Внимание !! Хрень ... Нашел, а удалить не может ???
3. Сканирование дисков
4. Проверка Winsock Layered Service Provider (SPI/LSP)
Настройки LSP проверены. Ошибок не обнаружено
5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
C:\WINNT\system32\mfaphook.dll --> Подозрение на Keylogger или троянскую DLL
C:\WINNT\system32\mfaphook.dll>>> Нейросеть: файл с вероятностью 0.86% похож на типовой перехватчик событий клавиатуры/мыши
C:\WINNT\system32\tzhook.dll --> Подозрение на Keylogger или троянскую DLL
C:\WINNT\system32\tzhook.dll>>> Нейросеть: файл с вероятностью 0.56% похож на типовой перехватчик событий клавиатуры/мыши
C:\WINNT\system32\cdmprov.dll --> Подозрение на Keylogger или троянскую DLL
C:\WINNT\system32\cdmprov.dll>>> Нейросеть: файл с вероятностью 0.61% похож на типовой перехватчик событий клавиатуры/мыши
C:\WINNT\system32\CTXRPC.dll --> Подозрение на Keylogger или троянскую DLL
C:\WINNT\system32\CTXRPC.dll>>> Нейросеть: файл с вероятностью 0.78% похож на типовой перехватчик событий клавиатуры/мыши
C:\WINNT\system32\msze32.dll --> Подозрение на Keylogger или троянскую DLL
C:\WINNT\system32\msze32.dll>>> Нейросеть: файл с вероятностью 0.56% похож на типовой перехватчик событий клавиатуры/мыши
На заметку: Заподозренные файлы НЕ следует удалять, их следует прислать для анализа (подробности в FAQ), т.к. существует множество полезных DLL-перехватчиков
6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
В базе 319 описаний портов
На данном ПК открыто 471 TCP портов и 142 UDP портов
Проверка завершена, подозрительные порты не обнаружены
7. Эвристичеcкая проверка системы
>>> C:\WINNT\system32\iexplore.exe ЭПС: подозрение на Файл с подозрительным именем (высокая степень вероятности)
Проверка завершена
Просканировано файлов: 92954, извлечено из архивов: 78684, найдено вредоносных программ 0
Сканирование завершено в 21.03.2006 12:56:55
Сканирование длилось 00:58:43
Отложенное удаление файла C:\WINNT\system32\msze32.dll
Файл C:\WINNT\system32\msze32.dll не найден
Будь в курсе!Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
Похоже руткит, придется всех гнать с терминалов и воевать с консоли.
Качаете обновление к AVZ вот из этого сообщения http://virusinfo.info/showpost.php?p=67342&postcount=51 и распаковываете в каталог с AVZ.
запускаете avz.exe ag=y (через пуск -> выполнить, выбираете avz.exe в конце строки через пробел дописываете ag=y ) идёте в Сервис->Диспечер автозагрузки и снимаете галку напротив "d:\windows\system32\msze32.dll ... " если сработает "удалить", вообще удаляете эту запись.Закрываете AVZ оставляя включенным Guard
Перезагружаетесь.
Стираете D:\WINDOWS\System32\msze32.dll
Перед этим пришлите нам копию msze32.dll, как написано в правилах.
и C:\WINNT\system32\iexplore.exe пришлите тоже, скорее всего троян.
Последний раз редактировалось RiC; 21.03.2006 в 13:04.
Удаляю , смотрю нет строчки в автозапуске !!! Перезагружаю ... опять есть !!!! Кстати ... минуты через 2 срабатывает уже блок на открытие программы AVZ... пишет отказанно в доступе , хотя в окне как процесс указан explorer.exe !! ужас !!
Хочу спросить у маститых модеров, что такое этот руткит ? Его побочные действия ощутил на собственной шкуре
Руткит - это зловред, модифицирующий работу операционной системы для решения своих целей. Подробности - см. http://z-oleg.com/secur/rootkit.htm
Судя по имени DLL мы имеет дело с червяком Feebs (он узнает AVZ и убивает его, маскируется по руткит-технологии). Полный алгоритм лечения:
1. Перезагрузиться (естественно, в вечернее время, когда юзеров на сервере не будет)
2. Запустить AVZ с параметром ag=Y (avz.exe ag=y)
3. Пролечить систему с включенным антируткитом (это важно, в логе должна быть информация о нейтрализации кучи перехватов UserMode)
4. Стереть через отложенное удаление AVZ
D:\WINDOWS\System32\msze32.dll
C:\WINNT\system32\iexplore.exe (перед удаление сделать его копию и прислать нам)
5. Из AVZ выполнить поиск на системном диске файлов, созданных за последние 2 дня, размером от 40 до 70 кб, исключая опознанные как безопасные и системные. Что найдется - прислать нам на анализ
6. Не выходя из AVZ и не выключая AVZGuard перезагрузиться
все эти шаги естественно делать с консоли, а не через терминалку
2 Олег ЗайТцев
Кстати, это из за этого - пока я не переименовал папку и файлс c AVZ на ZVA прога даже запускатся не хотела ?
Да из-за этого, троян детектит в списке процессов avz.exe и убивает его. Кстати не только его список прикрываемых у этого трояна очень длинный.
Да собственно описание зверя есть в соседнем топике - http://virusinfo.info/showthread.php?t=4479
Парни !!! Спасибо Вам всем за хелпы !!! Особенно RiC !!! Теперь я подкован и сегодня вечером задушу "зверя" !! А завтра скажу результат ...
но веть еще прога выдала подозрения помимо msze32.dll
5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
C:\WINNT\system32\mfaphook.dll --> Подозрение на Keylogger или троянскую DLL
C:\WINNT\system32\mfaphook.dll>>> Нейросеть: файл с вероятностью 0.86% похож на типовой перехватчик событий клавиатуры/мыши
C:\WINNT\system32\tzhook.dll --> Подозрение на Keylogger или троянскую DLL
C:\WINNT\system32\tzhook.dll>>> Нейросеть: файл с вероятностью 0.56% похож на типовой перехватчик событий клавиатуры/мыши
C:\WINNT\system32\cdmprov.dll --> Подозрение на Keylogger или троянскую DLL
C:\WINNT\system32\cdmprov.dll>>> Нейросеть: файл с вероятностью 0.61% похож на типовой перехватчик событий клавиатуры/мыши
C:\WINNT\system32\CTXRPC.dll --> Подозрение на Keylogger или троянскую DLL
C:\WINNT\system32\CTXRPC.dll>>> Нейросеть: файл с вероятностью 0.78% похож на типовой перехватчик событий клавиатуры/мыши
C:\WINNT\system32\msze32.dll --> Подозрение на Keylogger или троянскую DLL
C:\WINNT\system32\msze32.dll>>> Нейросеть: файл с вероятностью 0.56% похож на типовой перехватчик событий клавиатуры/мыши
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
Сообщение от Ламер_Большой
