Протокол исследования системы

Настройки LSP проверены. Ошибок не обнаружено

127.0.0.1       localhost

Протокол антивирусной утилиты AVZ версии 4.30
Сканирование запущено в 31.05.2008 0:11:49
Загружена база: сигнатуры - 167156, нейропрофили - 2, микропрограммы лечения - 55, база от 29.05.2008 14:52
Загружены микропрограммы эвристики: 370
Загружены микропрограммы ИПУ: 9
Загружены цифровые подписи системных файлов: 71143
Режим эвристического анализатора: Максимальный уровень эвристики
Режим лечения: выключено
Версия Windows: 5.1.2600, Service Pack 3 ; AVZ работает с правами администратора
Восстановление системы: Отключено
1. Поиск RootKit и программ, перехватывающих функции API
1.1 Поиск перехватчиков API, работающих в UserMode
 Анализ kernel32.dll, таблица экспорта найдена в секции .text
Функция kernel32.dll:GetProcAddress (409) перехвачена, метод ProcAddressHijack.GetProcAddress ->7C80AE30->7C884FEC
Функция kernel32.dll:LoadLibraryA (581) перехвачена, метод ProcAddressHijack.GetProcAddress ->7C801D7B->7C884F9C
Функция kernel32.dll:LoadLibraryExA (582) перехвачена, метод ProcAddressHijack.GetProcAddress ->7C801D53->7C884FB0
Функция kernel32.dll:LoadLibraryExW (583) перехвачена, метод ProcAddressHijack.GetProcAddress ->7C801AF5->7C884FD8
Функция kernel32.dll:LoadLibraryW (584) перехвачена, метод ProcAddressHijack.GetProcAddress ->7C80AEDB->7C884FC4
Детектирована модификация IAT: LoadLibraryA - 7C884F9C<>7C801D7B
Детектирована модификация IAT: GetProcAddress - 7C884FEC<>7C80AE30
 Анализ ntdll.dll, таблица экспорта найдена в секции .text
 Анализ user32.dll, таблица экспорта найдена в секции .text
Функция user32.dll:RegisterRawInputDevices (546) перехвачена, метод ProcAddressHijack.GetProcAddress ->7E3BCE0E->7E400010
 Анализ advapi32.dll, таблица экспорта найдена в секции .text
 Анализ ws2_32.dll, таблица экспорта найдена в секции .text
 Анализ wininet.dll, таблица экспорта найдена в секции .text
 Анализ rasapi32.dll, таблица экспорта найдена в секции .text
 Анализ urlmon.dll, таблица экспорта найдена в секции .text
 Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
 Драйвер успешно загружен
 SDT найдена (RVA=085700)
 Ядро ntkrnlpa.exe обнаружено в памяти по адресу 804D7000
   SDT = 8055C700
   KiST = 80504450 (284)
Функция NtClose (19) перехвачена (805BC4EC->B73E5370), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtConnectPort (1F) перехвачена (805A45B4->B73E3420), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtCreateKey (29) перехвачена (80623786->B73D67A0), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtCreateProcess (2F) перехвачена (805D11EC->B73E50A0), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtCreateProcessEx (30) перехвачена (805D1136->B73E5210), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtCreateSection (32) перехвачена (805AB3AE->B73E5E70), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtCreateSymbolicLinkObject (34) перехвачена (805C39B6->B73E5940), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtCreateThread (35) перехвачена (805D0FD4->B73E67B0), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtDeleteKey (3F) перехвачена (80623C16->B73D68A0), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtDeleteValueKey (41) перехвачена (80623DE6->B73D6920), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtDuplicateObject (44) перехвачена (805BDFC4->B73E5510), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtEnumerateKey (47) перехвачена (80623FC6->B73D69B0), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtEnumerateValueKey (49) перехвачена (80624230->B73D6A60), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtFlushKey (4F) перехвачена (8062449A->B73D6B10), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtInitializeRegistry (5C) перехвачена (806218DC->B73D6B90), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtLoadDriver (61) перехвачена (8058413A->B73E2FD0), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtLoadKey (62) перехвачена (80625982->B73D7590), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtLoadKey2 (63) перехвачена (8062558E->B73D6BB0), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtNotifyChangeKey (6F) перехвачена (8062594C->B73D6C80), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtOpenFile (74) перехвачена (8057A182->BA5A3030), перехватчик C:\WINDOWS\system32\Drivers\kl1.sys
Функция NtOpenKey (77) перехвачена (80624B58->B73D6D60), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtOpenProcess (7A) перехвачена (805CB3FC->B73E4E90), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtOpenSection (7D) перехвачена (805AA3D2->B73E5CA0), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtQueryKey (A0) перехвачена (80624E7E->B73D6E30), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtQueryMultipleValueKey (A1) перехвачена (806228D4->B73D6EE0), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtQuerySystemInformation (AD) перехвачена (8061108C->B73E6460), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtQueryValueKey (B1) перехвачена (806219BE->B73D6F90), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtReplaceKey (C1) перехвачена (80625832->B73D7040), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtRequestWaitReplyPort (C8) перехвачена (805A2D5A->B73E3A00), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtRestoreKey (CC) перехвачена (8062513E->B73D70D0), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtResumeThread (CE) перехвачена (805D4976->B73E6760), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtSaveKey (CF) перехвачена (8062523A->B73D72D0), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtSetContextThread (D5) перехвачена (805D16F6->B73E6AE0), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtSetInformationFile (E0) перехвачена (8057B010->B73E70A0), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtSetInformationKey (E2) перехвачена (806224A0->B73D7360), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtSetSecurityObject (ED) перехвачена (805C05EA->B73E1C20), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtSetSystemInformation (F0) перехвачена (8060F3BA->B73E5B20), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtSetValueKey (F7) перехвачена (80621D0C->B73D7400), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtSuspendThread (FE) перехвачена (805D48B0->B73E6710), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtSystemDebugControl (FF) перехвачена (8061776E->B73E32E0), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtTerminateProcess (101) перехвачена (805D299E->B73E6300), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtUnloadKey (107) перехвачена (80622036->B73D7550), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция NtWriteVirtualMemory (115) перехвачена (805B4394->B73E53D0), перехватчик C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция FsRtlCheckLockForReadAccess (804EAF74) - модификация машинного кода. Метод JmpTo. jmp B73E74C0 \??\C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Функция IoIsOperationSynchronous (804EF902) - модификация машинного кода. Метод JmpTo. jmp B73E79C0 \??\C:\WINDOWS\system32\drivers\klif.sys, драйвер опознан как безопасный
Проверено функций: 284, перехвачено: 43, восстановлено: 0
1.3 Проверка IDT и SYSENTER
 Анализ для процессора 1
>>> Опасно - подозрение на подмену адреса ЦП[1].IDT[06] = [B5BFA16D] C:\WINDOWS\system32\drivers\Haspnt.sys, драйвер опознан как безопасный
>>> Опасно - подозрение на подмену адреса ЦП[1].IDT[0E] = [B5BF9FC2] C:\WINDOWS\system32\drivers\Haspnt.sys, драйвер опознан как безопасный
 Анализ для процессора 2
>>> Опасно - подозрение на подмену адреса ЦП[2].IDT[06] = [B5BFA16D] C:\WINDOWS\system32\drivers\Haspnt.sys, драйвер опознан как безопасный
>>> Опасно - подозрение на подмену адреса ЦП[2].IDT[0E] = [B5BF9FC2] C:\WINDOWS\system32\drivers\Haspnt.sys, драйвер опознан как безопасный
 Проверка IDT и SYSENTER завершена
1.4 Поиск маскировки процессов и драйверов
 Поиск маскировки процессов и драйверов завершен
 Драйвер успешно загружен
1.5 Проверка обработчиков IRP
 Проверка завершена
2. Проверка памяти
 Количество найденных процессов: 29
Анализатор - изучается процесс 1956 C:\Program Files\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe
[ES]:Приложение не имеет видимых окон
[ES]:Записан в автозапуск !!
 Количество загруженных модулей: 298
Проверка памяти завершена
3. Сканирование дисков
4. Проверка Winsock Layered Service Provider (SPI/LSP)
 Настройки LSP проверены. Ошибок не обнаружено
5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
 Проверка отключена пользователем
7. Эвристичеcкая проверка системы
Подозрение на скрытую загрузку библиотек через AppInit_DLLs: "C:\PROGRA~1\KASPER~1\KASPER~2.0\adialhk.dll"
Проверка завершена
8. Поиск потенциальных уязвимостей
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
Проверка завершена
9. Мастер поиска и устранения проблем
 >>  Нарушение ассоциации REG файлов
 >>  Разрешен автозапуск с HDD
 >>  Разрешен автозапуск с сетевых дисков
 >>  Разрешен автозапуск со сменных носителей
Проверка завершена
Просканировано файлов: 327, извлечено из архивов: 0, найдено вредоносных программ 0, подозрений - 0
Сканирование завершено в 31.05.2008 0:12:09
Сканирование длилось 00:00:20
Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам,
то Вы можете обратиться в конференцию - http://virusinfo.info
Выполняется исследование системы


Команды скрипта
 
Добавить в скрипт команды:
Нейтрализация перехватов функций при помощи антируткита
Включить AVZGuard
BootCleaner - импорт списка удаленных файлов
Чистка реестра после удаления файлов
BootCleaner - активация
Перезагрузка
Вставить заготовку для QuarantineFile() - помещение файла в карантин
Вставить заготовку для BC_QrFile() - помещение файла в карантин через BC
Вставить заготовку для DeleteFile() - удаление файла
Вставить заготовку для DelCLSID() - удаление CLSID класса из реестра
Дополнительные операции:
Оптимизация - отключить службу RemoteRegistry (Удаленный реестр)
Оптимизация - отключить службу TermService (Службы терминалов)
Оптимизация - отключить службу SSDPSRV (Служба обнаружения SSDP)
Оптимизация - отключить службу Schedule (Планировщик заданий)
Оптимизация - отключить службу mnmsrvc (NetMeeting Remote Desktop Sharing)
Оптимизация - отключить службу RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
Оптимизация - безопасность - отключить автозапуск программ с CD
Оптимизация - безопасность - отключить административный доступ к локальным дискам
Оптимизация - безопасность - блокировать возможность подключения анонимных пользователей

Список файлов