Протокол исследования системы

Список процессов

Имя файла	PID	Описание	Copyright	MD5	Информация
c:\windows\system32\alg.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить	2212	Application Layer Gateway Service	© Microsoft Corporation. All rights reserved.	??	43.50 кб, rsAh, создан: 18.08.2004 16:00:00, изменен: 18.08.2004 16:00:00 Командная строка: C:\WINDOWS\System32\alg.exe
c:\documents and settings\Администратор\Мои документы\downloads\avz4\avz4\avz.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить	3952	Антивирусная утилита AVZ	Антивирусная утилита AVZ	??	747.00 кб, rsAh, создан: 06.09.2012 04:27:48, изменен: 20.05.2012 10:51:48, имя содержит национальные символы Командная строка: "C:\Documents and Settings\Администратор\Мои документы\Downloads\avz4\avz4\avz.exe"
c:\documents and settings\Администратор\local settings\application data\google\chrome\application\chrome.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить	3256	Google Chrome	Copyright (C) 2006-2010 Google Inc. All Rights Reserved.	??	1201.02 кб, rsAh, создан: 18.04.2012 14:06:06, изменен: 30.08.2012 06:58:46, имя содержит национальные символы Командная строка: "C:\Documents and Settings\Администратор\Local Settings\Application Data\Google\Chrome\Application\chrome.exe"
c:\windows\system32\ctfmon.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить	1716	CTF Loader	© Microsoft Corporation. All rights reserved.	??	29.50 кб, rsAh, создан: 23.12.2007 20:54:47, изменен: 23.12.2007 20:54:47 Командная строка: "C:\WINDOWS\system32\ctfmon.exe"
c:\program files\eset\eset nod32 antivirus\egui.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить	1656	ESET GUI	Copyright (c) ESET, spol. s r.o. 1992-2012. All rights reserved.	??	3044.28 кб, rsAh, создан: 07.03.2012 15:40:28, изменен: 07.03.2012 15:40:28 Командная строка: "C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice
c:\program files\eset\eset nod32 antivirus\ekrn.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить	284	ESET Service	Copyright (c) ESET, spol. s r.o. 1992-2012. All rights reserved.	??	891.74 кб, rsAh, создан: 07.03.2012 15:40:34, изменен: 07.03.2012 15:40:34 Командная строка: "C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe"
c:\windows\explorer.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить	1156	Проводник	© Корпорация Майкрософт. Все права защищены.	??	1571.00 кб, rsAh, создан: 23.12.2007 20:54:54, изменен: 23.12.2007 20:54:54 Командная строка: C:\WINDOWS\Explorer.EXE
c:\program files\mail.ru\guard\guardmailru.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить	464	GuardMailRu Module	Copyright 2010	??	2129.60 кб, rsAh, создан: 24.05.2012 07:14:12, изменен: 22.08.2012 15:03:16 Командная строка: "C:\Program Files\Mail.Ru\Guard\GuardMailRu.exe"
c:\program files\mail.ru\guard\guardmailru.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить	340	GuardMailRu Module	Copyright 2010	??	2129.60 кб, rsAh, создан: 24.05.2012 07:14:12, изменен: 22.08.2012 15:03:16 Командная строка: "C:\Program Files\Mail.Ru\Guard\GuardMailRu.exe"
c:\program files\java\jre6\bin\jqs.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить	388	Java(TM) Quick Starter Service	Copyright © 2010	??	149.78 кб, rsAh, создан: 15.04.2012 10:46:47, изменен: 15.04.2012 10:46:47 Командная строка: "C:\Program Files\Java\jre6\bin\jqs.exe" -service -config "C:\Program Files\Java\jre6\lib\deploy\jqs\jqs.conf"
c:\program files\common files\abbyy\lingvo\15.0\licensing\networklicenseserver.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить	2032	ABBYY network license server	© 2009 ABBYY. All rights reserved.	??	796.26 кб, rsAh, создан: 27.08.2010 22:07:04, изменен: 27.08.2010 22:07:04 Командная строка: "C:\Program Files\Common Files\ABBYY\Lingvo\15.0\Licensing\NetworkLicenseServer.exe" -service
c:\program files\skype\phone\skype.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить	1004	Skype	(c) Skype Technologies S.A.	??	16949.63 кб, RsAh, создан: 06.04.2012 03:56:16, изменен: 06.04.2012 03:56:16 Командная строка: "C:\Program Files\Skype\Phone\Skype.exe"
c:\windows\system32\spoolsv.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить	1208	Spooler SubSystem App	© Microsoft Corporation. All rights reserved.	??	56.50 кб, rsAh, создан: 23.12.2007 20:48:47, изменен: 23.12.2007 20:48:47 Командная строка: C:\WINDOWS\system32\spoolsv.exe
c:\windows\system32\svchost.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить	808	Generic Host Process for Win32 Services	© Microsoft Corporation. All rights reserved.	??	14.00 кб, rsAh, создан: 18.08.2004 16:00:00, изменен: 18.08.2004 16:00:00 Командная строка: C:\WINDOWS\System32\svchost.exe -k netsvcs
c:\windows\system32\svchost.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить	712	Generic Host Process for Win32 Services	© Microsoft Corporation. All rights reserved.	??	14.00 кб, rsAh, создан: 18.08.2004 16:00:00, изменен: 18.08.2004 16:00:00 Командная строка: C:\WINDOWS\system32\svchost -k DcomLaunch
c:\windows\system32\svchost.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить	1324	Generic Host Process for Win32 Services	© Microsoft Corporation. All rights reserved.	??	14.00 кб, rsAh, создан: 18.08.2004 16:00:00, изменен: 18.08.2004 16:00:00 Командная строка: C:\WINDOWS\system32\svchost.exe -k imgsvc
c:\windows\system32\svchost.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить	768	Generic Host Process for Win32 Services	© Microsoft Corporation. All rights reserved.	??	14.00 кб, rsAh, создан: 18.08.2004 16:00:00, изменен: 18.08.2004 16:00:00 Командная строка: C:\WINDOWS\system32\svchost -k rpcss
c:\windows\system32\winlogon.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить	504	Программа входа в систему Windows NT	© Корпорация Майкрософт. Все права защищены.	??	492.00 кб, rsAh, создан: 18.08.2004 16:00:00, изменен: 18.08.2004 16:00:00 Командная строка: winlogon.exe
c:\windows\system32\wuauclt.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить	2540	Windows Update	© Microsoft Corporation. All rights reserved.	??	52.22 кб, rsAh, создан: 13.04.2012 17:29:28, изменен: 07.08.2009 11:24:06 Командная строка: "C:\WINDOWS\system32\wuauclt.exe"
Обнаружено:35, из них опознаны как безопасные 33

Имя модуля	Handle	Описание	Copyright	MD5	Используется процессами
C:\Program Files\Common Files\ABBYY\Lingvo\15.0\Licensing\AbbyyZlib.dll Скрипт: Kарантин, Удалить, Удалить через BC	800456704	ABBYY Zlib component	Copyright © 2010 ABBYY.	--	2032
C:\Program Files\Common Files\ABBYY\Lingvo\15.0\Licensing\FineNet.dll Скрипт: Kарантин, Удалить, Удалить через BC	800194560	FineNet Library	© 2008 ABBYY. All rights reserved.	--	2032
C:\Program Files\Common Files\ABBYY\Lingvo\15.0\Licensing\FineObj.dll Скрипт: Kарантин, Удалить, Удалить через BC	803995648	FineObjects Classes Library Core	© 2008 ABBYY. All rights reserved.	--	2032
C:\WINDOWS\System32\COMRes.dll Скрипт: Kарантин, Удалить, Удалить через BC	7208960		(C) Корпорация Майкрософт (Microsoft Corporation), 1995-1999	--	2212, 3952, 3256, 1656, 284, 1156, 464, 340, 388, 1004, 1208, 808, 712, 1324, 768, 504, 2540
C:\WINDOWS\system32\shdoclc.dll Скрипт: Kарантин, Удалить, Удалить через BC	57933824	Библиотека объектов документов и элементов управления оболочки	© Корпорация Майкрософт. Все права защищены.	--	1156
Обнаружено модулей:344, из них опознаны как безопасные 339

Модули пространства ядра

Модуль	Базовый адрес	Размер в памяти	Описание	Производитель
.sys Скрипт: Kарантин, Удалить, Удалить через BC	F834E000	018000 (98304)
C:\WINDOWS\System32\Drivers\dump_atapi.sys Скрипт: Kарантин, Удалить, Удалить через BC	F11EF000	018000 (98304)
C:\WINDOWS\System32\Drivers\dump_WMILIB.SYS Скрипт: Kарантин, Удалить, Удалить через BC	F8A53000	002000 (8192)
C:\WINDOWS\system32\Drivers\sptd.sys Скрипт: Kарантин, Удалить, Удалить через BC	F842A000	0EA000 (958464)
Обнаружено модулей - 115, опознано как безопасные - 111

Службы

Служба	Описание	Статус	Файл	Группа	Зависимости
MSDTC Служба: Стоп, Удалить, Отключить, Удалить через BC	Координатор распределенных транзакций	Не запущен	C:\WINDOWS\system32\msdtc.exe Скрипт: Kарантин, Удалить, Удалить через BC	MS Transactions	RPCSS
MSIServer Служба: Стоп, Удалить, Отключить, Удалить через BC	Windows Installer	Не запущен	C:\WINDOWS\system32\msiexec.exe Скрипт: Kарантин, Удалить, Удалить через BC		RpcSs
Обнаружено - 82, опознано как безопасные - 80

Драйверы

Служба	Описание	Статус	Файл	Группа	Зависимости
atapi Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	Standard IDE/ESDI Hard Disk Controller	Работает	C:\WINDOWS\system32\DRIVERS\atapi.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
sptd Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	sptd	Работает	C:\WINDOWS\System32\Drivers\sptd.sys Скрипт: Kарантин, Удалить, Удалить через BC	Boot Bus Extender
Abiosdsk Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	Abiosdsk	Не запущен	Abiosdsk.sys Скрипт: Kарантин, Удалить, Удалить через BC	Primary disk
abp480n5 Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	abp480n5	Не запущен	abp480n5.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
adpu160m Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	adpu160m	Не запущен	adpu160m.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
Aha154x Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	Aha154x	Не запущен	Aha154x.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
aic78u2 Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	aic78u2	Не запущен	aic78u2.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
aic78xx Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	aic78xx	Не запущен	aic78xx.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
AliIde Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	AliIde	Не запущен	AliIde.sys Скрипт: Kарантин, Удалить, Удалить через BC	System Bus Extender
amsint Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	amsint	Не запущен	amsint.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
asc Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	asc	Не запущен	asc.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
asc3350p Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	asc3350p	Не запущен	asc3350p.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
asc3550 Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	asc3550	Не запущен	asc3550.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
Atdisk Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	Atdisk	Не запущен	Atdisk.sys Скрипт: Kарантин, Удалить, Удалить через BC	Primary disk
cd20xrnt Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	cd20xrnt	Не запущен	cd20xrnt.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
Changer Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	Changer	Не запущен	Changer.sys Скрипт: Kарантин, Удалить, Удалить через BC	Filter
CmdIde Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	CmdIde	Не запущен	CmdIde.sys Скрипт: Kарантин, Удалить, Удалить через BC	System Bus Extender
cmuda Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	C-Media WDM Audio Interface	Не запущен	C:\WINDOWS\system32\drivers\cmuda.sys Скрипт: Kарантин, Удалить, Удалить через BC
Cpqarray Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	Cpqarray	Не запущен	Cpqarray.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
dac960nt Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	dac960nt	Не запущен	dac960nt.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
dpti2o Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	dpti2o	Не запущен	dpti2o.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
GMSIPCI Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	GMSIPCI	Не запущен	E:\INSTALL\GMSIPCI.SYS Скрипт: Kарантин, Удалить, Удалить через BC
hpn Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	hpn	Не запущен	hpn.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
i2omgmt Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	i2omgmt	Не запущен	i2omgmt.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI Class
i2omp Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	i2omp	Не запущен	i2omp.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
ini910u Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	ini910u	Не запущен	ini910u.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
IntelIde Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	IntelIde	Не запущен	IntelIde.sys Скрипт: Kарантин, Удалить, Удалить через BC	System Bus Extender
lbrtfdc Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	lbrtfdc	Не запущен	lbrtfdc.sys Скрипт: Kарантин, Удалить, Удалить через BC	System Bus Extender
mraid35x Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	mraid35x	Не запущен	mraid35x.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
PCIDump Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	PCIDump	Не запущен	PCIDump.sys Скрипт: Kарантин, Удалить, Удалить через BC	PCI Configuration
PDCOMP Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	PDCOMP	Не запущен	PDCOMP.sys Скрипт: Kарантин, Удалить, Удалить через BC
PDFRAME Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	PDFRAME	Не запущен	PDFRAME.sys Скрипт: Kарантин, Удалить, Удалить через BC
PDRELI Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	PDRELI	Не запущен	PDRELI.sys Скрипт: Kарантин, Удалить, Удалить через BC
PDRFRAME Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	PDRFRAME	Не запущен	PDRFRAME.sys Скрипт: Kарантин, Удалить, Удалить через BC
perc2 Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	perc2	Не запущен	perc2.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
perc2hib Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	perc2hib	Не запущен	perc2hib.sys Скрипт: Kарантин, Удалить, Удалить через BC	Filter
ql1080 Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	ql1080	Не запущен	ql1080.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
Ql10wnt Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	Ql10wnt	Не запущен	Ql10wnt.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
ql12160 Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	ql12160	Не запущен	ql12160.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
ql1240 Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	ql1240	Не запущен	ql1240.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
ql1280 Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	ql1280	Не запущен	ql1280.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
Simbad Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	Simbad	Не запущен	Simbad.sys Скрипт: Kарантин, Удалить, Удалить через BC	Filter
Sparrow Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	Sparrow	Не запущен	Sparrow.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
sym_hi Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	sym_hi	Не запущен	sym_hi.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
sym_u3 Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	sym_u3	Не запущен	sym_u3.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
symc810 Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	symc810	Не запущен	symc810.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
symc8xx Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	symc8xx	Не запущен	symc8xx.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
TosIde Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	TosIde	Не запущен	TosIde.sys Скрипт: Kарантин, Удалить, Удалить через BC	System Bus Extender
ultra Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	ultra	Не запущен	ultra.sys Скрипт: Kарантин, Удалить, Удалить через BC	SCSI miniport
ViaIde Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	ViaIde	Не запущен	ViaIde.sys Скрипт: Kарантин, Удалить, Удалить через BC	System Bus Extender
WDICA Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC	WDICA	Не запущен	WDICA.sys Скрипт: Kарантин, Удалить, Удалить через BC
Обнаружено - 182, опознано как безопасные - 131

Автозапуск

Имя файла	Статус	Метод запуска	Описание
= C:\WINDOWS\System32\netevent.dll Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\SISNIC, EventMessageFile
C:\Program Files\ABBYY Lingvo\LvAgent.exe Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_LOCAL_MACHINE, Software\Microsoft\Windows\CurrentVersion\Run, Lingvo Launcher Удалить
C:\WINDOWS\System32\Drivers\AliIde.sys Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\aliide, EventMessageFile
C:\WINDOWS\System32\Drivers\CmdIde.sys Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\cmdide, EventMessageFile
C:\WINDOWS\System32\Drivers\IntelIde.sys Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\intelide, EventMessageFile
C:\WINDOWS\System32\Drivers\TosIde.sys Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\toside, EventMessageFile
C:\WINDOWS\System32\Drivers\ViaIde.sys Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\viaide, EventMessageFile
C:\WINDOWS\System32\Drivers\lbrtfdc.sys Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\lbrtfdc, EventMessageFile
C:\WINDOWS\System32\PrintFilterPipelineSvc.exe Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\PrintFilterPipelineSvc, EventMessageFile
C:\WINDOWS\System32\cscript.exe Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SOFTWARE\Microsoft\Windows Scripting Host\Locations, CScript
C:\WINDOWS\System32\hidserv.dll Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\HidServ\Parameters, ServiceDll Удалить
C:\WINDOWS\System32\igmpv2.dll Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\IGMPv2, EventMessageFile
C:\WINDOWS\System32\ipbootp.dll Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\IPBOOTP, EventMessageFile
C:\WINDOWS\System32\iprip2.dll Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\IPRIP2, EventMessageFile
C:\WINDOWS\System32\netdde.exe Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\NetDDE, EventMessageFile
C:\WINDOWS\System32\ospf.dll Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\OSPF, EventMessageFile
C:\WINDOWS\System32\ospfmib.dll Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\OSPFMib, EventMessageFile
C:\WINDOWS\System32\polagent.dll Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\PolicyAgent, EventMessageFile
C:\WINDOWS\System32\tssdis.exe Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\TermServSessDir, EventMessageFile
C:\WINDOWS\System32\wscript.exe Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SOFTWARE\Microsoft\Windows Scripting Host\Locations, WScript
C:\WINDOWS\System\cmicnfg.cpl Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_LOCAL_MACHINE, SOFTWARE\Microsoft\Windows\CurrentVersion\Control Panel\Cpls, Cmcpls Удалить
C:\WINDOWS\system32\COMRES.DLL Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\Application\MSDTC, EventMessageFile
C:\WINDOWS\system32\COMRES.DLL Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\Application\MSDTC Client, EventMessageFile
C:\WINDOWS\system32\COMRes.dll Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\Application\COM+, EventMessageFile
C:\WINDOWS\system32\COMRes.dll Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\Application\EventSystem, EventMessageFile
C:\WINDOWS\system32\CTFMON.EXE Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_USERS, .DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run, CTFMON.EXE Удалить
C:\WINDOWS\system32\CTFMON.EXE Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_USERS, S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Run, CTFMON.EXE Удалить
C:\WINDOWS\system32\CTFMON.EXE Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_USERS, S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Run, CTFMON.EXE Удалить
C:\WINDOWS\system32\CTFMON.EXE Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_USERS, S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run, CTFMON.EXE Удалить
C:\WINDOWS\system32\KB905474\wgasetup.exe Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\Application\WgaSetup, EventMessageFile
C:\WINDOWS\system32\MsSip1.dll Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\WinTrust\SubjectPackages\MS Subjects 1, $DLL Удалить
C:\WINDOWS\system32\MsSip2.dll Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\WinTrust\SubjectPackages\MS Subjects 2, $DLL Удалить
C:\WINDOWS\system32\MsSip3.dll Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\WinTrust\SubjectPackages\MS Subjects 3, $DLL Удалить
C:\WINDOWS\system32\ctfmon.exe Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_CURRENT_USER, Software\Microsoft\Windows\CurrentVersion\Run, ctfmon.exe Удалить
C:\WINDOWS\system32\psxss.exe Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, System\CurrentControlSet\Control\Session Manager\SubSystems, Posix
C:\WINDOWS\system32\stisvc.exe Скрипт: Kарантин, Удалить, Удалить через BC	--	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System, EventMessageFile
deskpan.dll Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_LOCAL_MACHINE, Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved, {42071714-76d4-11d1-8b24-00a0c9068ff3} Удалить
kbd101.dll Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\i8042prt\Parameters, LayerDriver JPN Удалить
kbd101a.dll Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\i8042prt\Parameters, LayerDriver KOR Удалить
mvfs32.dll Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_USERS, .DEFAULT\Control Panel\IOProcs, MVB Удалить
mvfs32.dll Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_USERS, S-1-5-19\Control Panel\IOProcs, MVB Удалить
mvfs32.dll Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_USERS, S-1-5-20\Control Panel\IOProcs, MVB Удалить
mvfs32.dll Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_USERS, S-1-5-18\Control Panel\IOProcs, MVB Удалить
mvfs32.dll Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_CURRENT_USER, Control Panel\IOProcs, MVB Удалить
vgafix.fon Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_LOCAL_MACHINE, Software\Microsoft\Windows NT\CurrentVersion\WOW\boot, fixedfon.fon Удалить
vgaoem.fon Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_LOCAL_MACHINE, Software\Microsoft\Windows NT\CurrentVersion\WOW\boot, oemfonts.fon Удалить
vgasys.fon Скрипт: Kарантин, Удалить, Удалить через BC	Активен	Ключ реестра	HKEY_LOCAL_MACHINE, Software\Microsoft\Windows NT\CurrentVersion\WOW\boot, fonts.fon Удалить
Обнаружено элементов автозапуска - 791, опознано как безопасные - 744

Модули расширения Internet Explorer (BHO, панели ...)

Имя файла	Тип	Описание	Производитель	CLSID
mscoree.dll Скрипт: Kарантин, Удалить, Удалить через BC	Панель	Microsoft .NET Runtime Execution Engine	© Microsoft Corporation. All rights reserved.	{af83e43c-dd2b-4787-826b-31b17dee52ed} Удалить
mscoree.dll Скрипт: Kарантин, Удалить, Удалить через BC	Панель	Microsoft .NET Runtime Execution Engine	© Microsoft Corporation. All rights reserved.	{fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} Удалить
	Панель			{710EB7A1-45ED-11D0-924A-0020AFC7AC4D} Удалить
Обнаружено элементов - 13, опознано как безопасные - 10

Модули расширения проводника

Имя файла	Назначение	Описание	Производитель	CLSID
deskpan.dll Скрипт: Kарантин, Удалить, Удалить через BC	Расширение CPL панорамирования дисплея			{42071714-76d4-11d1-8b24-00a0c9068ff3} Удалить
	Расширения оболочки для сжатия файлов			{764BF0E1-F219-11ce-972D-00AA00A14F56} Удалить
	Контекстное меню шифрования			{853FE2B1-B769-11d0-9C4E-00C04FB6C6FA} Удалить
	Панель задач и меню ''Пуск''			{0DF44EAA-FF21-4412-828E-260A8728E7F1} Удалить
	Учетные записи пользователей			{7A9D77BD-5403-11d2-8785-2E0420524153} Удалить
Обнаружено элементов - 198, опознано как безопасные - 193

Модули расширения системы печати (мониторы печати, провайдеры)

Имя файла	Тип	Наименование	Описание	Производитель
Обнаружено элементов - 7, опознано как безопасные - 7

Задания планировщика задач Task Scheduler

Имя файла	Имя задания	Состояние задания	Описание	Производитель
Обнаружено элементов - 4, опознано как безопасные - 4

Настройки SPI/LSP

Поставщики пространства имен (NSP)

Поставщик	Статус	Исп. файл	Описание	GUID
Обнаружено - 3, опознано как безопасные - 3

Поставщики транспортных протоколов (TSP, LSP)

Поставщик Исп. файл Описание
Обнаружено - 15, опознано как безопасные - 15
Результаты автоматического анализа настроек SPI
Настройки LSP проверены. Ошибок не обнаружено

Порты TCP/UDP

Порт Статус Remote Host Remote Port Приложение Примечания
Порты TCP
80 LISTENING 0.0.0.0 63544 [1004] c:\program files\skype\phone\skype.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
135 LISTENING 0.0.0.0 28874 [768] c:\windows\system32\svchost.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
139 LISTENING 0.0.0.0 20553 [4] System
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
443 LISTENING 0.0.0.0 12347 [1004] c:\program files\skype\phone\skype.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
445 LISTENING 0.0.0.0 32851 [4] System
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
1031 LISTENING 0.0.0.0 32888 [2212] c:\windows\system32\alg.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
4253 ESTABLISHED 157.55.56.144 40006 [1004] c:\program files\skype\phone\skype.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
4254 ESTABLISHED 127.0.0.1 30606 [1004] c:\program files\skype\phone\skype.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
4255 ESTABLISHED 65.54.61.176 443 [284] c:\program files\eset\eset nod32 antivirus\ekrn.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
4259 ESTABLISHED 213.146.189.203 12350 [1004] c:\program files\skype\phone\skype.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
4712 CLOSE_WAIT 127.0.0.1 30606 [3952] c:\documents and settings\Администратор\Мои документы\downloads\avz4\avz4\avz.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
4716 ESTABLISHED 127.0.0.1 30606 [3256] c:\documents and settings\Администратор\local settings\application data\google\chrome\application\chrome.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
4717 ESTABLISHED 217.20.147.94 80 [284] c:\program files\eset\eset nod32 antivirus\ekrn.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
5152 LISTENING 0.0.0.0 10485 [388] c:\program files\java\jre6\bin\jqs.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
5152 CLOSE_WAIT 127.0.0.1 1465 [388] c:\program files\java\jre6\bin\jqs.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
20101 LISTENING 0.0.0.0 22553 [1004] c:\program files\skype\phone\skype.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
30606 LISTENING 0.0.0.0 2256 [284] c:\program files\eset\eset nod32 antivirus\ekrn.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
30606 ESTABLISHED 127.0.0.1 4254 [284] c:\program files\eset\eset nod32 antivirus\ekrn.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
30606 ESTABLISHED 127.0.0.1 4716 [284] c:\program files\eset\eset nod32 antivirus\ekrn.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
Порты UDP
123 LISTENING -- -- [808] c:\windows\system32\svchost.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
123 LISTENING -- -- [808] c:\windows\system32\svchost.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
137 LISTENING -- -- [4] System
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
138 LISTENING -- -- [4] System
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
443 LISTENING -- -- [1004] c:\program files\skype\phone\skype.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
445 LISTENING -- -- [4] System
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
500 LISTENING -- -- [560] c:\windows\system32\lsass.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
4249 LISTENING -- -- [1004] c:\program files\skype\phone\skype.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
4270 LISTENING -- -- [1004] c:\program files\skype\phone\skype.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
4500 LISTENING -- -- [560] c:\windows\system32\lsass.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
20101 LISTENING -- -- [1004] c:\program files\skype\phone\skype.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить

Downloaded Program Files (DPF)

Имя файла Описание Производитель CLSID URL загрузки
Обнаружено элементов - 5, опознано как безопасные - 5

Апплеты панели управления (CPL)

Имя файла Описание Производитель
Обнаружено элементов - 27, опознано как безопасные - 27

Active Setup

Имя файла Описание Производитель CLSID
Обнаружено элементов - 13, опознано как безопасные - 13

Файл HOSTS

Запись файла Hosts
127.0.0.1 localhost
Очистка файла Hosts

Протоколы и обработчики

Имя файла Тип Описание Производитель CLSID
mscoree.dll
Скрипт: Kарантин, Удалить, Удалить через BC Protocol Microsoft .NET Runtime Execution Engine () © Microsoft Corporation. All rights reserved. {1E66F26B-79EE-11D2-8710-00C04F79ED0D}
Удалить
mscoree.dll
Скрипт: Kарантин, Удалить, Удалить через BC Protocol Microsoft .NET Runtime Execution Engine () © Microsoft Corporation. All rights reserved. {1E66F26B-79EE-11D2-8710-00C04F79ED0D}
Удалить
mscoree.dll
Скрипт: Kарантин, Удалить, Удалить через BC Protocol Microsoft .NET Runtime Execution Engine () © Microsoft Corporation. All rights reserved. {1E66F26B-79EE-11D2-8710-00C04F79ED0D}
Удалить
Обнаружено элементов - 27, опознано как безопасные - 24

Подозрительные объекты

Файл Описание Тип
C:\WINDOWS\system32\DRIVERS\ehdrv.sys
Скрипт: Kарантин, Удалить, Удалить через BC Подозрение на RootKit Перехватчик KernelMode
C:\WINDOWS\system32\Drivers\a348bus.sys
Скрипт: Kарантин, Удалить, Удалить через BC Подозрение на RootKit Перехватчик KernelMode
C:\WINDOWS\system32\Drivers\sptd.sys
Скрипт: Kарантин, Удалить, Удалить через BC Подозрение на RootKit Перехватчик KernelMode
C:\Program Files\utilities\sp_regedit_unlock.exe
Скрипт: Kарантин, Удалить, Удалить через BC Подозрение эвристического анализа ЭПС: подозрение на Файл с подозрительным именем (CH)

Протокол антивирусной утилиты AVZ версии 4.39
Сканирование запущено в 06.09.2012 04:32:09
Загружена база: сигнатуры - 297616, нейропрофили - 2, микропрограммы лечения - 56, база от 07.09.2012 04:00
Загружены микропрограммы эвристики: 399
Загружены микропрограммы ИПУ: 9
Загружены цифровые подписи системных файлов: 439882
Режим эвристического анализатора: Максимальный уровень эвристики
Режим лечения: выключено
Версия Windows: 5.1.2600, Service Pack 2 ; AVZ работает с правами администратора
Восстановление системы: Отключено
1. Поиск RootKit и программ, перехватывающих функции API
1.1 Поиск перехватчиков API, работающих в UserMode
 Анализ kernel32.dll, таблица экспорта найдена в секции .text
 Анализ ntdll.dll, таблица экспорта найдена в секции .text
 Анализ user32.dll, таблица экспорта найдена в секции .text
 Анализ advapi32.dll, таблица экспорта найдена в секции .text
 Анализ ws2_32.dll, таблица экспорта найдена в секции .text
 Анализ wininet.dll, таблица экспорта найдена в секции .text
 Анализ rasapi32.dll, таблица экспорта найдена в секции .text
 Анализ urlmon.dll, таблица экспорта найдена в секции .text
 Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
 Драйвер успешно загружен
 SDT найдена (RVA=083120)
 Ядро ntoskrnl.exe обнаружено в памяти по адресу 804D7000
   SDT = 8055A120
   KiST = 804E26B8 (284)
Функция NtAssignProcessToJobObject (13) перехвачена (805A2243->F1AA54B0), перехватчик C:\WINDOWS\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtClose (19) перехвачена (80567719->F83F8028), перехватчик C:\WINDOWS\system32\Drivers\a348bus.sys, драйвер опознан как безопасный
Функция NtCreateKey (29) перехвачена (80570665->F83F7FE0), перехватчик C:\WINDOWS\system32\Drivers\a348bus.sys, драйвер опознан как безопасный
Функция NtCreatePagingFile (2D) перехвачена (805BB5B2->F83EBB00), перехватчик C:\WINDOWS\system32\Drivers\a348bus.sys, драйвер опознан как безопасный
Функция NtCreateThread (35) перехвачена (8057BE9A->F1AA57F0), перехватчик C:\WINDOWS\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtDebugActiveProcess (39) перехвачена (8065A925->F1AA5AB0), перехватчик C:\WINDOWS\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtDuplicateObject (44) перехвачена (805789DB->F1AA55D0), перехватчик C:\WINDOWS\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtEnumerateKey (47) перехвачена (80570D73->F83EC5DC), перехватчик C:\WINDOWS\system32\Drivers\a348bus.sys, драйвер опознан как безопасный
Функция NtEnumerateValueKey (49) перехвачена (8057ECF2->F83F8120), перехватчик C:\WINDOWS\system32\Drivers\a348bus.sys, драйвер опознан как безопасный
Функция NtLoadDriver (61) перехвачена (805A3AF2->F1AA58B0), перехватчик C:\WINDOWS\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtOpenFile (74) перехвачена (8056E123->F83EBB40), перехватчик C:\WINDOWS\system32\Drivers\a348bus.sys, драйвер опознан как безопасный
Функция NtOpenKey (77) перехвачена (805686CA->F83F7FA4), перехватчик C:\WINDOWS\system32\Drivers\a348bus.sys, драйвер опознан как безопасный
Функция NtOpenProcess (7A) перехвачена (80578BBB->F1AA5350), перехватчик C:\WINDOWS\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtOpenThread (80) перехвачена (80593DA9->F1AA5410), перехватчик C:\WINDOWS\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtProtectVirtualMemory (89) перехвачена (80578F6A->F1AA5570), перехватчик C:\WINDOWS\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtQueryKey (A0) перехвачена (80570A7C->F83EC5FC), перехватчик C:\WINDOWS\system32\Drivers\a348bus.sys, драйвер опознан как безопасный
Функция NtQueryValueKey (B1) перехвачена (8056CCAE->F83F8076), перехватчик C:\WINDOWS\system32\Drivers\a348bus.sys, драйвер опознан как безопасный
Функция NtQueueApcThread (B4) перехвачена (80595A9E->F1AA5630), перехватчик C:\WINDOWS\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtSetContextThread (D5) перехвачена (8062D957->F1AA5530), перехватчик C:\WINDOWS\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtSetInformationThread (E5) перехвачена (805721B0->F1AA54F0), перехватчик C:\WINDOWS\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtSetSecurityObject (ED) перехвачена (8059C0D1->F1AA5670), перехватчик C:\WINDOWS\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtSetSystemInformation (F0) перехвачена (805A756C->F1AA5870), перехватчик C:\WINDOWS\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtSetSystemPowerState (F1) перехвачена (80666E33->F83F7550), перехватчик C:\WINDOWS\system32\Drivers\a348bus.sys, драйвер опознан как безопасный
Функция NtSetValueKey (F7) перехвачена (80579D8F->F84314AA), перехватчик C:\WINDOWS\system32\Drivers\sptd.sys
Функция NtSuspendProcess (FD) перехвачена (8062F541->F1AA53B0), перехватчик C:\WINDOWS\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtSuspendThread (FE) перехвачена (805E06E6->F1AA5430), перехватчик C:\WINDOWS\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtSystemDebugControl (FF) перехвачена (806498FD->F1AA5830), перехватчик C:\WINDOWS\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtTerminateProcess (101) перехвачена (80585715->F1AA5370), перехватчик C:\WINDOWS\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtTerminateThread (102) перехвачена (8057B5B3->F1AA5470), перехватчик C:\WINDOWS\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Функция NtWriteVirtualMemory (115) перехвачена (8057F0FE->F1AA55F0), перехватчик C:\WINDOWS\system32\DRIVERS\ehdrv.sys, драйвер опознан как безопасный
Проверено функций: 284, перехвачено: 30, восстановлено: 0
1.3 Проверка IDT и SYSENTER
 Анализ для процессора 1
 Проверка IDT и SYSENTER завершена
1.4 Поиск маскировки процессов и драйверов
 Проверка не производится, так как не установлен драйвер мониторинга AVZPM
1.5 Проверка обработчиков IRP
 Драйвер успешно загружен
\FileSystem\ntfs[IRP_MJ_CREATE] = 823D61E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_CLOSE] = 823D61E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_WRITE] = 823D61E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_INFORMATION] = 823D61E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_INFORMATION] = 823D61E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_EA] = 823D61E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_EA] = 823D61E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_VOLUME_INFORMATION] = 823D61E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_VOLUME_INFORMATION] = 823D61E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DIRECTORY_CONTROL] = 823D61E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_FILE_SYSTEM_CONTROL] = 823D61E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DEVICE_CONTROL] = 823D61E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_LOCK_CONTROL] = 823D61E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_SECURITY] = 823D61E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_SECURITY] = 823D61E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_PNP] = 823D61E8 -> перехватчик не определен
 Проверка завершена
2. Проверка памяти
 Количество найденных процессов: 34
Анализатор - изучается процесс 1716 C:\WINDOWS\system32\ctfmon.exe
[ES]:Приложение не имеет видимых окон
[ES]:Размещается в системной папке
[ES]:Записан в автозапуск !!
 Количество загруженных модулей: 344
Проверка памяти завершена
3. Сканирование дисков
4. Проверка Winsock Layered Service Provider (SPI/LSP)
 Настройки LSP проверены. Ошибок не обнаружено
5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
 Проверка отключена пользователем
7. Эвристичеcкая проверка системы
Подозрение на скрытую загрузку библиотек через AppInit_DLLs: "C:\DOCUME~1\ALLUSE~1\APPLIC~1\VKSaver\vksaver3.dll"
>>> C:\Program Files\utilities\sp_regedit_unlock.exe ЭПС: подозрение на Файл с подозрительным именем (CH)
Проверка завершена
8. Поиск потенциальных уязвимостей
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помощнику
Проверка завершена
9. Мастер поиска и устранения проблем
 >>  Заблокирован пункт меню Справка и техподдержка
 >>  Разрешен автозапуск с HDD
 >>  Разрешен автозапуск с сетевых дисков
 >>  Разрешен автозапуск со сменных носителей
 >>  Повреждены настройки SafeBoot
Проверка завершена
Просканировано файлов: 378, извлечено из архивов: 0, найдено вредоносных программ 0, подозрений - 0
Сканирование завершено в 06.09.2012 04:33:47
Сканирование длилось 00:01:39
Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам,
то Вы можете обратиться на форум http://forum.kaspersky.com/index.php?showforum=18
Выполняется исследование системы

 Исследование системы завершено


Команды скрипта 
Добавить в скрипт команды:
Нейтрализация перехватов функций при помощи антируткита
Включить AVZGuard
Управление AVZPM (true-включить,false-отключить)
BootCleaner - импорт списка удаленных файлов
BootCleaner - импортировать все
Чистка реестра после удаления файлов
ExecuteWizard ('TSW',2,3,true) - Выполнение мастера поиска и устранения проблем
BootCleaner - активация
Перезагрузка
Вставить заготовку для QuarantineFile() - помещение файла в карантин
Вставить заготовку для BC_QrFile() - помещение файла в карантин через BC
Вставить заготовку для DeleteFile() - удаление файла
Вставить заготовку для DelCLSID() - удаление CLSID класса из реестра
Дополнительные операции:Оптимизация - отключить службу TermService (Службы терминалов)
Оптимизация - отключить службу Schedule (Планировщик заданий)
Оптимизация - отключить службу RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
Оптимизация - безопасность - отключить автозапуск программ с CD
Оптимизация - безопасность - отключить административный доступ к локальным дискам
Оптимизация - безопасность - блокировать возможность подключения анонимных пользователей
Безопасность - запретить отправку приглашений удаленному помощнику

Список файлов

Порт	Статус	Remote Host	Remote Port	Приложение	Примечания
Порты TCP
80	LISTENING	0.0.0.0	63544	[1004] c:\program files\skype\phone\skype.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
135	LISTENING	0.0.0.0	28874	[768] c:\windows\system32\svchost.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
139	LISTENING	0.0.0.0	20553	[4] System Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
443	LISTENING	0.0.0.0	12347	[1004] c:\program files\skype\phone\skype.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
445	LISTENING	0.0.0.0	32851	[4] System Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
1031	LISTENING	0.0.0.0	32888	[2212] c:\windows\system32\alg.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
4253	ESTABLISHED	157.55.56.144	40006	[1004] c:\program files\skype\phone\skype.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
4254	ESTABLISHED	127.0.0.1	30606	[1004] c:\program files\skype\phone\skype.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
4255	ESTABLISHED	65.54.61.176	443	[284] c:\program files\eset\eset nod32 antivirus\ekrn.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
4259	ESTABLISHED	213.146.189.203	12350	[1004] c:\program files\skype\phone\skype.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
4712	CLOSE_WAIT	127.0.0.1	30606	[3952] c:\documents and settings\Администратор\Мои документы\downloads\avz4\avz4\avz.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
4716	ESTABLISHED	127.0.0.1	30606	[3256] c:\documents and settings\Администратор\local settings\application data\google\chrome\application\chrome.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
4717	ESTABLISHED	217.20.147.94	80	[284] c:\program files\eset\eset nod32 antivirus\ekrn.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
5152	LISTENING	0.0.0.0	10485	[388] c:\program files\java\jre6\bin\jqs.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
5152	CLOSE_WAIT	127.0.0.1	1465	[388] c:\program files\java\jre6\bin\jqs.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
20101	LISTENING	0.0.0.0	22553	[1004] c:\program files\skype\phone\skype.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
30606	LISTENING	0.0.0.0	2256	[284] c:\program files\eset\eset nod32 antivirus\ekrn.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
30606	ESTABLISHED	127.0.0.1	4254	[284] c:\program files\eset\eset nod32 antivirus\ekrn.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
30606	ESTABLISHED	127.0.0.1	4716	[284] c:\program files\eset\eset nod32 antivirus\ekrn.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
Порты UDP
123	LISTENING	--	--	[808] c:\windows\system32\svchost.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
123	LISTENING	--	--	[808] c:\windows\system32\svchost.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
137	LISTENING	--	--	[4] System Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
138	LISTENING	--	--	[4] System Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
443	LISTENING	--	--	[1004] c:\program files\skype\phone\skype.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
445	LISTENING	--	--	[4] System Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
500	LISTENING	--	--	[560] c:\windows\system32\lsass.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
4249	LISTENING	--	--	[1004] c:\program files\skype\phone\skype.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
4270	LISTENING	--	--	[1004] c:\program files\skype\phone\skype.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
4500	LISTENING	--	--	[560] c:\windows\system32\lsass.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить
20101	LISTENING	--	--	[1004] c:\program files\skype\phone\skype.exe Скрипт: Kарантин, Удалить, Удалить через BC, Завершить