Перейти к содержанию
Александр2

siszid32.exe

Recommended Posts

Александр2

Люди, подскажите ламеру как избавится от этой гадости, поисковик ничего не дал. Сидит гадость эта в папке "автозагрузка", удалить не могу, переименовать конечно тоже. Пишет нет доступа или файл занят другим приложением. Аваст почти всегда после такого просмотра выдаёт сообщение , что эвристический анализ.... и спрашивает удалить ли какойто файл с расширением sys, щас не вспомню. Удаляет. Но позже всё повтаряется.

Негативные действия этого малваре пока заметил лишь в том что при конекте к интернету приходится заново логин с паролем вводить. Ох ненравится мне это. Помогите пожалуйста!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
Люди, подскажите ламеру как избавится от этой гадости, поисковик ничего не дал. Сидит гадость эта в папке "автозагрузка", удалить не могу, переименовать конечно тоже. Пишет нет доступа или файл занят другим приложением. Аваст почти всегда после такого просмотра выдаёт сообщение , что эвристический анализ.... и спрашивает удалить ли какойто файл с расширением sys, щас не вспомню. Удаляет. Но позже всё повтаряется.

Негативные действия этого малваре пока заметил лишь в том что при конекте к интернету приходится заново логин с паролем вводить. Ох ненравится мне это. Помогите пожалуйста!

Что показывается проверка тем же Dr.Web CureIt! ? Что находит\не находит?

Скачайте ещё, пожалуйста, Autoruns, распакуйте архив, запустите исполняемый файл, после его отработки сохраните отчёт через меню File --> Save, и прикрепите его сюда. Отчёт экспресс-проверки (она же "Быстрая проверка") Dr.Web CureIt! (находится в %USERPROFILE%\Doctor Web\Cureit.log) также прикрепите сюда.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Александр2
Что показывается проверка тем же Dr.Web CureIt! ? Что находит\не находит?

Скачайте ещё, пожалуйста, Autoruns, распакуйте архив, запустите исполняемый файл, после его отработки сохраните отчёт через меню File --> Save, и прикрепите его сюда. Отчёт экспресс-проверки (она же "Быстрая проверка") Dr.Web CureIt! (находится в %USERPROFILE%\Doctor Web\Cureit.log) также прикрепите сюда.

Dr.Web нашёл Trojan.download.51375/удалил) Сканировал отдельно тот файл , ничего не находит.

а вот отчёт autoruns :unsure: не могу прикрепить он весит 5 метров, а мне разрешено до 1м.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
Dr.Web нашёл Trojan.download.51375/удалил) Сканировал отдельно тот файл , ничего не находит.

а вот отчёт autoruns :unsure: не могу прикрепить он весит 5 метров, а мне разрешено до 1м.

Оба лога (Cureit.log и autoruns.txt) киньте мне на почту в архиве, пожалуйста, буду смотреть.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Александр2

Только отправил, тема называется : ОТЧЁТЫ ..................

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
Только отправил, тема называется : ОТЧЁТЫ ..................

Получил, см. ответ.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Александр2

появится сообщение ROOTKIT activity , полный отчёт скину только вечером.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Александр2

Сей час буду готовить отчёты, но уже есть изменения, после вчерашних проверок при загрузке системы выскакивает пустое окно ДОСа и предупреждение : неверное имя файла или ......... , проверте содержимое PIF-файла. для завершения работы приложения...... . И указывает путь именно на siszyd32.pif

О не прошло и пол года, только что аваст заругался на kyweoofw.sys)))))))))))))))))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Александр2

Смотрите мыло, первую часть отослал.

файл siszyd32.pif образовался в результате попытки изменить свойства файла, ещё позавчера, этот файл я удалил в ручную сегодня, считаю что на него не стоит обращать внимание, а вот exeшник как не удалялся так и не удаляется

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Александр2

лог получить не удалось, сканер завис вместе со всей системой, зато может поможет лог этой програмки

0 0x00000001E8A9155B kl1.sys 0xBA4A8387 Set CR0. prev value 0x80010031, new value 0x80000031 No

0 0x00000001E8A9406C kl1.sys 0xBA4A83BA Attempt to set CR0.WP bit No

1 0x00000002C26D55C7 0x89864809 Attempt to reset CR0.WP bit No

1 0x00000002C26E038C 0x898648A4 Attempt to set CR0.WP bit No

1 0x00000002CCAF31E5 0x89839881 Attempt to reset CR0.WP bit No

1 0x00000002CCAFF345 0x8983999D Attempt to set CR0.WP bit No

1 0x00000002E9587EEA kyweoofw.sys 0xBA63E5F1 Attempt to reset CR0.WP bit No

1 0x00000002E9589740 kyweoofw.sys 0xBA63E5FD Attempt to set CR0.WP bit No

0 0x0000000A15FF4AA2 aswSP.SYS 0xAD07E23E Attempt to reset CR0.WP bit No

0 0x0000000A15FF6B8E aswSP.SYS 0xAD07E290 Attempt to set CR0.WP bit No

1 0x00000011B9BA9280 0x004013F1 Attempt to reset CR0.WP bit No

1 0x00000011B9BAFB09 0x0040143C Attempt to set CR0.WP bit No

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Александр2

Извеняюсь, но прислать файл тот что в названии темы уже не могу)))), я его удалил, на радостях забыл что может понадобится. Пришлось вспомнить как работать в досе)), а вот второй на который ругался аваст, я могу прислать, я его переименовал в текстовый.

Антивирусы молчат пока, рукит детектор уже не видет те два файла, но остались ещё два непонятных, может их тоже удалить в досе?

0 0x0000000282DB2788 kl1.sys 0xBA58A387 Attempt to reset CR0.WP bit No

0 0x0000000282DB507E kl1.sys 0xBA58A3BA Attempt to set CR0.WP bit No

0 0x000000066181D292 0x897BF809 Attempt to reset CR0.WP bit No

0 0x000000066182867E 0x897BF8A4 Attempt to set CR0.WP bit No

0 0x0000000669383D6E 0x89777881 Attempt to reset CR0.WP bit No

0 0x00000006693909A9 0x8977799D Attempt to set CR0.WP bit No

0 0x00000009E9EEBC71 aswSP.SYS 0xACFB023E Set CR0. prev value 0x80010031, new value 0x80000031 No

0 0x00000009E9EEDB34 aswSP.SYS 0xACFB0290 Attempt to set CR0.WP bit No

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dr_dizel
лог получить не удалось, сканер завис вместе со всей системой, зато может поможет лог этой програмки

Настройте hypersight только на информативный режим, иначе у вас антивирусные продукты будут укладывать систему в синьку.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Александр2

Спасибо, всем за отзывчивость, думаю вопрос закрыт, антивирусы молчат..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
Спасибо, всем за отзывчивость, думаю вопрос закрыт, антивирусы молчат..

Я по-прежнему ожидаю ответ на своё письмо...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Demon

Вчера по своей глупости отключил Каспера и словил эту дрянь.Мой совет,мне помогло!

Поставь программу Unlocker и разблокируй файл,если будет какая-нибудь ошибка,то повтори попытку.В общем должно появится окно с действиями к данному файлу и выбери "удалить",но удаление пройзойдет при следующей перезагрузке машины.

Однако нужно разбираться дальше т.к файл удалился,но на следующий день после загрузки системы машина подвисает и в подключениях прописывается новое подключение,нужно как-то почистиь систему от этой дряни,если что выкладывай все здесь,думаю многим будет интересно!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Александр2
Вчера по своей глупости отключил Каспера и словил эту дрянь.Мой совет,мне помогло!

Поставь программу Unlocker и разблокируй файл,если будет какая-нибудь ошибка,то повтори попытку.В общем должно появится окно с действиями к данному файлу и выбери "удалить",но удаление пройзойдет при следующей перезагрузке машины.

Однако нужно разбираться дальше т.к файл удалился,но на следующий день после загрузки системы машина подвисает и в подключениях прописывается новое подключение,нужно как-то почистиь систему от этой дряни,если что выкладывай все здесь,думаю многим будет интересно!

У меня всё в порядке, отключил загрузку с винта в биосе, загрузил ДОС с древнего установочного диска, далее перешёл в папку где находился этот файл, (долго вспоминал что писать в командной строке) вобщем файл удалил. Удалятся он не хотел только под виндой , так как винда говорила что файл занят.. В досе без проблем)))

УВ. K_Mikhail очень стараюсь выполнить просьбу, но сканер дико долго смотрит мои два винта(они заполнены) и вечно не успеваю сделать проверку до конца, возможно один файл получится прислать, тот что аваст вроде как удалял но он снова появлялся, ему я присвоил TXT расширение, возможно я его тогда сохранил, ищу....

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • demkd
      HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{c53e07ec-25f3-4093-aa39-fc67ea22e99d}
      Windows.StateRepositoryPS.dll используется в ShellExperienceHost.exe, который в результате и рубится из-за исключения уже в другой библиотеке - StartUI.dll при нажатии на кнопку меню с виндовым флажком, как это связано с Windows.StateRepositoryPS.dll не совсем ясно, поскольку в событиях не видно никаких проблем с соответствующим ему COM.
      "Для них недостаточно просто назначить Full Access для Everyone" тут это прокатывает и все работает если впрямую назначить Everyone и дать полный доступ, а uVS ранее просто и незатейливо сбрасывал dacl в null и отключал наследование, что если верить msdn обеспечивает полный доступ к ключу всем и оно так и есть, но как оказалось нравится это не всем причем таким странным образом, поэтому теперь и dacl и owner всегда возвращаются в исходное состояние во избежании.
    • Такси Курумоч
      Такси Курумоч Аэропорт Самара с квитанцией, чеком Сайт: http://g-transfer.ru
      Email: [email protected]
      Viber/Whatsapp +79272040919
      Телефон +79991709505   Воспользовался услугами данной трансферной компании, и решил обязательно поделиться со всеми)
    • Dragokas
      demkd, какой конкретно ключ? Если речь идёт о доступе служб к ключам, то начиная с Vista есть службы с так называемым Restricted SID (ServiceSidType = 3). Для них недостаточно просто назначить Full Access для Everyone (S-1-1-0).
    • demkd
      Неожиданно в Win10 всплыла нехорошая ошибка с правами доступа к ключам, как оказалось полный доступ к некоторым ключам может привести к неработоспособности отдельных компонентов Windows.
      К примеру исправление двойных слешей в Win10 1803 убивает меню пуск, почему ему не нравится полный доступ к ключу я так и не понял, но теперь такой проблемы нет и владелец и права доступа восстанавливаются после модификации ключа. ---------------------------------------------------------
       4.0.18
      ---------------------------------------------------------
       o В окно информации о процессе добавлены проценты загрузки CPU с момента создания процесса.
         "CPU" = загрузка всего процессора.
         "CPU 1 core" = загрузка в пересчете на 1 ядро.  o uVS теперь восстанавливает права доступа и владельца ключей после модификации параметров ключа.  o Исправлена ошибка из-за которой в лог могло выводиться обрезанное информационное сообщение о пути до ключа реестра.  o Исправлена ошибка из-за которой не удавалось изменить некоторые ключи реестра при запуске uVS под текущим пользователем.
         (Если права доступа запрещали изменение ключа для текущего пользователя).  o Исправлена финальная (когда не помогло использования ASA) функция удаления защищенных ключей реестра из веток *\CLSID.
         Ранее удаление завершалось с ошибкой "ключ не найден".
         (!) Внимательно следите за тем что вы удаляете, функция игнорирует системную защиту реестра (Win10) и защиту большинства антивирусных программ.  
    • PR55.RP55
      Отслеживание активности любого расширения в браузере на примере хрома: Chrome https://xakep.ru/2014/06/16/62643/ Таким образом можно выявить левое расширение. т.е.  хорошо бы отслеживать активность расширений и прописывать данные в Инфо.
×