Подмена PID. Что это такое и как бороться?

[Андрей797979]

Вопрос ко всем! С помощью AVZ 4.30 произвел проверку своего компа (в последнее время стал медленней работать, зависать с полосочками на экране, не всегда включается-тока лого) и вот что он выискал...обнаружена подмена PID. дело в том что я не программист и не имею ни какого образования по компам (чайник!) что делать?

hijackthis.log

virusinfo_syscheck.zip

virusinfo_syscure.zip

[thyrex]

На Vista такое бывает часто. Скорее всего ложная тревога.

Тем более у Вас уровень эвристики включен на максимум. Отсюда и замедление в работе

[Андрей797979]

от чего же не запланированные отключения? некоторые проги не всегда запускаются...в диспечере в приложениях видны, а воспользоваться не могу...и как отладить восьмой пункт. автозапуск отключал, он все равно пишет

8. Поиск потенциальных уязвимостей

>> Безопасность: разрешен автозапуск программ с CDROM

>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)

>> Безопасность: к ПК разрешен доступ анонимного пользователя

>> Безопасность: Разрешена отправка приглашений удаленному помошнику

 

На Vista такое бывает часто. Скорее всего ложная тревога.

Тем более у Вас уровень эвристики включен на максимум. Отсюда и замедление в работе

да но месяц назад проверял avz таких результатов не было

 

проверка касперским показавает через раз на подозрение Rootkit. отмахнуться на висту-проще простого.

[thyrex]

Пункт 8 Вам должен исправить скрипт

Автозапуск с других носителей у Вас и так отключен

 

Восстановление системы отключите

 

Выполните скрипт в AVZ

 begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\C340~1\AppData\Local\Temp\SYBHMU.exe','');
QuarantineFile('C:\Users\C340~1\AppData\Local\Temp\OLKMOXGBYM.exe','');
QuarantineFile('C:\Users\C340~1\AppData\Local\Temp\HED.exe','');
QuarantineFile('C:\Users\C340~1\AppData\Local\Temp\GYLBGH.exe','');
QuarantineFile('C:\Users\C340~1\AppData\Local\Temp\FKCT.exe','');
QuarantineFile('C:\Users\C340~1\AppData\Local\Temp\BXLOWU.exe','');
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
RebootWindows(true);
end.

Компьютер перезагрузится.

 

Выполнить скрипт в AVZ.

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

quarantine.zip из папки AVZ отправьте на newvirus@kaspersky.com. В письме укажите пароль на архив virus. Полученный ответ сообщите здесь.

 

Где находит руткит?

 

Скачайте Gmer, запустите программу. После автоматической экспресс-проверки, отметьте галочкой системный диск и нажмите на кнопку "Scan". После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение. Если не будет запускаться, попробуйте переименовать gmer.exe, например, в game.exe

Изменено 8 мая, 2009 пользователем thyrex

[Андрей797979]

извините, а в Vista как отключить восстановление?

[Гриша]

http://support.kaspersky.ru/viruses/solutions?qid=208635440

[thyrex]

AVZ в следующий раз запускайте от имени администратора. По правой кнопке.

Да и gmer тоже

[Андрей797979]

после выполнения скрипта

begin

SearchRootkit(true, true);

SetAVZGuardStatus(True);

QuarantineFile('C:\Users\C340~1\AppData\Local\Temp\SYBHMU.exe','');

QuarantineFile('C:\Users\C340~1\AppData\Local\Temp\OLKMOXGBYM.exe','');

QuarantineFile('C:\Users\C340~1\AppData\Local\Temp\HED.exe','');

QuarantineFile('C:\Users\C340~1\AppData\Local\Temp\GYLBGH.exe','');

QuarantineFile('C:\Users\C340~1\AppData\Local\Temp\FKCT.exe','');

QuarantineFile('C:\Users\C340~1\AppData\Local\Temp\BXLOWU.exe','');

RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);

RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);

RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);

RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);

BC_ImportAll;

ExecuteSysClean;

BC_Activate;

RebootWindows(true);

end.

комп перезегружается, тока зависает на лого...ждал минут 5...принудительно перезапустил(пробовал повтор-тоже самое)

далее скачал прогу, запустил сканирование...в начале сканирует, потом виснет наглухо( на всем известные кнопки ctri+alt+del не реагирует) приходиться в принудительном порядке перезапустить через кнопку power. перезапустил систему, переименовал файлик, запустил на сканирование, то же что и в первый раз

 

каспер ругается иногда на подозрение руткита...не указывая путей и объектов

 

...и еще не знаю где пароль на архив quarantine?

[Falcon]

Паролем является слово virus. Данный пароль укажите в письие, когда будете отправлять архив на newvirus@kaspersky.com, чтобы аналитики знали, какой пароль установлен.

 

Скачайте Vba32 AntiRootkit отсюда или отсюда.

 

- Распакуйте архив и запустите программу (исполняемый файл Vba32arkit.exe);

- Уберите галочку с Use AntiVirus Kernel;

- Вверху слева выберите меню File -> Logging State и нажмите Start;

- Сохраните лог (файл Vba32arkitLog), запакуйте его в архив и прикрепите его к следующему сообщению.

Изменено 8 мая, 2009 пользователем Falcon

[Андрей797979]

удалось запустить gmer. жду когда закончит сканирование. Сколько уходит у newvirus@kaspersky.com на ответ?

[Falcon]

от 10-15 минут, до 1 дня, в зависимости от загруженности аналитиков.

[thyrex]

Как повезет. Некоторым отвечают быстро

[Dzon]

удалось запустить gmer. жду когда закончит сканирование. Сколько уходит у newvirus@kaspersky.com на ответ?

 

 

 

отвечают сразу и оперативно, без задержек - мне ответили через 1 час.

[Андрей797979]

вот лог gmer

 

 

лог от Vba32arkit_beta

 

от newvirus@kaspersky.com пока тишина. а по логам которые выложил, че нить есть нового?

gmer.log

Vba32ArkitLog.rar

[Falcon]

Я по логам ничего явно зловредного не углядел.

 

Скачайте Malwarebytes' Anti-Malware, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - нажмите "Remove Selected" (удалить выделенные). Откройте лог и скопируйте в сообщение.

Изменено 8 мая, 2009 пользователем Falcon