Ronin666
Silver Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Вот лог последнего сканирования.Кто может подсказать,все ли нормально в моей системе или есть какие-то звери?Особенно интересует пункт 1.4.Там написано,что подменили какой-то файл Dr.Web.
Протокол антивирусной утилиты AVZ версии 4.27
Сканирование запущено в 05.12.2007 23:09:17
Загружена база: 138200 сигнатур, 2 нейропрофиля, 55 микропрограмм лечения, база от 04.12.2007 16:16
Загружены микропрограммы эвристики: 371
Загружены микропрограммы ИПУ: 9
Загружены цифровые подписи системных файлов: 66761
Режим эвристического анализатора: Средний уровень эвристики
Режим лечения: включено
Версия Windows: 5.1.2600, Service Pack 2 ; AVZ работает с правами администратора
Восстановление системы: включено
1. Поиск RootKit и программ, перехватывающих функции API
1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Анализ user32.dll, таблица экспорта найдена в секции .text
Функция user32.dll:DrawIconEx (184) перехвачена, метод APICodeHijack.JmpTo[10001116]
Функция user32.dll:GetCursor (265) перехвачена, метод APICodeHijack.JmpTo[10001076]
Функция user32.dll:GetIconInfo (283) перехвачена, метод APICodeHijack.JmpTo[10001026]
Анализ advapi32.dll, таблица экспорта найдена в секции .text
Анализ ws2_32.dll, таблица экспорта найдена в секции .text
Анализ wininet.dll, таблица экспорта найдена в секции .text
Анализ rasapi32.dll, таблица экспорта найдена в секции .text
Анализ urlmon.dll, таблица экспорта найдена в секции .text
Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
Драйвер успешно загружен
SDT найдена (RVA=08A500)
Ядро ntoskrnl.exe обнаружено в памяти по адресу 804D7000
SDT = 80561500
KiST = 804E48B0 (284)
Функция NtClose (19) перехвачена (8056E9E9->A9575A74), перехватчик J:\WINDOWS\system32\drivers\sp_rsdrv2.sys
Функция NtConnectPort (1F) перехвачена (80591D6E->A95C10D2), перехватчик J:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtCreateFile (25) перехвачена (8057D3C4->A957548E), перехватчик J:\WINDOWS\system32\drivers\sp_rsdrv2.sys
Функция NtCreateKey (29) перехвачена (80577237->A957516A), перехватчик J:\WINDOWS\system32\drivers\sp_rsdrv2.sys
Функция NtCreatePort (2E) перехвачена (80599A04->A95C102C), перехватчик J:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtCreateSection (32) перехвачена (8056CE25->A9576B92), перехватчик J:\WINDOWS\system32\drivers\sp_rsdrv2.sys
Функция NtCreateThread (35) перехвачена (805849B2->A95C0D12), перехватчик J:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtDeleteFile (3E) перехвачена (805E4AD2->A95C2CB0), перехватчик J:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtDeleteKey (3F) перехвачена (80598177->A9575286), перехватчик J:\WINDOWS\system32\drivers\sp_rsdrv2.sys
Функция NtDeleteValueKey (41) перехвачена (805969F3->A957536C), перехватчик J:\WINDOWS\system32\drivers\sp_rsdrv2.sys
Функция NtLoadDriver (61) перехвачена (805B97A1->A9575D38), перехватчик J:\WINDOWS\system32\drivers\sp_rsdrv2.sys
Функция NtOpenFile (74) перехвачена (8057D538->A95757D0), перехватчик J:\WINDOWS\system32\drivers\sp_rsdrv2.sys
Функция NtOpenProcess (7A) перехвачена (8057908C->A95C1B94), перехватчик J:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtOpenSection (7D) перехвачена (8057EB4A->A95C19E0), перехватчик J:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtOpenThread (80) перехвачена (805B132C->A95C1CB0), перехватчик J:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtSetContextThread (D5) перехвачена (80633D53->A95C0BB4), перехватчик J:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtSetInformationFile (E0) перехвачена (80582BC5->A95C2DE0), перехватчик J:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtSetValueKey (F7) перехвачена (8057FF13->A9574FDA), перехватчик J:\WINDOWS\system32\drivers\sp_rsdrv2.sys
Функция NtShutdownSystem (F9) перехвачена (8064C983->A95C1FA0), перехватчик J:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtTerminateProcess (101) перехвачена (8058C399->A9575C76), перехватчик J:\WINDOWS\system32\drivers\sp_rsdrv2.sys
Функция NtWriteFile (112) перехвачена (80582E45->A95758FC), перехватчик J:\WINDOWS\system32\drivers\sp_rsdrv2.sys
Функция NtWriteFileGather (113) перехвачена (805B9309->A95C2FB4), перехватчик J:\WINDOWS\System32\DRIVERS\cmdmon.sys
Проверено функций: 284, перехвачено: 22, восстановлено: 0
1.3 Проверка IDT и SYSENTER
Анализ для процессора 1
Анализ для процессора 2
Проверка IDT и SYSENTER завершена
1.4 Поиск маскировки процессов и драйверов
Видимый процесс с PID=1436, имя = "\Device\HarddiskVolume2\Program Files\DrWeb\spiderui.exe"
>> обнаружена подмена имени, новое имя = "j:\progra~1\drweb\spiderui.exe"
Видимый процесс с PID=1776, имя = "\Device\HarddiskVolume2\Program Files\DrWeb\spidernt.exe"
>> обнаружена подмена имени, новое имя = "j:\progra~1\drweb\spidernt.exe"
Поиск маскировки процессов и драйверов завершен
2. Проверка памяти
Количество найденных процессов: 25
Количество загруженных модулей: 217
Проверка памяти завершена
3. Сканирование дисков
J:\Program Files\ClockSN\ClockS\KiFB.exe >>> подозрение на Trojan.Win32.PopUpper.e ( 0A2CCEA1 03BDCD62 001C72FC 00193499 16384)
4. Проверка Winsock Layered Service Provider (SPI/LSP)
Настройки LSP проверены. Ошибок не обнаружено
5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
В базе 317 описаний портов
На данном ПК открыто 2 TCP портов и 5 UDP портов
Проверка завершена, подозрительные порты не обнаружены
7. Эвристичеcкая проверка системы
Проверка завершена
8. Поиск потенциальных уязвимостей
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX
Проверка завершена
Просканировано файлов: 50666, извлечено из архивов: 35672, найдено вредоносных программ 0, подозрений - 1
Сканирование завершено в 05.12.2007 23:14:49
Сканирование длилось 00:05:33
Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам,
то Вы можете обратиться в конференцию - http://virusinfo.info
|
