Подозрение на KernelMode Rootkit под Windows7

[zinovik]

Привет.

ОС - Windows 7 Профессиональная со всеми имеющимися патчами.

Столкнулся с проблемой. На комп не устанавливается антивирус Avira. Просто тихо мирно завершается работа установщика и всё. Никаких аварийных завершений. Стал разбираться. Process Monitor ничего интересного не показывает в конце сессии вижу только события ThreadExit и ProcessExit.

Был установлен антивирус MS Essentials. Был потому что я его снёс. Комп был подключен к интернету. Успели потыкать по линкам в осле и початится в ICQ.

Включаю AVZ давлю на старт. Показывает в окне лога, вагон и маленькую тележку перехватов в netapi32.dll и ещё в одной dll'е (связянной со счётчиками производительности). Как только дело доходит до обнаружения KernelMode руткитов AVZ аварийно завершается (выскакивает окно о том что обращение по неверному адресу). В процесс эксплорере никаких подозрительных процессов не вижу. Просканил комп последними Dr.Web LiveCD и Avira Rescue CD. Доктор Веб тупит и обзывает файл из дистрибутива авиры вирусом, этот файл тут же был отослан на анализ в авиру - ответ KNOWN CLEAN. Также ругается на HiJackThis.exe. Авира rescueCD молчком - ничего не обнаружила.

В безопасном режиме также avz виснет, авира не устанавливается.

ОК, делаем ход конем. Переименовываю руками исполняемый файл avz в абракадабру. Есть продвижение. AVZ начинает сканировать диск С:, а раньше он до этого момента не доходил. После сканирования снова крах.

Ладно, делаем ход ферзём. Скачиваю полиморфный AVZ отсюда. Запускаю и полиморфный avz отрабатывает до победного конца. Все трюки проделываю в обычном режиме. Помимо перехватов функций в dll, обнаруживается целая банда скрытых процессов.

Подопытный комп у меня на рабочем столе, т.ч. если надо ещё какие-то логи, то без проблем.

Делаю скрипты по правилам и посчу сюда. Прошу помощи коллеги, какие будут предложения?

[kps]

Выполните скрипт в AVZ:

begin
  ClearQuarantine;
  SearchRootkit(true, true);
  SetAVZGuardStatus(True);
  QuarantineFile('C:\Users\Sveta\AppData\Local\Temp\FLXZMNIB.exe','');
  BC_ImportQuarantineList;
  BC_Activate;
  RebootWindows(true);  
end.

Компьютер перезагрузится.

Затем такой скрипт в AVZ:

begin
  CreateQurantineArchive('C:\quarantine.zip');
end.

Пришлите карантин quarantine.zip по ссылке "прислать запрошенный карантин" вверху темы.

[kps]

Ждем ответа вирлаба.

[zinovik]

kps,

Если не секрет, какого вирлаба?
Что-нибудь проясняется? Что это за штука? KernelMode rootkit или просто какой-то хитрый вирус? Может какой подозрительный драйвер поискать на файловой системе?
Правда у меня почти нулевой опыт с Windows7.

[kps]

Подозрительный файл отправлен на анализ в антивирусную лабораторию (вирлаб) Лаборатории Касперского. Они его проверят, и скажут свой вердикт.

[zinovik]

Какой пароль ставится на архив с карантином?
Поставил IDA Pro и хочу поковырятся в файле.

Добавлено через 8 минут

Про пароль прошу прощения, сам нашёл в справке.

Глянул я в этот файлик. Это вроде RootkitRevealer.exe от Марка Руссиновича.

[kps]

Присланный файл чистый. Сделайте такой лог:
http://virusinfo.info/showthread.php?t=40118

[zinovik]

Это последний лог который я могу предоставить, отдаю комп на реинасталл, т.к. клиент требует.

[kps]

В логе ничего плохого не обнаружил. Проблемы могут быть связаны с тем, что не все используемое ПО совместимо с новой ОС Win 7.

[zinovik]

В логе ничего плохого не обнаружил. Проблемы могут быть связаны с тем, что не все используемое ПО совместимо с новой ОС Win 7.

Да, ну может быть. Только вот почему-то у производителя давно заявлена поддержка windows 7. Я лично установил авиру v9 на 13 компов с Windows7 без всяких проблем.

Почему тогда обычный avz.exe зависает при сканировании системы? Почему тогда нормально работает полиморфный avz.pif?
Почему сейчас когда комп уже с отформатированным диском и на него залит свежий Win7 авира установилась нормально?

Может там действительно была криво ОС установлена, а может быть там был какой-то новый неведомый антивирусам (avira, drweb, kaspersky) kernel-mode руткит...

Тему можно закрыть.

[kps]

Почему тогда обычный avz.exe зависает при сканировании системы? Почему тогда нормально работает полиморфный avz.pif?

В полиморфном AVZ совместимость с новой ОС м.б. лучше, т.к. он обновляется чаще стандартной версии и у него нередко бывают сделаны улучшения.

Почему сейчас когда комп уже с отформатированным диском и на него залит свежий Win7 авира установилась нормально?

Никто не говорил, что Авира не совместима. М.б. другой софт глючил, что мешало установке Авиры.

а может быть там был какой-то новый неведомый антивирусам (avira, drweb, kaspersky) kernel-mode руткит...

Не исключено, но наши средства диагностики его не показали.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения вредоносные программы в карантинах не обнаружены