Kaspersky Lab Forum

Full Version: Invader

Kaspersky Lab Forum > Для русскоязычных пользователей > Борьба с вирусами

Fant0M

6.11.2009 08:30

Каспер заблокировал и удалил експлорер. Вот такая вот ошибка в событиях. Восстанавливаю експлорер, каспер его удаляет опять. Как быть???

CODE

Процесс C:\WINDOWS\EXPLORER.EXE (PID: 2728): Процесс пытается внедриться в другой процесс. Такое поведение характерно для некоторых вредоносных программ (Invader)

snifer67

6.11.2009 09:35

выполните правила оказания помощи (ссылка у меня в подписи).

Fant0M

6.11.2009 10:47

QUOTE(snifer67 @ 6.11.2009 11:35)

выполните правила оказания помощи (ссылка у меня в подписи).

thyrex

6.11.2009 11:14

Выполните скрипт в AVZ

CODE

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelCLSID('{6B830884-20E3-4AB6-B672-2629F0F72071}');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\CMedia\CMedia.dll','');
QuarantineFile('C:\WINDOWS\System32\drivers\syslfs.SYS','');
DeleteFile('C:\Documents and Settings\Admin\Application Data\CMedia\CMedia.dll');
DeleteFileMask('C:\Documents and Settings\Admin\Application Data\CMedia', '*.*', true);
DeleteDirectory('C:\Documents and Settings\Admin\Application Data\CMedia');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Выполнить скрипт в AVZ.

CODE

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

quarantine.zip из папки AVZ отправьте на newvirus@kaspersky.com. Полученный ответ сообщите здесь.

Сделайте новые логи

Fant0M

6.11.2009 12:21

quarantine.zip получился 32 мб. отправил со ссылкой, надеюсь так можно.

Fant0M

10.11.2009 06:45

Ответа до сих пор нет. Что делать?

thyrex

10.11.2009 10:38

C:\WINDOWS\System32\drivers\syslfs.SYS проверьте на virustotal Ссылку на результат проверки сообщите

Сделайте новые логи

Fant0M

11.11.2009 09:59

http://www.virustotal.com/ru/analisis/238c...edba-1257922698

Fant0M

11.11.2009 10:33

логи

thyrex

11.11.2009 10:34

C:\WINDOWS\System32\drivers\syslfs.SYS упакуйте с паролем virus и отправьте на newvirus@kaspersky.com. Полученный ответ сообщите здесь.

Fant0M

13.11.2009 07:43

QUOTE

Вредоносный код в файле не обнаружен.

thyrex

13.11.2009 09:42

Больше ничего плохого в логах не наблюдается

Fant0M

13.11.2009 10:25

т.е. это ошибка самого каспера?

thyrex

13.11.2009 14:33

Сейчас он так же реагирует???

Возможной причиной внедрения было это

CODE

C:\Documents and Settings\Admin\Application Data\CMedia\CMedia.dll

Fant0M

13.11.2009 15:07

QUOTE(thyrex @ 13.11.2009 16:33)

Сейчас он так же реагирует???

я добавил explorer в исключения, чтоб больше вообще не реагировал

QUOTE(thyrex @ 13.11.2009 16:33)

Возможной причиной внедрения было это

CODE

C:\Documents and Settings\Admin\Application Data\CMedia\CMedia.dll

возможно, а что это?

thyrex

13.11.2009 18:45

Картинок с рекламой товаров из секшопа не наблюдали у себя?

Fant0M

17.11.2009 12:04

QUOTE(thyrex @ 13.11.2009 20:45)

Картинок с рекламой товаров из секшопа не наблюдали у себя?

нет, нема

thyrex

17.11.2009 13:27

Уже и не будет

This is a "lo-fi" version of our main content. To view the full version with more information, formatting and images, please click here.