Перехватчик sptd.sys это зловредно?

Прочитал архивы, факи и правила, сделал всё, что надо и возник вот такой вот вопрос. Какой-то перехватчик AVZ регулярно выгребает. Вот кусок из лога:

************
Функция NtCreateKey (29) перехвачена (80579528->F843E0B0), перехватчик C:\WINDOWS\system32\Drivers\sptd.sys
Функция NtEnumerateKey (47) перехвачена (8057A69E->F844384C), перехватчик C:\WINDOWS\system32\Drivers\sptd.sys
Функция NtEnumerateValueKey (49) перехвачена (80590C93->F8443BEC), перехватчик C:\WINDOWS\system32\Drivers\sptd.sys
Функция NtOpenKey (77) перехвачена (80573F1D->F843E090), перехватчик C:\WINDOWS\system32\Drivers\sptd.sys
Функция NtQueryKey (A0) перехвачена (8057A29E->F8443CC4), перехватчик C:\WINDOWS\system32\Drivers\sptd.sys
Функция NtQueryValueKey (B1) перехвачена (80574361->F8443B44), перехватчик C:\WINDOWS\system32\Drivers\sptd.sys
Функция NtSetValueKey (F7) перехвачена (80584921->F8443D56), перехватчик C:\WINDOWS\system32\Drivers\sptd.sys
Проверено функций: 284, перехвачено: 7, восстановлено: 0
***********************
Это нормально или вирус?
Посмотрите вообще, логи на предмет угроз, а то я полный чайник.
Ещё у меня диски не открываются щелчком, только через правую кнопку "открыть". Это нормальный результат работы AVZ? Как восстановить?

Не могу выложить virusinfo_syscure.zip. Форум говорит:
virusinfo_syscure.zip:
Ваш файл занимает 1.65 Мбайт байт, что превышает предел на форуме в 488.3 Кбайт для этого типа файла.


С уважением,

Сергеич

Не хватает одного лога. Перечитайте правила.

Не могу выложить virusinfo_syscure.zip. Форум говорит:
virusinfo_syscure.zip:
Ваш файл занимает 1.65 Мбайт байт, что превышает предел на форуме в 488.3 Кбайт для этого типа файла.

[quote=Сергеич;107682]Не могу выложить virusinfo_syscure.zip. Форум говорит:
virusinfo_syscure.zip:
Ваш файл занимает 1.65 Мбайт байт, что превышает предел на форуме в 488.3 Кбайт для этого типа файла.[/quote]Не может такого быть. Возможно Вы пытаетесь загрузить[B] virusinfo_cure.zip[/B]

Может. Если это файл пополняемый... Я прежде чем процедуру по правилам пройти погонял AVZ в разных режимах. Вот, поди, и от этого и потяжелел файл.

Что сделать?

Делать логи надо по Правилам, не меняя настроек.
А файл этот не пополняемый, он каждый раз создается заново.


[quote]Перехватчик sptd.sys это зловредно?[/quote]
Нет если у вас есть Alcohol 120% или Demon Tools.
[quote]Ещё у меня диски не открываются щелчком, только через правую кнопку "открыть". Это нормальный результат работы AVZ? Как восстановить?
[/quote]
[url]http://virusinfo.info/showthread.php?t=8877[/url]

sptd.sys - это драйвер от Daemon Tools

Простите глупого. Вот, вроде логи получились нормального веса. Посмотрите, пожалуйста.


Alcohol 120% у меня действительно есть. Вернее был. Я его грохнул и повторил пункты правил сначала. Demon Tools это вот этот вот файл: cidaemon.exe? А он за что отвечает? Его грохнуть нельзя? Или не нужно?

По поводу того, что у меня диск не открываются. Когда два раза щёлкаю, то комп просит выбрать программу для открытия файла из списка, ну и даёт менюшку. Правой кнопкой через "открыть" открывается нормально. То, что было посоветовано в теме [URL="http://virusinfo.info/showthread.php?t=8877"]http://virusinfo.info/showthread.php?t=8877[/URL] я сделал. Автораны побил, ключ систем32 у меня в порядке, а тот второй, который указан в приведённой теме, у меня отсутствует. Посоветуйте, пожалуйста, что сделать?

Искать autorun.* через AVZ на всех сменных носителях : флэшках, дисках, флэшки от фото, мобильников. Также если есть в расшаренных директориях от соседних компьютеров.

Есть на флэшке, но не в корневом каталоге, а аж в третьей папке. Оно?

Вот, AVZ дало:
Поиск файлов по маске autorun.*
C:\Drivers\Sound\Cmedia\CMI9880L\SI\AUTORUN.INF
C:\Drivers\Sound\Cmedia\CMI9880L\SI\Autorun.ico
C:\Drivers\Sound\Cmedia\CMI9880L\Channel\AUTORUN.INF
C:\Drivers\Sound\Cmedia\CMI9880L\Channel\Autorun.ico
C:\Drivers\lan\intel\Autorun.exe
C:\Drivers\lan\intel\Autorun.inf
C:\Drivers\lan\intel\Autorun.ini
C:\Drivers\lan\dlink\dfe538tx_driver_200\autorun.exe
C:\Drivers\lan\dlink\dfe538tx_driver_200\autorun.inf
C:\Drivers\lan\WIFI\AUTORUN.INF
C:\Temp\Off2kRUS\AUTORUN.INF
D:\Archives\NAVCORP\AUTORUN.INF

[QUOTE]а тот второй, который указан в приведённой теме, у меня отсутствует. [/QUOTE]
Это вы про MountPoints2 ? Не может он отсутствовать, плохо искали!
Если все остальное действительно чисто, то после его удаления все будет ОК.

[QUOTE]Поиск файлов по маске autorun.*[/QUOTE]
Перечисленные вами файлы не трогайте, они к вирусу не относятся.

И вправду... MountPoints2 нашёл..., грохнул. Всё работает. СПАСИБО!!!

А с перехватчиком в sptd.sys как быть? Demon Tools это вот этот вот файл: cidaemon.exe? А он за что отвечает? Его грохнуть нельзя? Или не нужно?

[QUOTE=Сергеич;108322]И вправду... MountPoints2 нашёл..., грохнул. Всё работает. СПАСИБО!!!

А с перехватчиком в sptd.sys как быть? Demon Tools это вот этот вот файл: cidaemon.exe? А он за что отвечает? Его грохнуть нельзя? Или не нужно?[/QUOTE]
cidaemon.exe - это не компонента Daemon Tools, это файлик сервиса индексирования от Microsoft, и убивать его не нужно. Что касается вашего перехватчика sptd.sys (компоненты Daemon Tools и некоторых других утилит), то при необходимости вы можете удалить его, воспользовашись вот этим FAQ: [URL="http://www.duplexsecure.com/en/faq"]FAQ[/URL]. Если что-то не понятно (там English), пишите сюда...

Я по англицки не понимайт... (((

[quote=Сергеич;108461]Я по англицки не понимайт... ((([/quote]
как в Ералаше : Это есть плёхо, оцень плёхо ;)

Вот машинный перевод, лучше чем ничего ;)
[url]http://translate.google.com/translate?hl=ru&sl=en&u=http://www.duplexsecure.com/en/faq&sa=X&oi=translate&resnum=1&ct=result&prev=/search%3Fq%3Dhttp://www.duplexsecure.com/en/faq%26hl%3Dru%26client%3Dfirefox-a%26rls%3Dorg.mozilla:ru:official%26hs%3DR5J[/url]

[QUOTE=drongo;108465]Вот машинный перевод, лучше чем ничего ;)
...
[/QUOTE]
Перевод вполне сносный, только пара уточнений:
1) прочитайте раздел "[I]Q: Как я могу удалить драйвер SPTD для 32-разрядных ОС?[/I]";
2) далее просто скачайте exe-файл [URL="http://www.duplexsecure.com/download/SPTDinst-v143-x86.exe"]SPTDinst-v143-x86.exe[/URL], запустите его и нажмите кнопку "Uninstall".

Машинный перевод технического текста... Для меня это что переводили, что нет.. ))))

Посмотрите логи, пожалуйста. Я их выше выкладывал. Нет ничего опасного?

[QUOTE=Сергеич;109028]Машинный перевод технического текста... Для меня это что переводили, что нет.. ))))[/QUOTE]
Да, собственно, читать (переводить) там особо и нечего. Мой совет прочитать раздел "[I]Q: Как я могу удалить драйвер SPTD для 32-разрядных ОС?[/I]" - это так, для общего развития, можно его и не читать. Достаточно было скачать файл SPTDinst-v143-x86.exe (по ссылке, указанной выше), запустить его на выполнение и нажать кнопку "Uninstall", после чего драйвер sptd.sys должен удалиться из вашей конфигурации. В этом действии нет ничего опасного, так что можете спокойно проделать его. Если в дальнейшем вам понадобится DT, вы поставите его как и в прошлый раз, т.е. самым обычным образом.

[QUOTE=Сергеич;109028]Посмотрите логи, пожалуйста. Я их выше выкладывал. Нет ничего опасного?[/QUOTE]
Хелперы их уже смотрели, так что нет смысла смотреть повторно. Если хотите, выложите сюда свежие логи, чтобы окончательно убедиться в том, что сейчас все ОК.

Вот, выкладываю свежие логи. Посмотрите пожалуйста на предмет заразы.

У меня ещё в свойствах папки виндоуз не включается просмотр системных и скрытых файлов. Галочку ставлю, а файлы не вижу. Когда ещё раз свойства папки открываю - галочки уже нет. Говорят это может быть вирус или его последствия. Как исправить этот глюк?

[QUOTE]в свойствах папки виндоуз не включается просмотр системных и скрытых файлов.[/QUOTE]
Попробуйте в AVZ:
Файл - Восстановление системы - отметить п.6 и 8 - Выполнить.

Не помогло (((
Что ещё попробовать?

А перегрузились после этого ? Если нет, то надо ;)Если не поможет , то не знаю другого средства кроме формата ;(

Перезагрузился. Не помогает. Может вирус ещё остался? Посмотрите логи пожалуйста.

Sotov на форуме forum.kaspersky.com писал:
[quote]Так же вирус внедряет троян в систему и правит реестр, делая невозможным отображение скрытых файлов. При этом он не просто изменяет значение ключа
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden"=dword:00000001
и
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001
но меняет и тип ключа с "Параметр DWORD" на "Строковый параметр"
делая невозможным его редактирование стандартными средствами и блокируя изменения через "Сервис\Свойства папки\Вид".

Лечение:
В regedit удаляем неправельные ключи типа "Строковый параметр"
"Hidden"=0
"CheckedValue"=0
и создаём новые типа "Параметр DWORD"
"Hidden"=dword:00000001
"CheckedValue"=dword:00000001
в приведённых выше ветках.
[/quote]

[QUOTE]ри этом он не просто изменяет значение ключа
[HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced]
"Hidden"=dword:00000001[/QUOTE] Вот это вот как раз у меня было: "Hidden"=dword:0000000[B]2[/B] Я поправил на "Hidden"=dword:0000000[B]1[/B] и всё прошло. Системные файлы теперь видны.

[QUOTE]но меняет и тип ключа с "Параметр DWORD" на "Строковый параметр"[/QUOTE] А вот этого не было. Текущий тип ключа REG_DWORD.

Эх! Файлы видны, да вот в настройках папки всё-равно галочка не встаёт на показывать системные файлы. (((

А CheckedValue хорошо проверили? Imho, он за галку отвечат.

Блин, всё как по написанному. Первый раз посмотрел реестр, тип бы DWORD, но значение 2. Поменял значение 2 на 1 (правильное), нажал на f5, и тут прям на глазах поменялся тип на строковый. Я поубивал эти реестры, создал правильные. Нажал на f5. И тут бац - значение с 1 поменялось на 2, а тип остался DWORD. Посмотрел восстановление системы - а оно у меня включено, хотя я выключал. Отключил. Снова удалил реестры. Теперь и в "Hidden"=dword:00000001 и в "CheckedValue"=dword:00000001. Тип DWORD. Вроде файлы видны. Щас перезагружусь и посмотрю ещё раз.

Слава Богу всё в порядке. Системные файлы видны. Ключи не меняются.

А вот у меня ещё такая проблема. Когда хочу выключить или перезагрузить комп через пуск, то с первого раза выключение/перезагрузка не происходят. А вот если ещё раз ткнуть через пуск, то тогда всё и срабатывает. Может это тоже реестры побиты? Подскажите, пожалуйста.