Протокол исследования системы

Настройки LSP проверены. Ошибок не обнаружено

1.1 Поиск перехватчиков API, работающих в UserMode
 Анализ kernel32.dll, таблица экспорта найдена в секции .text
Функция kernel32.dll:FreeLibrary (234) перехвачена, метод ProcAddressHijack.GetProcAddress ->77E7E68C->61F041FC
Перехватчик kernel32.dll:FreeLibrary (234) нейтрализован
Функция kernel32.dll:GetModuleFileNameA (365) перехвачена, метод ProcAddressHijack.GetProcAddress ->77E7ADA9->61F040FB
Перехватчик kernel32.dll:GetModuleFileNameA (365) нейтрализован
Функция kernel32.dll:GetModuleFileNameW (366) перехвачена, метод ProcAddressHijack.GetProcAddress ->77E7ACA9->61F041A0
Перехватчик kernel32.dll:GetModuleFileNameW (366) нейтрализован
Функция kernel32.dll:GetProcAddress (401) перехвачена, метод ProcAddressHijack.GetProcAddress ->77E7B332->61F04648
Перехватчик kernel32.dll:GetProcAddress (401) нейтрализован
Функция kernel32.dll:LoadLibraryA (571) перехвачена, метод ProcAddressHijack.GetProcAddress ->77E7D961->61F03C6F
Перехватчик kernel32.dll:LoadLibraryA (571) нейтрализован
 >>> Функции LoadLibraryA - прививка процесса AVZ от перехвата подменой адреса  !!)
Функция kernel32.dll:LoadLibraryExW (573) перехвачена, метод ProcAddressHijack.GetProcAddress ->77E7D839->61F03E5A
Перехватчик kernel32.dll:LoadLibraryExW (573) нейтрализован
Функция kernel32.dll:LoadLibraryW (574) перехвачена, метод ProcAddressHijack.GetProcAddress ->77E73B38->61F03D0C
Перехватчик kernel32.dll:LoadLibraryW (574) нейтрализован
Детектирована модификация IAT: GetModuleFileNameW - 00DA0010<>77E7ACA9
 Анализ ntdll.dll, таблица экспорта найдена в секции .text
 Анализ user32.dll, таблица экспорта найдена в секции .text
 Анализ advapi32.dll, таблица экспорта найдена в секции .text
 Анализ ws2_32.dll, таблица экспорта найдена в секции .text
 Анализ wininet.dll, таблица экспорта найдена в секции .text
 Анализ rasapi32.dll, таблица экспорта найдена в секции .text
 Анализ urlmon.dll, таблица экспорта найдена в секции .text
 Анализ netapi32.dll, таблица экспорта найдена в секции .text
 >> Опасно ! Обнаружена маскировка процессов
1.2 Поиск перехватчиков API, работающих в KernelMode
 Драйвер успешно загружен
 Ошибка обмена с драйвером  [00000002] - [1]
1.4 Поиск маскировки процессов и драйверов
 Проверка не производится, так как не установлен драйвер мониторинга AVZPM
F:\1\Kaspersky Lab Tool\prremote.dll --> Подозрение на Keylogger или троянскую DLL
F:\1\Kaspersky Lab Tool\prremote.dll>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
F:\1\Kaspersky Lab Tool\FSSync.dll --> Подозрение на Keylogger или троянскую DLL
F:\1\Kaspersky Lab Tool\FSSync.dll>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
F:\1\Kaspersky Lab Tool\AVPGS.PPL --> Подозрение на Keylogger или троянскую DLL
F:\1\Kaspersky Lab Tool\AVPGS.PPL>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
F:\1\Kaspersky Lab Tool\prloader.dll --> Подозрение на Keylogger или троянскую DLL
F:\1\Kaspersky Lab Tool\prloader.dll>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
F:\1\Kaspersky Lab Tool\prkernel.ppl --> Подозрение на Keylogger или троянскую DLL
F:\1\Kaspersky Lab Tool\prkernel.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\pxstub.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\pxstub.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\params.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\params.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\dtreg.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\dtreg.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\nfio.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\nfio.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\fsdrvplg.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\fsdrvplg.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\mkavio.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\mkavio.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\tempfile.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\tempfile.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\tm.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\tm.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\bl.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\bl.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\wmihlpr.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\wmihlpr.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\regmap.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\regmap.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\crpthlpr.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\crpthlpr.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\winreg.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\winreg.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\report.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\report.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\thpimpl.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\thpimpl.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\avs.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\avs.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\avpmgr.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\avpmgr.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\wdiskio.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\wdiskio.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\avlib.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\avlib.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\vmarea.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\vmarea.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\avspm.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\avspm.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\avp3info.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\avp3info.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\avpgui.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\avpgui.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\basegui.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\basegui.ppl>>> Поведенческий анализ: 
  1. Реагирует на события: клавиатура, мышь
  2. Передает данные процессу: 1780 F:\1\Kaspersky Lab Tool\setup_7.0.0.180_18.05.2008_00-35.exe (окно = "v(eventlog,eventcritlog)")
  3. Передает данные процессу: 1780 F:\1\Kaspersky Lab Tool\setup_7.0.0.180_18.05.2008_00-35.exe (окно = "")
  4. Передает данные процессу: 1780 F:\1\Kaspersky Lab Tool\setup_7.0.0.180_18.05.2008_00-35.exe (окно = "")
  5. Передает данные процессу: 1780 F:\1\Kaspersky Lab Tool\setup_7.0.0.180_18.05.2008_00-35.exe (окно = "")
  6. Передает данные процессу: 1780 F:\1\Kaspersky Lab Tool\setup_7.0.0.180_18.05.2008_00-35.exe (окно = "Д&ействия...")
  7. Передает данные процессу: 1780 F:\1\Kaspersky Lab Tool\setup_7.0.0.180_18.05.2008_00-35.exe (окно = "<<")
  8. Передает данные процессу: 1780 F:\1\Kaspersky Lab Tool\setup_7.0.0.180_18.05.2008_00-35.exe (окно = "Отчеты...")
  9. Передает данные процессу: 1780 F:\1\Kaspersky Lab Tool\setup_7.0.0.180_18.05.2008_00-35.exe (окно = ">>")
  10. Передает данные процессу: 1780 F:\1\Kaspersky Lab Tool\setup_7.0.0.180_18.05.2008_00-35.exe (окно = "")
  11. Передает данные процессу: 1780 F:\1\Kaspersky Lab Tool\setup_7.0.0.180_18.05.2008_00-35.exe (окно = "27% -  : работает")
  12. Передает данные процессу: 1780 F:\1\Kaspersky Lab Tool\setup_7.0.0.180_18.05.2008_00-35.exe (окно = "")
  13. Передает данные процессу: 1780 F:\1\Kaspersky Lab Tool\setup_7.0.0.180_18.05.2008_00-35.exe (окно = "")
Нейросеть: ошибка проверки
f:\1\kaspersky lab tool\qb.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\qb.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
f:\1\kaspersky lab tool\avzscan.ppl --> Подозрение на Keylogger или троянскую DLL
f:\1\kaspersky lab tool\avzscan.ppl>>> Поведенческий анализ: 
 Типичное для кейлоггеров поведение не зарегистрировано
F:\1\Kaspersky Lab Tool\avzkrnl.dll --> Подозрение на Keylogger или троянскую DLL
F:\1\Kaspersky Lab Tool\avzkrnl.dll>>> Поведенческий анализ: 
  1. Реагирует на события: клавиатура, все события
Нейросеть: ошибка проверки
На заметку: Заподозренные файлы НЕ следует удалять, их следует прислать для анализа (подробности в FAQ), т.к. существует множество полезных DLL-перехватчиков
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешено использование ActiveX, не помеченных как безопасные
>>> Безопасность: В IE разрешена загрузка неподписанных элементов ActiveX
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX
Выполняется исследование системы


Команды скрипта
 
Добавить в скрипт команды:
Нейтрализация перехватов функций при помощи антируткита
Включить AVZGuard
BootCleaner - импорт списка удаленных файлов
Чистка реестра после удаления файлов
BootCleaner - активация
Перезагрузка
Вставить заготовку для QuarantineFile() - помещение файла в карантин
Вставить заготовку для BC_QrFile() - помещение файла в карантин через BC
Вставить заготовку для DeleteFile() - удаление файла
Вставить заготовку для DelCLSID() - удаление CLSID класса из реестра
Дополнительные операции:
Оптимизация - отключить службу RemoteRegistry (Удаленный реестр)
Оптимизация - отключить службу TermService (Службы терминалов)
Оптимизация - отключить службу SSDPSRV (Служба обнаружения SSDP)
Оптимизация - отключить службу Messenger (Служба сообщений)
Оптимизация - отключить службу Alerter (Оповещатель)
Оптимизация - отключить службу Schedule (Планировщик заданий)
Оптимизация - отключить службу RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
Оптимизация - безопасность - отключить автозапуск программ с CD
Оптимизация - безопасность - отключить административный доступ к локальным дискам
Оптимизация - безопасность - блокировать возможность подключения анонимных пользователей
Безопасность: IE - запретить использование ActiveX, не помеченных как безопасные
Безопасность: IE - запретить загрузку неподписанных элементов ActiveX
Безопасность: IE - запретить автоматические запросы элементов управления ActiveX

Список файлов