Протокол исследования системы

Список процессов

Имя файла	PID	Описание	Copyright	MD5	Информация
c:\users\Пользователь\desktop\autologger.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить	5340	Автоматический сборщик логов	Все права на AutoLogger принадлежат regist & Drongo © Copyright 2013	336376F752F370372F1E2251749B0A49	11063,30 кб, rsAh, создан: 26.02.2014 17:13:30, изменен: 26.02.2014 01:00:04, имя содержит национальные символы Командная строка: "C:\Users\Пользователь\Desktop\AutoLogger.exe"
Обнаружено:66, из них опознаны как безопасные 65

Имя модуля	Handle	Описание	Copyright	MD5	Используется процессами
Обнаружено модулей:505, из них опознаны как безопасные 505

Модули пространства ядра

Модуль	Базовый адрес	Размер в памяти	Описание	Производитель
C:\Windows\System32\Drivers\dump_dumpata.sys Скрипт: Kарантин, Удалить, Удалить через BC	93BBD000	00B000 (45056)
C:\Windows\System32\Drivers\dump_dumpfve.sys Скрипт: Kарантин, Удалить, Удалить через BC	93BD2000	011000 (69632)
C:\Windows\System32\Drivers\dump_msahci.sys Скрипт: Kарантин, Удалить, Удалить через BC	93BC8000	00A000 (40960)
Обнаружено модулей - 187, опознано как безопасные - 184

Службы

Служба	Описание	Статус	Файл	Группа	Зависимости
Обнаружено - 162, опознано как безопасные - 162

Драйверы

Служба	Описание	Статус	Файл	Группа	Зависимости
ujm0mji4 Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	AVZ-SG Kernel Driver	Не запущен	ujm0mji4.sys Скрипт: Kарантин, Удалить, Удалить через BC
Обнаружено - 261, опознано как безопасные - 260

Автозапуск

Имя файла	Статус	Метод запуска	Описание
C:\Windows\system32\psxss.exe Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, System\CurrentControlSet\Control\Session Manager\SubSystems, Posix
D:\9e7d7a78b97065f7d1a03159ead8b0\DW\DW20.exe Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\Application\VSSetup, EventMessageFile
c:\users\Пользователь\appdata\local\temp\A9AF71EE-8DDBE6F4-AB971FC4-1457789C\i5bj4akj.exe Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\Doctor Web\Dr.Web Engine, EventMessageFile
c:\users\Пользователь\appdata\local\temp\A9AF71EE-8DDBE6F4-AB971FC4-1457789C\sm2bppyu.exe Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\Doctor Web\DrWebARKDaemon, EventMessageFile
progman.exe Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_LOCAL_MACHINE, Software\Microsoft\Windows NT\CurrentVersion\WOW\boot, shell Удалить
Обнаружено элементов автозапуска - 735, опознано как безопасные - 730

Модули расширения Internet Explorer (BHO, панели ...)

Имя файла	Тип	Описание	Производитель	CLSID
Обнаружено элементов - 2, опознано как безопасные - 2

Модули расширения проводника

Имя файла	Назначение	Описание	Производитель	CLSID
Обнаружено элементов - 12, опознано как безопасные - 12

Модули расширения системы печати (мониторы печати, провайдеры)

Имя файла	Тип	Наименование	Описание	Производитель
Обнаружено элементов - 8, опознано как безопасные - 8

Задания планировщика задач Task Scheduler

Имя файла	Имя задания	Состояние задания	Описание	Производитель	Путь	Командная строка
C:\Users\Пользователь\AppData\Roaming\Injustice - Gods Among Us. Ultimate Edition\googleupd.exe Скрипт: Kарантин, Удалить, Удалить через BC	GoogleUpdateTaskUserS-1-5-21-1970835742GUI Скрипт: Удалить		Google Update	Copyright © 2013	C:\Windows\system32\Tasks\	C:\Users\Пользователь\AppData\Roaming\Injustice - Gods Among Us. Ultimate Edition\googleupd.exe
aitagent Скрипт: Kарантин, Удалить, Удалить через BC	AitAgent Скрипт: Удалить				C:\Windows\system32\Tasks\Microsoft\Windows\Application Experience\	aitagent
C:\Windows\ehome\mcupdate Скрипт: Kарантин, Удалить, Удалить через BC	mcupdate Скрипт: Удалить				C:\Windows\system32\Tasks\Microsoft\Windows\Media Center\	%SystemRoot%\ehome\mcupdate $(Arg0)
C:\Windows\ehome\ehrec Скрипт: Kарантин, Удалить, Удалить через BC	RecordingRestart Скрипт: Удалить				C:\Windows\system32\Tasks\Microsoft\Windows\Media Center\	%SystemRoot%\ehome\ehrec /RestartRecording
Обнаружено элементов - 63, опознано как безопасные - 59

Настройки SPI/LSP

Поставщики пространства имен (NSP)

Поставщик	Статус	Исп. файл	Описание	GUID
Обнаружено - 10, опознано как безопасные - 10

Поставщики транспортных протоколов (TSP, LSP)

Поставщик Исп. файл Описание
Обнаружено - 27, опознано как безопасные - 27
Результаты автоматического анализа настроек SPI
Настройки LSP проверены. Ошибок не обнаружено

Порты TCP/UDP

Порт Статус Remote Host Remote Port Приложение Примечания
Порты TCP
139 LISTENING 0.0.0.0 0 [4] System.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
445 LISTENING 0.0.0.0 0 [4] System.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
49298 TIME_WAIT 95.54.196.230 443 [0]
49431 TIME_WAIT 95.54.196.215 443 [0]
49472 TIME_WAIT 95.54.196.230 80 [0]
49474 TIME_WAIT 95.54.196.226 80 [0]
Порты UDP
137 LISTENING -- -- [4] System.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
138 LISTENING -- -- [4] System.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить

Downloaded Program Files (DPF)

Имя файла Описание Производитель CLSID URL загрузки
Обнаружено элементов - 0, опознано как безопасные - 0

Апплеты панели управления (CPL)

Имя файла Описание Производитель
Обнаружено элементов - 20, опознано как безопасные - 20

Active Setup

Имя файла Описание Производитель CLSID
Обнаружено элементов - 10, опознано как безопасные - 10

Файл HOSTS

Запись файла Hosts

Протоколы и обработчики

Имя файла Тип Описание Производитель CLSID
mscoree.dll
Скрипт: Kарантин, Удалить, Удалить через BC Protocol Microsoft .NET Runtime Execution Engine () © Microsoft Corporation. All rights reserved. {1E66F26B-79EE-11D2-8710-00C04F79ED0D}
Удалить
mscoree.dll
Скрипт: Kарантин, Удалить, Удалить через BC Protocol Microsoft .NET Runtime Execution Engine () © Microsoft Corporation. All rights reserved. {1E66F26B-79EE-11D2-8710-00C04F79ED0D}
Удалить
mscoree.dll
Скрипт: Kарантин, Удалить, Удалить через BC Protocol Microsoft .NET Runtime Execution Engine () © Microsoft Corporation. All rights reserved. {1E66F26B-79EE-11D2-8710-00C04F79ED0D}
Удалить
Обнаружено элементов - 18, опознано как безопасные - 15

Общие ресурсы

Сетевое имя Путь Примечания
ADMIN$ C:\Windows Удаленный Admin
C$ C:\ Стандартный общий ресурс
D$ D:\ Стандартный общий ресурс
IPC$ Удаленный IPC
Users C:\Users

Подозрительные объекты

Файл Описание Тип
C:\Windows\system32\DRIVERS\ehdrv.sys
Скрипт: Kарантин, Удалить, Удалить через BC Подозрение на RootKit Перехватчик KernelMode

Протокол антивирусной утилиты AVZ версии 4.43
Сканирование запущено в 26.02.2014 18:00:48
Загружена база: сигнатуры - 297613, нейропрофили - 2, микропрограммы лечения - 56, база от 25.02.2014 16:00
Загружены микропрограммы эвристики: 405
Загружены микропрограммы ИПУ: 9
Загружены цифровые подписи системных файлов: 649447
Режим эвристического анализатора: Средний уровень эвристики
Режим лечения: выключено
Версия Windows: 6.1.7600,  "Windows 7 Ultimate" ; AVZ работает с правами администратора
Восстановление системы: включено
1. Поиск RootKit и программ, перехватывающих функции API
1.1 Поиск перехватчиков API, работающих в UserMode
 Анализ kernel32.dll, таблица экспорта найдена в секции .text
 Анализ ntdll.dll, таблица экспорта найдена в секции .text
 Анализ user32.dll, таблица экспорта найдена в секции .text
 Анализ advapi32.dll, таблица экспорта найдена в секции .text
 Анализ ws2_32.dll, таблица экспорта найдена в секции .text
 Анализ wininet.dll, таблица экспорта найдена в секции .text
 Анализ rasapi32.dll, таблица экспорта найдена в секции .text
 Анализ urlmon.dll, таблица экспорта найдена в секции .text
 Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
 Драйвер успешно загружен
 SDT найдена (RVA=1689C0)
 Ядро ntkrnlpa.exe обнаружено в памяти по адресу 82E44000
   SDT = 82FAC9C0
   KiST = 82EB36F0 (401)
Функция NtCreateThread (57) перехвачена (8311EC0E->9110CF80), перехватчик C:\Windows\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtLoadDriver (9B) перехвачена (82FE5279->9110D040), перехватчик C:\Windows\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtSetSystemInformation (15E) перехвачена (830CEDF5->9110D000), перехватчик C:\Windows\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtSystemDebugControl (170) перехвачена (8304D2FC->9110CFC0), перехватчик C:\Windows\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Проверено функций: 401, перехвачено: 4, восстановлено: 0
1.3 Проверка IDT и SYSENTER
 Анализ для процессора 1
 Анализ для процессора 2
 Анализ для процессора 3
 Анализ для процессора 4
 Проверка IDT и SYSENTER завершена
1.4 Поиск маскировки процессов и драйверов
 Проверка не производится, так как не установлен драйвер мониторинга AVZPM
1.5 Проверка обработчиков IRP
 Драйвер успешно загружен
 Проверка завершена
2. Проверка памяти
 Количество найденных процессов: 64
 Количество загруженных модулей: 507
Проверка памяти завершена
3. Сканирование дисков
4. Проверка Winsock Layered Service Provider (SPI/LSP)
 Настройки LSP проверены. Ошибок не обнаружено
5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
 Проверка отключена пользователем
7. Эвристичеcкая проверка системы
Подозрение на скрытый автозапуск -  HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ShadowPlay="C:\Windows\system32\rundll32.exe C:\Windows\system32\nvspcap.dll,ShadowPlayOnSystemStart"
Проверка завершена
8. Поиск потенциальных уязвимостей
>> Службы: разрешена потенциально опасная служба TermService (Службы удаленных рабочих столов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Обнаружение SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помощнику
Проверка завершена
9. Мастер поиска и устранения проблем
 >>  Разрешен автозапуск с HDD
 >>  Разрешен автозапуск с сетевых дисков
 >>  Разрешен автозапуск со сменных носителей
Проверка завершена
Просканировано файлов: 571, извлечено из архивов: 0, найдено вредоносных программ 0, подозрений - 0
Сканирование завершено в 26.02.2014 18:01:18
Сканирование длилось 00:00:30
Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам,
то Вы можете обратиться на форум http://forum.kaspersky.com/index.php?showforum=18
Для автоматической проверки файлов, не опознаных как чистые или заподозренных AVZ 
можно использовать сервис http://virusdetector.ru/
Выполняется исследование системы
Диагностика сети
 DNS & Ping
  Host "yandex.ru", IP="213.180.193.11,213.180.204.11,93.158.134.11", Ping=OK (0,47,213.180.193.11)
  Host "google.ru", IP="95.54.196.230,95.54.196.236,95.54.196.222,95.54.196.249,95.54.196.251,95.54.196.219,95.54.196.221,95.54.196.237,95.54.196.245,95.54.196.226,95.54.196.207,95.54.196.241,95.54.196.211,95.54.196.234,95.54.196.215", Ping=OK (0,9,95.54.196.230)
  Host "google.com", IP="95.54.196.211,95.54.196.226,95.54.196.237,95.54.196.241,95.54.196.251,95.54.196.249,95.54.196.215,95.54.196.245,95.54.196.207,95.54.196.234,95.54.196.219,95.54.196.221,95.54.196.230,95.54.196.236,95.54.196.222", Ping=OK (0,9,95.54.196.211)
  Host "www.kaspersky.com", IP="212.5.89.20", Ping=OK (0,53,212.5.89.20)
  Host "www.kaspersky.ru", IP="212.5.89.229", Ping=OK (0,53,212.5.89.229)
  Host "dnl-03.geo.kaspersky.com", IP="93.191.13.100", Ping=OK (0,47,93.191.13.100)
  Host "dnl-11.geo.kaspersky.com", IP="195.16.117.50", Ping=OK (0,54,195.16.117.50)
  Host "activation-v2.kaspersky.com", IP="212.5.89.37", Ping=OK (0,48,212.5.89.37)
  Host "odnoklassniki.ru", IP="217.20.147.94", Ping=OK (0,53,217.20.147.94)
  Host "vk.com", IP="87.240.131.118,87.240.131.119,87.240.131.120", Ping=OK (0,36,87.240.131.118)
  Host "vkontakte.ru", IP="87.240.156.161,87.240.156.162,87.240.156.163", Ping=OK (0,31,87.240.156.161)
  Host "twitter.com", IP="199.16.156.102,199.16.156.70,199.16.156.230", Ping=OK (0,158,199.16.156.102)
  Host "facebook.com", IP="173.252.110.27", Ping=OK (0,160,173.252.110.27)
  Host "ru-ru.facebook.com", IP="31.13.64.97", Ping=OK (0,68,31.13.64.97)
 IE Setup
  AutoConfigURL=""
  AutoConfigProxy="wininet.dll"
  ProxyOverride="*.local"
  ProxyServer=""
Network TCP/IP settings

 Исследование системы завершено


Команды скрипта 
Добавить в скрипт команды:
Нейтрализация перехватов функций при помощи антируткита
Включить AVZGuard
Управление AVZPM (true-включить,false-отключить)
BootCleaner - импорт списка удаленных файлов
BootCleaner - импортировать все
Чистка реестра после удаления файлов
ExecuteWizard ('TSW',2,3,true) - Выполнение мастера поиска и устранения проблем
BootCleaner - активация
Перезагрузка
Вставить заготовку для QuarantineFile() - помещение файла в карантин
Вставить заготовку для BC_QrFile() - помещение файла в карантин через BC
Вставить заготовку для DeleteFile() - удаление файла
Вставить заготовку для DelCLSID() - удаление CLSID класса из реестра
Дополнительные операции:Оптимизация - отключить службу TermService (Службы удаленных рабочих столов)
Оптимизация - отключить службу SSDPSRV (Обнаружение SSDP)
Оптимизация - отключить службу Schedule (Планировщик заданий)
Оптимизация - безопасность - отключить автозапуск программ с CD
Оптимизация - безопасность - отключить административный доступ к локальным дискам
Оптимизация - безопасность - блокировать возможность подключения анонимных пользователей
Безопасность - запретить отправку приглашений удаленному помощнику

Список файлов

Порт	Статус	Remote Host	Remote Port	Приложение	Примечания
Порты TCP
139	LISTENING	0.0.0.0	0	[4] System.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
445	LISTENING	0.0.0.0	0	[4] System.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
49298	TIME_WAIT	95.54.196.230	443	[0]
49431	TIME_WAIT	95.54.196.215	443	[0]
49472	TIME_WAIT	95.54.196.230	80	[0]
49474	TIME_WAIT	95.54.196.226	80	[0]
Порты UDP
137	LISTENING	--	--	[4] System.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
138	LISTENING	--	--	[4] System.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить

Сетевое имя	Путь	Примечания
ADMIN$	C:\Windows	Удаленный Admin
C$	C:\	Стандартный общий ресурс
D$	D:\	Стандартный общий ресурс
IPC$		Удаленный IPC
Users	C:\Users