Vba32 AntiRootkit 3.12.5 beta

[amid525 67]

Отправил save zipped log.

[Dmitry Varshavsky 65]

Отправил save zipped log.

Посмотрел ваш лог. Комментарии следующие:

1. У вас модифицированная загрузочная запись, а оригинальный загрузочный код лежит в 22м секторе и подсовывается пользовательским приложениям. Этим безобразием занимается драйвер Shield.sys от Horizon DataSys, причём они даже не удосужились его подписать. Видимо, вы используете их продукт RollBack Rx PC ( или аналогичный ). Моё мнение по данного рода продуктам резко негативное. Тут расписано подробно.

2. Куча красных записей в процесс листе связана с продуктом от Emsisoft Anti-Malware, чьи .dll грузятся практически во все процессы. По логу однозначно сказать нельзя, но одно из двух - либо продукт недавно обновился и поэтому .dll на диске не успела обновится ( обновилась только в кеше файловой системы ), что маловероятно, либо это связано с механизмом работы ( самозащиты ) продукта Anti-Malware.

3. Несколько смущают следующие файлы:

C:\WINDOWS\System32\FlashPlayerCPLApp.cpl

C:\WINDOWS\system32\Macromed\Flash\FlashPlayerUpdateService.exe

Их надо смотреть отдельно. Флеш плеер в этот день не обновлялся?

4. Не могли ли вы сделать лог ещё раз для сравнения? Некоторые вопросы бы отпали.

Да, и пришлите пожалуйста дамп, для того чтобы исправить вылет. Я так понимаю он проходит только на выделенном рабочем столе ?

Спасибо.

[amid525 67]

Моё мнение по данного рода продуктам резко негативное. Тут расписано подробно.

Он самый RollBack Rx. Прочел вашу ссылку. Опасения "в теории" понятны. Но тут как - лучше в лес не ходить, ведь там волки бывают, вдруг съедят. ) Есть разве достойная и надежная альтернатива?

Но а выручает эта программа меня(и знакомых)регулярно. Не знаю, сколько-бы мне без нее раз, пришлось винду переустанавливать , когда нечаянно что нибудь испорчу, удалю не то(люблю эксперементировать, и разный софт ставить..) Когда и в безопасный режим уже не возможно загрузиться.. А тут рестарт с выбором точки отката, и все впорядке, как ни в чем не бывало.. Но это мое имхо о ее плюсах и минусе виртуальном..

3. Несколько смущают следующие файлы:

C:\WINDOWS\System32\FlashPlayerCPLApp.cpl

C:\WINDOWS\system32\Macromed\Flash\FlashPlayerUpdateService.exe

Их надо смотреть отдельно. Флеш плеер в этот день не обновлялся?

Сообщении ни каких не замечал.

4. Не могли ли вы сделать лог ещё раз для сравнения? Некоторые вопросы бы отпали.

Высылаю.

Да, и пришлите пожалуйста дамп, для того чтобы исправить вылет. Я так понимаю он проходит только на выделенном рабочем столе ?

Да. Но Подкачка у меня отключена, дампа нет как понимаю...?

[Groft 65]

Он самый RollBack Rx. Прочел вашу ссылку. Опасения "в теории" понятны. Но тут как - лучше в лес не ходить, ведь там волки бывают, вдруг съедят. ) Есть разве достойная и надежная альтернатива?

Но а выручает эта программа меня(и знакомых)регулярно. Не знаю, сколько-бы мне без нее раз, пришлось винду переустанавливать , когда нечаянно что нибудь испорчу, удалю не то(люблю эксперементировать, и разный софт ставить..) Когда и в безопасный режим уже не возможно загрузиться.. А тут рестарт с выбором точки отката, и все впорядке, как ни в чем не бывало.. Но это мое имхо о ее плюсах и минусе виртуальном..

Acronis True Image

Сообщении ни каких не замечал.

У Adobe в настройках скорей всего стоит режим "тихих обновлений". Это значит, что для пользователя обновления до новой версии флеш плеера проходят незаметно. После перезагрузки системы статус "Forged" должен пропасть (завтро проверим Ваш фаел отчета).

Да. Но Подкачка у меня отключена, дампа нет как понимаю...?

Требуется включить файл подкачки. Тут можно прочитать как.

После включения файла подкачки нужно воспроизвести "синий экран". После перезагрузки в C:\windows\ образуется дамп под названием "MEMORY.DMP", который нужно заархивировать и выслать нам для исправления падения нашего продукта.

Спасибо!

[Dmitry Varshavsky 65]

Да. Но Подкачка у меня отключена, дампа нет как понимаю...?

Минидамп должен был сгенерироваться в любом случае. Обычно лежит в %SystemRoot%\Minidump. Для лучшего анализа, конечно, нужен кернел дамп.

[amid525 67]

Acronis True Image

Делаю и им образ раз в пол года на съемный диск, на всякий случай(поломки винчестера например). Постоянно пользоваться им - неудобно и долго..

RollBack Rx - делает каждое утро снимок автоматом, что гораздо удобнее.

Требуется включить файл подкачки. Тут можно прочитать как.

Как включить я знаю. Отключил для лучшего быстродействия системы. )

После включения файла подкачки нужно воспроизвести "синий экран". После перезагрузки в C:\windows\ образуется дамп под названием "MEMORY.DMP", который нужно заархивировать и выслать нам для исправления падения нашего продукта.

Спасибо!

Хорошо, попробую.

[amid525 67]

Включил подкачку, просканировал в усиленном режиме, и как ни странно, в синий не выпал п.к. Может совпадение...

высылаю новый дамп.

[Groft 65]

Включил подкачку, просканировал в усиленном режиме, и как ни странно, в синий не выпал п.к. Может совпадение...

высылаю новый дамп.

Попробуйте поработать пару часиков за своим компьютером и потом запустить антируткит в усиленном режиме. Если в течении нескольких дней "синий экран" не повторится, то спишем на совпадение. К слову говоря, еще не факт, что именно из-за нас система падала в "синий экран". Точный вердикт можно поставить только посмотрев дамп, которого, к сожалению, получить не удалось.

Что касается лога, то по нашему мнению антируткит выдает верную информацию по "Forged" файлам. У Вас стоит много сторонних антируткит утилит, 2 антивирусных продукта и куча всякой всячины. Кто "виноват" в таком подозрительном логе трудно сказать. Как вариант, то можно сдампить нашим антируткитом "Forged" файлы из "Process Manager" и заслать выбранный Вами вирлаб.