downloader.Win32.Agent.avv успешно удален[/QUOTE]

Лог карантина

Карантин прислать по форме, ссылка вверху темы.

В AVZ установить AVZPM, перезагрузиться. Сделать новые логи, прикрепить к теме. Старые можно удалить, как отработанный материал.

В странных местах бываете, товарищщ. Постоянно ловится Downloader во временных файлах Интернета. Надо внимательнее приглядеться к сайтам, куда ходите.

Архив карантина не могу прикрепить , прислать
по форме вверху страницы
Загрузка архива доходит до середины и зависает
Буду пробовать позже

[QUOTE]Файл сохранён как 070411_105459_virus_461c86435736f.zip
Размер файла 49659
MD5 18f142cbc37804e065c8bd2cc7c095bb

Файл закачан, спасибо![/QUOTE]
Загрузил

[QUOTE]В странных местах бываете, товарищщ. Постоянно ловится Downloader во временных файлах Интернета. Надо внимательнее приглядеться к сайтам, куда ходите.[/QUOTE]
Downloader можно вычислить с какого сайта Интернета
он ко мне залетает на комп.
Каждый раз после посещения Интернета проверяться, таким образом
я сам могу вычислить, а по другому можно??

А из локальной сети предприятия может залетать
Логи делаются

Опять нашел Comand.com

Ура!!! Поймали драйвер от AVZ. ;)

Загрузили его аж 5 раз.
C:\WINDOWS\system32\cpadvai.dll --> Подозрение на троянскую DLL. Обнаружена маскировка реального имени DLL
C:\WINDOWS\system32\cpadvai.dll>>> Поведенческий анализ:
- Думается, это Крипто Про маскируется.

Будем считать, что комп чистый.
Можно попробовать поставить КИС от Касперского. Денек поработать, походить по своим обычным сайтам. Увидите, откуда троянчик залетает.

@Nick Golovko Пиво с меня.

Завтра если все будет хорошо складываться
заберу антивирус Касперского лицензию и буду ставить
проверюсь им еще.
По поводу Кприто-Про а такое возможно

Возможно.[quote]Модуль cpadvai.dll осуществляет загрузку DLL в пользовательское виртуальное
адресное пространство каждого процесса для установления перехватов функций
из advapi32.dll[/quote] - из документации по Крипто-Про.

[QUOTE]C:\WINDOWS\system32\cpadvai.dll [/QUOTE]
ладно с этим понятно Крпто-Про действительно стоит
и работаем на ней
Мне все еще непонятно откуда постоянно берется C:\WINDOWS\Temp\COMMAND.COM
и при каждой проверке попадает в Карантин

По всем проверкам это нормальный COMMAND.COM и AVZ просто не нравиться, что он лежит в неположенном месте.
Какое-то досовское приложение может его использовать. Искать надо там же в C:\WINDOWS\Temp\. А в общем-то, эта директория мусорная свалка. Следы м.б. от инсталляции программ под ДОС.

PavelA ОГРОМНОЕ Спасибо Вам,

а также Всем-Всем кто принимал помощь в лечении от зверей
моего компа:P :D
[QUOTE]@Nick Golovko Пиво с меня.[/QUOTE]
Так почему бы не выпить:good: