Есть подозрение на бэкдор

**Auren** · 23.01.2008, 23:28

Недавно по глупости запустил троянец в виде .scr-файла. Хотя антивирус и файрволл не выдавали никаких предупреждений, сегодня в корне диска C Outpost обнаружил spyware.
Пожалуйста, просмотрите логи, нет ли чего подозрительного?

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**drongo** · 23.01.2008, 23:34

spmq.sys- по второму приложению правил поискать и нам прислать- скорее всего руткит

WinPcap- сами ставили ? обычно зловреды тоже пользуются его услугами

**Auren** · 23.01.2008, 23:57

Сообщение от drongo

spmq.sys- по второму приложению правил поискать и нам прислать- скорее всего руткит

WinPcap- сами ставили ? обычно зловреды тоже пользуются его услугами

Первый драйвер постоянно меняет свое имя. И в списке модулей пространства ядра у него не указан путь.
При попытке добавить его в карантин по текущему имени (spwr.sys), AVZ пишет ошибки:

Код:

Ошибка карантина файла, попытка прямого чтения (spwr.sys)
 Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\spwr.sys)
 Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\spwr.sys)
 Карантин с использованием прямого чтения - ошибка

WinPcap ставил сам, нужен для сетевого сниффера.

UPD: Снял дамп памяти с этого драйвера и загрузил по ссылке в шапке темы. Все, что смог сделать...

**pig** · 24.01.2008, 02:20

Стоят Daemon Tools, а там в комплекте наш любимый sptd.sys.

**Auren** · 24.01.2008, 13:46

Значит система чистая? Ничего, кроме этого файла, подозрительного нет?

**Макcим** · 24.01.2008, 13:59

Выполните скрипт в AVZ

Код:

begin
 QuarantineFile('C:\WINDOWS\system32\Filt\ASWFilt.dll','');
end.

Загрузите карантин согласно приложению №3 правил.

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".