Подозрение на скрытую загрузку библиотек через AppInit_DLLs: "RemoveFocusRect.dll"

[franc]

В общем началось все с того, что касперский выдал сообщение:
Windows Logon User Interface Host MSCTF.dll Разрешено: Установка перехватчиков 26.08.2012 22:14:01
хотя я ему это не разрешал. Через несколько дней каспер заблокировал несколько сетевых атак с неизвестного порта. А при проверке авз увидел это сообщение - Подозрение на скрытую загрузку библиотек через AppInit_DLLs: "RemoveFocusRect.dll". В связи с чем, прошу Вас посмотреть логи, может увидите что-то подозрительное?

[Info_bot]

Уважаемый(ая) franc, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Nikkollo]

Выполните скрипт в AVZ (как выполнить):

begin
QuarantineFile('C:\Program.exe','');
 QuarantineFile('RemoveFocusRect.dll','');
 QuarantineFile('C:\Program Files\Winstep\WsxService','');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

[franc]

не сработало
Ошибка карантина файла, попытка прямого чтения (C:\Program.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\Program.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (RemoveFocusRect.dll)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (RemoveFocusRect.dll)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\Program Files\Winstep\WsxService)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\Program Files\Winstep\WsxService)
Карантин с использованием прямого чтения - ошибка
Создание архива с файлами из карантина
Создание архива с файлами из карантина завершено

[Techno]

Есть такие файлы?

C:\Program.exe
C:\Program Files\Winstep\WsxService

И поищите RemoveFocusRect.dll

[franc]

C:\Program.exe - нет такого файла
C:\Program Files\Winstep\WsxService - есть
RemoveFocusRect.dll не обнаружен

[Techno]

C:\Program Files\Winstep\WsxService - есть

Запакуйте в архив с паролем virus и загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Пофиксите в HijackThis:

O20 - AppInit_DLLs: RemoveFocusRect.dll
O23 - Service: Winstep Xtreme Service - Unknown owner - C:\Program.exe (file missing)

[franc]

сделано

[Techno]

Что с проблемами?

[franc]

ну АВЗ все еще жалуется на Подозрение на скрытую загрузку библиотек через AppInit_DLLs: "RemoveFocusRect.dll".
А сетевых атак зафиксировано не было

[Techno]

Запустите hijackthis от имени администратора и еще раз пофиксите:

O20 - AppInit_DLLs: RemoveFocusRect.dll
O23 - Service: Winstep Xtreme Service - Unknown owner - C:\Program.exe (file missing)

Повторите hijackthis

[franc]

все вроде помогло, спасибо большое!

[Techno]

Порядок.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения вредоносные программы в карантинах не обнаружены