Сори, эт лог не с 2003. Сканил параллельно 2 компа, попутал. Вот:
Logfile of HijackThis v1.99.1
Scan saved at 14:23:10, on 09.09.2008
Platform: Windows 2003 SP2 (WinNT 5.02.3790)
MSIE: Internet Explorer v6.00 SP2 (6.00.3790.3959)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\wlinject.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\InfoTeCS\ViPNet Client\itccspini.exe
C:\Program Files\InfoTeCS\ViPNet Client\FwModManager.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Crypto Pro\CSP\cprmcsp.exe
C:\Program Files\Crypto Pro\CSP\cpinit.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Garant-Server\apps\winNT\F1Server.exe
C:\WINDOWS\system32\nhsrvice.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\csrcs.exe
C:\Program Files\Conexant\Adsl\dslstat.exe
C:\Program Files\Conexant\Adsl\dslagent.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Eset\nod32kui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Garant-Server\apps\winNT\F1ServerMng.exe
C:\WINDOWS\system32\dumprep.exe
C:\totalcmd\TOTALCMD.EXE
C:\WINDOWS\system32\dwwin.exe
E:\antivir_WEB\avz4\avz.exe
c:\Distrib\Удаление процесса get_from_dontekprkiller141\prkiller.exe
C:\WINDOWS\Explorer.exe
C:\WINDOWS\system32\csrcs.exe
E:\antivir_WEB\HijackThis.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://shdoclc.dll/hardAdmin.htm
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext =
http://www.qip.com/ R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Ссылки
F2 - REG:system.ini: Shell=Explorer.exe csrcs.exe
O2 - BHO: WRL Advisor - {22F91F7D-B945-47AA-9C3E-B7DA5F642425} - C:\WINDOWS\vanwxemgbdn.dll
O2 - BHO: D - {523D7BF5-B4F0-3C8E-8104-FF38A7B40D4C} - C:\WINDOWS\system32\mmx52381.dll
O2 - BHO: (no name) - {E07D22E1-CE3A-487F-B754-8044DBEDB049} - C:\WINDOWS\system32\opnmLfcd.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [DSLSTATEXE] C:\Program Files\Conexant\Adsl\dslstat.exe icon
O4 - HKLM\..\Run: [DSLAGENTEXE] C:\Program Files\Conexant\Adsl\dslagent.exe
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [InterBaseGuardian] C:\Program Files\Borland\InterBase\\bin\ibguard.exe -a
O4 - HKLM\..\Run: [IPLIR] "C:\Program Files\InfoTeCS\ViPNet Client\Monitor.EXE" /D /M /FromRun
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKLM\..\Run: [prkiller] c:\Distrib\Удаление процесса get_from_dontekprkiller141\prkiller.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe
O4 - HKCU\..\Run: [{BBDFB70C-9DFF-475B-9AE2-BF1B192A324A}] C:\Program Files\Garant-Server\apps\winNT\F1ServerMng.exe
O4 - HKCU\..\Run: [Run] "C:\Documents and Settings\Администратор\Application Data\Adobe\Manager.exe"
O8 - Extra context menu item: &Экспорт в Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O20 - Winlogon Notify: dimsntfy - C:\WINDOWS\SYSTEM32\dimsntfy.dll
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O20 - Winlogon Notify: itcwlnp - i (file missing)
O20 - Winlogon Notify: opnmLfcd - C:\WINDOWS\SYSTEM32\opnmLfcd.dll
O21 - SSODL: xrdwbfgn - {92005DA9-5831-4EDC-AEAA-969B90FD9E84} - C:\WINDOWS\xrdwbfgn.dll
O21 - SSODL: dgksvbpn - {C9EAD852-720C-4E9E-95A0-56ECBB7DF710} - C:\WINDOWS\dgksvbpn.dll (file missing)
O23 - Service: Служба инициализации Крипто-Про CSP (cpinit) - Компания Крипто-Про - C:\Program Files\Crypto Pro\CSP\cpinit.exe
O23 - Service: Служба хранения и использования ключей Крипто-Про CSP (cprmcsp) - Компания Крипто-Про - C:\Program Files\Crypto Pro\CSP\cprmcsp.exe
O23 - Service: GARANT. Platform F1 Application Server (GARANT.Application.Server) - ООО НПП "Гарант-Сервис" - C:\Program Files\Garant-Server\apps\winNT\F1Server.exe
O23 - Service: HASP Loader - Aladdin Knowledge Systems Ltd. - C:\WINDOWS\system32\nhsrvice.exe
O23 - Service: InterBase Guardian (InterBaseGuardian) - Unknown owner - C:\Program Files\Borland\InterBase\bin\ibguard.exe
O23 - Service: InterBase Server (InterBaseServer) - Unknown owner - C:\Program Files\Borland\InterBase\bin\ibserver.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O23 - Service: ViPNet CryptoProvider Supporter (ViPNetCPSupp) - InfoTeCS - C:\Program Files\InfoTeCS\ViPNet Client\itccspini.exe
O23 - Service: Сервис ViPNet FireWall (ViPNetFW) - Infotecs - C:\Program Files\InfoTeCS\ViPNet Client\FwModManager.exe
O23 - Service: Сервис регистрации пользователя ViPNet (ViPNetLn) - Infotecs - C:\Program Files\InfoTeCS\ViPNet Client\vipnetln.exe
и AVZ:
Протокол антивирусной утилиты AVZ версии 4.30
Сканирование запущено в 09.09.2008 14:24:43
Загружена база: сигнатуры - 185781, нейропрофили - 2, микропрограммы лечения - 56, база от 08.09.2008 20:47
Загружены микропрограммы эвристики: 370
Загружены микропрограммы ИПУ: 9
Загружены цифровые подписи системных файлов: 73357
Режим эвристического анализатора: Средний уровень эвристики
Режим лечения: включено
Версия Windows: 5.2.3790, Service Pack 2 ; AVZ работает с правами администратора
Восстановление системы: включено
1. Поиск RootKit и программ, перехватывающих функции API
1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
Функция kernel32.dll:LoadLibraryA (595) перехвачена, метод APICodeHijack.JmpTo[60CC6636]
Функция kernel32.dll:LoadLibraryExA (596) перехвачена, метод APICodeHijack.JmpTo[60CC6596]
Функция kernel32.dll:LoadLibraryExW (597) перехвачена, метод APICodeHijack.JmpTo[60CC64E6]
Функция kernel32.dll:LoadLibraryW (598) перехвачена, метод APICodeHijack.JmpTo[60CC66C6]
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Анализ user32.dll, таблица экспорта найдена в секции .text
Анализ advapi32.dll, таблица экспорта найдена в секции .text
Функция advapi32.dll:CryptAcquireContextA (135) перехвачена, метод APICodeHijack.JmpTo[60CC5336]
Функция advapi32.dll:CryptAcquireContextW (136) перехвачена, метод APICodeHijack.JmpTo[60CC5426]
Функция advapi32.dll:SystemFunction035 (628) перехвачена, метод APICodeHijack.JmpTo[60CC5526]
Анализ ws2_32.dll, таблица экспорта найдена в секции .text
Анализ wininet.dll, таблица экспорта найдена в секции .text
Анализ rasapi32.dll, таблица экспорта найдена в секции .text
Анализ urlmon.dll, таблица экспорта найдена в секции .text
Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
Драйвер успешно загружен
SDT найдена (RVA=0A6380)
Ядро ntkrnlpa.exe обнаружено в памяти по адресу 80800000
SDT = 808A6380
KiST = 80834190 (296)
Проверено функций: 296, перехвачено: 0, восстановлено: 0
1.3 Проверка IDT и SYSENTER
Анализ для процессора 1
>>> Опасно - подозрение на подмену адреса ЦП[1].IDT[06] = [B8C0416D] C:\WINDOWS\system32\drivers\Haspnt.sys, драйвер опознан как безопасный
>>> Опасно - подозрение на подмену адреса ЦП[1].IDT[0E] = [B8C03FC2] C:\WINDOWS\system32\drivers\Haspnt.sys, драйвер опознан как безопасный
Анализ для процессора 2
>>> Опасно - подозрение на подмену адреса ЦП[2].IDT[06] = [B8C0416D] C:\WINDOWS\system32\drivers\Haspnt.sys, драйвер опознан как безопасный
>>> Опасно - подозрение на подмену адреса ЦП[2].IDT[0E] = [B8C03FC2] C:\WINDOWS\system32\drivers\Haspnt.sys, драйвер опознан как безопасный
Проверка IDT и SYSENTER завершена
1.4 Поиск маскировки процессов и драйверов
Проверка не производится, так как не установлен драйвер мониторинга AVZPM
Драйвер успешно загружен
1.5 Проверка обработчиков IRP
Проверка завершена
2. Проверка памяти
Количество найденных процессов: 38
Количество загруженных модулей: 279
Проверка памяти завершена
3. Сканирование дисков
C:\Documents and Settings\Администратор\Application Data\Adobe\Manager.exe >>> подозрение на Trojan.Win32.Small.xui ( 0B57ABBF 02D29100 001D6C80 0023ADBF 15872)
C:\Documents and Settings\Администратор\Local Settings\Temp\79_003.exe >>> подозрение на Trojan.Win32.Agent.abzm ( 047DDDA4 00000000 000C5310 0027EB1A 165376)
Прямое чтение C:\Program Files\Garant-Server\settings\data_ccb.s
Прямое чтение C:\Program Files\Garant-Server\settings\data_cdb.s
Прямое чтение C:\Program Files\Garant-Server\settings\data_fdb.s
Прямое чтение C:\Program Files\Garant-Server\settings\data_odb.s
Прямое чтение C:\Program Files\Garant-Server\settings\data_udb.s
Прямое чтение C:\Program Files\Garant-Server\settings\userdata\_____def.s
Прямое чтение C:\Program Files\Garant-Server\settings\userdata\_____val.s
C:\WINDOWS\system32\rgda.exe >>> подозрение на Trojan.Win32.Small.xui ( 0B57ABBF 02D29100 001D6C80 0023ADBF 15872)
Прямое чтение C:\Бух 2008\1SBDB\SYSLOG\links.tmp
4. Проверка Winsock Layered Service Provider (SPI/LSP)
Настройки LSP проверены. Ошибок не обнаружено
5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
C:\WINDOWS\system32\itcadvapi.dll --> Подозрение на троянскую DLL. Обнаружена маскировка реального имени DLL
C:\WINDOWS\system32\itcadvapi.dll>>> Поведенческий анализ
Типичное для кейлоггеров поведение не зарегистрировано
C:\Program Files\InfoTeCS\ViPNet Client\itcrsagostcsp.dll --> Подозрение на Keylogger или троянскую DLL
C:\Program Files\InfoTeCS\ViPNet Client\itcrsagostcsp.dll>>> Поведенческий анализ
Типичное для кейлоггеров поведение не зарегистрировано
C:\Program Files\InfoTeCS\ViPNet Client\itccsp.dll --> Подозрение на Keylogger или троянскую DLL
C:\Program Files\InfoTeCS\ViPNet Client\itccsp.dll>>> Поведенческий анализ
Типичное для кейлоггеров поведение не зарегистрировано
C:\Program Files\InfoTeCS\ViPNet Client\ASNTools.dll --> Подозрение на Keylogger или троянскую DLL
C:\Program Files\InfoTeCS\ViPNet Client\ASNTools.dll>>> Поведенческий анализ
Типичное для кейлоггеров поведение не зарегистрировано
C:\Program Files\InfoTeCS\ViPNet Client\itcipc.dll --> Подозрение на Keylogger или троянскую DLL
C:\Program Files\InfoTeCS\ViPNet Client\itcipc.dll>>> Поведенческий анализ
Типичное для кейлоггеров поведение не зарегистрировано
C:\Program Files\InfoTeCS\ViPNet Client\logdisp.dll --> Подозрение на Keylogger или троянскую DLL
C:\Program Files\InfoTeCS\ViPNet Client\logdisp.dll>>> Поведенческий анализ
Типичное для кейлоггеров поведение не зарегистрировано
C:\Program Files\InfoTeCS\ViPNet Client\TOOLS2.dll --> Подозрение на Keylogger или троянскую DLL
C:\Program Files\InfoTeCS\ViPNet Client\TOOLS2.dll>>> Поведенческий анализ
Типичное для кейлоггеров поведение не зарегистрировано
C:\Program Files\InfoTeCS\ViPNet Client\itccspex.dll --> Подозрение на Keylogger или троянскую DLL
C:\Program Files\InfoTeCS\ViPNet Client\itccspex.dll>>> Поведенческий анализ
Типичное для кейлоггеров поведение не зарегистрировано
C:\Program Files\InfoTeCS\ViPNet Client\StoreDev.dll --> Подозрение на Keylogger или троянскую DLL
C:\Program Files\InfoTeCS\ViPNet Client\StoreDev.dll>>> Поведенческий анализ
Типичное для кейлоггеров поведение не зарегистрировано
C:\Program Files\InfoTeCS\ViPNet Client\ItcsCrpt32.dll --> Подозрение на Keylogger или троянскую DLL
C:\Program Files\InfoTeCS\ViPNet Client\ItcsCrpt32.dll>>> Поведенческий анализ
Типичное для кейлоггеров поведение не зарегистрировано
На заметку: Заподозренные файлы НЕ следует удалять, их следует прислать для анализа (подробности в FAQ), т.к. существует множество полезных DLL-перехватчиков
6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
Проверка отключена пользователем
7. Эвристичеcкая проверка системы
>>> E:\autorun.inf ЭПС: подозрение на скрытый автозапуск (высокая степень вероятности)
>>> E:\rxngpy.exe ЭПС: подозрение на скрытый автозапуск E:\autorun.inf [Autorun\Open]
>>> E:\rxngpy.exe ЭПС: подозрение на скрытый автозапуск E:\autorun.inf [Autorun\shell\open\command]
Проверка завершена
8. Поиск потенциальных уязвимостей
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
Проверка завершена
9. Мастер поиска и устранения проблем
Проверка завершена
Просканировано файлов: 135313, извлечено из архивов: 97417, найдено вредоносных программ 0, подозрений - 3
Сканирование завершено в 09.09.2008 14:37:38
Сканирование длилось 00:12:49
Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам,
то Вы можете обратиться в конференцию -
http://virusinfo.info Добавлено: Цитата: почему у тебя при входе в систему включается IE6 ? Смотри HiJackThis.
Сори, опят не оттуда скопировал, вот ошибка:
Код 1000 Ошибка приложения explorer.exe, версия 6.0.ххххххх, модуль unknown, версия 0.0.0.0, адрес 0xхххххх (не ИЕ, а explorer.exe)
