32 ответов в этой теме

[FLAGER]

Регулярно спайдер сообщает о таком:

23-11-2008 20:56:18 [CL] (PID = 0004) C:MPKrnl.exe - iнфiкований Trojan.DownLoad.12657
23-11-2008 20:56:18 [CL] (PID = 0004) C:MPKrnl.exe - зцiлений
23-11-2008 21:03:35 [CL] (PID = 0004) C:setup.exe - iнфiкований Win32.Alman
23-11-2008 21:03:35 [CL] (PID = 0004) C:setup.exe - зцiлений
23-11-2008 21:25:12 [CL] (PID = 0004) C:MPKrnl.exe - iнфiкований Trojan.DownLoad.12657
23-11-2008 21:25:12 [CL] (PID = 0004) C:MPKrnl.exe - зцiлений
23-11-2008 21:35:34 [CL] (PID = 0004) C:MPKrnl.exe - iнфiкований Trojan.DownLoad.12657
23-11-2008 21:35:34 [CL] (PID = 0004) C:MPKrnl.exe - зцiлений
23-11-2008 21:40:27 [CL] (PID = 0004) C:MPKrnl.exe - iнфiкований Trojan.DownLoad.12657
23-11-2008 21:40:27 [CL] (PID = 0004) C:MPKrnl.exe - зцiлений
23-11-2008 22:29:36 [CL] (PID = 0004) C:setup.exe - iнфiкований Win32.Alman
23-11-2008 22:29:36 [CL] (PID = 0004) C:setup.exe - зцiлений
23-11-2008 22:33:24 [CL] (PID = 0004) C:setup.exe - iнфiкований Win32.Alman
23-11-2008 22:33:24 [CL] (PID = 0004) C:setup.exe - зцiлений

То есть он лечит файлы - но их после этого нет, да и не было у меня таких файлов никогда. Полная проверка не дала результатов. Полная проверка в безопасном режиме тоже ничего не найшла. И процеса с данным PID-ом тоже нет и не было.

Помогите, пожалуйста.

[mrbelyash]

http://wiki.drweb.com/index.php/Если_у_вас...нический_вопрос

http://wiki.drweb.com/index.php/HijackThis

+лог сканера с быстрой проверкой

-------------------------------------------

http://mrbelyash.narod.ru/utils.html ,Искренне Ваш,мистер Беляш

[v.martyanov]

Не небыло, а не видели :-)

[YVS]

И процеса с данным PID-ом тоже нет и не было.

В ХР PID равный 4 имеет системный процесс.

[FLAGER]

Здравствуйте.

Спасибо всем за отзывы. Логи сканера, информация о системе и лог ХайДжека в архиве.

[Borka]

Кстати, диск c: случаем не расшарен? Еще хотелось бы увидеть лог РкУ.

---
С уважением,
Borka.

[FLAGER]

Нет, не розшарен.

У меня стоит стенка ZoneAlarm.

Я всю ИТ-жизнь успешно боролся с вирусами, и не только у себя. Просто этот случай уникален, сам не могу справиться.

Возможный путь попадания вируса - через флешку. Хотя спайдер никогда не выключаю - стоит проверка всех файлов, кроме файлов в архивах.

[Borka]

Нет, не розшарен.

Фишка в том, что [cl] (PID = 0004) - это запись системой файла на диск. Левых дров вроде не видно, хуки вроде только от ЗонАларма,
Единственное, что непонятно:
Process: C:LE3815PH3cp.exe

---
С уважением,
Borka.

[FLAGER]

Собственно, это и был RКU.
Он ведь ставиться со случайными именами, чтобы вируса не знали - у них это даже на офф. сайте пишет.

Значить, надежды никакой?
Даже не знаю, какой файл посылать в поддержку :(

[mrbelyash]

Пусть бы все же Владимир посмотрел Morda.exe-хорошего в этой программе нет
-------------------------------------------

http://mrbelyash.narod.ru/utils.html ,Искренне Ваш,мистер Беляш

[Borka]

Собственно, это и был RКU.
Он ведь ставиться со случайными именами, чтобы вируса не знали - у них это даже на офф. сайте пишет.

Хм... У меня он ставится в папку RkUnhooker. ;)

Значить, надежды никакой?

Суппорт - последняя надежда.

---
С уважением,
Borka.

[FLAGER]

Это интерфейс от прокси-сервера CoolProxy. Стоит у меня больше года.
Просто автор так файл назвал :)

[FLAGER]

Спрашивает ли суппорт данные о ключе?

[v.martyanov]

Да. Полную проверку системы делали?

[mrbelyash]

Я понял...просто пробивал по поиску...на вирусинфо про него один негатив.
-------------------------------------------

http://mrbelyash.narod.ru/utils.html ,Искренне Ваш,мистер Беляш

[FLAGER]

Делал. И просто полную, и безопасную проверку. И даже принес от соседа с чистого компьютера (там тоже Др.Веб) на флешке CureIt! и проверял в безопасном режиме - ничего не находит.

[FLAGER]

Не могу ничего сказать, возможно там имееться в виду одноименный файл.
Прокси-работает надежно. Его графический интерфейс не имеет к вирусам отношения.

Насколько я читал о тех вирусах, которые описал в первом посте, они создают определенные файлы и ключи в регистре - у себя ни того, ни другого не нашел.

[Borka]

Кроме впингвинивания по сети, у меня идей нет. :(

---
С уважением,
Borka.

[v.martyanov]

Сколько у вас дисков?

[FLAGER]

Не могу грешить на стенку, ZoneAlarm в числе лидеров. Да и сеть не первый год у меня.

Один физический диск, разбит на 3 разделы C, D, E.
Иногда есть еще диск Z - виртуальный от Денвера.