какой-то Trojan.Mycentria.8

**SotBerry** · 31.07.2009, 18:22

Здравствуйте! Dr.Web удалил какой-то Trojan.Mycentria.8, касперский его почему-то не видел. В протоколах AVZ сплошные маскировки, плюс беспокоят предупреждения о доступе анонимного пользователя (?) и разрешен доступ к дискам.
В общем посмотрите, пожалуйста, своим профессиональным глазом:

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Rene-gad** · 31.07.2009, 18:27

Сообщение от SotBerry

беспокоят предупреждения о доступе анонимного пользователя (?) и разрешен доступ к дискам.

- Выполните скрипт

Код:

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RebootWindows(true);
end.

После перезагрузки:

- Очистите темп-папки, кэш проводников и корзину.
- В логах ничего подозрительного.

**SotBerry** · 31.07.2009, 20:37

запускаю скрипт, компьютер перезагружается. что не так?

хотелось бы узнать, что все-таки такое "маскировка процесса с PID=..."? в протоколах AVZ у меня туча таких. пожалуйста, просветите неграмотную. опасно ли это и как с этим бороться. спасибо.

**pig** · 31.07.2009, 20:38

Он и должен перезагружаться. Выполняйте теперь часть "после перезагрузки".

**SotBerry** · 31.07.2009, 20:40

то есть скрипт выполнен?

**pig** · 31.07.2009, 20:48

Да. Можете проверить, сделав исследование системы.

**SotBerry** · 31.07.2009, 20:50

спасибо. а насчет маскировок не подскажете?

**Rene-gad** · 31.07.2009, 21:01

Сообщение от SotBerry

насчет маскировок не подскажете?

В случае с Вистой это нормальная картина.

**SotBerry** · 16.08.2009, 12:55

Снова здравствуйте. В общем проблемы с вистой уже не актуальны, т.к. оная крякнула окончательно. Поставила хрюшку. Снова какие-то проблемы, компьютер издает периодически какие-то звуки. В отчетах касперского следующие вещи, которые для меня, ясное дело, загадка:
Запуск библиотеки DLL как приложения Запуск процесса C:\WINDOWS\SYSTEM32\RUNDLL32.EXE
Запуск библиотеки DLL как приложения Остановка процесса C:\WINDOWS\SYSTEM32\RUNDLL32.EXE
И такое с ежеминутной регулярностью
Запрещено Kaspersky Internet Security Изменение REGISTRY\MACHINE\SOFTWARE\KasperskyLab\protected\A VP8\Trace\Default
Запрещено Synaptics TouchPad Enhancements Открытие C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe
Просканировала AVZ, в протоколе куча маскировок, т.к. не стала выключать каспера, но среди прочих, где драйвер опознан как безопасный, затесалась еще вот такая вот штука:
Функция IoAllocateIrp (804EAF9D) - модификация машинного кода. Метод не определен., внедрение с байта 15
Очень прошу, помогите разобраться, надоела уже эта паранойя.