Показано с 1 по 7 из 7.

Вирус не обнаруживается! (заявка № 32780)

  1. #1
    Junior Member Репутация
    Регистрация
    27.10.2008
    Сообщений
    4
    Вес репутации
    34

    Question Вирус не обнаруживается!

    Система WinXP Home SP2. Уже 2-3 месяца одинаковая история: avz находит перехватчика в kernel после каждой перезагрузки с новым именем (типа sptd.sys, splx.sys, spzw.sys и т.п.). обозначенный файл отсутствует.
    Попытка установить SP3 в конце копирования привела к ошибке типа "Handle error" и "File not found". После этого при перезагрузке - синий экран (в safe mode - тоже). Восстановил обратно только вручную из бэкапа сервиспака по логу spuninst.txt, загрузившись в bartpe.

    Команда sfc /scannow вылетает с ошибкой о 0x000006ba [The RPC server is unavailable]. Попытался переустановить XP в режиме обновления из дистриб. XP SP3. При копировании было указано на недостающий файл ax02l71h.sys, при рестарте пишет, что файла нет, - reboot. Ссылку на файл нашел в C:\$WIN_NT$.~BT\unsupdrv.inf:
    [Version]
    Signature = "$Windows NT$"

    [AddReg.ax02l71h]
    [Files.ax02l71h]
    ax02l71h.sys,system32\drivers
    [HardwareIds.ax02l71h]
    *PNPA000=ax02l71h
    ACPI\PNPA000=ax02l71h
    [Devices]
    ax02l71h

    DRWeb сканер ничего не нашел, хотя в system32\drivers наплодилась масса явно левых "драйверов" типа a302.sys-a314.sys; adv01nt5.dll-adv11nt5.dll; ati1btxx.sys и т.д. разной длины.

    После перезагрузки удалось поймать 2 новых файла путём сравнения с бэкапом system32\drivers. Один - залоченный, вынул с пом. AVZ. Добавил их в архив virusinfo_cure.zip, закачивать без Вашего запроса не стал.

    Памажите, плз, кто чем может...
    Вложения Вложения
    Последний раз редактировалось gk17; 27.10.2008 в 10:16.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1785
    AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\explorer.exe','');
     QuarantineFile('dot3gpclnt.dll','');
     DeleteService('WINIO');
     QuarantineFile('C:\WINDOWS\system32\winio.sys','');
     DeleteFile('C:\WINDOWS\system32\winio.sys');
     DeleteFile('dot3gpclnt.dll');
     DeleteFile('C:\WINDOWS\system32\explorer.exe');
    BC_ImportALL;  
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Пришлите карантин по правилам и повторите логи...

  4. #3
    Junior Member Репутация
    Регистрация
    27.10.2008
    Сообщений
    4
    Вес репутации
    34
    Карантин залил. Добавил туда ещё файлы, вынутые ранее.
    после выполнения скрипта (кажется, окно об окончании успело промелькнуть). вместо перезагрузки закрылись все приложения и оболочка. Только курсор мыши на пустом экране. Пришлось жать reset. Пробовал запускать два раза, результат не изменился.
    Вложения Вложения

  5. #4
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1500
    в логах ничего зловредного

  6. #5
    Junior Member Репутация
    Регистрация
    27.10.2008
    Сообщений
    4
    Вес репутации
    34
    А нижеследующее по какой причине появляется?
    И почему с каждой перезагрузкой имя перехватчика меняется?
    один из таких файлов (sp??.sys), видимо, я обнаружил под именем sptd.sys и добавил к карантину. Может кто-нибудь сказать, что это за "драйвер"?

    Функция NtCreateKey (29) перехвачена (8056E7A9->F75A10E0), перехватчик spmm.sys
    Функция NtEnumerateKey (47) перехвачена (8056EEB0->F75BECA2), перехватчик spmm.sys
    Функция NtEnumerateValueKey (49) перехвачена (8057FB78->F75BF030), перехватчик spmm.sys
    Функция NtOpenKey (77) перехвачена (80567CFB->F75A10C0), перехватчик spmm.sys
    Функция NtQueryKey (A0) перехвачена (8056EBB9->F75BF10, перехватчик spmm.sys
    Функция NtQueryValueKey (B1) перехвачена (8056B103->F75BEF8, перехватчик spmm.sys
    Функция NtSetValueKey (F7) перехвачена (80573C8D->F75BF19A), перехватчик spmm.sys
    Проверено функций: 284, перехвачено: 7, восстановлено: 0

    1.5 Проверка обработчиков IRP
    \FileSystem\ntfs[IRP_MJ_CREATE] = 867861F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_CLOSE] = 867861F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_WRITE] = 867861F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_QUERY_INFORMATION] = 867861F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_SET_INFORMATION] = 867861F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_QUERY_EA] = 867861F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_SET_EA] = 867861F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_QUERY_VOLUME_INFORMATION] = 867861F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_SET_VOLUME_INFORMATION] = 867861F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_DIRECTORY_CONTROL] = 867861F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_FILE_SYSTEM_CONTROL] = 867861F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_DEVICE_CONTROL] = 867861F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_LOCK_CONTROL] = 867861F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_QUERY_SECURITY] = 867861F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_SET_SECURITY] = 867861F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_PNP] = 867861F8 -> перехватчик не определен

    Спасибо!

  7. #6
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1785
    Это драйвера и перехваты эмулятора дисков...

  8. #7
    Junior Member Репутация
    Регистрация
    27.10.2008
    Сообщений
    4
    Вес репутации
    34

    спасибо!

    Большое спасибо за помощь!
    sptd для эмуляции, оказывается, совсем и не нужен, если пользоваться например ultraiso вместо алкоголя120.
    Проблемы при копировании файлов установки SP3 исчезли, хотя поставить его так и не удалось (синий экран при загрузке - BAD_POOL_CALLED). При переустановке с обновлением - тоже самое.
    Команда sfc по прежнему не работает.
    Но, вероятно, это уже не к вам. Хотя если кто-то знает, где искать ответ, пожалуйста, сообщите (gerkin<at>mail<dot>ru). Спасибо!

  • Уважаемый(ая) gk17, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Вирус не обнаруживается авастом
      От Андрей39 в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 07.02.2012, 08:39
    2. Обнаруживается вирус
      От serrvis в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 11.11.2010, 15:08
    3. Вирус не обнаруживается
      От 4ek в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 17.12.2009, 00:35
    4. Вирус не обнаруживается
      От vichovo в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 08.05.2009, 13:34
    5. Не обнаруживается Вирус.
      От KonaeJer в разделе Помогите!
      Ответов: 3
      Последнее сообщение: 20.01.2009, 21:27

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00166 seconds with 17 queries