съмнения....! [Решен]

icotonev

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

24 август 200917 г.

Привети!Trojan.DiskEraser.20 е засечен снощи след сканиране с AVZ....Прехвърли го в папка *инфектирани* и от там ми даде възможност да го изтрия.....без да използвам скриптове....сега,чета в Goggle че тази гадюха е много упорита... предлага се специална програма за почистване :

http://www.spynomore.com/trojan-diskeraser-20.htm

Какво е мнението по въпроса....аз не съм сигурен дали съм го махнал?

Моля за помоща ви.....? Ето и лог от сканирането:

Протокол антивирусной утилиты AVZ версии 4.32

Сканирование запущено в 23.8.2009 г. 20:50:00

Загружена база: сигнатуры - 237994, нейропрофили - 2, микропрограммы лечения - 56, база от 22.08.2009 16:18

Загружены микропрограммы эвристики: 374

Загружены микропрограммы ИПУ: 9

Загружены цифровые подписи системных файлов: 135746

Режим эвристического анализатора: Максимальный уровень эвристики

Режим лечения: включено

Версия Windows: 5.1.2600, Service Pack 3 ; AVZ работает с правами администратора

Восстановление системы: включено

1. Поиск RootKit и программ, перехватывающих функции API

1.1 Поиск перехватчиков API, работающих в UserMode

Анализ kernel32.dll, таблица экспорта найдена в секции .text

Анализ ntdll.dll, таблица экспорта найдена в секции .text

Анализ user32.dll, таблица экспорта найдена в секции .text

Анализ advapi32.dll, таблица экспорта найдена в секции .text

Анализ ws2_32.dll, таблица экспорта найдена в секции .text

Анализ wininet.dll, таблица экспорта найдена в секции .text

Анализ rasapi32.dll, таблица экспорта найдена в секции .text

Анализ urlmon.dll, таблица экспорта найдена в секции .text

Анализ netapi32.dll, таблица экспорта найдена в секции .text

1.2 Поиск перехватчиков API, работающих в KernelMode

Драйвер успешно загружен

SDT найдена (RVA=083220)

Ядро ntoskrnl.exe обнаружено в памяти по адресу 804D7000

SDT = 8055A220

KiST = 804E26A8 (284)

Функция NtAdjustPrivilegesToken (0B) перехвачена (8058D0AD->A99C936E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtClose (19) перехвачена (805678DD->A99C9A86), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtConnectPort (1F) перехвачена (805879F7->A99CA60C), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreateEvent (23) перехвачена (8056D57A->A99CAB40), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreateFile (25) перехвачена (8056CDC0->A99C9D78), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreateKey (29) перехвачена (8057065D->A99C8460), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreateMutant (2B) перехвачена (80578037->A99CAA18), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreateNamedPipeFile (2C) перехвачена (80583F4B->A99C7D0A), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreatePort (2E) перехвачена (805975C1->A99CA8D4), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreateSection (32) перехвачена (805652B3->A99C9102), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreateSemaphore (33) перехвачена (8057243B->A99CAC72), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreateSymbolicLinkObject (34) перехвачена (8059F519->A99CC40E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreateThread (35) перехвачена (8058E64B->A99C9886), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreateWaitablePort (38) перехвачена (805DB134->A99CA976), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtDeleteKey (3F) перехвачена (805952CA->A99C8A20), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtDeleteValueKey (41) перехвачена (80592D5C->A99C8CF8), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtDeviceIoControlFile (42) перехвачена (8058EFB9->A99CA21C), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtDuplicateObject (44) перехвачена (805715E0->A99CC980), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtEnumerateKey (47) перехвачена (80570D64->A99C8E3A), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtEnumerateValueKey (49) перехвачена (80590677->A99C8EE4), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtFsControlFile (54) перехвачена (8057AAB5->A99CA016), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtLoadDriver (61) перехвачена (805A3B01->A99CBEA6), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtLoadKey (62) перехвачена (805AED6D->A99C843C), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtLoadKey2 (63) перехвачена (805AEBAA->A99C844E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtNotifyChangeKey (6F) перехвачена (8058A699->A99C9030), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtOpenEvent (72) перехвачена (8057DCE7->A99CABE2), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtOpenFile (74) перехвачена (8056CD5B->A99C9B08), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtOpenKey (77) перехвачена (80568D59->A99C8604), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtOpenMutant (78) перехвачена (805780E5->A99CAAB0), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtOpenProcess (7A) перехвачена (805717C7->A99C956E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtOpenSection (7D) перехвачена (80570FD7->A99CC438), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtOpenSemaphore (7E) перехвачена (8059EFD5->A99CAD14), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtOpenThread (80) перехвачена (8058A1C9->A99C9492), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtQueryKey (A0) перехвачена (80570A6D->A99C8F8E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtQueryMultipleValueKey (A1) перехвачена (8064E300->A99C8BB6), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtQueryValueKey (B1) перехвачена (8056A1F2->A99C88BC), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtQueueApcThread (B4) перехвачена (80591097->A99CC128), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtRenameKey (C0) перехвачена (8064E77C->A99C8B34), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtReplaceKey (C1) перехвачена (8064F0DC->A99C80C2), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtReplyPort (C2) перехвачена (8057CCE4->A99CB09E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtReplyWaitReceivePort (C3) перехвачена (8056B82E->A99CAF64), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtRequestWaitReplyPort (C8) перехвачена (80576CE6->A99CBC30), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtRestoreKey (CC) перехвачена (8064EC71->A99C8224), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtResumeThread (CE) перехвачена (8058ECBE->A99CC860), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtSaveKey (CF) перехвачена (8064ED72->A99C7EC4), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtSecureConnectPort (D2) перехвачена (8058F4EA->A99CA312), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtSetContextThread (D5) перехвачена (8062DD17->A99C9984), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtSetInformationToken (E6) перехвачена (805A8700->A99CB5F2), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtSetSecurityObject (ED) перехвачена (8059B1AB->A99CBFA0), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtSetSystemInformation (F0) перехвачена (805A7BED->A99CC4C2), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtSetValueKey (F7) перехвачена (80572889->A99C8744), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtSuspendProcess (FD) перехвачена (8062F8F9->A99CC5A6), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtSuspendThread (FE) перехвачена (805E046E->A99CC6D2), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtSystemDebugControl (FF) перехвачена (80649CD9->A99CBDD2), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtTerminateProcess (101) перехвачена (805822EC->A99C96EA), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtTerminateThread (102) перехвачена (8057B88F->A99C963C), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtWriteVirtualMemory (115) перехвачена (8057E42A->A99C97C8), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция FsRtlCheckLockForReadAccess (80512919) - модификация машинного кода. Метод JmpTo. jmp A99BE424 \SystemRoot\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция IoIsOperationSynchronous (804E875A) - модификация машинного кода. Метод JmpTo. jmp A99BE7DE \SystemRoot\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Проверено функций: 284, перехвачено: 57, восстановлено: 0

1.3 Проверка IDT и SYSENTER

Анализ для процессора 1

Проверка IDT и SYSENTER завершена

1.4 Поиск маскировки процессов и драйверов

Проверка не производится, так как не установлен драйвер мониторинга AVZPM

Драйвер успешно загружен

1.5 Проверка обработчиков IRP

\FileSystem\ntfs[iRP_MJ_CREATE] = 8A22C1F8 -> перехватчик не определен

\FileSystem\ntfs[iRP_MJ_CLOSE] = 8A22C1F8 -> перехватчик не определен

\FileSystem\ntfs[iRP_MJ_WRITE] = 8A22C1F8 -> перехватчик не определен

\FileSystem\ntfs[iRP_MJ_QUERY_INFORMATION] = 8A22C1F8 -> перехватчик не определен

\FileSystem\ntfs[iRP_MJ_SET_INFORMATION] = 8A22C1F8 -> перехватчик не определен

\FileSystem\ntfs[iRP_MJ_QUERY_EA] = 8A22C1F8 -> перехватчик не определен

\FileSystem\ntfs[iRP_MJ_SET_EA] = 8A22C1F8 -> перехватчик не определен

\FileSystem\ntfs[iRP_MJ_QUERY_VOLUME_INFORMATION] = 8A22C1F8 -> перехватчик не определен

\FileSystem\ntfs[iRP_MJ_SET_VOLUME_INFORMATION] = 8A22C1F8 -> перехватчик не определен

\FileSystem\ntfs[iRP_MJ_DIRECTORY_CONTROL] = 8A22C1F8 -> перехватчик не определен

\FileSystem\ntfs[iRP_MJ_FILE_SYSTEM_CONTROL] = 8A22C1F8 -> перехватчик не определен

\FileSystem\ntfs[iRP_MJ_DEVICE_CONTROL] = 8A22C1F8 -> перехватчик не определен

\FileSystem\ntfs[iRP_MJ_LOCK_CONTROL] = 8A22C1F8 -> перехватчик не определен

\FileSystem\ntfs[iRP_MJ_QUERY_SECURITY] = 8A22C1F8 -> перехватчик не определен

\FileSystem\ntfs[iRP_MJ_SET_SECURITY] = 8A22C1F8 -> перехватчик не определен

\FileSystem\ntfs[iRP_MJ_PNP] = 8A22C1F8 -> перехватчик не определен

Проверка завершена

2. Проверка памяти

Количество найденных процессов: 30

Анализатор - изучается процесс 1548 C:\Program Files\Intel\Wireless\Bin\EvtEng.exe

[ES]:Может работать с сетью

[ES]:Приложение не имеет видимых окон

Анализатор - изучается процесс 1652 C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe

[ES]:Может работать с сетью

[ES]:Приложение не имеет видимых окон

Анализатор - изучается процесс 420 C:\WINDOWS\System32\WLTRYSVC.EXE

[ES]:Приложение не имеет видимых окон

[ES]:Размещается в системной папке

[ES]:Записан в автозапуск !!

Анализатор - изучается процесс 776 C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe

[ES]:Приложение не имеет видимых окон

Количество загруженных модулей: 309

Проверка памяти завершена

3. Сканирование дисков

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\av6188.tmp

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333143.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333145.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333146.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$4133314B.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333150.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333153.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333155.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333158.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333243.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333245.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333246.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$4133324B.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333250.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333253.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333255.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333258.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333343.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333345.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333346.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333350.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333353.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333355.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41333358.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41334D4B.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41334D50.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41335241.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$4133524A.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41335251.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41335446.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$41637432.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$45766E74.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$4C426332.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$4F63524149333836.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$4F63524F49333836.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$4F63525449333836.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$50726F63.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$50726F6349333836.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$524E414D.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$524E4150.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$53676E54.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$53676E5447454E00.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$53676E544A464100.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$53676E544A494D00.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$53676E544D454D00.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$53677854.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$5367785447454E00.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$536778544A464100.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$536778544A494D00.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$536778544D454D00.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$53747254.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$56646332.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$566C4623.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$566C4653.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$566C496E.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$566C4B4E.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\Cache\kdb$kavbase$122402B8$566C5374.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Data\iswift.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Data\sfdb.dat

Файл успешно помещен в карантин (C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Data\Updater\Temporary Files\temporaryFolder\bases\as\pas4\ForDiff\upd_terms-full.keb.m7t)

>>>Для удаления файла C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Data\Updater\Temporary Files\temporaryFolder\bases\as\pas4\ForDiff\upd_terms-full.keb.m7t необходима перезагрузка

C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Data\Updater\Temporary Files\temporaryFolder\bases\as\pas4\ForDiff\upd_terms-full.keb.m7t >>>>> Trojan.DiskEraser.20 ошибка удаления

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\0000001B_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\0000001B_objbt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\0000001B_objdt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\0000001B_objid.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\0000001C_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\0000001C_objbt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\0000001C_objdt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\0000001C_objid.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\0000001D_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\0000001D_objdt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\0000001E_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\0000001E_objbt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\0000001E_objdt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\0000001E_objid.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\0000001F_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\0000001F_objbt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\0000001F_objdt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\0000001F_objid.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\00000020_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\00000020_objbt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\00000020_objdt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\00000020_objid.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\00000021_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\00000021_objbt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\00000021_objdt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\00000021_objid.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\00000022_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\01\00000022_objdt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\02\00000016_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\02\00000016_objid.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\00000018_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\00000018_objbt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\00000018_objdt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\00000018_objid.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\00000019_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\00000019_objbt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\00000019_objdt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\00000019_objid.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\0000001A_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\0000001A_objbt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\0000001A_objdt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\0000001A_objid.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\0000001B_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\0000001B_objbt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\0000001B_objdt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\0000001B_objid.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\0000001C_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\0000001C_objbt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\0000001C_objdt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\0000001C_objid.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\0000001D_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\0000001D_objdt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\0000001D_objid.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\0000001E_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\03\0000001E_objdt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\05\00000001_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\05\00000001_objbt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\05\00000001_objdt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\05\00000001_objid.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\05\00000002_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\05\00000002_objbt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\05\00000002_objdt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\05\00000002_objid.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\05\00000003_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\05\00000003_objbt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\05\00000003_objdt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\05\00000003_objid.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\06\00000001_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\06\00000002_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\07\00000001_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\07\00000002_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\08\00000001_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\08\00000002_events.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\detected.idx

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\detected.rpt

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\g_objbt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\g_objdt.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\g_objid.dat

Прямое чтение C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Report\report.rpt

Прямое чтение C:\Documents and Settings\Lenovo PC\Application Data\Skype\icotonev\chatsync\16\16782ba21bb884f5.dat

Прямое чтение C:\Documents and Settings\Lenovo PC\Application Data\Skype\icotonev\dc.db

Прямое чтение C:\Documents and Settings\Lenovo PC\Application Data\Skype\icotonev\dc.db-journal

Прямое чтение C:\Documents and Settings\Lenovo PC\Application Data\Skype\icotonev\etilqs_2jP9bzF3G55Mym8M2b6a

Прямое чтение C:\Documents and Settings\Lenovo PC\Application Data\Skype\icotonev\main.db

Прямое чтение C:\Documents and Settings\Lenovo PC\Application Data\Skype\icotonev\main.db-journal

Прямое чтение C:\Documents and Settings\Lenovo PC\Cookies\index.dat

Прямое чтение C:\Documents and Settings\Lenovo PC\IETldCache\index.dat

Прямое чтение C:\Documents and Settings\Lenovo PC\Local Settings\Application Data\Microsoft\CardSpace\CardSpaceSP2.db

Прямое чтение C:\Documents and Settings\Lenovo PC\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat

Прямое чтение C:\Documents and Settings\Lenovo PC\Local Settings\History\History.IE5\index.dat

Прямое чтение C:\Documents and Settings\Lenovo PC\Local Settings\Temp\Perflib_Perfdata_7d4.dat

Прямое чтение C:\Documents and Settings\Lenovo PC\Local Settings\Temp\Perflib_Perfdata_e04.dat

Прямое чтение C:\Documents and Settings\Lenovo PC\Local Settings\Temporary Internet Files\Content.IE5\index.dat

Прямое чтение C:\Documents and Settings\Lenovo PC\NTUSER.DAT

Прямое чтение C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat

Прямое чтение C:\Documents and Settings\LocalService\NTUSER.DAT

Прямое чтение C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat

Прямое чтение C:\Documents and Settings\NetworkService\NTUSER.DAT

Прямое чтение C:\System Volume Information\_restore{6782F020-A01C-4629-B445-82909BE92E80}\RP80\change.log

Прямое чтение C:\WINDOWS\SchedLgU.Txt

Прямое чтение C:\WINDOWS\SoftwareDistribution\ReportingEvents.log

Прямое чтение C:\WINDOWS\system32\CatRoot2\edb.log

Прямое чтение C:\WINDOWS\system32\CatRoot2\edbtmp.log

Прямое чтение C:\WINDOWS\system32\CatRoot2\tmp.edb

Прямое чтение C:\WINDOWS\system32\config\AppEvent.Evt

Прямое чтение C:\WINDOWS\system32\config\default

Прямое чтение C:\WINDOWS\system32\config\Internet.evt

Прямое чтение C:\WINDOWS\system32\config\SAM

Прямое чтение C:\WINDOWS\system32\config\SecEvent.Evt

Прямое чтение C:\WINDOWS\system32\config\SECURITY

Прямое чтение C:\WINDOWS\system32\config\SysEvent.Evt

Прямое чтение C:\WINDOWS\system32\config\system

Прямое чтение C:\WINDOWS\system32\config\system.LOG

Прямое чтение C:\WINDOWS\system32\config\TuneUp.evt

Прямое чтение C:\WINDOWS\system32\drivers\ISwift3.dat

Прямое чтение C:\WINDOWS\system32\drivers\sptd.sys

Прямое чтение C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR

Прямое чтение C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA

Прямое чтение C:\WINDOWS\Temp\cch1623.tmp

Прямое чтение C:\WINDOWS\Temp\cch1624.tmp

Прямое чтение C:\WINDOWS\Temp\cch738D.tmp

Прямое чтение C:\WINDOWS\Temp\cch738E.tmp

Прямое чтение C:\WINDOWS\Temp\cch7545.tmp

Прямое чтение C:\WINDOWS\Temp\cch7546.tmp

Прямое чтение C:\WINDOWS\Temp\cch78BA.tmp

Прямое чтение C:\WINDOWS\Temp\cch78BB.tmp

Прямое чтение C:\WINDOWS\WindowsUpdate.log

Автоматическая чистка следов удаленных в ходе лечения программ

4. Проверка Winsock Layered Service Provider (SPI/LSP)

Настройки LSP проверены. Ошибок не обнаружено

5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)

6. Поиск открытых портов TCP/UDP, используемых вредоносными программами

В базе 317 описаний портов

На данном ПК открыто 41 TCP портов и 12 UDP портов

Проверка завершена, подозрительные порты не обнаружены

7. Эвристичеcкая проверка системы

Подозрение на скрытую загрузку библиотек через AppInit_DLLs: "C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd.dll,C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd3.dll,C:\PROGRA~1\KASPER~1\KASPER~1\kloehk.dll"

Проверка завершена

8. Поиск потенциальных уязвимостей

>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)

>> Службы: разрешена потенциально опасная служба Schedule (Task Scheduler)

>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)

> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!

>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)

>> Безопасность: к ПК разрешен доступ анонимного пользователя

>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Проверка завершена

9. Мастер поиска и устранения проблем

Проверка завершена

Просканировано файлов: 94239, извлечено из архивов: 48731, найдено вредоносных программ 1, подозрений - 0

Сканирование завершено в 23.8.2009 г. 21:14:17

Внимание !!! Для завершения процесса лечения необходима перезагрузка

Сканирование длилось 00:24:19

Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам,

то Вы можете обратиться в конференцию - http://virusinfo.info

24 август 200917 г.

Здравейте icotonev,

Аз съм B-boy[styLe] и ще Ви помагам да почистите вашата система от зловреден софтуер. Анализа на логовете, както и премахването на зловредния софтуер, може да отнеме време, затова моля бъдете търпеливи. Моля, имайте предвид следното:

Аз ще Ви помагам главно за почистването на вашата система от зловреден софтуер. За всякакви други проблеми, моля създайте нова тема в съответния форум и опишете детайлно проблема Ви.
Инструкциите се отнасят само за този проблем и само за този компютър.
Следвайте инструкциите ми стриктно, докато не Ви кажа, че системата Ви е напълно чиста. Това, че симптомите са изчезнали, не значи че всичко е наред.
Ако не разбирате нещо, моля Ви попитайте ме, а не рискувайте. По-добре е малко да се позабавим, отколкото да усложним нещата.
Цялата кореспонденция минава през тази тема, не създавайте нова тема и не използвайте друга тема за тази цел.

Моля изпълнете изискванията от тази тема - Системата ми е инфектирана - Какво да правя сега? и след това ще продължим.

SpyNoMore е непрепоръчителна програма !

1

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

24 август 200917 г.

Автор

Ето лог от MBM:

Malwarebytes' Anti-Malware 1.40

Версия на базата от данни: 2687

Windows 5.1.2600 Service Pack 3

24.8.2009 г. 13:20:34

mbam-log-2009-08-24 (13-20-34).txt

Тип сканиране: Бързо сканиране

Сканирани обекти: 85495

Изминало време: 4 minute(s), 23 second(s)

Заразени процеси в паметта: 0

Заразени модули в паметта: 0

Заразени ключове в регистратурата: 0

Заразени стойности в регистратурата: 0

Заразени информационни обекти в регистратурата: 0

Заразени папки: 0

Заразени файлове: 0

Заразени процеси в паметта:

(Не бяха открити заплахи)

Заразени модули в паметта:

(Не бяха открити заплахи)

Заразени ключове в регистратурата:

(Не бяха открити заплахи)

Заразени стойности в регистратурата:

(Не бяха открити заплахи)

Заразени информационни обекти в регистратурата:

(Не бяха открити заплахи)

Заразени папки:

(Не бяха открити заплахи)

Заразени файлове:

(Не бяха открити заплахи)

...И от снощи пълен скан:

Malwarebytes' Anti-Malware 1.40

Версия на базата от данни: 2683

Windows 5.1.2600 Service Pack 3

23.8.2009 г. 20:36:15

mbam-log-2009-08-23 (20-36-15).txt

Тип сканиране: Пълно сканиране (C:\|D:\|)

Сканирани обекти: 129529

Изминало време: 24 minute(s), 58 second(s)

Заразени процеси в паметта: 0

Заразени модули в паметта: 0

Заразени ключове в регистратурата: 0

Заразени стойности в регистратурата: 0

Заразени информационни обекти в регистратурата: 0

Заразени папки: 0

Заразени файлове: 0

Заразени процеси в паметта:

(Не бяха открити заплахи)

Заразени модули в паметта:

(Не бяха открити заплахи)

Заразени ключове в регистратурата:

(Не бяха открити заплахи)

Заразени стойности в регистратурата:

(Не бяха открити заплахи)

Заразени информационни обекти в регистратурата:

(Не бяха открити заплахи)

Заразени папки:

(Не бяха открити заплахи)

Заразени файлове:

(Не бяха открити заплахи)

Eто и от Hijack This:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 13:24:40, on 24.8.2009 г.

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Intel\Wireless\Bin\EvtEng.exe

C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe

C:\WINDOWS\System32\WLTRYSVC.EXE

C:\WINDOWS\System32\bcmwltry.exe

C:\Program Files\Lenovo\Bluetooth Software\bin\btwdins.exe

C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe

C:\WINDOWS\System32\TUProgSt.exe

C:\WINDOWS\system32\SearchIndexer.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\hkcmd.exe

C:\WINDOWS\system32\igfxpers.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Skype\Phone\Skype.exe

C:\Program Files\Skype\Plugin Manager\skypePM.exe

C:\Program Files\Skype\Phone\Skype.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\WINDOWS\system32\SearchProtocolHost.exe

C:\Program Files\HiJackThis\post.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

O2 - BHO: IE7Pro - {00011268-E188-40DF-A514-835FCD78B1BF} - (no file)

O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\ievkbd.dll

O2 - BHO: link filter bho - {E33CF602-D945-461A-83F0-819F76A199F8} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\klwtbbho.dll

O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe

O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\avp.exe"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Send to &Bluetooth Device... - C:\Program Files\Lenovo\Bluetooth Software\btsendto_ie_ctx.htm

O8 - Extra context menu item: Добави към Защитата от банери - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\ie_banner_deny.htm

O9 - Extra button: &Виртуальная клавиатура - {4248FE82-7FCB-46AC-B270-339F08212110} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\klwtbbho.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\Lenovo\Bluetooth Software\btsendto_ie.htm

O9 - Extra 'Tools' menuitem: @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\Lenovo\Bluetooth Software\btsendto_ie.htm

O9 - Extra button: Проверка ссы&лок - {CCF151D8-D089-449F-A5A4-D9909053F20F} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\klwtbbho.dll

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1247684197556

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shoc...ash/swflash.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{1C5EB513-9636-4107-BAEE-03A4F89DEBBA}: NameServer = 10.32.2.1

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd.dll,C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd3.dll,C:\PROGRA~1\KASPER~1\KASPER~1\kloehk.dll

O20 - Winlogon Notify: !SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.dll

O23 - Service: Kaspersky Internet Security (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\avp.exe

O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Program Files\Lenovo\Bluetooth Software\bin\btwdins.exe

O23 - Service: EvtEng - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe

O23 - Service: RegSrvc - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe

O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe

O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software - C:\WINDOWS\System32\TuneUpDefragService.exe

O23 - Service: TuneUp Program Statistics Service (TuneUp.ProgramStatisticsSvc) - TuneUp Software - C:\WINDOWS\System32\TUProgSt.exe

O23 - Service: Broadcom Wireless LAN Tray Service (wltrysvc) - Unknown owner - C:\WINDOWS\System32\WLTRYSVC.EXE

--

End of file - 5433 bytes

24 август 200917 г.

СТЪПКА 1:

Стартирай HijackThis още веднъж и избери: "Do a system scan only".

Сложи отметка пред

O2 - BHO: IE7Pro - {00011268-E188-40DF-A514-835FCD78B1BF} - (no file)

и избери "Fix Checked".

СТЪПКА 2:

Ако не използваш отдалечено администриране (Remote Desktop) и опцията Fast User Switching, изключи следните услуги:

Отвори Start => Run => и напиши => services.msc => от списъка намери и спри следните услуги:

Remote Desktop Help Session Manager и Terminal Services. Стартирай ги и от падащия списък ги направи на disabled.

PS: Не спирай услугата Task Scheduler, въпреки че е отчетена в лога на AVZ като потенциално опасна. Тя се използва от функцията Prefetch.

8. Поиск потенциальных уязвимостей
>> Службы: разрешена потенциально опасная служба Schedule (Task Scheduler)

Стартирай AVZ => File => Troubleshooting wizard и провери за уязвимости.

1. В горното поле ще видиш System Issues, на-долното поле избери All issues. Избери бутона Start. След като проверката приключи сложи отметки пред намерените неща и избери Fix Selected Issues.

2. Повтори тези действия за останалите категории. Този път вместо System Issues в горното поле избери Browser tweak and settings

3. Повтори тези действия за останалите категории. Този път вместо Browser tweak and settings в горното поле избери Privacy.

4. Повтори тези действия за останалите категории. Този път вместо Privacy в горното поле избери System CleanUp.

5. Затвори програмата.

СТЪПКА 3:

Намарения обект се намира във временните папки на Kaspersky и е твърде възможно да е фалшива тревога:

C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Data\Updater\Temporary Files\temporaryFolder\bases\as\pas4\ForDiff\upd_terms-full.keb.m7t >>>>> Trojan.DiskEraser.20

Но все пак пробвай да го изтриеш.

Изтегли ОТМ

Стартирай я и copy/paste под колонката "Paste instructions for items to be Moved" въведи това:

:processes
explorer.exe

:files

C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Data\Updater\Temporary Files\temporaryFolder\bases\as\pas4\ForDiff\upd_terms-full.keb.m7t

:Commands

[purity]

[emptytemp]

[start explorer]

Натисни бутона MoveIt!

Ще се създаде лог в зелената колонка. Копирай го в следващия си пост. :cheers:

1

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

24 август 200917 г.

Автор

Готов съм....ето и лога от ОТМ:

All processes killed

========== PROCESSES ==========

No active process named explorer.exe was found!

========== FILES ==========

File/Folder C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Data\Updater\Temporary Files\temporaryFolder\bases\as\pas4\ForDiff\upd_terms-full.keb.m7t not found.

========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Default User

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 67 bytes

User: Lenovo PC

->Temp folder emptied: 0 bytes

File delete failed. C:\Documents and Settings\Lenovo PC\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.

->Temporary Internet Files folder emptied: 6064287 bytes

->FireFox cache emptied: 72543134 bytes

User: LocalService

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 33170 bytes

User: NetworkService

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 67 bytes

%systemdrive% .tmp files removed: 0 bytes

%systemroot% .tmp files removed: 0 bytes

%systemroot%\System32 .tmp files removed: 0 bytes

Windows Temp folder emptied: 0 bytes

RecycleBin emptied: 0 bytes

Total Files Cleaned = 75,00 mb

OTM by OldTimer - Version 3.0.0.6 log created on 08242009_173230

Files moved on Reboot...

Registry entries deleted on Reboot...

24 август 200917 г.

Обнови дефинициите и направи нова проверка с AVZ и кажи дали все още се засича елемента.

Надявам се си изпълнил и горните препоръки до момента. :sobbing:

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

24 август 200917 г.

Автор

Eстествено...аз съм примерен ученик...бързо схващам.. когато съм готов с сканирането ще пиша...от мен имаш едно голямо благодаря! :wors:

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

24 август 200917 г.

Автор

Eто и финалния лог от сканирането.....ПЕРФЕКТНО!!!!:

Протокол антивирусной утилиты AVZ версии 4.32

Сканирование запущено в 24.8.2009 г. 18:51:27

Загружена база: сигнатуры - 238150, нейропрофили - 2, микропрограммы лечения - 56, база от 23.08.2009 21:49

Загружены микропрограммы эвристики: 374

Загружены микропрограммы ИПУ: 9

Загружены цифровые подписи системных файлов: 136463

Режим эвристического анализатора: Максимальный уровень эвристики

Режим лечения: включено

Версия Windows: 5.1.2600, Service Pack 3 ; AVZ работает с правами администратора

Восстановление системы: включено

1. Поиск RootKit и программ, перехватывающих функции API

1.1 Поиск перехватчиков API, работающих в UserMode

Анализ kernel32.dll, таблица экспорта найдена в секции .text

Анализ ntdll.dll, таблица экспорта найдена в секции .text

Анализ user32.dll, таблица экспорта найдена в секции .text

Анализ advapi32.dll, таблица экспорта найдена в секции .text

Анализ ws2_32.dll, таблица экспорта найдена в секции .text

Анализ wininet.dll, таблица экспорта найдена в секции .text

Анализ rasapi32.dll, таблица экспорта найдена в секции .text

Анализ urlmon.dll, таблица экспорта найдена в секции .text

Анализ netapi32.dll, таблица экспорта найдена в секции .text

1.2 Поиск перехватчиков API, работающих в KernelMode

Драйвер успешно загружен

SDT найдена (RVA=083220)

Ядро ntoskrnl.exe обнаружено в памяти по адресу 804D7000

SDT = 8055A220

KiST = 804E26A8 (284)

Функция NtAdjustPrivilegesToken (0B) перехвачена (8058D0AD->A9F5D36E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtClose (19) перехвачена (805678DD->A9F5DA86), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtConnectPort (1F) перехвачена (805879F7->A9F5E60C), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreateEvent (23) перехвачена (8056D57A->A9F5EB40), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreateFile (25) перехвачена (8056CDC0->A9F5DD78), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreateKey (29) перехвачена (8057065D->A9F5C460), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreateMutant (2B) перехвачена (80578037->A9F5EA18), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreateNamedPipeFile (2C) перехвачена (80583F4B->A9F5BD0A), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreatePort (2E) перехвачена (805975C1->A9F5E8D4), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreateSection (32) перехвачена (805652B3->A9F5D102), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreateSemaphore (33) перехвачена (8057243B->A9F5EC72), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreateSymbolicLinkObject (34) перехвачена (8059F519->A9F6040E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreateThread (35) перехвачена (8058E64B->A9F5D886), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtCreateWaitablePort (38) перехвачена (805DB134->A9F5E976), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtDeleteKey (3F) перехвачена (805952CA->A9F5CA20), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtDeleteValueKey (41) перехвачена (80592D5C->A9F5CCF8), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtDeviceIoControlFile (42) перехвачена (8058EFB9->A9F5E21C), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtDuplicateObject (44) перехвачена (805715E0->A9F60980), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtEnumerateKey (47) перехвачена (80570D64->A9F5CE3A), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtEnumerateValueKey (49) перехвачена (80590677->A9F5CEE4), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtFsControlFile (54) перехвачена (8057AAB5->A9F5E016), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtLoadDriver (61) перехвачена (805A3B01->A9F5FEA6), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtLoadKey (62) перехвачена (805AED6D->A9F5C43C), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtLoadKey2 (63) перехвачена (805AEBAA->A9F5C44E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtNotifyChangeKey (6F) перехвачена (8058A699->A9F5D030), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtOpenEvent (72) перехвачена (8057DCE7->A9F5EBE2), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtOpenFile (74) перехвачена (8056CD5B->A9F5DB08), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtOpenKey (77) перехвачена (80568D59->A9F5C604), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtOpenMutant (78) перехвачена (805780E5->A9F5EAB0), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtOpenProcess (7A) перехвачена (805717C7->A9F5D56E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtOpenSection (7D) перехвачена (80570FD7->A9F60438), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtOpenSemaphore (7E) перехвачена (8059EFD5->A9F5ED14), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtOpenThread (80) перехвачена (8058A1C9->A9F5D492), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtQueryKey (A0) перехвачена (80570A6D->A9F5CF8E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtQueryMultipleValueKey (A1) перехвачена (8064E300->A9F5CBB6), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtQueryValueKey (B1) перехвачена (8056A1F2->A9F5C8BC), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtQueueApcThread (B4) перехвачена (80591097->A9F60128), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtRenameKey (C0) перехвачена (8064E77C->A9F5CB34), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtReplaceKey (C1) перехвачена (8064F0DC->A9F5C0C2), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtReplyPort (C2) перехвачена (8057CCE4->A9F5F09E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtReplyWaitReceivePort (C3) перехвачена (8056B82E->A9F5EF64), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtRequestWaitReplyPort (C8) перехвачена (80576CE6->A9F5FC30), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtRestoreKey (CC) перехвачена (8064EC71->A9F5C224), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtResumeThread (CE) перехвачена (8058ECBE->A9F60860), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtSaveKey (CF) перехвачена (8064ED72->A9F5BEC4), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtSecureConnectPort (D2) перехвачена (8058F4EA->A9F5E312), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtSetContextThread (D5) перехвачена (8062DD17->A9F5D984), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtSetInformationToken (E6) перехвачена (805A8700->A9F5F5F2), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtSetSecurityObject (ED) перехвачена (8059B1AB->A9F5FFA0), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtSetSystemInformation (F0) перехвачена (805A7BED->A9F604C2), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtSetValueKey (F7) перехвачена (80572889->A9F5C744), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtSuspendProcess (FD) перехвачена (8062F8F9->A9F605A6), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtSuspendThread (FE) перехвачена (805E046E->A9F606D2), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtSystemDebugControl (FF) перехвачена (80649CD9->A9F5FDD2), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtTerminateProcess (101) перехвачена (805822EC->A9F5D6EA), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtTerminateThread (102) перехвачена (8057B88F->A9F5D63C), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция NtWriteVirtualMemory (115) перехвачена (8057E42A->A9F5D7C8), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция FsRtlCheckLockForReadAccess (80512919) - модификация машинного кода. Метод JmpTo. jmp A9F52424 \SystemRoot\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

Функция IoIsOperationSynchronous (804E875A) - модификация машинного кода. Метод JmpTo. jmp A9F527DE \SystemRoot\system32\DRIVERS\klif.sys, драйвер опознан как безопасный