Протокол исследования системы

Настройки LSP проверены. Ошибок не обнаружено

127.0.0.1 jL.chura.pl

Протокол антивирусной утилиты AVZ версии 4.30
Сканирование запущено в 16.05.2009 9:25:18
Загружена база: сигнатуры - 223554, нейропрофили - 2, микропрограммы лечения - 56, база от 15.05.2009 21:52
Загружены микропрограммы эвристики: 372
Загружены микропрограммы ИПУ: 9
Загружены цифровые подписи системных файлов: 112009
Режим эвристического анализатора: Максимальный уровень эвристики
Режим лечения: выключено
Версия Windows: 6.0.6001, Service Pack 1 ; AVZ работает с правами администратора
Восстановление системы: включено
1. Поиск RootKit и программ, перехватывающих функции API
1.1 Поиск перехватчиков API, работающих в UserMode
 Анализ kernel32.dll, таблица экспорта найдена в секции .text
 Анализ ntdll.dll, таблица экспорта найдена в секции .text
 Анализ user32.dll, таблица экспорта найдена в секции .text
 Анализ advapi32.dll, таблица экспорта найдена в секции .text
 Анализ ws2_32.dll, таблица экспорта найдена в секции .text
 Анализ wininet.dll, таблица экспорта найдена в секции .text
 Анализ rasapi32.dll, таблица экспорта найдена в секции .text
 Анализ urlmon.dll, таблица экспорта найдена в секции .text
 Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
 Драйвер успешно загружен
 SDT найдена (RVA=12C8C0)
 Ядро ntoskrnl.exe обнаружено в памяти по адресу 84C4A000
   SDT = 84D768C0
   KiST = 84CB78D0 (391)
Проверено функций: 391, перехвачено: 0, восстановлено: 0
1.3 Проверка IDT и SYSENTER
 Анализ для процессора 1
 Проверка IDT и SYSENTER завершена
1.4 Поиск маскировки процессов и драйверов
Маскировка процесса с PID=484, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 484)
Маскировка процесса с PID=532, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 532)
Маскировка процесса с PID=576, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 576)
Маскировка процесса с PID=948, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 948)
Маскировка процесса с PID=988, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 988)
Маскировка процесса с PID=840, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 840)
Маскировка процесса с PID=2276, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 2276)
Маскировка процесса с PID=2560, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 2560)
Маскировка процесса с PID=2780, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 2780)
Маскировка процесса с PID=2828, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 2828)
Маскировка процесса с PID=2840, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 2840)
Маскировка процесса с PID=2944, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 2944)
Маскировка процесса с PID=3040, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 3040)
Маскировка процесса с PID=3076, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 3076)
Маскировка процесса с PID=3084, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 3084)
Маскировка процесса с PID=3092, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 3092)
Маскировка процесса с PID=3152, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 3152)
Маскировка процесса с PID=3348, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 3348)
Маскировка процесса с PID=3668, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 3668)
Маскировка процесса с PID=4008, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 4008)
Маскировка процесса с PID=4024, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 4024)
Маскировка процесса с PID=2940, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 2940)
Маскировка процесса с PID=2448, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 2448)
Маскировка процесса с PID=2928, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 2928)
Маскировка процесса с PID=3180, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 3180)
Маскировка процесса с PID=3152, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 3152)
Маскировка процесса с PID=3772, имя = ""
 >> обнаружена подмена PID (текущий PID=0, реальный = 3772)
 Поиск маскировки процессов и драйверов завершен
 Драйвер успешно загружен
1.5 Проверка обработчиков IRP
\FileSystem\ntfs[IRP_MJ_CREATE] = 86BBE1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_CLOSE] = 86BBE1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_WRITE] = 86BBE1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_INFORMATION] = 86BBE1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_INFORMATION] = 86BBE1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_EA] = 86BBE1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_EA] = 86BBE1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_VOLUME_INFORMATION] = 86BBE1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_VOLUME_INFORMATION] = 86BBE1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DIRECTORY_CONTROL] = 86BBE1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_FILE_SYSTEM_CONTROL] = 86BBE1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DEVICE_CONTROL] = 86BBE1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_LOCK_CONTROL] = 86BBE1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_SECURITY] = 86BBE1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_SECURITY] = 86BBE1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_PNP] = 86BBE1F8 -> перехватчик не определен
 Проверка завершена
2. Проверка памяти
 Количество найденных процессов: 63
 Количество загруженных модулей: 564
Проверка памяти завершена
3. Сканирование дисков
4. Проверка Winsock Layered Service Provider (SPI/LSP)
 Настройки LSP проверены. Ошибок не обнаружено
5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
 Проверка отключена пользователем
7. Эвристичеcкая проверка системы
Подозрение на скрытую загрузку библиотек через AppInit_DLLs: "eNetHook.dll,C:\PROGRA~1\KASPER~1\KASPER~1\r3hook.dll"
Проверка завершена
8. Поиск потенциальных уязвимостей
>> Службы: разрешена потенциально опасная служба TermService (@%SystemRoot%\System32\termsrv.dll,-268)
>> Службы: разрешена потенциально опасная служба SSDPSRV (@%systemroot%\system32\ssdpsrv.dll,-100)
>> Службы: разрешена потенциально опасная служба Schedule (@%SystemRoot%\system32\schedsvc.dll,-100)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
Проверка завершена
9. Мастер поиска и устранения проблем
Проверка завершена
Просканировано файлов: 627, извлечено из архивов: 0, найдено вредоносных программ 0, подозрений - 0
Сканирование завершено в 16.05.2009 9:26:44
Сканирование длилось 00:01:33
Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам,
то Вы можете обратиться в конференцию - http://virusinfo.info
Выполняется исследование системы


Команды скрипта
 
Добавить в скрипт команды:
Нейтрализация перехватов функций при помощи антируткита
Включить AVZGuard
BootCleaner - импорт списка удаленных файлов
Чистка реестра после удаления файлов
BootCleaner - активация
Перезагрузка
Вставить заготовку для QuarantineFile() - помещение файла в карантин
Вставить заготовку для BC_QrFile() - помещение файла в карантин через BC
Вставить заготовку для DeleteFile() - удаление файла
Вставить заготовку для DelCLSID() - удаление CLSID класса из реестра
Дополнительные операции:
Оптимизация - отключить службу TermService (@%SystemRoot%\System32\termsrv.dll,-268)
Оптимизация - отключить службу SSDPSRV (@%systemroot%\system32\ssdpsrv.dll,-100)
Оптимизация - отключить службу Schedule (@%SystemRoot%\system32\schedsvc.dll,-100)
Оптимизация - безопасность - блокировать возможность подключения анонимных пользователей
Безопасность - запретить отправку приглашений удаленному помошнику

Список файлов