Протокол исследования системы

AVZ 4.46 http://z-oleg.com/secur/avz/

Список процессов

Модули пространства ядра

Службы

Драйверы

Автозапуск

Модули расширения Internet Explorer (BHO, панели ...)

Модули расширения проводника

Модули расширения системы печати (мониторы печати, провайдеры)

Задания планировщика задач Task Scheduler

Настройки SPI/LSP

Настройки LSP проверены. Ошибок не обнаружено

Протокол антивирусной утилиты AVZ версии 4.46
Сканирование запущено в 26.02.2018 16:16:48
Загружена база: сигнатуры - 297569, нейропрофили - 2, микропрограммы лечения - 56, база от 26.02.2018 16:00
Загружены микропрограммы эвристики: 403
Загружены микропрограммы ИПУ: 10
Загружены цифровые подписи системных файлов: 969465
Режим эвристического анализатора: Максимальный уровень эвристики
Режим лечения: выключено
Версия Windows: 6.1.7601, Service Pack 1 "Windows 7 Ultimate", дата инсталляции 02.07.2017 16:39:17 ; AVZ работает с правами администратора (+)
Восстановление системы: включено
1. Поиск RootKit и программ, перехватывающих функции API
 >>>> Подозрение на маскировку файла процесса: \\?\c:\users\НАСТЯ\desktop\СНИФЕР\kmnqck
1.1 Поиск перехватчиков API, работающих в UserMode
 Анализ kernel32.dll, таблица экспорта найдена в секции .text
Функция kernel32.dll:CopyFileW (120) перехвачена, метод APICodeHijack.JmpTo[767C6D4F]
Функция kernel32.dll:CreateFileW (146) перехвачена, метод APICodeHijack.JmpTo[767DEAE5]
Функция kernel32.dll:CreateProcessA (167) перехвачена, метод APICodeHijack.JmpTo[76792082]
Функция kernel32.dll:CreateProcessW (171) перехвачена, метод APICodeHijack.JmpTo[7679204D]
Функция kernel32.dll:MoveFileExW (865) перехвачена, метод APICodeHijack.JmpTo[767D9000]
Функция kernel32.dll:ReplaceFile (1035) перехвачена, метод APICodeHijack.JmpTo[767F19E8]
Функция kernel32.dll:ReplaceFileW (1037) перехвачена, метод APICodeHijack.JmpTo[767F19E8]
 Анализ ntdll.dll, таблица экспорта найдена в секции .text
Функция ntdll.dll:NtSetValueKey (539) перехвачена, метод APICodeHijack.JmpTo[77496330]
Функция ntdll.dll:ZwSetValueKey (1766) перехвачена, метод APICodeHijack.JmpTo[77496330]
 Анализ user32.dll, таблица экспорта найдена в секции .text
 Анализ advapi32.dll, таблица экспорта найдена в секции .text
 Анализ ws2_32.dll, таблица экспорта найдена в секции .text
 Анализ wininet.dll, таблица экспорта найдена в секции .text
 Анализ rasapi32.dll, таблица экспорта найдена в секции .text
 Анализ urlmon.dll, таблица экспорта найдена в секции .text
 Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
 Драйвер успешно загружен
 SDT найдена (RVA=170B00)
 Ядро ntkrnlpa.exe обнаружено в памяти по адресу 83013000
   SDT = 83183B00
   KiST = 83095174 (401)
Проверено функций: 401, перехвачено: 0, восстановлено: 0
1.3 Проверка IDT и SYSENTER
 Анализ для процессора 1
 Анализ для процессора 2
 Проверка IDT и SYSENTER завершена
1.4 Поиск маскировки процессов и драйверов
 Проверка не производится, так как не установлен драйвер мониторинга AVZPM
1.5 Проверка обработчиков IRP
 Драйвер успешно загружен
 Проверка завершена
2. Проверка памяти
 Количество найденных процессов: 66
Анализатор - изучается процесс 1700 C:\Program Files\OpenVPN Technologies\PrivateTunnel\ovpnagent.exe
[ES]:Может работать с сетью
[ES]:Приложение не имеет видимых окон
Анализатор - изучается процесс 416 \\?\C:\USERS\НАСТЯ\DESKTOP\СНИФЕР\kmnqck
[ES]:Может работать с сетью
[ES]:Загружает DLL RASAPI - возможно, может работать с дозвонкой ?
 Количество загруженных модулей: 623
Проверка памяти завершена
3. Сканирование дисков
4. Проверка Winsock Layered Service Provider (SPI/LSP)
 Настройки LSP проверены. Ошибок не обнаружено
5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
 Проверка отключена пользователем
6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
 Проверка отключена пользователем
7. Эвристичеcкая проверка системы
Проверка настройки поиска IE через Policies HKCU\Software\Microsoft\Internet Explorer\SearchScopes\97dc7190-5f4b-11e7-9d8f-0016176c007a, TopResultURL="http://www.bing.com/search?q={searchTerms}&src=IE-TopResult&FORM=IETR02"
Проверка настройки поиска IE через Policies HKCU\Software\Microsoft\Internet Explorer\SearchScopes\97dc7190-5f4b-11e7-9d8f-0016176c007a, TopResultURLFallback="http://www.bing.com/search?q={searchTerms}&src=IE-TopResult&FORM=IETR02"
Проверка настройки поиска IE через Policies HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}, SuggestionsURL_JSON="https://suggest.yandex.ru/suggest-ff.cgi?uil=ru&part={searchTerms}"
>>> C:\Windows\kmsauto.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
Проверка завершена
8. Поиск потенциальных уязвимостей
>> Службы: разрешена потенциально опасная служба TermService (Службы удаленных рабочих столов)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Проводник - включить отображение расширений для файлов известных системе типов
Проверка завершена
9. Мастер поиска и устранения проблем
 >>  Таймаут завершения процессов находится за пределами допустимых значений
 >>  Разрешен автозапуск с HDD
 >>  Разрешен автозапуск с сетевых дисков
 >>  Разрешен автозапуск со сменных носителей
Проверка завершена
Просканировано файлов: 689, извлечено из архивов: 0, найдено вредоносных программ 0, подозрений - 0
Сканирование завершено в 26.02.2018 16:17:51
Сканирование длилось 00:01:05
Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам,
то Вы можете обратиться на форум http://forum.kaspersky.com/index.php?showforum=18
Для автоматической проверки файлов, не опознаных как чистые или заподозренных AVZ 
можно использовать сервис http://virusdetector.ru/
Выполняется исследование системы
Диагностика сети
 DNS and Ping test
  Host="yandex.ru", IP="77.88.55.60,77.88.55.77,5.255.255.50,5.255.255.77", Ping=OK (0,9,77.88.55.60)
  Host="google.ru", IP="108.177.14.94", Ping=OK (0,19,108.177.14.94)
  Host="google.com", IP="108.177.14.139,108.177.14.100,108.177.14.101,108.177.14.102,108.177.14.113,108.177.14.138", Ping=OK (0,19,108.177.14.139)
  Host="www.kaspersky.com", IP="77.74.178.16", Ping=OK (0,10,77.74.178.16)
  Host="www.kaspersky.ru", IP="77.74.178.18", Ping=OK (0,10,77.74.178.18)
  Host="dnl-03.geo.kaspersky.com", IP="95.167.139.6", Ping=OK (0,7,95.167.139.6)
  Host="dnl-11.geo.kaspersky.com", IP="62.128.100.81", Ping=OK (0,8,62.128.100.81)
  Host="activation-v2.kaspersky.com", IP="212.5.89.37", Ping=OK (0,10,212.5.89.37)
  Host="odnoklassniki.ru", IP="5.61.23.11,217.20.147.1,217.20.155.13", Ping=OK (0,8,5.61.23.11)
  Host="vk.com", IP="87.240.129.72,87.240.129.133,87.240.182.224,87.240.129.71", Ping=OK (0,14,87.240.129.72)
  Host="vkontakte.ru", IP="95.213.4.229,95.213.4.228", Ping=OK (0,13,95.213.4.229)
  Host="twitter.com", IP="104.244.42.193", Ping=OK (0,44,104.244.42.193)
  Host="facebook.com", IP="31.13.72.36", Ping=OK (0,23,31.13.72.36)
  Host="ru-ru.facebook.com", IP="31.13.72.8", Ping=OK (0,24,31.13.72.8)
 Network IE settings
  IE setting AutoConfigURL=
  IE setting AutoConfigProxy=wininet.dll
  IE setting ProxyOverride=
  IE setting ProxyServer=
  IE setting Internet\ManualProxies=
 Network TCP/IP settings
 Network Persistent Routes

 Исследование системы завершено


Команды скрипта
 
Добавить в скрипт команды:
Нейтрализация перехватов функций при помощи антируткита
Включить AVZGuard
Управление AVZPM (true-включить,false-отключить)
BootCleaner - импорт списка удаленных файлов
BootCleaner - импортировать все
Чистка реестра после удаления файлов
ExecuteWizard ('TSW',2,3,true) - Выполнение мастера поиска и устранения проблем
BootCleaner - активация
Перезагрузка
Вставить заготовку для QuarantineFile() - помещение файла в карантин
Вставить заготовку для BC_QrFile() - помещение файла в карантин через BC
Вставить заготовку для DeleteFile() - удаление файла
Вставить заготовку для DelCLSID() - удаление CLSID класса из реестра
Дополнительные операции:
Оптимизация - отключить службу TermService (Службы удаленных рабочих столов)
Оптимизация - безопасность - отключить автозапуск программ с CD
Проводник - включить отображение расширений для файлов известных системе типов

Список файлов