Не запускаются АнтиRootKit

Доброго времени суток.
На ноутбуке прктически с самого начала его эксплуатации не запускалась служба обновления Защитника.
Натолкнулся на ваш сайт и решил провериться описанными утилитами. Нашел подозрительные вещи, но в отсутсвии опыта не понял ничего. Но появились серьезные подозрения на RootKit.

Пробовал вчера запустить несколько программ разных производителей, предназначенных к нахождению и удалению RootKit и столкнулся с ситуацией, когда запускались только те, которые могут только сканировать комп. Но могущие лечить не запускались в принципе.
Сканировщики обнаружили много чего в драйверах и Реестре.

Логи AVZ и HiJackThis прилагаю.

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Users\05AC~1\AppData\Local\Temp\WOQYOC.exe','');
QuarantineFile('C:\Users\05AC~1\AppData\Local\Temp\HUZKQNLBT.exe','');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

Сделано.
Скрипты вополнил, файл прислал по ссылке.

[size="1"][color="#666686"][B][I]Добавлено через 6 часов 2 минуты[/I][/B][/color][/size]

Эта информация необходима?

Файл сохранён как 100929_113640_quarantine_4ca2ec88094f1.zip
Размер файла 847008
MD5 a5b36c64532f2f8e93a1078f9bb1aa35

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"]полного сканирования МВАМ[/URL]

Готово.

[B]C:\Users\Олег\AppData\Roaming\Thinstall\Adobe Dreamweaver CS3\800000fbe00002i\Dreamweaver.exe [/B] - Знаком Вам этот файл?

Прикол в том, что несколько дней назад я чистил комп и удалял весь Адоб и Дримвюер в том числе...

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

Кстати говоря, у этого файла весьма странная дата создания. Адоб я ставил гораздо раньше этой даты...

Похоже там что-то прописалось...

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Да и размер как мне кажется весьма маловат для реального Дримвьюеровского экзешника - всего 60 кБ.

Если не нужен - [URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]удалите[/URL] его в МВАМ и повторите лог.

Удалил. новый лог Мальвары в аттаче.

Чисто. Что с проблемой?

Защитник Виндовс (defender) так и не запускается... Выдает ошибку...
Может быть это изначальный баг системы?...

Сейчас посмотрю на системные требования АнтиРутКита, может он и не должен на Висте пускаться.. (Это меня сегодня в метро осенило)

Но сейчас у меня возник вопрос.

В логах Хайджека у меня вызывает подозрение три записи:
-----------------------------------
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Users\05AC~1\AppData\Local\Temp\RarSFX0\sp_rsser.exe
O23 - Service: WOQYOC - Sysinternals - www_точка_sysinternals_точка_com - C:\Users\05AC~1\AppData\Local\Temp\WOQYOC.exe
O23 - Service: YTF - Sysinternals - www_точка_sysinternals_точка_com - C:\Users\05AC~1\AppData\Local\Temp\YTF.exe
-----------------------------------

Подозрение на следующих основаниях:

Spyware Terminator - не помню, чтоб когда либо ставил на ноутбук. Но специально вчера пересмотрел Панель удаления программ и панель запуска программ. Нет ничего похожего...

www_точка_sysinternals_точка_com - очень странный сайт, тут же пытается перенаправить куда-то. Заходить не стал, пытался проверить онлайн сервисом (который второпях нашел по поиску) - сказали, что сайт вообще не доступен.

[QUOTE='Olejka;714198']www_точка_sysinternals_точка_com[/QUOTE] [URL="http://ru.wikipedia.org/wiki/Sysinternals"]http://ru.wikipedia.org/wiki/Sysinternals[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\Users\05AC~1\AppData\Local\Temp\RarSFX0\sp_rsse r.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine2.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine2.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

Со вторым подозрением разобрался... Там все чисто должно быть. Это как раз от того самого Антируткита для Виндовс...

С первым сейчас выполню ваши рекомендации.

[size="1"][color="#666686"][B][I]Добавлено через 18 минут[/I][/B][/color][/size]

Сделано.
Файл отправлен по ссылке.
------
ой, только я его переименновал в quarantine.zip...

[B]C:\Users\05AC~1\AppData\Local\Temp\RarSFX0\sp_rsse r.exe[/B] - судя по всему, этого файла в системе нет, осталась ссылка на него и она видна в логе HiJackThis, можно пофиксить, если хотите.

ОК.

Спасибо за помощь!

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Да, я так понял, что в первых двух файлах ничего зловредительского не обнаружено. Так?

Окончательный вердикт им не поставлен, но - по первым данным - чистые + имеют копирайты - [QUOTE]Copyright (C) 2005-2006 Bryce Cogswell and Mark Russinovich 1.70[/QUOTE]

Русинович - это как раз разработчик программ с сайта www_точка_sysinternals_точка_com...

Так что похоже, была ложная тревога...

Это видать паранойя обыкновенная... После того, как я на домашнем много чего нашел.
Как раз собираюсь в новой теме просить совета.

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

О-па. А C:\Users\05AC~1\AppData\Local\Temp\RarSFX0\sp_rsse r.exe в Хайджеке не фиксится.
говорит, что удалил. Но при повторном сканировании снова определяет...

Поищите так - программа АВЗ - Сервис - Поиск файлов на диске - Отметьте галкой место его расположения и в поле маска задайте sp_rsser.exe, если найдёте - отметьте галкой и скопируйте в карантин, карантин залейте по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

Файл найден, но вот не могу найти, куда карантин сохранился...
В каталоге АВЗ только два предыдущих.

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

Я его заархивировал стандартными средствами. Не знаю, верно ли сделал.

А может быть его в АВЗ попробовать и удалить? (Из режима поиска на диске)

Если он Вам не нужен, попробуйте грохнуть его отложенным удалением - Программа АВЗ - Файл - Отложенное удаление файла. После этого проверьте его наличие.

Удалился.
Я там поставил галочку, чтоб сохранить удаляемый файл в карантин, но опять не могу найти этот карантин...

Стандартными средствами, а так же АВЗ файл не обнаруживается.

В Хайджек строчка осталась, но в скобочках написано (file missing), т.е. отсутствует...

Этого я, честно говоря, не понял. Если нет файла, то зачем же эта строчка появляется. Я ее снова попробовал пофиксить, он а снова проявилась при повторном сканировании.

Дефендер (Защитник Виндовс) не запускается.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Прислать архив, что я сохранил ТоталКомандером?

Архив желательно запаролить, пароль должен быть [B]virus[/B] и архив zip. Тогда - присылайте.

Закачал zip с паролем.

Файл чистый.

Спасибо!

Видимо Дефендер изначально глючил в Висте. По крайней мере на моем ноутбуке...

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]