Denesis

Девушка, выбирайте только Локальный диск (С). А сюда скопируйте текст, который по завершенмм сканирования появится ниже. Он будет большим. Его копируйте.

Nexus

Через "Пуск - завершение работы" нужно выключаться. Проблемма с самопроизвольной перезагрузкой появилась недавно? Если да, то можно попробовать отключить в автозагрузке все лишние программы (AVZ - сервис - менеджер автозапуска) и восстановить систему до раннего состояния.

Denesis

А у Вас диск D называется Winda. А где соит сама эта винда: на С или на D?

fibs89

на D, ее проверить надо значит)

Denesis

Да. Проверят нужно системный диск, там где установленна система. Вы извините за дезинформацию. Я по привычке решил, что у Вас все на C:\.

fibs89

Внимание !!! База поcледний раз обновлялась 06.04.2008 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
Протокол антивирусной утилиты AVZ версии 4.30
Сканирование запущено в 02.01.2009 20:17:12
Загружена база: сигнатуры - 157571, нейропрофили - 2, микропрограммы лечения - 55, база от 06.04.2008 17:09
Загружены микропрограммы эвристики: 370
Загружены микропрограммы ИПУ: 9
Загружены цифровые подписи системных файлов: 70476
Режим эвристического анализатора: Средний уровень эвристики
Режим лечения: выключено
Версия Windows: 5.1.2600, Service Pack 2 ; AVZ работает с правами администратора
Восстановление системы: включено
1. Поиск RootKit и программ, перехватывающих функции API
1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Анализ user32.dll, таблица экспорта найдена в секции .text
Функция user32.dll:ChangeDisplaySettingsExA (34) перехвачена, метод APICodeHijack.JmpTo[100AB842]
Функция user32.dll:ChangeDisplaySettingsExW (35) перехвачена, метод APICodeHijack.JmpTo[100AB86E]
Функция user32.dll:EndTask (202) перехвачена, метод APICodeHijack.JmpTo[100AB52A]
Функция user32.dll:SetForegroundWindow (600) перехвачена, метод APICodeHijack.JmpTo[100AB4D2]
Функция user32.dll:SetWindowPos (644) перехвачена, метод APICodeHijack.JmpTo[100AB4FE]
Анализ advapi32.dll, таблица экспорта найдена в секции .text
Анализ ws2_32.dll, таблица экспорта найдена в секции .text
Анализ wininet.dll, таблица экспорта найдена в секции .text
Анализ rasapi32.dll, таблица экспорта найдена в секции .text
Анализ urlmon.dll, таблица экспорта найдена в секции .text
Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
Драйвер успешно загружен
SDT найдена (RVA=07B180)
Ядро ntkrnlpa.exe обнаружено в памяти по адресу 804D7000
SDT = 80552180
KiST = 80501030 (284)
Функция NtAssignProcessToJobObject (13) перехвачена (805CB162->EDEDEB4A), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtClose (19) перехвачена (805B0714->EDEBEC16), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtConnectPort (1F) перехвачена (8059843A->EDEE114E), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtCreateFile (25) перехвачена (8056D14C->EDEB6DA2), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtCreateKey (29) перехвачена (80618BD2->EDEC7D92), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtCreatePagingFile (2D) перехвачена (8059F8FA->F7314C70), перехватчик D:\WINDOWS\system32\Drivers\Vax347b.sys, драйвер опознан как безопасный
Функция NtCreateProcess (2F) перехвачена (805C5CE8->EDED6646), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtCreateProcessEx (30) перехвачена (805C5C32->EDED715E), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtCreateSection (32) перехвачена (8059F23E->EDEB52FE), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtCreateSymbolicLinkObject (34) перехвачена (805B9410->EDEC7682), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtCreateThread (35) перехвачена (805C5AD0->EDED4CC6), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtDeleteFile (3E) перехвачена (8056AD2C->EDEC5F26), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtDeleteKey (3F) перехвачена (80619062->EDEC9D4E), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtDeleteValueKey (41) перехвачена (80619232->EDED17A2), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtEnumerateKey (47) перехвачена (80619412->F73154FE), перехватчик D:\WINDOWS\system32\Drivers\Vax347b.sys, драйвер опознан как безопасный
Функция NtEnumerateValueKey (49) перехвачена (8061967C->F7320D50), перехватчик D:\WINDOWS\system32\Drivers\Vax347b.sys, драйвер опознан как безопасный
Функция NtLoadDriver (61) перехвачена (8057832A->EDED3666), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtMakeTemporaryObject (69) перехвачена (805B07B8->EDEC6D86), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtOpenFile (74) перехвачена (8056E26A->EDEBD0CF), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtOpenKey (77) перехвачена (80619F68->EDEC9154), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtOpenProcess (7A) перехвачена (805BFB78->EDED98B6), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtOpenSection (7D) перехвачена (8059E274->EDEB5D5E), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtOpenThread (80) перехвачена (805BFE04->EDED8B36), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtProtectVirtualMemory (89) перехвачена (805AC4E2->EDEE0342), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtQueryDirectoryFile (91) перехвачена (8056DF44->EDEBFC8D), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtQueryKey (A0) перехвачена (8061A28C->EDECAB82), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtQueryValueKey (B1) перехвачена (80616C8C->EDECB65E), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtQueueApcThread (B4) перехвачена (805C5D2E->EDEDDD92), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtRenameKey (C0) перехвачена (806185F8->EDED069E), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtReplaceKey (C1) перехвачена (8061A7B2->EDECD216), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtRequestPort (C7) перехвачена (805968B4->EDEE3636), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtRequestWaitReplyPort (C8) перехвачена (80596BE0->EDEE3C1A), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtRestoreKey (CC) перехвачена (80616FDA->EDECFB6A), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtSaveKey (CF) перехвачена (8061707C->EDECE6CA), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtSaveKeyEx (D0) перехвачена (8061710C->EDECF112), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtSecureConnectPort (D2) перехвачена (80597BCE->EDEE1E36), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtSetContextThread (D5) перехвачена (805C61F2->EDEDD1B6), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtSetInformationFile (E0) перехвачена (8056F11A->EDEC1BDE), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtSetSystemInformation (F0) перехвачена (8060468C->EDED29C2), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtSetSystemPowerState (F1) перехвачена (80646DE8->F73204F0), перехватчик D:\WINDOWS\system32\Drivers\Vax347b.sys, драйвер опознан как безопасный
Функция NtSetValueKey (F7) перехвачена (80617292->EDECC1BA), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtSuspendProcess (FD) перехвачена (805C9588->EDEDBEE6), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtSuspendThread (FE) перехвачена (805C93FA->EDEDC80E), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtSystemDebugControl (FF) перехвачена (8060C9A8->EDEE481A), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtTerminateProcess (101) перехвачена (805C74C8->EDEDA66E), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Функция NtTerminateThread (102) перехвачена (805C76C2->EDEDB386), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
то Вы можете обратиться в конференцию - http://virusinfo.info
Функция NtWriteVirtualMemory (115) перехвачена (805A82F6->EDEDF5E6), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys
Проверено функций: 284, перехвачено: 48, восстановлено: 0
1.3 Проверка IDT и SYSENTER
Анализ для процессора 1
Проверка IDT и SYSENTER завершена
1.4 Поиск маскировки процессов и драйверов
Проверка не производится, так как не установлен драйвер мониторинга AVZPM
Драйвер успешно загружен
1.5 Проверка обработчиков IRP
\FileSystem\ntfs[IRP_MJ_CREATE] = 86FD61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_CLOSE] = 86FD61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_WRITE] = 86FD61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_INFORMATION] = 86FD61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_INFORMATION] = 86FD61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_EA] = 86FD61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_EA] = 86FD61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_VOLUME_INFORMATION] = 86FD61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_VOLUME_INFORMATION] = 86FD61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DIRECTORY_CONTROL] = 86FD61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_FILE_SYSTEM_CONTROL] = 86FD61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DEVICE_CONTROL] = 86FD61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_LOCK_CONTROL] = 86FD61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_SECURITY] = 86FD61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_SECURITY] = 86FD61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_PNP] = 86FD61F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_CREATE] = 869C8500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_CLOSE] = 869C8500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_WRITE] = 869C8500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_INFORMATION] = 869C8500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_INFORMATION] = 869C8500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_EA] = 869C8500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_EA] = 869C8500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_VOLUME_INFORMATION] = 869C8500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_VOLUME_INFORMATION] = 869C8500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_DIRECTORY_CONTROL] = 869C8500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_FILE_SYSTEM_CONTROL] = 869C8500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_DEVICE_CONTROL] = 869C8500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_LOCK_CONTROL] = 869C8500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_PNP] = 869C8500 -> перехватчик не определен
\driver\tcpip[IRP_MJ_CREATE] = F62C115A -> D:\WINDOWS\system32\drivers\afwcore.sys
\driver\tcpip[IRP_MJ_DEVICE_CONTROL] = F62C1664 -> D:\WINDOWS\system32\drivers\afwcore.sys
\driver\tcpip[IRP_MJ_INTERNAL_DEVICE_CONTROL] = F62C14DC -> D:\WINDOWS\system32\drivers\afwcore.sys
\driver\tcpip[IRP_MJ_CLEANUP] = F62C124A -> D:\WINDOWS\system32\drivers\afwcore.sys
Проверка завершена
2. Проверка памяти
Количество найденных процессов: 45
Количество загруженных модулей: 441
Проверка памяти завершена
3. Сканирование дисков
D:\System Volume Information\_restore{15EF22A2-8A20-48C9-ACC5-E4747C1E5A52}\RP247\A0223036.DLL >>>>> AdvWare.Win32.MyWebSearch
Прямое чтение D:\Temp\~DF89D8.tmp
Прямое чтение D:\WINDOWS\system32\drivers\sptd.sys
4. Проверка Winsock Layered Service Provider (SPI/LSP)
Настройки LSP проверены. Ошибок не обнаружено
5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
d:\progra~1\agnitum\outpos~1\wl_hook.dll --> Подозрение на Keylogger или троянскую DLL
d:\progra~1\agnitum\outpos~1\wl_hook.dll>>> Поведенческий анализ
Типичное для кейлоггеров поведение не зарегистрировано
D:\WINDOWS\system32\wbsys.dll --> Подозрение на Keylogger или троянскую DLL
D:\WINDOWS\system32\wbsys.dll>>> Поведенческий анализ
Типичное для кейлоггеров поведение не зарегистрировано
D:\WINDOWS\BricoPacks\Vista Inspirat\UberIcon\UberIcon.dll --> Подозрение на Keylogger или троянскую DLL
D:\WINDOWS\BricoPacks\Vista Inspirat\UberIcon\UberIcon.dll>>> Поведенческий анализ
1. Реагирует на события: клавиатура, все события
D:\WINDOWS\BricoPacks\Vista Inspirat\UberIcon\UberIcon.dll>>> Нейросеть: файл с вероятностью 3.76% похож на типовой перехватчик событий клавиатуры/мыши
На заметку: Заподозренные файлы НЕ следует удалять, их следует прислать для анализа (подробности в FAQ), т.к. существует множество полезных DLL-перехватчиков
6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
Проверка отключена пользователем
7. Эвристичеcкая проверка системы
Подозрение на скрытую загрузку библиотек через AppInit_DLLs: "d:\progra~1\agnitum\outpos~1\wl_hook.dll wbsys.dll"
Проверка завершена
8. Поиск потенциальных уязвимостей
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
Проверка завершена
9. Мастер поиска и устранения проблем
>> Разрешен автозапуск с HDD
>> Разрешен автозапуск с сетевых дисков
>> Разрешен автозапуск со сменных носителей
Проверка завершена
Просканировано файлов: 69119, извлечено из архивов: 49739, найдено вредоносных программ 1, подозрений - 0
Сканирование завершено в 02.01.2009 20:26:57
Сканирование длилось 00:09:46
Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам,
Функция NtUnloadDriver (106) перехвачена (805784BE->EDED423E), перехватчик D:\WINDOWS\system32\DRIVERS\SandBox.sys

Denesis

Это для начала: AVZ - Файл - Выполнить - вставьте этот текст и нажмите выполнить.

01pump

это файл Outposta :) не трогайте его

Denesis

Я тоже так подумал, но потом поискал по нету информацию - зачастую это может быть вирус.
Во всяемо случае по логу я вижу только остатки от вирусов. Т.е. основное было успешно удаленно. Меня интересует температура, которую я давно уже просил.

fibs89

может это и правда файл аутпоста? он у меня установлен, правда я его выключала во время проверки