Поведение, похожее на IrpTableChanger

[Steel Rain]

Всем доброго времени суток.

 

Касперский (KIS 2009 базы последние) регулярно выдает сообщение "Поведение, похожее на IrpTableChanger обнаружено. Не заблокировано". Полная проверка ничего не выявляет. Попробовал ещё пройти DrWeb CureIt! тоже ничего не нашел. Плюс ко всему пропала языковая панель и как то странно стали открываться папки, не с первого раза. В общем чую бесовское, а доказать не могу... Надеюсь на вашу помощь.

hijackthis.log

virusinfo_syscure.zip

virusinfo_syscheck.zip

[Гриша]

IrpTableChanger это реакция на работу эмулятора дисков...

[Steel Rain]

IrpTableChanger это реакция на работу эмулятора дисков...

Возможно. Только эмуляторы дисков стоят уже давным давно, а KIS ругаться стал только на прошлой неделе. И не понятно что с языковой панелью случилось... Она как бы присутствует, но на ней ничего не отображается.

[akoK]

Скачайте Malwarebytes' Anti-Malware, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - нажмите "Remove Selected" (удалить выделенные). Откройте лог и скопируйте в сообщение.

 

Скачайте RSIT или отсюда. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

[Steel Rain]

Malwarebytes' Anti-Malware 1.33

Версия базы данных: 1698

Windows 5.1.2600 Service Pack 2

 

28.01.2009 10:43:08

mbam-log-2009-01-28 (10-43-08).txt

 

Тип проверки: Полная (C:\|D:\|F:\|G:\|)

Проверено объектов: 794842

Прошло времени: 7 hour(s), 10 minute(s), 12 second(s)

 

Заражено процессов в памяти: 0

Заражено модулей в памяти: 0

Заражено ключей реестра: 0

Заражено значений реестра: 0

Заражено параметров реестра: 0

Заражено папок: 0

Заражено файлов: 5

 

Заражено процессов в памяти:

(Вредоносные программы не обнаружены)

 

Заражено модулей в памяти:

(Вредоносные программы не обнаружены)

 

Заражено ключей реестра:

(Вредоносные программы не обнаружены)

 

Заражено значений реестра:

(Вредоносные программы не обнаружены)

 

Заражено параметров реестра:

(Вредоносные программы не обнаружены)

 

Заражено папок:

(Вредоносные программы не обнаружены)

 

Заражено файлов:

D:\0_BackUp\20122007\Distr\Non_Documentum\SP_for_MS_Products\Microsoft Windows XP SP1\MiCROSOFT XP Suite KEYGEN\XPKey.exe (Trojan.Downloader) -> Quarantined and deleted successfully.

G:\Distrib\CAD\AC9 (Mercury)\Distr Add-Ons 9(5)\ArchiForma 2.05\af.exe (Trojan.Downloader) -> Not selected for removal.

G:\Distrib\Utils\PDF\Adobe Acrobat 8 Pro\adobe8_key\Adbkg.exe (Backdoor.Bot) -> Not selected for removal.

G:\Distrib\Utils\Shells\Xplorer2\Keygen\keygen.exe (Trojan.Agent) -> Not selected for removal.

G:\Разобрать!\FTP_backup\ftproot\Adobe\adobe8_key\Adbkg.exe (Backdoor.Bot) -> Not selected for removal.

info.txt

log.txt

[akoK]

DrWeb - доудалить нужно

 

Скачайте OTMoveIt3 by OldTimer или с зеркала и сохраните на рабочий стол.

Запустите OTMoveIt3 (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора)

временно выключите антивирус, firewall и другое защитное программное обеспечение. Выделите и скопируйте текст ниже (Ctrl+C)

:Processes
explorer.exe

:Services

:Files

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{0555aeb7-df02-11dd-b075-001320b0a52b}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{0555aeba-df02-11dd-b075-001320b0a52b}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{0555aec1-df02-11dd-b075-001320b0a52b}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{54b47cf1-6229-11dd-90d4-001320b0a52b}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{e7ca92fb-bc75-11dd-b06e-001320b0a52b}]
:Commands
[purity]
[emptytemp]
[start explorer]
[Reboot]

В OTMoveIt3 под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!". Выделите (Ctrl+A) и скопируйте (Ctrl+C) текст из окна под панелью "Results" (правая зеленая панель) в следующее сообщение.

Прим: Если файлы и папки не могут быть перемещены немедленно и появиться запись <deleted on reboot>, потребуется перезагрузка. После перезагрузки откройте папку "C:\_OTMoveIt\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), откройте и скопируйте текст из него в следующее сообщение.

[Steel Rain]

Вроде перестало выскакивать сообщение про IrpTables... Но языковая панель так и не восстановилась

 

========== PROCESSES ==========

Process explorer.exe killed successfully.

========== SERVICES/DRIVERS ==========

========== FILES ==========

========== REGISTRY ==========

Registry key HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{0555aeb7-df02-11dd-b075-001320b0a52b}\\ deleted successfully.

Registry key HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{0555aeba-df02-11dd-b075-001320b0a52b}\\ deleted successfully.

Registry key HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{0555aec1-df02-11dd-b075-001320b0a52b}\\ deleted successfully.

Registry key HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{54b47cf1-6229-11dd-90d4-001320b0a52b}\\ deleted successfully.

Registry key HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{e7ca92fb-bc75-11dd-b06e-001320b0a52b}\\ deleted successfully.

========== COMMANDS ==========

File delete failed. C:\DOCUME~1\MSB8FF~1.POP\LOCALS~1\Temp\hsperfdata_m.s.popov\OP_CACHE.IDX scheduled to be deleted on reboot.

File delete failed. C:\DOCUME~1\MSB8FF~1.POP\LOCALS~1\Temp\etilqs_6OzcQPyS8zBwfVe21bgB scheduled to be deleted on reboot.

File delete failed. C:\DOCUME~1\MSB8FF~1.POP\LOCALS~1\Temp\~DF74C7.tmp scheduled to be deleted on reboot.

User's Temp folder emptied.

User's Temporary Internet Files folder emptied.

User's Internet Explorer cache folder emptied.

Local Service Temp folder emptied.

File delete failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.

Local Service Temporary Internet Files folder emptied.

File delete failed. C:\WINDOWS\temp\kleaner (pid 1212) 2009-01-27 13-18-12.log scheduled to be deleted on reboot.

File delete failed. C:\WINDOWS\temp\Perflib_Perfdata_1a8.dat scheduled to be deleted on reboot.

Windows Temp folder emptied.

Java cache emptied.

File delete failed. C:\Documents and Settings\m.s.popov\Local Settings\Application Data\Mozilla\Firefox\Profiles\7jt8uhfv.default\Cache\_CACHE_001_ scheduled to be deleted on reboot.

File delete failed. C:\Documents and Settings\m.s.popov\Local Settings\Application Data\Mozilla\Firefox\Profiles\7jt8uhfv.default\Cache\_CACHE_002_ scheduled to be deleted on reboot.

File delete failed. C:\Documents and Settings\m.s.popov\Local Settings\Application Data\Mozilla\Firefox\Profiles\7jt8uhfv.default\Cache\_CACHE_003_ scheduled to be deleted on reboot.

File delete failed. C:\Documents and Settings\m.s.popov\Local Settings\Application Data\Mozilla\Firefox\Profiles\7jt8uhfv.default\Cache\_CACHE_MAP_ scheduled to be deleted on reboot.

File delete failed. C:\Documents and Settings\m.s.popov\Local Settings\Application Data\Mozilla\Firefox\Profiles\7jt8uhfv.default\urlclassifier3.sqlite scheduled to be deleted on reboot.

File delete failed. C:\Documents and Settings\m.s.popov\Local Settings\Application Data\Mozilla\Firefox\Profiles\7jt8uhfv.default\XUL.mfl scheduled to be deleted on reboot.

FireFox cache emptied.

Temp folders emptied.

Explorer started successfully

 

OTMoveIt3 by OldTimer - Version 1.0.8.0 log created on 01282009_154311

 

Files moved on Reboot...

C:\DOCUME~1\MSB8FF~1.POP\LOCALS~1\Temp\hsperfdata_m.s.popov\OP_CACHE.IDX moved successfully.

File C:\DOCUME~1\MSB8FF~1.POP\LOCALS~1\Temp\etilqs_6OzcQPyS8zBwfVe21bgB not found!

C:\DOCUME~1\MSB8FF~1.POP\LOCALS~1\Temp\~DF74C7.tmp moved successfully.

File move failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be moved on reboot.

C:\WINDOWS\temp\kleaner (pid 1212) 2009-01-27 13-18-12.log moved successfully.

File C:\WINDOWS\temp\Perflib_Perfdata_1a8.dat not found!

C:\Documents and Settings\m.s.popov\Local Settings\Application Data\Mozilla\Firefox\Profiles\7jt8uhfv.default\Cache\_CACHE_001_ moved successfully.

C:\Documents and Settings\m.s.popov\Local Settings\Application Data\Mozilla\Firefox\Profiles\7jt8uhfv.default\Cache\_CACHE_002_ moved successfully.

C:\Documents and Settings\m.s.popov\Local Settings\Application Data\Mozilla\Firefox\Profiles\7jt8uhfv.default\Cache\_CACHE_003_ moved successfully.

C:\Documents and Settings\m.s.popov\Local Settings\Application Data\Mozilla\Firefox\Profiles\7jt8uhfv.default\Cache\_CACHE_MAP_ moved successfully.

C:\Documents and Settings\m.s.popov\Local Settings\Application Data\Mozilla\Firefox\Profiles\7jt8uhfv.default\urlclassifier3.sqlite moved successfully.

C:\Documents and Settings\m.s.popov\Local Settings\Application Data\Mozilla\Firefox\Profiles\7jt8uhfv.default\XUL.mfl moved successfully.

[ТроПа]

Пуск--Панель управления--Язык и региональные стандарты--Вкладка Язык -- кнопка Подробнее -- Языковая панель--Галочка стоит возле отображать языковую панель?

[Steel Rain]

Кнопка "Языковая панель" была не активна. После ряда манипуляций с настройками дополнительных текстовых служб появилась.

Всем огромное спасибо за помощь, теперь все в порядке.