AVZ 4.39 http://z-oleg.com/secur/avz/
| Имя файла | PID | Описание | Copyright | MD5 | Информация
| c:\program files\lenovo\bluetooth software\bttray.exe | Скрипт: Kарантин, Удалить, Удалить через BC, Завершить 3644 | Bluetooth Tray Application | Copyright 2000-2009, Broadcom Corporation. | ?? | 781.28 кб, rsAh, | создан: 15.07.2010 14:44:22, изменен: 15.07.2010 14:44:22 Командная строка: "C:\Program Files\Lenovo\Bluetooth Software\BTTray.exe" c:\program files\google\chrome\application\chrome.exe | Скрипт: Kарантин, Удалить, Удалить через BC, Завершить 5584 | Google Chrome | Copyright 2012 Google Inc. All rights reserved. | ?? | 1218.95 кб, rsAh, | создан: 09.02.2013 10:58:03, изменен: 26.01.2013 06:35:08 Командная строка: "C:\Program Files\Google\Chrome\Application\chrome.exe" c:\windows\explorer.exe | Скрипт: Kарантин, Удалить, Удалить через BC, Завершить 2508 | Проводник | © Корпорация Майкрософт. Все права защищены. | ?? | 2555.00 кб, rsAh, | создан: 29.11.2012 08:51:57, изменен: 25.02.2011 09:30:54 Командная строка: C:\windows\Explorer.EXE c:\program files\redsurf-client\redsurf.exe | Скрипт: Kарантин, Удалить, Удалить через BC, Завершить 3624 | | | ?? | 1666.00 кб, rsAh, | создан: 30.11.2012 11:27:19, изменен: 06.06.2012 09:55:46 Командная строка: "C:\Program Files\RedSurf-client\redsurf.exe" -up c:\program files\softmoney\softmoney.exe | Скрипт: Kарантин, Удалить, Удалить через BC, Завершить 2256 | SoftMoney | Copyright 2011 | ?? | 1332.50 кб, rsAh, | создан: 01.11.2012 14:54:20, изменен: 01.11.2012 14:54:20 Командная строка: "C:\Program Files\SoftMoney\SoftMoney.exe" c:\windows\system32\taskmqr.exe | Скрипт: Kарантин, Удалить, Удалить через BC, Завершить 3244 | | | ?? | 1030.72 кб, rsAH, | создан: 24.01.2013 18:45:32, изменен: 24.01.2013 18:45:32 Командная строка: "C:\Windows\System32\taskmqr.exe" c:\users\Марина\appdata\roaming\websurf.ru\websurf.exe | Скрипт: Kарантин, Удалить, Удалить через BC, Завершить 1884 | WebSurf Client Surfing Software | © 2012 WebSurf.ru Russian Autosurf | ?? | 854.50 кб, rsAh, | создан: 29.11.2012 06:45:19, изменен: 13.06.2012 13:27:45, имя содержит национальные символы Командная строка: "C:\Users\Марина\AppData\Roaming\WebSurf.ru\WebSurf.exe" c:\program files\xlaunchpad\xlaunchpad.exe | Скрипт: Kарантин, Удалить, Удалить через BC, Завершить 3492 | OS X Launchpad for Windows | | ?? | 2312.50 кб, rsAh, | создан: 29.11.2012 06:53:16, изменен: 31.07.2012 13:08:16 Командная строка: "C:\Program Files\XLaunchPad\XLaunchPad.exe" start Обнаружено:61, из них опознаны как безопасные 55
| | |||||
| Имя модуля | Handle | Описание | Copyright | MD5 | Используется процессами
| C:\Program Files\Lenovo\Bluetooth Software\BtBalloon.dll | Скрипт: Kарантин, Удалить, Удалить через BC 3932160 | Balloon Tooltip Routine DLL | Copyright 2000-2009, Broadcom Corporation. | -- | 3644
| C:\Program Files\Lenovo\Bluetooth Software\btncopy.dll | Скрипт: Kарантин, Удалить, Удалить через BC 66977792 | BTNCopy Module | Copyright 2000-2009, Broadcom Corporation. | -- | 5584, 2508
| C:\Program Files\Lenovo\Bluetooth Software\btosif.dll | Скрипт: Kарантин, Удалить, Удалить через BC 1441792 | BTOSIF DLL | Copyright 2000-2009, Broadcom Corporation. | -- | 3644
| C:\Program Files\Lenovo\Bluetooth Software\btrez.dll | Скрипт: Kарантин, Удалить, Удалить через BC 34013184 | btrez DLL | Copyright 2000-2009, Broadcom Corporation. | -- | 3644
| C:\Program Files\Lenovo\Bluetooth Software\btwapi.dll | Скрипт: Kарантин, Удалить, Удалить через BC 268435456 | WBTApi DLL | Copyright 2000-2009, Broadcom Corporation. | -- | 3644
| C:\Program Files\Lenovo\Bluetooth Software\BtwCP.DLL | Скрипт: Kарантин, Удалить, Удалить через BC 33357824 | BtwCP DLL | Copyright 2000-2009, Broadcom Corporation. | -- | 3644
| C:\Program Files\Lenovo\Bluetooth Software\btwhidcs.DLL | Скрипт: Kарантин, Удалить, Удалить через BC 3276800 | Bluetooth HID Power Control Suite dll | Copyright 2000-2009, Broadcom Corporation. | -- | 3644
| Обнаружено модулей:590, из них опознаны как безопасные 583
| | |||||
| Модуль | Базовый адрес | Размер в памяти | Описание | Производитель
| C:\windows\System32\Drivers\dump_atapi.sys | Скрипт: Kарантин, Удалить, Удалить через BC 82384000 | 009000 (36864) |
| C:\windows\System32\Drivers\dump_dumpata.sys | Скрипт: Kарантин, Удалить, Удалить через BC 82379000 | 00B000 (45056) |
| C:\windows\System32\Drivers\dump_dumpfve.sys | Скрипт: Kарантин, Удалить, Удалить через BC 8238D000 | 011000 (69632) |
| Обнаружено модулей - 197, опознано как безопасные - 194
| | |||||||
| Служба | Описание | Статус | Файл | Группа | Зависимости
| btwdins | Служба: Стоп, Удалить, Отключить, Удалить через BC Bluetooth Service | Не запущен | C:\Program Files\Lenovo\Bluetooth Software\btwdins.exe | Скрипт: Kарантин, Удалить, Удалить через BC |
| wlcrasvc | Служба: Стоп, Удалить, Отключить, Удалить через BC Windows Live Mesh remote connections service | Не запущен | C:\Program Files\Windows Live\Mesh\wlcrasvc.exe | Скрипт: Kарантин, Удалить, Удалить через BC |
| Обнаружено - 153, опознано как безопасные - 151
| | ||||||
| Служба | Описание | Статус | Файл | Группа | Зависимости
| CisUtMonitor | Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC CisUtMonitor | Не запущен | C:\windows\system32\DRIVERS\CisUtMonitor.sys | Скрипт: Kарантин, Удалить, Удалить через BC FSFilter Activity Monitor | FltMgr
| Обнаружено - 267, опознано как безопасные - 266
| | ||||||
| Имя файла | Статус | Метод запуска | Описание
| C:\Program Files\Lenovo\Bluetooth Software\BTTray.exe | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ярлык в папке автозагрузки | C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\, C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Bluetooth.lnk,
| C:\Program Files\Lenovo\Bluetooth Software\btncopy.dll | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_LOCAL_MACHINE, Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved, {7842554E-6BED-11D2-8CDB-B05550C10000} | Удалить C:\Program Files\RedSurf-client\redsurf.exe | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_CURRENT_USER, Software\Microsoft\Windows\CurrentVersion\Run, RedSurf | Удалить C:\Program Files\SoftMoney\SoftMoney.exe | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_LOCAL_MACHINE, Software\Microsoft\Windows\CurrentVersion\Run, SoftMoney | Удалить C:\Program Files\XLaunchPad\XLaunchPad.exe | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_CURRENT_USER, Software\Microsoft\Windows\CurrentVersion\Run, XLaunchPad | Удалить C:\Program Files\XLaunchPad\XLaunchPad.exe | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ярлык в папке автозагрузки | C:\Users\Марина\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\, C:\Users\Марина\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\XLaunchPad.lnk,
| C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Link.lnk | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Файл в папке автозагрузки | C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\, C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Link.lnk,
| C:\Users\Марина\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Link - Ярлык.lnk | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Файл в папке автозагрузки | C:\Users\Марина\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\, C:\Users\Марина\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Link - Ярлык.lnk,
| C:\windows\System32\drivers\avkmgr.sys | Скрипт: Kарантин, Удалить, Удалить через BC -- | Ключ реестра | HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog\System\avkmgr, EventMessageFile
| C:\windows\system32\psxss.exe | Скрипт: Kарантин, Удалить, Удалить через BC -- | Ключ реестра | HKEY_LOCAL_MACHINE, System\CurrentControlSet\Control\Session Manager\SubSystems, Posix
| C:\windows\system32\taskmqr.exe | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_LOCAL_MACHINE, Software\Microsoft\Windows\CurrentVersion\Run,
| progman.exe | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_LOCAL_MACHINE, Software\Microsoft\Windows NT\CurrentVersion\WOW\boot, shell | Удалить rdpclip | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_LOCAL_MACHINE, System\CurrentControlSet\Control\Terminal Server\Wds\rdpwd, StartupPrograms | Удалить vgafix.fon | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_LOCAL_MACHINE, Software\Microsoft\Windows NT\CurrentVersion\WOW\boot, fixedfon.fon | Удалить vgaoem.fon | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_LOCAL_MACHINE, Software\Microsoft\Windows NT\CurrentVersion\WOW\boot, oemfonts.fon | Удалить vgasys.fon | Скрипт: Kарантин, Удалить, Удалить через BC Активен | Ключ реестра | HKEY_LOCAL_MACHINE, Software\Microsoft\Windows NT\CurrentVersion\WOW\boot, fonts.fon | Удалить Обнаружено элементов автозапуска - 678, опознано как безопасные - 662
| | ||||||
| Имя файла | Тип | Описание | Производитель | CLSID
| BHO | {B164E929-A1B6-4A06-B104-2CD0E90A88FF} | Удалить BHO | {C93F72A2-2162-4BBA-A07A-F13663C297A6} | Удалить Панель | {91397D20-1446-11D4-8AF4-0040CA1127B6} | Удалить Модуль расширения | {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} | Удалить C:\Program Files\Lenovo\Bluetooth Software\btsendto_ie.htm | Скрипт: Kарантин, Удалить, Удалить через BC Модуль расширения | {CCA281CA-C863-46ef-9331-5C8D4460577F} | Удалить Обнаружено элементов - 8, опознано как безопасные - 3
| | ||||||||||||||||||||
| Имя файла | Назначение | Описание | Производитель | CLSID
| C:\Program Files\Lenovo\Bluetooth Software\btncopy.dll | Скрипт: Kарантин, Удалить, Удалить через BC Monitor | BTNCopy Module | Copyright 2000-2009, Broadcom Corporation. | {7842554E-6BED-11D2-8CDB-B05550C10000} | Удалить WLMD Message Handler | {0563DB41-F538-4B37-A92D-4659049B7766} | Удалить WebCheck | {E6FB5E20-DE35-11CF-9C87-00AA005127ED} | Удалить Shell Extension for Malware scanning | {45AC2688-0253-4ED8-97DE-B5370FA7D48A} | Удалить Обнаружено элементов - 25, опознано как безопасные - 21
| | |||||||||||||||
| Имя файла | Тип | Наименование | Описание | Производитель
| Обнаружено элементов - 7, опознано как безопасные - 7
| | ||||||
| Имя файла | Имя задания | Состояние задания | Описание | Производитель
| Обнаружено элементов - 2, опознано как безопасные - 2
| | ||||||
| Поставщик | Статус | Исп. файл | Описание | GUID
| Обнаружено - 9, опознано как безопасные - 9
| | ||||||
| Поставщик | Исп. файл | Описание
| Обнаружено - 33, опознано как безопасные - 33
| | ||||||
| Имя файла | Описание | Производитель | CLSID | URL загрузки
| Обнаружено элементов - 0, опознано как безопасные - 0
| | ||||||
| Имя файла | Описание | Производитель
| Обнаружено элементов - 21, опознано как безопасные - 21
| | ||||||
| Имя файла | Описание | Производитель | CLSID
| Обнаружено элементов - 10, опознано как безопасные - 10
| | ||||||
Запись файла Hosts
|
| Имя файла | Тип | Описание | Производитель | CLSID
| mscoree.dll | Скрипт: Kарантин, Удалить, Удалить через BC Protocol | Microsoft .NET Runtime Execution Engine () | © Microsoft Corporation. All rights reserved. | {1E66F26B-79EE-11D2-8710-00C04F79ED0D} | Удалить mscoree.dll | Скрипт: Kарантин, Удалить, Удалить через BC Protocol | Microsoft .NET Runtime Execution Engine () | © Microsoft Corporation. All rights reserved. | {1E66F26B-79EE-11D2-8710-00C04F79ED0D} | Удалить mscoree.dll | Скрипт: Kарантин, Удалить, Удалить через BC Protocol | Microsoft .NET Runtime Execution Engine () | © Microsoft Corporation. All rights reserved. | {1E66F26B-79EE-11D2-8710-00C04F79ED0D} | Удалить Обнаружено элементов - 18, опознано как безопасные - 15
| | ||||||
| Файл | Описание | Тип
| c:\program files\malwarebytes' anti-malware\mbam.exe | Скрипт: Kарантин, Удалить, Удалить через BC Подозрение на RootKit | Подозрение на RootKit
| |
Протокол антивирусной утилиты AVZ версии 4.39 Сканирование запущено в 10.02.2013 09:11:12 Загружена база: сигнатуры - 297614, нейропрофили - 2, микропрограммы лечения - 56, база от 10.02.2013 04:00 Загружены микропрограммы эвристики: 401 Загружены микропрограммы ИПУ: 9 Загружены цифровые подписи системных файлов: 519516 Режим эвристического анализатора: Максимальный уровень эвристики Режим лечения: включено Версия Windows: 6.1.7601, Service Pack 1 ; AVZ работает с правами администратора Восстановление системы: включено 1. Поиск RootKit и программ, перехватывающих функции API >>>> Подозрение на маскировку файла процесса: c:\program files\malwarebytes' anti-malware\mbam.exe 1.1 Поиск перехватчиков API, работающих в UserMode Анализ kernel32.dll, таблица экспорта найдена в секции .text Анализ ntdll.dll, таблица экспорта найдена в секции .text Анализ user32.dll, таблица экспорта найдена в секции .text Анализ advapi32.dll, таблица экспорта найдена в секции .text Анализ ws2_32.dll, таблица экспорта найдена в секции .text Анализ wininet.dll, таблица экспорта найдена в секции .text Анализ rasapi32.dll, таблица экспорта найдена в секции .text Анализ urlmon.dll, таблица экспорта найдена в секции .text Анализ netapi32.dll, таблица экспорта найдена в секции .text 1.2 Поиск перехватчиков API, работающих в KernelMode Драйвер успешно загружен SDT найдена (RVA=16AB00) Ядро ntkrnlpa.exe обнаружено в памяти по адресу 82C55000 SDT = 82DBFB00 KiST = 82CD34DC (401) Проверено функций: 401, перехвачено: 0, восстановлено: 0 1.3 Проверка IDT и SYSENTER Анализ для процессора 1 Анализ для процессора 2 CmpCallCallBacks = 00000000 Проверка IDT и SYSENTER завершена 1.4 Поиск маскировки процессов и драйверов Проверка не производится, так как не установлен драйвер мониторинга AVZPM 1.5 Проверка обработчиков IRP Драйвер успешно загружен Проверка завершена 2. Проверка памяти Количество найденных процессов: 62 Анализатор - изучается процесс 3644 C:\Program Files\Lenovo\Bluetooth Software\BTTray.exe [ES]:Может работать с сетью [ES]:Приложение не имеет видимых окон [ES]:Записан в автозапуск !! [ES]:Загружает DLL RASAPI - возможно, может работать с дозвонкой ? Анализатор - изучается процесс 1884 C:\Users\Марина\AppData\Roaming\WebSurf.ru\WebSurf.exe [ES]:Может работать с сетью [ES]:Может отправлять почту ?! [ES]:Прослушивает порты, применяемые протоколом HTTP ! [ES]:Загружает DLL RASAPI - возможно, может работать с дозвонкой ? Анализатор - изучается процесс 5020 C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe [ES]:Может работать с сетью [ES]:Загружает DLL RASAPI - возможно, может работать с дозвонкой ? Количество загруженных модулей: 598 Проверка памяти завершена 3. Сканирование дисков 4. Проверка Winsock Layered Service Provider (SPI/LSP) Настройки LSP проверены. Ошибок не обнаружено 5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL) Проверка отключена пользователем 6. Поиск открытых портов TCP/UDP, используемых вредоносными программами Проверка отключена пользователем 7. Эвристичеcкая проверка системы Проверка завершена 8. Поиск потенциальных уязвимостей >> Службы: разрешена потенциально опасная служба TermService (Службы удаленных рабочих столов) >> Службы: разрешена потенциально опасная служба SSDPSRV (Обнаружение SSDP) >> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий) > Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)! >> Безопасность: разрешен автозапуск программ с CDROM >> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...) >> Безопасность: к ПК разрешен доступ анонимного пользователя >> Безопасность: Разрешена отправка приглашений удаленному помощнику Проверка завершена 9. Мастер поиска и устранения проблем >> Разрешен автозапуск с HDD >> Разрешен автозапуск с сетевых дисков >> Разрешен автозапуск со сменных носителей Проверка завершена Просканировано файлов: 54587, извлечено из архивов: 29069, найдено вредоносных программ 0, подозрений - 0 Сканирование завершено в 10.02.2013 09:22:13 Сканирование длилось 00:11:03 Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам, то Вы можете обратиться на форум http://forum.kaspersky.com/index.php?showforum=18 Создание архива с файлами из карантина Создание архива с файлами из карантина завершено Выполняется исследование системыДобавить в скрипт команды:
Исследование системы завершено
Команды скрипта