Перейти к содержанию

Странное поведение системы.


Steel Rain

Рекомендуемые сообщения

Всем доброго времени суток.

 

Ситуация следующая. Ноутбук, операционка Win XP Prof SP3, установлен KAV. Практически сразу после авторизации в системе появляется сообщения вида: Инструкция по адресу "0х..." обратилась к памяти по адресу "0х00000000". Память не может быть "writen". Каждый раз ошибки возникают в разных приложениях. Чаще всего wscntfy.exe, explorer.exe, dwwin.exe. Затем каспер выдает сообщение вида: Обнаружено: потенциально опасное ПО Invider далее указания на разные процессы, но чаще всего C:\windows\system32\svchost.exe, внедриться пытается, как правило, в dwwin.exе. Далее система продолжает работу, но периодически появляются сообщения о крахе того или иного приложения. Так же после 5-10 минут не удается ничего запустить, сразу вываливается критическая ошибка.

При полной проверке каспер обнаружил Trojan.Win32.Buzus.hymv, Trojan.Win32.Jorik.Buterat.cl, Hoax.Win32.ArchSMS.icvk. AVZ ничего не находит. Пробовал проверить на Kido утилитой KK, пусто (вроде маскировался он под svсhost похожим образом). Все остальное запустить не удалось (ComboFix, GMER, HiJack и т.п.) вылетают через несколько секунд после запуска с критической ошибкой. В SafeMode грузиться нормально, подобных проблем не наблюдается. Удалось запустить HiJack.

Вот чувствую бесовское, а доказать не могу... :)

virusinfo_syscure.zip

virusinfo_syscheck.zip

hijackthis.log

Изменено пользователем Steel Rain
Ссылка на комментарий
Поделиться на другие сайты

Выполните скрипт в avz

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\lopquicosub.dat','');
DeleteFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\lopquicosub.dat');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\SENS\Parameters','ServiceDll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

 

Выполнить скрипт в AVZ.

begin
CreateQurantineArchive(RegKeyStrParamRead('HKCU','Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders','Desktop')+'\avz_quarantine.zip');
end.

Карантин сохранится на рабочем столе.

Карантин отправьте на newvirus@kaspersky.com

Сделайте новые логи

Изменено пользователем snifer67
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты

Кажется вылечилось. Ошибка обращения к памяти не выскакивает после входа в систему и сообщение о внедрении в другой процесс тоже. HiJack запустился. Пройдусь ещё разок AVZ и каспером.

 

Сейчас в процессе проверки обнаружился Exploit.Java.CVE-2010-4452.a

 

Новые логи:

hijackthis.log

virusinfo_syscheck.zip

virusinfo_syscure.zip

Изменено пользователем Steel Rain
Ссылка на комментарий
Поделиться на другие сайты

При втором проходе нашел Hoax.Win32.ArchSMS.icvk

Похоже система все ещё заражена, хотя явных признаков нет. Что посоветуете?

Изменено пользователем Steel Rain
Ссылка на комментарий
Поделиться на другие сайты

При втором проходе нашел Hoax.Win32.ArchSMS.icvk

Похоже система все ещё заражена, хотя явных признаков нет. Что посоветуете?

Программы класса hoax не очень опасны статья http://www.securelist.com/ru/descriptions/...32.ArchSMS.icyk

Ссылка на комментарий
Поделиться на другие сайты

Меня настораживает не что именно он находит, а то что при каждом проходе что то находит.

Господа, гляньте логи пожалуйста. Есть там что нибудь подозрительное?

Изменено пользователем Steel Rain
Ссылка на комментарий
Поделиться на другие сайты

Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\DOWNLO~1\hwti850.ocx','');
QuarantineFile('C:\Program Files\Messenger\msmsgs.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\dgderdrv.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\adiusbae.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\adildr.sys','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\MEMORY\S-v-6-2009\PeAcE.exe','');
DeleteFile('C:\MEMORY\S-v-6-2009\PeAcE.exe');
DeleteFile('D:\autorun.inf');
DelCLSID('67XOR2B0-3GMC-89VV-JIJ1-24KL2R3251431');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Для создания архива с карантином выполните скрипт:

begin
CreateQurantineArchive(GetAVZDirectory + 'Qurantine.zip');
end.

Отправьте на проверку файл Quarantine.zip из папки AVZ через данную форму или через личный кабинет (если являетесь пользователем продуктов Лаборатории Касперского и зарегистрированы).

Для получения ответа в более короткий срок отправьте Ваш запрос через Личный кабинет.

В строке "Подробное описание возникшей ситуации:" укажите пароль на архив "virus" (без кавычек).

В строке "Электронный адрес:" укажите адрес своей электронной почты.

Полученный ответ сообщите в этой теме.

 

Проверьте наличие файла

C:\Program Files\Messenger\msmsgs.exe

если его нет, пофиксите в HijackThis (некоторых строк после выполнения первого скрипта AVZ может уже не быть):

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)

 

После проведённого лечения рекомендуется:

- установить все обновления на Windows (может потребоваться активация Windows)

- проверить на наличие уязвимостей в ОС и используемом ПО / установить актуальные версии используемого ПО (подробнее)

 

Сделайте новые логи по правилам.

+

Скачайте Malwarebytes' Anti-Malware здесь или здесь.

Установите mbam-setup.exe

Обновите базы.

Выберите "Perform Full Scan/Полное сканирование", нажмите "Scan/Сканирование", после сканирования - Ok - "Show Results/Показать результаты".

Полученный лог прикрепите к сообщению.

+

сделайте отчёт GSI

http://forum.kasperskyclub.ru/index.php?sh...ost&p=55906

  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты

Из вирусной лаборатории пока ответа нет ни по первому ни по второму запросу. C:\Program Files\Messenger\msmsgs.exe отсутствует. Anti-Malware кое что нашел.

D:\autorun.inf удалять не стал, в нем ничего криминального, это автонастройка WiFi, записал на диск восстановления. Да и по первому запросу ответ пришел:

 

autorun.inf,

bcqr00001.dat,

bcqr00002.dat

 

Вредоносный код в файлах не обнаружен.

 

lopquicosub.dat

 

Файл в процессе обработки.

 

отчёт GSI

http://www.getsysteminfo.com/read.php?file...7bb6a04ccf82e97

 

P.S. сейчас при проверке касперским с обновленными базами обнаружен Packed.Win32.Krap.hc Откуда оно берется то?!

GetSystemInfo_CHASER_Hamster_2011_07_27_11_30_39.zip

mbam_log_2011_07_27__11_01_23_.txt

virusinfo_syscheck.zip

virusinfo_syscure.zip

hijackthis.log

Изменено пользователем Steel Rain
Ссылка на комментарий
Поделиться на другие сайты

Удалите в MBAM ТОЛЬКО следующие объекты:

Зараженные ключи в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSSMGR (Trojan.Downloader) -> No action taken.

Зараженные файлы:
C:\Documents and Settings\Hamster\Application Data\netprotocol.exe (Trojan.Agent) -> No action taken.
E:\DiskC\Documents and Settings\Hamster\Application Data\FieryAds\FieryAdsUninstall.exe (Adware.FieryAds) -> No action taken.

После удаления откройте лог и прикрепите его к сообщению.

 

кейгены - на своё усмотрение.

 

сейчас при проверке касперским с обновленными базами обнаружен Packed.Win32.Krap.hc

где обнаружен?

 

Kerio WinRoute Firewall ранее стоял?

  • Не согласен 1
Ссылка на комментарий
Поделиться на другие сайты

С MBAM я поторопился и удалил все, ну и закрыл его, так понимаю теперь что бы лог сделать нужно снова полную проверку запустить.

Packed.Win32.Krap.hc обнаружен в System Volume Information

От Kerio установлен VPN client и консоль администирования

Изменено пользователем Steel Rain
Ссылка на комментарий
Поделиться на другие сайты

С MBAM я поторопился

деинсталлируйте MBAM

 

обнаружен в System Volume Information

очистите точки восстановления системы

 

От Kerio установлен VPN client и консоль администирования

это необходимо? драйвер от данного ПО является потенциально несовместимым с продуктами LK

 

в остальном всё чисто, если Вы прислушались к данным рекомендациям:

После проведённого лечения рекомендуется:

- установить все обновления на Windows (может потребоваться активация Windows)

- проверить на наличие уязвимостей в ОС и используемом ПО / установить актуальные версии используемого ПО (подробнее)

Ссылка на комментарий
Поделиться на другие сайты

Всем доброго времени суток.

 

Ситуация следующая. Ноутбук, операционка Win XP Prof SP3, установлен KAV. Практически сразу после авторизации в системе появляется сообщения вида: Инструкция по адресу "0х..." обратилась к памяти по адресу "0х00000000". Память не может быть "writen". Каждый раз ошибки возникают в разных приложениях. Чаще всего wscntfy.exe, explorer.exe, dwwin.exe. Затем каспер выдает сообщение вида: Обнаружено: потенциально опасное ПО Invider далее указания на разные процессы, но чаще всего C:\windows\system32\svchost.exe, внедриться пытается, как правило, в dwwin.exе. Далее система продолжает работу, но периодически появляются сообщения о крахе того или иного приложения. Так же после 5-10 минут не удается ничего запустить, сразу вываливается критическая ошибка.

При полной проверке каспер обнаружил Trojan.Win32.Buzus.hymv, Trojan.Win32.Jorik.Buterat.cl, Hoax.Win32.ArchSMS.icvk. AVZ ничего не находит. Пробовал проверить на Kido утилитой KK, пусто (вроде маскировался он под svсhost похожим образом). Все остальное запустить не удалось (ComboFix, GMER, HiJack и т.п.) вылетают через несколько секунд после запуска с критической ошибкой. В SafeMode грузиться нормально, подобных проблем не наблюдается. Удалось запустить HiJack.

Вот чувствую бесовское, а доказать не могу... :)

 

Способ №1.

 

Отключить службу «Предотвращение выполнения данных» (Data execution prevention), которая осуществляет контроль доступа к памяти. Для ее отключения необходимо внести небольшие коррективы в файл boot.ini. Файл размещен в корне диска, на котором установлена операционная система. Для доступа к нему, откройте «Мой компьютер» и в адресной строке сверху введите %systemdrive%\Boot.ini и нажмите Enter. Или же другим способом: «Пуск» -> «Выполнить» -> %systemdrive%\Boot.ini -> ОК. Есть еще третий способ доступа к файлу boot.ini: «Пуск» -> «Панель управления» -> «Система» -> «Дополнительно» -> «Загрузка и восстановление: Параметры» -> «Правка».

 

Открыв файл, найдите параметр «/noexecute=optin» и замените слово optin на alwaysoff. Т.е. параметр должен иметь вид «/noexecute=alwaysoff». После этого сохраните файл (Файл -> Сохранить) и перезагрузите компьютер.

 

Есть, правда, одно «но» - файл boot.ini может быть защищен от записи и откажется сохраняться. Поэтому необходимо открыть системный диск (по умолчанию С), выбрать в верхнем меню пункт «Сервис» -> «Свойства папки» -> «Вид» и, прокрутив ползунок до самого низа, поставить галочку напротив пункта «Показывать скрытые файлы и папки». После этого вы сможете увидеть файл boot.ini. Щелкните по нему правой кнопкой мыши и выберите «Свойства», после чего снимите галочку напротив пункта «Только чтение». Теперь можно вносить в файл любые коррективы и сохранять без проблем.

 

Способ №2.

 

Причиной ошибки может быть также некорректно установленная библиотека ole32.dll. Некоторые программы при установке/удалении могут повредить ключи в реестре, относящиеся к этой библиотеке. Для переустановки библиотеки, нажмите «Пуск» -> «Выполнить» и введите команду «regsvr32 %SystemRoot%\system32\ole32.dll» (без кавычек), после чего нажмите ОК и перезагрузите компьютер.

 

Способ №3.

 

Можно также попробовать отключить в операционной системе Windows все сообщения об ошибках, и об ошибке «Память не может быть read» в том числе. Для этого отправляемся по следующему пути: «Пуск» -> «Панель управления» -> «Система» -> «Дополнительно» -> «Отчет об ошибках» и ставим галочку напротив пункта «Отключить отчет об ошибках», убрав при этом галочку напротив «Но уведомлять о критических ошибках». Перезагружаем компьютер.

 

Вот, в принципе, наиболее действенные способы. Если в вашем случае решить проблему ни одним из этих способов не удалось, попробуйте отключить компьютер на некоторое время от шнура питания (выключить из розетки), дав оперативной памяти полностью обнулиться. Если не помогло – попробуйте на время заменить планку оперативной памяти или переустановить Windows (кстати, сборка ZverCD также может быть виной этой ошибки).

 

Строгое предупреждение от модератора ТроПа
Пожалуйста, воздержитесь в дальнейшем от подобной помощи. Нужно бороться с вредоносным ПО, а не с симмтомами его наличия в системе.
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты

Отключить службу «Предотвращение выполнения данных» (Data execution prevention), которая осуществляет контроль доступа к памяти.

 

Можно также попробовать отключить в операционной системе Windows все сообщения об ошибках, и об ошибке «Память не может быть read» в том числе.

 

Т.е. вы предлагаете не устранять проблему, а отключить сообщения об ошибках? :)

 

snifer67 Roman_Five спасибо за помощь.

Изменено пользователем Steel Rain
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты

Строгое предупреждение от модератора C. Tantin
Выбирайте, пожалуйста, выражения.

Устное предупреждение за нарушение пп. 6, 17 правил форума

  • Не согласен 1
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • yare4kaa
      От yare4kaa
      Здравствуйте, был в рейсе и не чистил пк от вирусов, заразился много фигней, нужна помощь специалистов.
      Логи ниже CollectionLog-2024.11.25-18.32.zip
    • Gillox
      От Gillox
      При игре в Тарков, а так же просто использовании пк без нагрузки время от времени крашется система. Думаю, подцепил майнер. Выдает синие экраны, либо пк просто перезагружается с черным экраном. Коды ошибок: 
      Memory_Management System Thread Exception not handled System Service Exception (Что вызвало проблему: Ntfs.sys) Kernel_Mode Heap Corruption CollectionLog-2024.11.04-18.56.zip
       
      Так же перестала работать панель уведомлений справа (при открытии она полностью пустая без значков и тут же закрывается) и комбинация win+shift+s перестает работать после первого использования после перезапуска пк.
    • Pomka.
      От Pomka.
      короче простым клубням тут не место ?
    • Serg1619
      От Serg1619
      С утра на сервере все значки стали тектостовыми файлами с расширением abdula.a@aol.com,при открытии фаилой везде открывается блокном с требованием написать им на почту для того чтоб разблокировать.
      Как то можно расшифровать все файлы?или все уже безнадежно?
    • MiStr
      От MiStr
      То, над чем мы так долго работали; то, о чём вы не раз спрашивали; то, что теперь будет постоянно обновляться и публиковаться — текущий рейтинг фан-клубовцев. Наконец мы решили все организационные и технологические вопросы, получили и агрегировали данные по программам, участвующим в рейтинговой системе мотивации фан-клубовцев, и теперь готовы ежемесячно публиковать текущий рейтинг. Всё это для того, чтобы каждый фан-клубовец видел, на каком месте он находится в данный момент, мог оценить свои шансы на попадание в список приглашённых на празднование очередного дня рождения фан-клуба, зарядить себя мотивацией и с новыми силами продолжить участвовать в многочисленных программах, за активность в которых начисляются клабы.
       
      Рейтинг фан-клубовцев по состоянию на 03.02.2019 (Ник / количество клабов):
       
       
      Внимание! Опубликованные данные носят текущий информационный характер и не являются окончательным результатом. Публикация рейтинга не означает, что подсчитаны абсолютно все активности, в которых участвовал фан-клубовец до даты публикации рейтинга, поскольку информация об участии фан-клубовцев в программах поступает к нам с задержкой от нескольких дней до нескольких месяцев.
       
      Напоминаем, что согласно правилам рейтинговой системы, любые вопросы, связанные с начислением клабов, принимаются в течение 30 дней с момента обновления рейтинга участника. По истечении этого срока количество начисленных клабов не пересматривается. Поэтому если у вас возникли вопросы по начислению клабов, то отправьте письмо мне с копией Elly. В письме сообщите, какой размер вашего рейтинга должен быть и приложите соответствующие расчёты. Письма без конкретных расчётов или содержащие неконкретную информацию вида "Мне кажется, у меня должно быть немного больше" рассматриваться не будут.
×
×
  • Создать...