1. Поиск RootKit и программ, перехватывающих функции API
1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .rdata
Функция kernel32.dll:ReadConsoleInputExA (1115) перехвачена, метод ProcAddressHijack.GetProcAddress ->750EABF1->74E92C10
Функция kernel32.dll:ReadConsoleInputExW (1116) перехвачена, метод ProcAddressHijack.GetProcAddress ->750EAC24->74E92C40
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Функция ntdll.dll:NtCreateEvent (269) перехвачена, метод APICodeHijack.JmpTo[6DAB2C96]
Функция ntdll.dll:NtCreateFile (271) перехвачена, метод ProcAddressHijack.GetProcAddress ->77B4EB20->6F9E3260
Функция ntdll.dll:NtCreateMutant (281) перехвачена, метод APICodeHijack.JmpTo[6DAB2F26]
Функция ntdll.dll:NtCreateSemaphore (294) перехвачена, метод APICodeHijack.JmpTo[6DAB31B6]
Функция ntdll.dll:NtCreateUserProcess (304) перехвачена, метод APICodeHijack.JmpTo[6DAB3446]
Функция ntdll.dll:NtMapViewOfSection (393) перехвачена, метод APICodeHijack.JmpTo[6DAB29E6]
Функция ntdll.dll:NtOpenEvent (402) перехвачена, метод APICodeHijack.JmpTo[6DAB2DE6]
Функция ntdll.dll:NtOpenMutant (412) перехвачена, метод APICodeHijack.JmpTo[6DAB3076]
Функция ntdll.dll:NtOpenSemaphore (422) перехвачена, метод APICodeHijack.JmpTo[6DAB3306]
Функция ntdll.dll:NtQueryInformationProcess (461) перехвачена, метод APICodeHijack.JmpTo[6DAB3666]
Функция ntdll.dll:NtResumeThread (534) перехвачена, метод APICodeHijack.JmpTo[6DAB2B86]
Функция ntdll.dll:NtSetInformationFile (564) перехвачена, метод ProcAddressHijack.GetProcAddress ->77B4E840->6F9E3680
Функция ntdll.dll:NtSetValueKey (596) перехвачена, метод ProcAddressHijack.GetProcAddress ->77B4EBD0->6FA16B90
Функция ntdll.dll:NtWriteVirtualMemory (662) перехвачена, метод APICodeHijack.JmpTo[6DAB2876]
Функция ntdll.dll:RtlDecompressBuffer (852) перехвачена, метод APICodeHijack.JmpTo[6DAB34F6]
Функция ntdll.dll:RtlQueryEnvironmentVariable (1241) перехвачена, метод APICodeHijack.JmpTo[6DAB35D6]
Функция ntdll.dllwCreateEvent (1731) перехвачена, метод APICodeHijack.JmpTo[6DAB2C96]
Функция ntdll.dllwCreateFile (1733) перехвачена, метод ProcAddressHijack.GetProcAddress ->77B4EB20->6F9E3260
Функция ntdll.dllwCreateMutant (1743) перехвачена, метод APICodeHijack.JmpTo[6DAB2F26]
Функция ntdll.dllwCreateSemaphore (1756) перехвачена, метод APICodeHijack.JmpTo[6DAB31B6]
Функция ntdll.dllwCreateUserProcess (1766) перехвачена, метод APICodeHijack.JmpTo[6DAB3446]
Функция ntdll.dllwMapViewOfSection (1853) перехвачена, метод APICodeHijack.JmpTo[6DAB29E6]
Функция ntdll.dllwOpenEvent (1862) перехвачена, метод APICodeHijack.JmpTo[6DAB2DE6]
Функция ntdll.dllwOpenMutant (1872) перехвачена, метод APICodeHijack.JmpTo[6DAB3076]
Функция ntdll.dllwOpenSemaphore (1882) перехвачена, метод APICodeHijack.JmpTo[6DAB3306]
Функция ntdll.dllwQueryInformationProcess (1921) перехвачена, метод APICodeHijack.JmpTo[6DAB3666]
Функция ntdll.dllwResumeThread (1994) перехвачена, метод APICodeHijack.JmpTo[6DAB2B86]
Функция ntdll.dllwSetInformationFile (2024) перехвачена, метод ProcAddressHijack.GetProcAddress ->77B4E840->6F9E3680
Функция ntdll.dllwSetValueKey (2056) перехвачена, метод ProcAddressHijack.GetProcAddress ->77B4EBD0->6FA16B90
Функция ntdll.dllwWriteVirtualMemory (2122) перехвачена, метод APICodeHijack.JmpTo[6DAB2876]
Анализ user32.dll, таблица экспорта найдена в секции .text
Функция user32.dll:CallNextHookEx (1534) перехвачена, метод ProcAddressHijack.GetProcAddress ->76E17CF0->6F9E2FE0
Функция user32.dll:ChangeDisplaySettingsExW (1543) перехвачена, метод APICodeHijack.JmpTo[6F553726]
Функция user32.dll:CreateWindowExW (1624) перехвачена, метод APICodeHijack.JmpTo[6F5539A6]
Функция user32.dllisplayConfigGetDeviceInfo (1694) перехвачена, метод APICodeHijack.JmpTo[6F554756]
Функция user32.dll:EnumDisplayDevicesA (1754) перехвачена, метод APICodeHijack.JmpTo[6F554786]
Функция user32.dll:EnumDisplayDevicesW (1755) перехвачена, метод APICodeHijack.JmpTo[6F5547E6]
Функция user32.dll:SetWindowsHookExW (2351) перехвачена, метод ProcAddressHijack.GetProcAddress ->76E1AB00->6FA16C10
Функция user32.dll:Wow64Transition (1503) перехвачена, метод CodeHijack (метод не определен)
Анализ advapi32.dll, таблица экспорта найдена в секции .text
Функция advapi32.dll:CveEventWrite (1233) перехвачена, метод ProcAddressHijack.GetProcAddress ->75032F22->74EAFCA0
Функция advapi32.dll:I_ScRegisterPreshutdownRestart (1386) перехвачена, метод ProcAddressHijack.GetProcAddress ->75033E49->7461AD30
Анализ ws2_32.dll, таблица экспорта найдена в секции .text
Анализ wininet.dll, таблица экспорта найдена в секции .text
Анализ rasapi32.dll, таблица экспорта найдена в секции .text
Анализ urlmon.dll, таблица экспорта найдена в секции .text
Анализ netapi32.dll, таблица экспорта найдена в секции .text
Функция netapi32.dll:NetFreeAadJoinInformation (130) перехвачена, метод ProcAddressHijack.GetProcAddress ->72C4C40A->6BC60B20
Функция netapi32.dll:NetGetAadJoinInformation (131) перехвачена, метод ProcAddressHijack.GetProcAddress ->72C4C439->6BC60E90
1.4 Поиск маскировки процессов и драйверов
Проверка не производится, так как не установлен драйвер мониторинга AVZPM
Вот что пишет антивирус.
Будь в курсе!Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
Уважаемый(ая) d_koresh, спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.
Информация
Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru: