ntdll.dll user32.dll cssdll32.dll Подозрение на Keylogger или троянскую DLL

[koala-mur]

Анализ ntdll.dll, таблица экспорта найдена в секции .text
Функция ntdll.dll:NtClose (111) перехвачена, метод APICodeHijack.JmpTo[00395056]
>>> Код руткита в функции NtClose нейтрализован
Анализ user32.dll, таблица экспорта найдена в секции .text
Функция user32.dll:EndTask (202) перехвачена, метод APICodeHijack.JmpTo[00394C26]
>>> Код руткита в функции EndTask нейтрализован
Функция user32.dll:keybd_event (727) перехвачена, метод APICodeHijack.JmpTo[00391546]
>>> Код руткита в функции keybd_event нейтрализован
Функция user32.dll:mouse_event (728 ) перехвачена, метод APICodeHijack.JmpTo[003916C6]
>>> Код руткита в функции mouse_event нейтрализован

Подозрение на скрытую загрузку библиотек через AppInit_DLLs: "C:\WINDOWS\system32\cssdll32.dll C:\WINDOWS\system32\guard32.dll
Также исчезли значки из Панели "Сетевые подключения" и служба Windows Installer перестала работать

...

[Rene-gad]

Внимание !!! База поcледний раз обновлялась 02.08.2008 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)

C:\WINDOWS\system32\guard32.dll - от Comodo. Поэтому желательно на время лечения отключить и файрвол.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{F0D4B239-DA4B-4daf-81E4-DFEE4931A4AA}');
 DelBHO('{F0D4B231-DA4B-4daf-81E4-DFEE4931A4AA}');
 QuarantineFile('C:\Program Files\Comodo\Firewall\s1.tmp','');
 QuarantineFile('C:\WINDOWS\system32\cssdll32.dll','');
 DeleteFile('C:\WINDOWS\system32\cssdll32.dll');
 DeleteFile('C:\Program Files\AskSBar\bar\1.bin\ASKSBAR.DLL');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[koala-mur]

...

[Rene-gad]

Почистили Ваш ПК.
Про Сервис Пак 3 Вам уже наверняка говорили

[koala-mur]

Чего глюков много?
У меня стоит сп3

[Rene-gad]

Чего глюков много?

Что Вы имеете ввиду?

[koala-mur]

Я Вас не понимаю - мне этот пакет не стоило было устанавливать? Или я поставил не то - и не в том направлении я думаю вообще? Поконкретнее пожаласта

[Rene-gad]

У меня стоит сп3

Не стоит:

Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Версия Windows: 5.1.2600, Service Pack 2 ; AVZ работает с правами администратора

Так уже конкретнее?

[koala-mur]

ыыЙЙЙЙ

Или я поставил не то

Расслабился Просто у меня система стоит давно уже, но проблем таких небыло Скачал этот "сп3" с внутренневки - не проконтролировал - спасибо тебе (вам) большое Ну и эксплорер пора бы обновить

[koala-mur]

Уважаемые, поставил сп3, но ничего не изменилось - добавились еще пара подозрений на... (nod тоже одну подозревает)

[Rene-gad]

Ничего подозрительного. На что НОД ругается? Может он с КОМОДОм не дружит?

[koala-mur]

Просто появление данной вещи:
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Функция ntdll.dll:NtClose (111) перехвачена, метод APICodeHijack.JmpTo[00395056]
>>> Код руткита в функции NtClose нейтрализован
Анализ user32.dll, таблица экспорта найдена в секции .text
Функция user32.dll:EndTask (202) перехвачена, метод APICodeHijack.JmpTo[00394C26]
>>> Код руткита в функции EndTask нейтрализован
Функция user32.dll:keybd_event (727) перехвачена, метод APICodeHijack.JmpTo[00391546]
>>> Код руткита в функции keybd_event нейтрализован
Функция user32.dll:mouse_event (728 ) перехвачена, метод APICodeHijack.JmpTo[003916C6]
>>> Код руткита в функции mouse_event нейтрализован
как-то насторожило вместе с проблемами мыши и выбиванием процессов
вот на эти -> C:\Program Files\Nero\Nero 7\Nero Vision\VCDLib.dll >>> подозрение на Trojan-Downloader.Win32.Agent.ytu ( 08D09C58 00000000 0023A51B 002022DE 74752)
Файл успешно помещен в карантин (C:\Program Files\Nero\Nero 7\Nero Vision\VCDLib.dll) и C:\Program Files\Comodo\Firewall\s1.tmp >>> подозрение на AdvWare.Win32.MyWebSearch.bp ( 003C9F68 00000000 001EA011 00000000 499712)
Файл успешно помещен в карантин (C:\Program Files\Comodo\Firewall\s1.tmp)
nod -> C:\Program Files\Comodo\Firewall\s1.tmp - модифицированный Win32/AdInstaller приложение Может и да - тк в 3-ей Комоде появилась свой скан, но по первой проблеме с перехватом и файликом в nero не понимаю откуда взялось

[Rene-gad]

Вы же сказали, что НОД ругается??? Это сообщения АВЗ - он все перехваты анализирует. Насчет необходимости отключения файрволла я пишу в каждом сообщении.

[pig]

Вот по поводу НОДа:

nod -> C:\Program Files\Comodo\Firewall\s1.tmp - модифицированный Win32/AdInstaller приложение Может и да - тк в 3-ей Комоде появилась свой скан, но по первой проблеме с перехватом и файликом в nero не понимаю откуда взялось

[koala-mur]

Я отключаю фаервол - все по правилам
По поводу подозрений с руткитом: ответа так и не получил : (
Проводник (эксплорер) часто подвисает намертво при щелчке по корзине,
сетевое окружение вместе с иконкой подключения в трее так и не появлялись
pig Да - это оно

[Rene-gad]

По поводу подозрений с руткитом: ответа так и не получил : (

Зто нормально АВЗ пытается нейтрализовать все перехваты.

Проводник (эксплорер) часто подвисает намертво при щелчке по корзине,

Очевидно какая-то ошибка в реестре - мы к сожалению не видим ее в логах.

сетевое окружение вместе с иконкой подключения в трее так и не появлялись

Попробуйте выполнить это: http://virusinfo.info/showthread.php?t=20712

[koala-mur]

http://virusinfo.info/showthread.php?t=20712
Не помогло
Корзина и еще Мой компьютер. Так чистится через тотал и заходит через него нормально - остальные значки нормально - это происходит после скана avz

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения вредоносные программы в карантинах не обнаружены