Перехват API функций

iskander-k · Конфигурация компьютера

ники, Перепутали "virusinfo_syscheck.zip" с "virusinfo_cure.zip"
Нужен "virusinfo_syscheck.zip"

ники · Отправлено: **20:58, 06-04-2009** | #3

iskander-k, virusinfo_syscheck.zip а как получить этот зип?

iskander-k · Конфигурация компьютера

Не до конца прочитали правила. Выделено жирным.

Цитата:

3.1. Закройте все программы, временно выключите антивирус, firewall и другое защитное программное обеспечение, оставьте запущенным Internet Explorer. Временно можете включить брандмауэр Windows или отключить компьютер от сети интернет, если не хотите оставить компьютер беззащитным от угроз из сети интернет.
3.2. В случае, если вы ранее скачали утилиту Kaspersky Virus Removal Tool, вы можете сформировать следующий лог файл с помощью этой утилиты: запустите её, выберите ручное лечение, нажмите Сбор информации о системе. После окончания сканирования перезагрузите компьютер и пропустите п.п. 3.3 и 3.4. 3.3. Запустите AVZ (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора), выберите из меню Файл - Стандартные скрипты и поставьте галку напротив 3-го скрипта и нажмите "Выполнить отмеченные скрипты". В результате выполнения скрипта в папке AVZ\LOG будет создан файл virusinfo_syscure.zip. После выполнения скрипта обязательно перезагрузите компьютер.
3.4. Запустите AVZ, выберите из меню Файл - Стандартные скрипты, поставьте галку напротив 2-го скрипта и нажмите "Выполнить отмеченные скрипты". В результате выполнения скрипта в папке AVZ\LOG будет создан файл virusinfo_syscheck.zip. Закройте AVZ.

Pili · Отправлено: **08:37, 07-04-2009** | #5

ники, В логах чисто, вероятно антивирус отработал, плюс у вас отключен автозапуск, заразиться вы могли только из сети, если червь типа kido (обновления все установлены, брандмауэр включен?) Всё из RECYCLER на диске С: и флешке можете удалить, файлы vbs могут быть и легитмные, но в вашем случае скорее всего зловреды (тем более если на флешке), если их не определяет антивирус, можете запаковать с паролем virus и отправить в вирлаб на newvirus@kaspersky.com, подозрительные фалы также сами можете проверить на virustotal.com
Рекомендую установить WindowsXP SP3 и все последующие обновления - http://windowsupdate.microsoft.com

ники · Отправлено: **11:07, 07-04-2009** | #6

файл "virusinfo_syscheck.zip" непоявляется пробовал 3 раза запускаю 3-й скрипт успешно выполняется но файла нету в папке лог.
в протоколе:
!!! Внимание !!! Восстановлено 41 функций KiST в ходе работы антируткита
Это может нарушить нормальную работу ряда программ, поэтому настоятельно рекомендуется перезагрузить компьютер
компьютер перегружаю, но окончательно руткита неудается удалить т.к при каждом новом запуске системы авз обезвреживает руткит, скорее всего гдето драйвер .
Подозрение на скрытую загрузку библиотек через AppInit_DLLs: "C:\PROGRA~1\1224\KASPER~1\mzvkbd.dll,C:\PROGRA~1\1224\KASPER~1\mzvkbd3.dll,C:\PROGRA~1\1224\KASPER~ 1\adialhk.dll"

Pili · Отправлено: **11:42, 07-04-2009** | #7

Цитата ники:

файл "virusinfo_syscheck.zip" непоявляется пробовал 3 раза запускаю 3-й скрипт »

virusinfo_syscheck.zip - результат 2-го скрипта AVZ, лог от 3-го скрипта virusinfo_syscure.zip вы уже выложили в 1-м посте, по нему чисто.

Цитата ники:

Подозрение на скрытую загрузку библиотек через AppInit_DLLs: "C:\PROGRA~1\1224\KASPER~1\mzvkbd.dll,C:\PROGRA~1\1224\KASPER~1\mzvkbd3.dll,C:\PROGRA~1\1224\KAS PER~ 1\adialhk.dll" »

Библиотеки от антивируса касперского.
Какие проблемы, связанные с вирусами, наблюдаются?

ники · Отправлено: **12:09, 07-04-2009** | #8

Антивирус работает нормально, ессли же в статистике 6 вредоносных програм и 2 трояна, а удалено только 1 вредоносная.
И кис сообщает что неизвестное приложение, или же опера, проводник обрашается к архиву на рабочет столе, в архиве запароленный хиренс бутсиди как к ниму опера может обращатся напонятно.
В диспетчере задач странный процесс wpabalan.exe и два avp.exe

Pili · Отправлено: **12:28, 07-04-2009** | #9

ники, в логах чисто.

Цитата ники:

В диспетчере задач странный процесс wpabalan.exe и два avp.exe »

Точно wpabalan.exe, а не wpabaln.exe? Покажите скриншот, где у вас wpabalan.exe в процессах?

Цитата ники:

как к ниму опера может обращатся напонятно. »

Очистите кэш браузера с помощью ATF Cleaner.

Скачайте Malwarebytes Anti-Malware здесь,здесь, здесь или здесь. Установите, обновите базы, выберите Perform Full Scan (Провести полную проверку), нажмите Scan (Проверить), после сканирования выберите Ок и далее Show Results (Показать результаты), нажмите Remove Selected (удалить выделенные, внимание - проверьте то, что удаляете). После удаления откройте лог и скопируйте в сообщение. Логи сканирования можно посмотреть во вкладке Logs (Отчеты), выбрав отчет и нажав кнопку Open (Открыть)

Скачайте OTListIt2, сохраните на рабочий стол и запустите, выберите: Scan All Users, Minimal Output, File Age: 30 Days, поставьте галочку LOP Check, Purity Check и в Extra Registry - Use Safe list. Нажмите Run Scan, когда закончится процесс сканирования, откроются два файла OTListIt.Txt и Extras.txt , скопируйте (Ctrl+A, Ctrl+C) текст из этих файлов и вставьте (Ctrl+V) в следующее сообщение, если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте полученные логи C:\OTListIt.Txt и C:\Extras.txt и прикрепите к сообщению.

Скачайте Gmer, запустите программу. После автоматической экспресс-проверки, отметьте галочкой системный диск и нажмите на кнопку Scan. После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение

ники · Отправлено: **15:53, 07-04-2009** | #10

Malwarebytes Anti-Malware ничего ненашол в логе все по нулям - невыкладываю.

после установки оутпоста и перезагрузки появилось следующее:
1) Приложение пытается перехватить нажатия клавиш
Приложение: AVP.EXE
Метод: AttachThreadInput
2) Generic Host Process for Win32 Services
прилож. пытается получить контроль над поведением другого сетевего прилож. с помощью OLE
Приложение: SVCHOST.EXE
Данные: C:\PROGRAM FILES\2355\OUTPOST FIREWALL PRO\ACS.EXE
Порт: \RPC Control\OLE572D5D7205F3449F90B.............