Похоже на RootKit. Как избавиться

[alyen]

Что то странное творится с машиной. Сначала был непонятный трафик на внешние IP. Отловил вирус (DR.WEB-овской утилитой). Прогоняю AVZ - пишет про перехваченные функции.

При проверке файла klif.sys - все чисто. Ни одини из антивирусов не срабатывает.

[Макcим]

В логах чисто. klif.sys - это перехватчик Касперского... Можно было ввести название в любой поисковик.

[alyen]

Спасибо.
А правильно понял, что

Функция kernel32.dll:GetProcAddress (40 перехвачена, метод ProcAddressHijack.GetProcAddress ->7C80AC28->7C882FEC
Перехватчик kernel32.dll:GetProcAddress (40 нейтрализован
Функция kernel32.dlloadLibraryA (57 перехвачена, метод ProcAddressHijack.GetProcAddress ->7C801D77->7C882F9C
Перехватчик kernel32.dlloadLibraryA (57 нейтрализован
>>> Функции LoadLibraryA - прививка процесса AVZ от перехвата подменой адреса !!)
Функция kernel32.dlloadLibraryExA (579) перехвачена, метод ProcAddressHijack.GetProcAddress ->7C801D4F->7C882FB0
Перехватчик kernel32.dlloadLibraryExA (579) нейтрализован
>>> Функции LoadLibraryExA - прививка процесса AVZ от перехвата подменой адреса !!)
Функция kernel32.dlloadLibraryExW (580) перехвачена, метод ProcAddressHijack.GetProcAddress ->7C801AF1->7C882FD8
Перехватчик kernel32.dlloadLibraryExW (580) нейтрализован
Функция kernel32.dlloadLibraryW (581) перехвачена, метод ProcAddressHijack.GetProcAddress ->7C80ACD3->7C882FC4
Перехватчик kernel32.dlloadLibraryW (581) нейтрализован
Детектирована модификация IAT: LoadLibraryA - 7C882F9C<>7C801D77
Адрес в IAT восстановлен: LoadLibraryA
Детектирована модификация IAT: GetProcAddress - 7C882FEC<>7C80AC28
Адрес в IAT восстановлен: GetProcAddress

И

>>> Внимание, таблица KiST перемещена ! (804E2D20(284)->85018B58(297))
Функция NtClose (19) перехвачена (805675D9->EED11810), перехватчик C:\WINDOWS\system32\drivers\klif.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtCreateKey (29) перехвачена (8056F063->EED043C0), перехватчик C:\WINDOWS\system32\drivers\klif.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtCreateProcess (2F) перехвачена (805B3543->EED11520), перехватчик C:\WINDOWS\system32\drivers\klif.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtCreateProcessEx (30) перехвачена (805885D3->EED116A0), перехватчик C:\WINDOWS\system32\drivers\klif.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtCreateSection (32) перехвачена (80564B1B->EED12120), перехватчик C:\WINDOWS\system32\drivers\klif.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtCreateSymbolicLinkObject (34) перехвачена (805A27B0->EED11D90), перехватчик C:\WINDOWS\system32\drivers\klif.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtCreateThread (35) перехвачена (8057F262->EED12A80), перехватчик C:\WINDOWS\system32\drivers\klif.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtDeleteKey (3F) перехвачена (8059D6BD->EED044E0), перехватчик C:\WINDOWS\system32\drivers\klif.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован

Это нормально ?

[Макcим]

Нормально.