Показано с 1 по 11 из 11.

Маскировка драйвера VGA.dll (заявка № 31376)

  1. #1
    Junior Member Репутация
    Регистрация
    02.10.2008
    Сообщений
    15
    Вес репутации
    34

    Thumbs up Маскировка драйвера VGA.dll

    AVZ говорит - Маскировка драйвера: Base=BF8C4000, размер=86016, имя = "\SystemRoot\System32\VGA.dll". Перехвата нет. Сама эта .длл вроде родная. NOD и CureIt молчат. AVZ в процессе работы скриптов мнооого чего 'почистил' (особенно подозрительность к MSDN порадовала), но маскировка осталась.
    Из прочего процесс IE остается в памяти после закрытия окна.
    Что это ???
    Логи прилагаю.
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,625
    Вес репутации
    1291
    Запустите AVZ.
    Выполните скрипт через меню Файл:
    Код:
    begin
    ClearQuarantine;
    QuarantineFile('C:\Program Files\Hiew\Hiew32.exe','');
    QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Temp\3\svchost.exe','');
    QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Temp\svc32_3.exe','');
    SetAVZPMStatus(True);
    BC_ImportAll;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите карантин так, как написано в приложении 2 Правил.

    Сделайте новый лог по пункту 2 Диагностики и приложите к этой теме.

  4. #3
    Junior Member Репутация
    Регистрация
    02.10.2008
    Сообщений
    15
    Вес репутации
    34
    Ой... Я тут пока суть да дело temp почистил, а Hiew32.exe NOD удалил. Но после перезагрузки в temp появился файл tmp44.tmp - не дается - кем-то заблокирован.

    Выполнил аналогичный скрипт для этого файла. Перегрузился. Файла нет. Карантин пуст. Гадость на месте. Сделал новый лог исследования системы. Прилагаю...
    Вложения Вложения
    Последний раз редактировалось Rene-gad; 03.10.2008 в 17:28.

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3000
    Выполните проверку на файловые вирусы:http://virusinfo.info/showthread.php?t=15927

    Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
    Отключите
    - ПК от интернета/локалки
    - Антивирус и Файрвол.
    - Системное восстановление.

    - Выполните скрипт
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINNT\System32\notifyf2.dll','');
     QuarantineFile('notifyf2.dll','');
     DeleteFile('notifyf2.dll');
     DeleteFile('C:\WINNT\System32\notifyf2.dll');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки:
    - Очистите темп-папки, кэш проводников и корзину.
    - Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
    - Сделайте повторные логи
    Код:
    virusinfo_syscure.zip
    virusinfo_syscheck.zip
    hijackthis.log
    - Включите Антвирус и Файрволл
    - Подключите ПК к интернету/локалке
    - Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 2 п.4 правил).
    - Прикрепите логи к новому сообщению.

  6. #5
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    28.03.2006
    Сообщений
    2,780
    Вес репутации
    1362
    Выполните скрипт:
    Код:
    begin
    QuarantineFile('\SystemRoot\System32\VGA.dll','');
    BC_QrFile('\SystemRoot\System32\VGA.dll');
    BC_Activate;
    RebootWindows(true);
    end.
    система перезагрузится. карантин по правилам.

  7. #6
    Junior Member Репутация
    Регистрация
    02.10.2008
    Сообщений
    15
    Вес репутации
    34
    Сорри за молчание - работа...

    2 Rene-gad >
    - закрыл\выгрузил (NODа просто закрыл, службу не останавливал - не знаю правильно-ли...)
    - отключил (кроме сист.восстановления - win2k не знаю как - не описано)
    - скрипт выполнил
    - очистил
    - снял новые логи. Шлю вместе с карантином.
    PS часто видел чтобы эвристика ругалась на компилированные VB файлы. От греха все удалил.

    2 Alex_Goodwin >
    - Скрипт выполнил - файл vga.dll в том-же закачанном карантине.

    СТРАННО, но файл bcqr00001.dta содержащий эту vga.dll ни в какую не хотел добавляться в архив средствами AVZ
    ДОБАВИЛ его туда руцями поетому он без пароля.

    Относительно notify2.dll - это зверь или не зверь??? В теле есть ссылки типа winsta0\default \tpfnf2.exe /RESTORE SOFTWARE\IBM\TPHOTKEY
    что намекает на то, что эта длля часть IBM TrackPoint Software установленного на моем буке.
    если это не зверь, то я ее лучше на место положу, а то TrackPoint работать не будет или еще че...

    Так же добавил в карантин ручками два странных на мой взгляд файла
    C:\WINNT\SYSTEM32\~.exe
    C:\WINNT\SYSTEM32\9C983277D1.dll
    Антивирусы на них не ругаются, но выглядят они однако странновато...
    Вложения Вложения

  8. #7
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,625
    Вес репутации
    1291
    vga.dll не хотел добавляться в архив средствами AVZ из-за того, что он в базе безопасных файлов.
    C:\WINNT\SYSTEM32\9C983277D1.dll - мусор
    C:\WINNT\SYSTEM32\~.exe - поврежден
    По поводу C:\WINNT\System32\notifyf2.dll пишут: http://www.castlecops.com/o20list-201.html что это компонент ПО для ноутбуков Thinkpad.

  9. #8
    Junior Member Репутация
    Регистрация
    02.10.2008
    Сообщений
    15
    Вес репутации
    34
    Вобщем понял:
    vga.dll - нормальная длл
    C:\WINNT\SYSTEM32\9C983277D1.dll, C:\WINNT\SYSTEM32\~.exe - мусор оставшийся возможно от предыдущей деятельности вирусов\анивирусов или еще чего - угрозы не представляет - удалить и забыть
    C:\WINNT\System32\notifyf2.dll - ложу на место - у меня как раз ThinkPad
    НЕ ПОНЯЛ:
    КТО И ЗАЧЕМ У МЕНЯ МАСКИРУЕТСЯ. МОЖЕТ ГЛЮК AVZ ??? МОЖЕТ ТАК ДОЛЖНО БЫТЬ ??? МОЖЕТ СУПЕРВИРУС ВЫВЕЛСЯ??? У МЕНЯ МАШИНА ЧИСТАЯ ИЛИ НЕТ???
    Кстати RkUnhooker не находит в системе маскирующейся vga.dll. Он вообще драйвера vga.dll не видит, но зато видит нормальный работающий драйвер C:\WINNT\SYSTEM32\drivers\vga.sys. А в диспетчере устройств есть отключенный драйвер vga - vga.sys и работающее устройство VgaSave - сведения о файле драйвера недоступны... Бред какой-то ...

  10. #9
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,625
    Вес репутации
    1291
    Дело в том, что утилита AVZ создана для того чтобы находить вредоносные программы тогда, когда антивирусы не справляются. Поэтому она чрезвычайно придирчива к любым отклонениям.
    vga.dll это действительно не драйвер, это библиотека, которую использует один из драйверов (надо думать, драйвер видеоадаптера).

    С вашим компьютером все в порядке.

  11. #10
    Junior Member Репутация
    Регистрация
    02.10.2008
    Сообщений
    15
    Вес репутации
    34
    ОК. Спасибо. Сплю спокойно. Закрыта.

  12. #11
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 16
    • В ходе лечения вредоносные программы в карантинах не обнаружены


  • Уважаемый(ая) IntelInside, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Маскировка драйвера
      От JEM в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 04.11.2009, 19:06
    2. Ответов: 10
      Последнее сообщение: 31.08.2009, 00:56
    3. Маскировка драйвера и т.п.
      От S-Sun в разделе Помогите!
      Ответов: 13
      Последнее сообщение: 22.02.2009, 08:47
    4. маскировка драйвера i8042prt.sys
      От bobr в разделе Помогите!
      Ответов: 15
      Последнее сообщение: 22.02.2009, 02:29
    5. Маскировка драйвера:... Parport.SYS
      От Andrey D. в разделе Помогите!
      Ответов: 15
      Последнее сообщение: 22.02.2009, 01:47

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00636 seconds with 17 queries