Показано с 1 по 8 из 8.

Безымянный ".sys" модуль пространства ядра (заявка № 65569)

  1. #1
    Junior Member Репутация
    Регистрация
    28.12.2009
    Сообщений
    4
    Вес репутации
    30

    Thumbs up Безымянный ".sys" модуль пространства ядра

    Здравствуйте
    В AVZ протоколе к ядру подцеплен какой-то странный драйвер без имени ".sys"

    Помогите, пожалуйста, что это за драйвер

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Никита Соловьев
    Регистрация
    15.02.2009
    Сообщений
    13,126
    Вес репутации
    929
    Пофиксите строку в hijackthis:
    Код:
    F2 - REG:system.ini: UserInit=\\.\globalroot\systemroot\system32\userinit.exe,
    Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):
    Код:
    begin
     ClearQuarantine;
     SearchRootkit(true, true);
     SetAVZGuardStatus(true);
     QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\isi32.exe','');
     DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\isi32.exe');
     DelCLSID('{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612}');
     BC_ImportDeletedList;
     ExecuteSysClean;
     BC_Activate;
     CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
     RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.

    Файл quarantine.zip пришлите по ссылке "прислать запрошенный карантин" вверху темы

    Сделайте новые логи

  4. #3
    Junior Member Репутация
    Регистрация
    28.12.2009
    Сообщений
    4
    Вес репутации
    30
    quarantine.zip получился пустой.

    Этой бяки isi32.exe в корзине уже год как нету

  5. #4
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Никита Соловьев
    Регистрация
    15.02.2009
    Сообщений
    13,126
    Вес репутации
    929
    А мусор в реестре остался...
    .sys - это нормально

  6. #5
    Junior Member Репутация
    Регистрация
    28.12.2009
    Сообщений
    4
    Вес репутации
    30
    А еще есть подозрение к двум драйверам, побитное сравнение дает отличие от оригинальных с CD-диска.
    ndproxy.sys и tcpip.sys

    Файл virus.zip отправил по ссылке "прислать запрошенный карантин" вверху темы.
    Закачался как "091230_222132_virus_4b3ba83c549c1.zip"
    Пароль virus

    P.S. Эти файлы заменил на недельке на оригинальные, когда NOD32 от "ПО Get Access" излечил.

    P.P.S. Сейчас глянул текстовым редактором на ndproxy.sys. Он точно поврежден вирусом был:
    \ ? ? \ C 2 C A D 9 7 2 # 4 0 7 9 # 4 f d 3 # A 6 8 D # A D 3 4 C C 1 2 1 0 7 4 \
    и т.п., плюс ссылки на уделенный Nodom файл
    \ s y s t e m r o o t \ s y s t e m 3 2 \ c o n f i g \ 1 2 3 4 5 6 7 8 . s a v

    Раз он точно вирусный, вопрос другой у меня:
    Могут ли установленные программы "пострадать" из-за замены ndproxy.sys и tcpip.sys на оригинальные?
    Например, Vmware, nod32, промышленные проги. Они могут изменять эти файлы "под себя" после установки?
    И соответственно оригинальный им не подойдет?
    Последний раз редактировалось YurArm; 30.12.2009 в 22:41. Причина: P.P.S.

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для pig
    Регистрация
    17.09.2004
    Адрес
    Апатиты, Мурманская область, Россия
    Сообщений
    10,629
    Вес репутации
    1292
    Не должны они системные файлы менять. Свои драйверы поставить - это всегда пожалуйста. А патчить фирменное - это только Зверь и иже с ним балуются.

  8. #7
    Junior Member Репутация
    Регистрация
    28.12.2009
    Сообщений
    4
    Вес репутации
    30
    Всё ясно, спасибо, тему можно закрывать.

  9. #8
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 2
    • В ходе лечения обнаружены вредоносные программы:
      1. \ndproxy.sys - Rootkit.Win32.ZAccess.bq


  • Уважаемый(ая) YurArm, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Безымянный модуль пространства ядра
      От 1qaz в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 19.07.2010, 11:08
    2. Ответов: 3
      Последнее сообщение: 04.07.2010, 21:13
    3. Модуль пространства ядра
      От MKSL в разделе Помогите!
      Ответов: 3
      Последнее сообщение: 21.08.2009, 08:55
    4. Ответов: 1
      Последнее сообщение: 25.03.2009, 22:44
    5. Очень странное в разделе "Модули пространства ядра" AVZ ...
      От Юрченко Андрей в разделе Помогите!
      Ответов: 13
      Последнее сообщение: 17.07.2008, 12:57

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01540 seconds with 16 queries