AVZ 4.37 http://z-oleg.com/secur/avz/
| Имя файла | PID | Описание | Copyright | MD5 | Информация
| c:\program files\kaspersky lab\kaspersky internet security 2012\avp.exe | Скрипт: Kарантин, Удалить, Удалить через BC, Завершить 1532 | Kaspersky Anti-Virus | © 1997-2011 Kaspersky Lab ZAO. | ?? | 197.55 кб, rsAh, | создан: 24.04.2011 23:15:02, изменен: 24.04.2011 23:15:02 Командная строка: "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2012\avp.exe" -r c:\program files\opera\opera.exe | Скрипт: Kарантин, Удалить, Удалить через BC, Завершить 3244 | Opera Internet Browser | Copyright © Opera Software 1995-2012 | ?? | 926.86 кб, rsAh, | создан: 15.12.2010 16:55:46, изменен: 30.03.2012 22:16:22 Командная строка: "C:\Program Files\Opera\opera.exe" Обнаружено:34, из них опознаны как безопасные 34
| | |||||
| Модуль | Базовый адрес | Размер в памяти | Описание | Производитель
| C:\WINDOWS\System32\Drivers\dump_atapi.sys | Скрипт: Kарантин, Удалить, Удалить через BC B2D36000 | 018000 (98304) |
| C:\WINDOWS\System32\Drivers\dump_WMILIB.SYS | Скрипт: Kарантин, Удалить, Удалить через BC F79CF000 | 002000 (8192) |
| spon.sys | Скрипт: Kарантин, Удалить, Удалить через BC F74D6000 | 100000 (1048576) |
| Обнаружено модулей - 143, опознано как безопасные - 140
| | |||||||
| Служба | Описание | Статус | Файл | Группа | Зависимости
| Обнаружено - 91, опознано как безопасные - 91
| | ||||||
| Имя файла | Статус | Метод запуска | Описание
| C:\Documents and Settings\Артем\Local Settings\Temp\_uninst_setup_9.0.0.722_10.06.2011_06-49.exe.bat | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ярлык в папке автозагрузки | C:\Documents and Settings\Артем\Главное меню\Программы\Автозагрузка\, C:\Documents and Settings\Артем\Главное меню\Программы\Автозагрузка\_uninst_setup_9.0.0.722_10.06.2011_06-49.exe.lnk,
| C:\Documents and Settings\Артем\Local Settings\Temp\nro.tmp\SetupX.exe | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_LOCAL_MACHINE, Software\Microsoft\Windows\CurrentVersion\Run, NeroRebootSetup | Удалить C:\RECYCLER\S-1-5-21-5611661856-8648453426-672472087-7978\syscr.exe,C:\RECYCLER\S-1-5-21-9935578678-1054434936-678021224-9771\syscr.exe,C:\RECYCLER\S-1-5-21-2100624124-6094438861-868497267-6289\syscr.exe,explorer.exe,C:\Documents and Settings\Артем\Application Data\ltzqai.exe | Скрипт: Kарантин, Удалить, Удалить через BC -- | Ключ реестра | HKEY_CURRENT_USER, Software\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell
| C:\WINDOWS\System32\Drivers\AliIde.sys | Скрипт: Kарантин, Удалить, Удалить через BC -- | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\aliide, EventMessageFile
| C:\WINDOWS\System32\Drivers\CmdIde.sys | Скрипт: Kарантин, Удалить, Удалить через BC -- | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\cmdide, EventMessageFile
| C:\WINDOWS\System32\Drivers\IntelIde.sys | Скрипт: Kарантин, Удалить, Удалить через BC -- | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\intelide, EventMessageFile
| C:\WINDOWS\System32\Drivers\TosIde.sys | Скрипт: Kарантин, Удалить, Удалить через BC -- | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\toside, EventMessageFile
| C:\WINDOWS\System32\Drivers\ViaIde.sys | Скрипт: Kарантин, Удалить, Удалить через BC -- | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\viaide, EventMessageFile
| C:\WINDOWS\System32\Drivers\lbrtfdc.sys | Скрипт: Kарантин, Удалить, Удалить через BC -- | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\lbrtfdc, EventMessageFile
| C:\WINDOWS\System32\PrintFilterPipelineSvc.exe | Скрипт: Kарантин, Удалить, Удалить через BC -- | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\PrintFilterPipelineSvc, EventMessageFile
| C:\WINDOWS\System32\igmpv2.dll | Скрипт: Kарантин, Удалить, Удалить через BC -- | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\IGMPv2, EventMessageFile
| C:\WINDOWS\System32\ipbootp.dll | Скрипт: Kарантин, Удалить, Удалить через BC -- | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\IPBOOTP, EventMessageFile
| C:\WINDOWS\System32\iprip2.dll | Скрипт: Kарантин, Удалить, Удалить через BC -- | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\IPRIP2, EventMessageFile
| C:\WINDOWS\System32\ospf.dll | Скрипт: Kарантин, Удалить, Удалить через BC -- | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\OSPF, EventMessageFile
| C:\WINDOWS\System32\ospfmib.dll | Скрипт: Kарантин, Удалить, Удалить через BC -- | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\OSPFMib, EventMessageFile
| C:\WINDOWS\System32\polagent.dll | Скрипт: Kарантин, Удалить, Удалить через BC -- | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\PolicyAgent, EventMessageFile
| C:\WINDOWS\System32\tssdis.exe | Скрипт: Kарантин, Удалить, Удалить через BC -- | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\TermServSessDir, EventMessageFile
| C:\WINDOWS\system32\Cities.scr | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_CURRENT_USER, Control Panel\Desktop, scrnsave.exe | Удалить C:\WINDOWS\system32\Cities.scr | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Файл system.ini | C:\WINDOWS\system.ini, boot, SCRNSAVE.EXE
| C:\WINDOWS\system32\MsSip1.dll | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\WinTrust\SubjectPackages\MS Subjects 1, $DLL | Удалить C:\WINDOWS\system32\MsSip2.dll | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\WinTrust\SubjectPackages\MS Subjects 2, $DLL | Удалить C:\WINDOWS\system32\MsSip3.dll | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\WinTrust\SubjectPackages\MS Subjects 3, $DLL | Удалить C:\WINDOWS\system32\msvmiode.exe | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_LOCAL_MACHINE, Software\Microsoft\Windows\CurrentVersion\Run, MSODESNV7 | Удалить C:\WINDOWS\system32\pavcpl.cpl | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_LOCAL_MACHINE, SOFTWARE\Microsoft\Windows\CurrentVersion\Control Panel\Cpls, PavCPL | Удалить C:\WINDOWS\system32\psxss.exe | Скрипт: Kарантин, Удалить, Удалить через BC -- | Ключ реестра | HKEY_LOCAL_MACHINE, System\CurrentControlSet\Control\Session Manager\SubSystems, Posix
| C:\WINDOWS\system32\stisvc.exe | Скрипт: Kарантин, Удалить, Удалить через BC -- | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System, EventMessageFile
| deskpan.dll | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_LOCAL_MACHINE, Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved, {42071714-76d4-11d1-8b24-00a0c9068ff3} | Удалить kbd101.dll | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\i8042prt\Parameters, LayerDriver JPN | Удалить kbd101a.dll | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\i8042prt\Parameters, LayerDriver KOR | Удалить mvfs32.dll | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_USERS, .DEFAULT\Control Panel\IOProcs, MVB | Удалить mvfs32.dll | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_USERS, S-1-5-19\Control Panel\IOProcs, MVB | Удалить mvfs32.dll | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_USERS, S-1-5-20\Control Panel\IOProcs, MVB | Удалить mvfs32.dll | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_USERS, S-1-5-18\Control Panel\IOProcs, MVB | Удалить mvfs32.dll | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_CURRENT_USER, Control Panel\IOProcs, MVB | Удалить vgafix.fon | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_LOCAL_MACHINE, Software\Microsoft\Windows NT\CurrentVersion\WOW\boot, fixedfon.fon | Удалить vgaoem.fon | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_LOCAL_MACHINE, Software\Microsoft\Windows NT\CurrentVersion\WOW\boot, oemfonts.fon | Удалить vgasys.fon | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_LOCAL_MACHINE, Software\Microsoft\Windows NT\CurrentVersion\WOW\boot, fonts.fon | Удалить Обнаружено элементов автозапуска - 817, опознано как безопасные - 780
| | ||||||
| Имя файла | Тип | Описание | Производитель | CLSID
| Обнаружено элементов - 11, опознано как безопасные - 11
| | ||||||
| Имя файла | Назначение | Описание | Производитель | CLSID
| deskpan.dll | Скрипт: Kарантин, Удалить, Удалить через BC Расширение CPL панорамирования дисплея | {42071714-76d4-11d1-8b24-00a0c9068ff3} | Удалить Расширения оболочки для сжатия файлов | {764BF0E1-F219-11ce-972D-00AA00A14F56} | Удалить Контекстное меню шифрования | {853FE2B1-B769-11d0-9C4E-00C04FB6C6FA} | Удалить Панель задач и меню ''Пуск'' | {0DF44EAA-FF21-4412-828E-260A8728E7F1} | Удалить Учетные записи пользователей | {7A9D77BD-5403-11d2-8785-2E0420524153} | Удалить Обнаружено элементов - 198, опознано как безопасные - 193
| | ||||||||||||||||||||
| Имя файла | Тип | Наименование | Описание | Производитель
| Обнаружено элементов - 8, опознано как безопасные - 8
| | ||||||
| Имя файла | Имя задания | Состояние задания | Описание | Производитель
| Обнаружено элементов - 3, опознано как безопасные - 3
| | ||||||
| Поставщик | Статус | Исп. файл | Описание | GUID
| Обнаружено - 3, опознано как безопасные - 3
| | ||||||
| Поставщик | Исп. файл | Описание
| Обнаружено - 15, опознано как безопасные - 15
| | ||||||
| Имя файла | Описание | Производитель | CLSID | URL загрузки
| {31435657-9980-0010-8000-00AA00389B71} | Удалить http://download.microsoft.com/download/e/2/f/e2fcec4b-6c8b-48b7-adab-ab9c403a978f/wvc1dmo.cab
| Обнаружено элементов - 2, опознано как безопасные - 1
| | |||||||||
| Имя файла | Описание | Производитель
| Обнаружено элементов - 27, опознано как безопасные - 27
| | ||||||
| Имя файла | Описание | Производитель | CLSID
| Обнаружено элементов - 12, опознано как безопасные - 12
| | ||||||
| Запись файла Hosts |
| Имя файла | Тип | Описание | Производитель | CLSID
| mscoree.dll | Скрипт: Kарантин, Удалить, Удалить через BC Protocol | Microsoft .NET Runtime Execution Engine () | © Microsoft Corporation. All rights reserved. | {1E66F26B-79EE-11D2-8710-00C04F79ED0D} | Удалить mscoree.dll | Скрипт: Kарантин, Удалить, Удалить через BC Protocol | Microsoft .NET Runtime Execution Engine () | © Microsoft Corporation. All rights reserved. | {1E66F26B-79EE-11D2-8710-00C04F79ED0D} | Удалить mscoree.dll | Скрипт: Kарантин, Удалить, Удалить через BC Protocol | Microsoft .NET Runtime Execution Engine () | © Microsoft Corporation. All rights reserved. | {1E66F26B-79EE-11D2-8710-00C04F79ED0D} | Удалить Обнаружено элементов - 31, опознано как безопасные - 28
| | ||||||
| Файл | Описание | Тип
| C:\WINDOWS\system32\DRIVERS\klif.sys | Скрипт: Kарантин, Удалить, Удалить через BC Подозрение на RootKit | Перехватчик KernelMode
| spon.sys | Скрипт: Kарантин, Удалить, Удалить через BC Подозрение на RootKit | Перехватчик KernelMode
| \SystemRoot\system32\DRIVERS\klif.sys | Скрипт: Kарантин, Удалить, Удалить через BC Подозрение на RootKit | Перехватчик KernelMode
| C:\WINDOWS\system32\drivers\Haspnt.sys | Скрипт: Kарантин, Удалить, Удалить через BC Подозрение на RootKit | >>> Перехватчик KernelMode - ЦП[1].IDT[06]
| C:\WINDOWS\system32\00.exe | Скрипт: Kарантин, Удалить, Удалить через BC Подозрение эвристического анализа | ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
| C:\WINDOWS\system32\06.exe | Скрипт: Kарантин, Удалить, Удалить через BC Подозрение эвристического анализа | ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
| C:\WINDOWS\system32\14.exe | Скрипт: Kарантин, Удалить, Удалить через BC Подозрение эвристического анализа | ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
| C:\WINDOWS\system32\28.exe | Скрипт: Kарантин, Удалить, Удалить через BC Подозрение эвристического анализа | ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
| C:\WINDOWS\system32\30.exe | Скрипт: Kарантин, Удалить, Удалить через BC Подозрение эвристического анализа | ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
| C:\WINDOWS\system32\35.exe | Скрипт: Kарантин, Удалить, Удалить через BC Подозрение эвристического анализа | ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
| C:\WINDOWS\system32\37.exe | Скрипт: Kарантин, Удалить, Удалить через BC Подозрение эвристического анализа | ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
| C:\WINDOWS\system32\47.exe | Скрипт: Kарантин, Удалить, Удалить через BC Подозрение эвристического анализа | ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
| C:\WINDOWS\system32\48.exe | Скрипт: Kарантин, Удалить, Удалить через BC Подозрение эвристического анализа | ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
| C:\WINDOWS\system32\54.exe | Скрипт: Kарантин, Удалить, Удалить через BC Подозрение эвристического анализа | ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
| C:\WINDOWS\system32\58.exe | Скрипт: Kарантин, Удалить, Удалить через BC Подозрение эвристического анализа | ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
| C:\WINDOWS\system32\62.exe | Скрипт: Kарантин, Удалить, Удалить через BC Подозрение эвристического анализа | ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
| C:\WINDOWS\system32\64.exe | Скрипт: Kарантин, Удалить, Удалить через BC Подозрение эвристического анализа | ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
| C:\WINDOWS\system32\72.exe | Скрипт: Kарантин, Удалить, Удалить через BC Подозрение эвристического анализа | ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
| |
Протокол антивирусной утилиты AVZ версии 4.37 Сканирование запущено в 16.04.2012 21:18:50 Загружена база: сигнатуры - 297616, нейропрофили - 2, микропрограммы лечения - 56, база от 16.04.2012 16:00 Загружены микропрограммы эвристики: 399 Загружены микропрограммы ИПУ: 9 Загружены цифровые подписи системных файлов: 406135 Режим эвристического анализатора: Средний уровень эвристики Режим лечения: включено Версия Windows: 5.1.2600, Service Pack 2 ; AVZ работает с правами администратора Восстановление системы: Отключено 1. Поиск RootKit и программ, перехватывающих функции API 1.1 Поиск перехватчиков API, работающих в UserMode Анализ kernel32.dll, таблица экспорта найдена в секции .text Анализ ntdll.dll, таблица экспорта найдена в секции .text Анализ user32.dll, таблица экспорта найдена в секции .text Анализ advapi32.dll, таблица экспорта найдена в секции .text Анализ ws2_32.dll, таблица экспорта найдена в секции .text Анализ wininet.dll, таблица экспорта найдена в секции .text Анализ rasapi32.dll, таблица экспорта найдена в секции .text Анализ urlmon.dll, таблица экспорта найдена в секции .text Анализ netapi32.dll, таблица экспорта найдена в секции .text 1.2 Поиск перехватчиков API, работающих в KernelMode Драйвер успешно загружен SDT найдена (RVA=08A500) Ядро ntoskrnl.exe обнаружено в памяти по адресу 804D7000 SDT = 80561500 KiST = 804E48D0 (284) Функция NtAdjustPrivilegesToken (0B) перехвачена (805AE8F8->B3062FBA), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtClose (19) перехвачена (8056EA8D->B30638B4), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtConnectPort (1F) перехвачена (80591DCA->B307CAEE), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtCreateEvent (23) перехвачена (8057350B->B3063E26), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtCreateKey (29) перехвачена (80577A7A->F74D70E0), перехватчик spon.sys >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtCreateMutant (2B) перехвачена (8057D470->B3063D14), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtCreatePort (2E) перехвачена (80599A6C->B307CE06), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtCreateProcess (2F) перехвачена (805C0C98->B3064056), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtCreateProcessEx (30) перехвачена (8058AB6C->B306421E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtCreateSection (32) перехвачена (8056CE25->B3062D76), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtCreateSemaphore (33) перехвачена (80579A15->B3063F3E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtCreateSymbolicLinkObject (34) перехвачена (805A86E8->B307E110), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtCreateThread (35) перехвачена (805840DD->B30635E6), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtCreateWaitablePort (38) перехвачена (805BAABD->B307CECE), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtDebugActiveProcess (39) перехвачена (80660711->B306453C), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtDeleteKey (3F) перехвачена (805981DF->B3077084), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtDeleteValueKey (41) перехвачена (80596A23->B307888E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtDeviceIoControlFile (42) перехвачена (80586F1E->B30638F6), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtDuplicateObject (44) перехвачена (8057E299->B306553C), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtEnumerateKey (47) перехвачена (80578BF6->B3078088), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtEnumerateValueKey (49) перехвачена (8058F4B7->B3078A38), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtLoadDriver (61) перехвачена (805B9849->B306462E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtLoadKey (62) перехвачена (805DF9F9->B3077BC0), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtLoadKey2 (63) перехвачена (805DF847->B3077E1C), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtMapViewOfSection (6C) перехвачена (8057C120->B307E130), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtNotifyChangeKey (6F) перехвачена (805B1C35->B307B30A), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtOpenEvent (72) перехвачена (8058F5DD->B3063EB8), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtOpenKey (77) перехвачена (80571B19->F74D70C0), перехватчик spon.sys >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtOpenMutant (78) перехвачена (8057D51E->B3063DA0), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtOpenProcess (7A) перехвачена (8057964C->B30631F4), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtOpenSection (7D) перехвачена (8057CF33->B306497E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtOpenSemaphore (7E) перехвачена (805A8AC7->B3063FD0), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtOpenThread (80) перехвачена (805B13C6->B30630E8), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtPlugPlayControl (84) перехвачена (8059ABD1->B307E120), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtQueryKey (A0) перехвачена (805787F6->B3076EB8), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtQueryMultipleValueKey (A1) перехвачена (80654055->B3078698), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtQueryObject (A3) перехвачена (805884B3->B307B500), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtQuerySection (A7) перехвачена (805863C1->B3064EC0), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtQueryValueKey (B1) перехвачена (80571E8B->B3078488), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtQueueApcThread (B4) перехвачена (805AF421->B30647CE), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtRenameKey (C0) перехвачена (8065449B->B3077198), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtReplaceKey (C1) перехвачена (8065498E->B307780C), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtReplyPort (C2) перехвачена (80585646->B307D048), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtReplyWaitReceivePort (C3) перехвачена (8057582A->B307CF96), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtRequestWaitReplyPort (C8) перехвачена (8057DEEC->B307D0B4), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtRestoreKey (CC) перехвачена (8065349E->B3077A14), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtResumeThread (CE) перехвачена (80584754->B30653DE), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtSaveKey (CF) перехвачена (80653545->B307733E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtSaveKeyEx (D0) перехвачена (806535DB->B30774D4), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtSaveMergedKeys (D1) перехвачена (806536AD->B3077670), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtSecureConnectPort (D2) перехвачена (8058E5F2->B307CC76), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtSetContextThread (D5) перехвачена (806340DB->B3063756), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtSetInformationToken (E6) перехвачена (805B623D->B30643E8), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtSetSystemInformation (F0) перехвачена (805E5EDD->B3065010), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtSetValueKey (F7) перехвачена (805792AB->B3078248), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtSuspendProcess (FD) перехвачена (80635E77->B3065104), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtSuspendThread (FE) перехвачена (80635D93->B306523E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtSystemDebugControl (FF) перехвачена (8064F4ED->B306445E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtTerminateProcess (101) перехвачена (8058C3F5->B3063392), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtTerminateThread (102) перехвачена (805815E5->B30632EA), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtUnmapViewOfSection (10B) перехвачена (8057BCA8->B3064D78), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция NtWriteVirtualMemory (115) перехвачена (805869E5->B306347C), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! >>> Код перехватчика нейтрализован Функция FsRtlCheckLockForReadAccess (804F3C19) - модификация машинного кода. Метод JmpTo. jmp B30559F0 \SystemRoot\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! Функция IoAllocateIrp (804EAF8D) - модификация машинного кода. Метод не определен., внедрение с байта 15 >>> Функция воcстановлена успешно ! Функция IoIsOperationSynchronous (804EAF9E) - модификация машинного кода. Метод JmpTo. jmp B3055DCC \SystemRoot\system32\DRIVERS\klif.sys, драйвер опознан как безопасный >>> Функция воcстановлена успешно ! Проверено функций: 284, перехвачено: 62, восстановлено: 65 1.3 Проверка IDT и SYSENTER Анализ для процессора 1 >>> Опасно - подозрение на подмену адреса ЦП[1].IDT[06] = [B2ABD14D] C:\WINDOWS\system32\drivers\Haspnt.sys, драйвер опознан как безопасный >>> Опасно - подозрение на подмену адреса ЦП[1].IDT[0E] = [B2ABCFA2] C:\WINDOWS\system32\drivers\Haspnt.sys, драйвер опознан как безопасный Анализ для процессора 2 >>> Опасно - подозрение на подмену адреса ЦП[2].IDT[06] = [B2ABD14D] C:\WINDOWS\system32\drivers\Haspnt.sys, драйвер опознан как безопасный >>> Опасно - подозрение на подмену адреса ЦП[2].IDT[0E] = [B2ABCFA2] C:\WINDOWS\system32\drivers\Haspnt.sys, драйвер опознан как безопасный CmpCallCallBacks = 00143D7F Disable callback OK Проверка IDT и SYSENTER завершена 1.4 Поиск маскировки процессов и драйверов Проверка не производится, так как не установлен драйвер мониторинга AVZPM 1.5 Проверка обработчиков IRP Драйвер успешно загружен \FileSystem\ntfs[IRP_MJ_CREATE] = 8A5321F8 -> перехватчик не определен \FileSystem\ntfs[IRP_MJ_CLOSE] = 8A5321F8 -> перехватчик не определен \FileSystem\ntfs[IRP_MJ_WRITE] = 8A5321F8 -> перехватчик не определен \FileSystem\ntfs[IRP_MJ_QUERY_INFORMATION] = 8A5321F8 -> перехватчик не определен \FileSystem\ntfs[IRP_MJ_SET_INFORMATION] = 8A5321F8 -> перехватчик не определен \FileSystem\ntfs[IRP_MJ_QUERY_EA] = 8A5321F8 -> перехватчик не определен \FileSystem\ntfs[IRP_MJ_SET_EA] = 8A5321F8 -> перехватчик не определен \FileSystem\ntfs[IRP_MJ_QUERY_VOLUME_INFORMATION] = 8A5321F8 -> перехватчик не определен \FileSystem\ntfs[IRP_MJ_SET_VOLUME_INFORMATION] = 8A5321F8 -> перехватчик не определен \FileSystem\ntfs[IRP_MJ_DIRECTORY_CONTROL] = 8A5321F8 -> перехватчик не определен \FileSystem\ntfs[IRP_MJ_FILE_SYSTEM_CONTROL] = 8A5321F8 -> перехватчик не определен \FileSystem\ntfs[IRP_MJ_DEVICE_CONTROL] = 8A5321F8 -> перехватчик не определен \FileSystem\ntfs[IRP_MJ_LOCK_CONTROL] = 8A5321F8 -> перехватчик не определен \FileSystem\ntfs[IRP_MJ_QUERY_SECURITY] = 8A5321F8 -> перехватчик не определен \FileSystem\ntfs[IRP_MJ_SET_SECURITY] = 8A5321F8 -> перехватчик не определен \FileSystem\ntfs[IRP_MJ_PNP] = 8A5321F8 -> перехватчик не определен \FileSystem\FastFat[IRP_MJ_CREATE] = 8A0411F8 -> перехватчик не определен \FileSystem\FastFat[IRP_MJ_CLOSE] = 8A0411F8 -> перехватчик не определен \FileSystem\FastFat[IRP_MJ_WRITE] = 8A0411F8 -> перехватчик не определен \FileSystem\FastFat[IRP_MJ_QUERY_INFORMATION] = 8A0411F8 -> перехватчик не определен \FileSystem\FastFat[IRP_MJ_SET_INFORMATION] = 8A0411F8 -> перехватчик не определен \FileSystem\FastFat[IRP_MJ_QUERY_EA] = 8A0411F8 -> перехватчик не определен \FileSystem\FastFat[IRP_MJ_SET_EA] = 8A0411F8 -> перехватчик не определен \FileSystem\FastFat[IRP_MJ_QUERY_VOLUME_INFORMATION] = 8A0411F8 -> перехватчик не определен \FileSystem\FastFat[IRP_MJ_SET_VOLUME_INFORMATION] = 8A0411F8 -> перехватчик не определен \FileSystem\FastFat[IRP_MJ_DIRECTORY_CONTROL] = 8A0411F8 -> перехватчик не определен \FileSystem\FastFat[IRP_MJ_FILE_SYSTEM_CONTROL] = 8A0411F8 -> перехватчик не определен \FileSystem\FastFat[IRP_MJ_DEVICE_CONTROL] = 8A0411F8 -> перехватчик не определен \FileSystem\FastFat[IRP_MJ_LOCK_CONTROL] = 8A0411F8 -> перехватчик не определен \FileSystem\FastFat[IRP_MJ_PNP] = 8A0411F8 -> перехватчик не определен Проверка завершена 2. Проверка памяти Количество найденных процессов: 35 Количество загруженных модулей: 445 Проверка памяти завершена 3. Сканирование дисков Прямое чтение C:\Documents and Settings\Артем\Local Settings\Application Data\Opera\Opera\cache\g_001A\opr04MZ1.tmp Прямое чтение C:\Documents and Settings\Артем\Local Settings\Application Data\Opera\Opera\cache\g_001A\opr04MZ2.tmp Прямое чтение C:\Documents and Settings\Артем\Local Settings\Application Data\Opera\Opera\vps\0000\wb.vx Прямое чтение C:\Documents and Settings\Артем\Local Settings\Application Data\Opera\Opera\vps\0001\wb.vx Прямое чтение C:\Documents and Settings\Артем\Local Settings\Application Data\Opera\Opera\vps\0002\wb.vx Прямое чтение C:\Documents and Settings\Артем\Local Settings\Application Data\Opera\Opera\vps\0003\wb.vx Прямое чтение C:\Documents and Settings\Артем\Local Settings\Application Data\Opera\Opera\vps\0004\wb.vx Прямое чтение C:\Documents and Settings\Артем\Local Settings\Application Data\Opera\Opera\vps\0005\wb.vx Прямое чтение C:\Documents and Settings\Артем\Local Settings\Application Data\Opera\Opera\vps\0006\wb.vx Прямое чтение C:\Documents and Settings\Артем\Local Settings\Application Data\Opera\Opera\vps\0007\wb.vx Прямое чтение C:\WINDOWS\system32\drivers\sptd.sys Прямое чтение C:\WINDOWS\Temp\klsCE9D.tmp 4. Проверка Winsock Layered Service Provider (SPI/LSP) Настройки LSP проверены. Ошибок не обнаружено 5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL) 6. Поиск открытых портов TCP/UDP, используемых вредоносными программами Проверка отключена пользователем 7. Эвристичеcкая проверка системы >>> C:\WINDOWS\system32\00.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности) Файл успешно помещен в карантин (C:\WINDOWS\system32\00.exe) >>> C:\WINDOWS\system32\06.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности) Файл успешно помещен в карантин (C:\WINDOWS\system32\06.exe) >>> C:\WINDOWS\system32\14.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности) Файл успешно помещен в карантин (C:\WINDOWS\system32\14.exe) >>> C:\WINDOWS\system32\28.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности) Файл успешно помещен в карантин (C:\WINDOWS\system32\28.exe) >>> C:\WINDOWS\system32\30.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности) Файл успешно помещен в карантин (C:\WINDOWS\system32\30.exe) >>> C:\WINDOWS\system32\35.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности) Файл успешно помещен в карантин (C:\WINDOWS\system32\35.exe) >>> C:\WINDOWS\system32\37.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности) Файл успешно помещен в карантин (C:\WINDOWS\system32\37.exe) >>> C:\WINDOWS\system32\47.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности) Файл успешно помещен в карантин (C:\WINDOWS\system32\47.exe) >>> C:\WINDOWS\system32\48.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности) Файл успешно помещен в карантин (C:\WINDOWS\system32\48.exe) >>> C:\WINDOWS\system32\54.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности) Файл успешно помещен в карантин (C:\WINDOWS\system32\54.exe) >>> C:\WINDOWS\system32\58.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности) Файл успешно помещен в карантин (C:\WINDOWS\system32\58.exe) >>> C:\WINDOWS\system32\62.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности) Файл успешно помещен в карантин (C:\WINDOWS\system32\62.exe) >>> C:\WINDOWS\system32\64.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности) Файл успешно помещен в карантин (C:\WINDOWS\system32\64.exe) >>> C:\WINDOWS\system32\72.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности) Файл успешно помещен в карантин (C:\WINDOWS\system32\72.exe) Проверка завершена 8. Поиск потенциальных уязвимостей >> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр) >> Службы: разрешена потенциально опасная служба TermService (Службы терминалов) >> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP) >> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий) >> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing) >> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола) > Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)! >> Безопасность: разрешен автозапуск программ с CDROM >> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...) >> Безопасность: к ПК разрешен доступ анонимного пользователя >> Безопасность: Разрешена отправка приглашений удаленному помощнику Проверка завершена 9. Мастер поиска и устранения проблем Проверка завершена Просканировано файлов: 111008, извлечено из архивов: 87680, найдено вредоносных программ 0, подозрений - 0 Сканирование завершено в 16.04.2012 21:37:20 !!! Внимание !!! Восстановлено 65 функций KiST в ходе работы антируткита Это может нарушить нормальную работу ряда программ, поэтому настоятельно рекомендуется перезагрузить компьютер Сканирование длилось 00:18:32 Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам, то Вы можете обратиться на форум http://forum.kaspersky.com/index.php?showforum=18 Создание архива с файлами из карантина Создание архива с файлами из карантина завершено Выполняется исследование системыДобавить в скрипт команды:
Исследование системы завершено
Команды скрипта