Маскировка процессов

[ribakaba]

При сканировании компа утилита AVZ 4.30 при включенном лечении выдает красным цветом::
1.4 Поиск маскировки процессов и драйверов
Маскировка процесса с PID=2400, имя = "setup.exe", полное имя = "\Device\HarddiskVolume1\DOCUME~1\Abraham\LOCA LS~1 \Temp\RarSFX0\setup.exe"
>> обнаружена подмена PID (текущий PID=9038, реальный = 2400)
>> обнаружена подмена имени, новое имя = ""
>> Маскировка драйвера: Base=ED4C9000, размер=81920, имя = "\SystemRoot\System32\Drivers\Parport.SYS"

А также красным цветом:
5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll --> Подозрение на Keylogger или троянскую DLL
C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll>>> Поведенческий анализ
Типичное для кейлоггеров поведение не зарегистрировано
Файл успешно помещен в карантин (C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll)
Файл, как был в папке, так и остался, а резюме: найдено вредоносных программ 0, подозрений - 0.
Повторил сканирование, а результат тот же.
Уважаемые форумчане, кто подскажет, что это обозначает и насколько это серьезно.

[CosmiC]

"\Device\HarddiskVolume1\DOCUME~1\Abraham\LOCA LS~1 \Temp\RarSFX0\setup.exe"
похоже на мусор... CCleaner в помощь, или руками прибить.

а второе, это кусок оффиса, идентифицируется как Browser Helper Object (BHO) каковым и является, но опасности не представляет

[Zhlobny Hmur]

Цитата: Сообщение от CosmiC похоже на мусор

Скажем, на заразу больше похоже... Ну не должно из темпов процессы запускаться и тем более маскироваться.

[ribakaba]

Цитата: Сообщение от Zhlobny Hmur Скажем, на заразу больше похоже... Ну не должно из темпов процессы запускаться и тем более маскироваться.

Попутно вопрос: если все-таки вирус, вторая система с диска D остается чистой или тоже может быть заражена? И ещё: файлы на диске D заражаются или нет? Если переустановить систему на диске С, а диск D оставить не тронутым?

[Zhlobny Hmur]

ribakaba, все зависит от стратегии вируса. Если он тотально загаживает файлы (типа сектор7), то по фигу где они находятся. Но обычно поражается основная система... И при аккуратном запуске можно спокойно отлечиваться под другой системой.

[Vose]

Цитата: Сообщение от Zhlobny Hmur И при аккуратном запуске можно спокойно отлечиваться под другой системой.

Только иногда под другой системой гадик не обнаруживается, т.к. ведёт себя "прилежно", т.е ни как - просто "отлёживается и не светится".
ribakaba похоже просто распаковали вы какую-то бяку из раровского архива. Сканьте ещё раз, включив AVZPM и AVZGuard и лечение, с последующей перезагрузкой. Ну и просто "ручками" гадика прибить можно.

[Lelick]

Цитата: Сообщение от Vose Ну и просто "ручками" гадика прибить можно

Этого делать не желательно, т.к. при восстановлении системы или файлов, любой программой восстановления, соответственно можно оживить и вредоносный код. Поэтому, это надо делать с помощью антивируса.

[ribakaba]

Цитата: Сообщение от ribakaba Маскировка процесса с PID=2400, имя = "setup.exe", полное имя = "\Device\HarddiskVolume1\DOCUME~1\Abraham\LOCA LS~1 \Temp\RarSFX0\setup.exe" >> обнаружена подмена PID (текущий PID=9038, реальный = 2400) >> обнаружена подмена имени, новое имя = ""

избавился сканированием.

Цитата: Сообщение от CosmiC C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll -->

Деинсталировал Office.

Цитата: Сообщение от ribakaba >> Маскировка драйвера: Base=ED4C9000, размер=81920, имя = "\SystemRoot\System32\Drivers\Parport.SYS"

Пробовал сканировать DrWeb и Eset NOD32. Никакой заразы не находят.
Пробовал удалить вручную. Удалил даже из корзины, а он выныривает откуда-то опять. Что делать и откуда эта зараза выскакивает?

[Dimonsh]

Цитата: Сообщение от ribakaba Цитата: Сообщение от ribakaba >> Маскировка драйвера: Base=ED4C9000, размер=81920, имя = "\SystemRoot\System32\Drivers\Parport.SYS" Пробовал сканировать DrWeb и Eset NOD32. Никакой заразы не находят. Пробовал удалить вручную. Удалил даже из корзины, а он выныривает откуда-то опять. Что делать и откуда эта зараза выскакивает?

Отключи восстановление системы, загрузись в безопасном режиме и попробуй еще раз.

[Vose]

Цитата: Сообщение от Lelick Этого делать не желательно, т.к. при восстановлении системы или файлов, любой программой восстановления, соответственно можно оживить и вредоносный код.

Lelick, вообще то восстановление системы первым делом отключают, когда вирями борются (особенно с серьёзными) - вон Dimonsh выше тоже про это пишет и на Касперском сайте, например, тоже такая рекомендация висит.
ribakaba Сделай, как Dimonsh выше написал и ещё в реестре по имени файла-гадика поищи и все упоминания удали. Справку по AVZ почитай - там есть тонкости, как правильно активных гадов прибивать и в каком порядке и что включать, ну и галку "лечить" не забывать ставить Удачи!