Подозрение на RootKit

**Keit_Keit** · 27.12.2009, 20:38

При проверке утилитой AVZ было восстановлено 13 функций KiST в ходе работы антируткита, но при повторной проверке выдаётся тот же результат, т.е. проблема не устраняется. Да и неуверена что других нет вирусов...
И ещё:
"1.3 Проверка IDT и SYSENTER
Анализ для процессора 1
Анализ для процессора 2
CmpCallCallBacks = 0014512C
Disable callback OK" - две последние строчки выделенны красным цветом, что это означает?

Вот логи

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**snifer67** · 27.12.2009, 20:46

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{D4027C7F-154A-4066-A1AD-4243D8127440}');
 QuarantineFile('c:\windows\br040286.exe','');
 DeleteFile('C:\Program Files\Ask.com\GenericAskToolbar.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

**Keit_Keit** · 27.12.2009, 22:10

snifer67 у меня там всё плохо? или я что-то не так сделала?

**thyrex** · 27.12.2009, 23:25

Сообщение от Keit_Keit

у меня там всё плохо? или я что-то не так сделала?

Файл в карантинне чистый. Больше проблем нет?

**Keit_Keit** · 28.12.2009, 00:08

Могу прислать ещё раз логи ??

Добавлено через 15 минут

У меня возникли ещё вопросы, если не трудно, подскажите пожалйста. В протоколе есть такая запись:

"1.5 Проверка обработчиков IRP
\FileSystem\ntfs[IRP_MJ_CREATE] = 8A61C1F8 -> перехватчик не определен
\Fi.... и т.д." - что это такое?

и

>>Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя

как можно и нужно ли в обяз. порядке изменять данные параметры?

**AndreyKa** · 01.01.2010, 12:44

Сообщение от Keit_Keit

"1.5 Проверка обработчиков IRP
\FileSystem\ntfs[IRP_MJ_CREATE] = 8A61C1F8 -> перехватчик не определен
\Fi.... и т.д." - что это такое?

"DAEMON Tools"

Сообщение от Keit_Keit

>>Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...
как можно и нужно ли в обяз. порядке изменять данные параметры?

Не обязательно.

**CyberHelper** · 02.01.2010, 12:44

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 1
В ходе лечения вредоносные программы в карантинах не обнаружены

Подозрение на RootKit (заявка № 65255)

Опции темы