Очень долго открывается проводник...

[scuttler]

Всем доброго времени суток!
Такая проблема. Win2003 server sp2, очень долго открывается проводник. В таскменеджере в это время никаких подозрительныных тормозов. Происходит так: запуск эксплорера - окно не прорисовывается, внизу, в таскбаре подвисает квикланч, не работает переключение программ(альт-таб работает). По раб. столу в это время можно таскать ярлыки-окна, без тормозов. Потом, секунд через 30 всреднем появляется окно проводника (мгновенно отрисовывается), таскбар отлипает. Никак не могу побороть.
АВЗ показывает кучу скрытых процессов, побороть их не удалось.
И ещё маленький вопрос, я айссвордом обнакурил в режиме ядра что
активен IsDrv122.sys На диске его ессно не видно, пробовал восстанавливать то, что он перехватывает - не помогает.

Логи прикрепил, всем заранее огромное спасибо!

[Bratez]

Выполните скрипт в AVZ:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\Drivers\IsDrv122.sys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин согласно приложению 3 правил.

Папку C:\Documents and Settings\Artyom\Local Settings\Temp
рекомендуется очистить полностью.

[scuttler]

Temp почистил, скрипт выполнил - карантин пустой....

[Bratez]

Нда, странный файлик, даже google о нем ничего не знает!

пробовал восстанавливать то, что он перехватывает

А что он перехватывает?

[scuttler]

В google крайне мало о нем инфы...
Где-то пишут, что это Win32.Almanahe, но там в паре к нему должен быть cdralw.sys (его не нашел) и в реестре где-то он должен прописываться (типа shell = explorer.exe, cdravl.exe), но у меня ничего такого нету.

Icesword Scan - Module hooks.
NtOpenProcess, CreateThread, CreateProcessEx, TerminateProcess, TerminateThread.
Если восстановить, пишет что удачно, но при повторном сканировании всё на месте.

Меня очень смущает огромное кол-во маскированных процессов в АВЗ, с этим как-то можно побороться?

Udp:
Поискал через авз по имени, нашел вот тут:
\Temporary Internet Files\Content.IE5\0X6TIFW5\isdrv122.sys[1].htm
файл успешно поместелся в карантин, выслать?

[Bratez]

Перечитал первый пост...

...айссвордом обнакурил в режиме ядра что активен IsDrv122.sys...

А это часом не IceSword'овский ли драйверок?

Меня очень смущает огромное кол-во маскированных процессов в АВЗ, с этим как-то можно побороться?

Трудно сказать. На серверных ОС логи AVZ получаются не совсем адекватно.
Мне думается, это не связано с вредоносными программами.

Добавлено через 1 минуту

isdrv122.sys[1].htm - похоже, страничка, где вы о нем читали. Впрочем, пришлите, всяко бывает.

[scuttler]

Перечитал первый пост...
А это часом не IceSword'овский ли драйверок?

Очень даже может быть)
Я uziyodg1.sys ещё подозревал, но оказалось, что это драйвер AVZ)))

Про файл в Temporary Internet Files вы угадали на 100%, посмотрел его проводником - это страничка на которой я искал эту гадость

Сейчас сделал эксперемент, переименовал эксплорер в 1.com и запустил. Сначала теже тормоза, со 2го раза открылся влёт и обычный и переименованный. Скорее всего, конечно совпадение.

Вобщем, скорее всего не вирус это, а кривизна какая-то.
В любом случае, огромное спасибо за помощь!