Shell

Symantec Endpoint Protection

В этой теме 16 сообщений

Добрый день.

Сломал голову над проблемой.

Есть Филиал. На нем 10 компьютеров вместе с 2 серверами. Филиал на канале связи с головным офисом. Там был установлен сервер SEPM, к которому они были подключены. 28 апреля 4 клиента одновременно потеряли управляющий сервер. Посыпалась файловая система сервера (директория Liveupdate сначала потеряла к себе права доступа, а после checkdisk вовсе пропала). Восстановил сервер SEPM. Большинство клиентов восстановилась нормально. 4- нет.

В Troubleshooting - сервер=оффлайн. Остальные 6 клиентов - сервер видят. Остановил тот сервер, подключил к серверу в головном офисе. 6 клиентов перешли успешно. Эти 4 - все так же оффлайн. Через SEP Support tools существенных ошибок нет. Подключение к управляющему серверу утилита показывает нормальное.

Из ошибок через SEPSupport Tools:

Error Simple filesharing is enabled. Error Name:  WpsHelper Type:  Kernel Driver Status Setting Default Actual Error State Running Stopped Error Exit Code  С момента последней загрузки попытки запустить службу не делались.  Ok Start Type Demand Start Demand Start Ok Log On As LocalSystem LocalSystem Warning Symantec Endpoint Protection 11.0, MR4 (11.0.4000.2295)

Через SylinkDrop неоднократно подсовывал правильные параметры - и клиенты успешно кушают их, но связи так и нет. Пробовал подменить файл вручную - безрезультатно (параметры, естественно, выгружал с SEPM к которому подключаю). Дал задание айтишнику переустановить с нуля операционку одну, накатил SEP. Результат тот же. Смотрю через сниффер что же происходит на уровне сети. Даю smc -checkinstall, smc -updateconfig клиент лезет на управляющий сервер, получает через GET запрос /secars/secars.dll и сразу сервер отвечает Internal server error в пакете клиенту.

20718d5fdc4ft.jpg

По аналогии с 6 клиентами которые нормально - клиент от сервера должен на этом этапе получить Sem-HashKey (в случае новой сессии) и продолжать сессию.

При этом, на этом сервере без проблем висит 300+клиентов без каких либо похожих проблем.

Вот как выглядит клиент:

75588d69c2det.jpg

2 клиента из 4х без ошибок - но все же нет связи с SEPM.

Проблемных клиентов пробовал удалять из SEPM - с тех пор они даже не появлялись в SEPM, через поиск неуправляемых клиентов по этой подсети не находятся.

Бьюсь головой, не знаю куда копать.

Пробовал перецепить к прошлому их серверу, результат = 0.

Удалять\добавлять домен в SEPM пробовал, безрезультатно.

У клиентов (у компа, у учетной записи пользователя) нет доступа в Интернет. Но в настройках браузера прописано "не использовать прокси для подсетей ..." и там указана подсеть SEPM <<<- грешил на это, думая что http запросы могут таки идти и резаться через прокси пока не увидил трафик в живую к SEPM от клиентов.

Порт для сервера использую 8014.

Версия сервера и клиентов 11.0.4000.2295

Клиенты - под MS Windows XP SP2 buil 2600 Rus.

Проходился по клиентам вайпом - результат тот же.

Проблему выявил только с этими клиентами на этом Филиале.

P.S.

Сегодня попробовал установил последнюю версию клиента (4019). Результат тот же. Мистика какая то.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Shell попробуйте воспользоваться вот этими утилитами, рекомендую параллельно открыть кейс в тех. поддержке - http://service1.symantec.com/support/ent-s...72?OpenDocument

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Shell попробуйте воспользоваться вот этими утилитами, рекомендую параллельно открыть кейс в тех. поддержке - http://service1.symantec.com/support/ent-s...72?OpenDocument

Немного не в тему, может подскажете в каком направлении искать:

клиенты получают политики с сервера. судя по логу System.log на компе, загружают обновления, но на сервере пустой лог Client-server act. с сервером к которому привязаны клиенты и Client act. по данным клиентам и во всех отчетах старая версия баз на клиентах, хотя повторюсь, клиенты получают базы судя по своим логам и ошибок не генерят.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

MKR версия? Диагностику запускали на сервере и на проблемном клиенте?

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

4014 везде, вот такая ошибка на сервере:

Is Microsoft IIS correctly configured for Symantec Endpoint Protection Manager?

Error SEPM Virtual Directories with incorrect permissions: Location Expected Actual

/LM/W3SVC/1/ROOT None Scripts only

Error SEPM Virtual Directories with incorrect paths: Location Path

/LM/W3SVC/1/ROOT c:\inetpub\wwwroot

Эта ошибка есть и на другом сервере, с которым проблем нет, может дело в W2K3 R2? где то я слышал про это.

ссылка на статью http://www.symantec.com/techsupp/servlet/P...050.91.04282009

Отредактировал MKR
0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

MKR попробуйте позвонить в тех. поддержку

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
MKR попробуйте позвонить в тех. поддержку

C русскоязычной ТП разбирались несколько дней, но в результате мне так и не смогли помочь, отправлял им debug и ошибки Support Tool, когда вышла новая версия, обновил сервер - сразу связь с клиентами восстановилась, инцидент закрыли.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
C русскоязычной ТП разбирались несколько дней, но в результате мне так и не смогли помочь, отправлял им debug и ошибки Support Tool, когда вышла новая версия, обновил сервер - сразу связь с клиентами восстановилась, инцидент закрыли.

Увы. Вчера в надежде проделал тоже самое. Накатил поверху через vpremote версию 11.0.4202.75. Сервер не обновлял. Безрезультатно. Те клиенты на Филиале что были видны в SEPM - видны и с новой версией. У проблемных - все та же ошибка. Сам сервер SEPM не могу обновить, так как много дочерних серверов обновлять придется (очень долго по времени вручную + трафик на удаленных каналах дороговато выходит).

Вот что видно через Sylinkmonitor:

05/26 16:10:59 [3472] <ScheduleNextUpdate>Manually assigned heartbeat=1 seconds05/26 16:11:00 [1508] <CheckHeartbeatTimer>====== Heartbeat loop starts at 16:11:00 ======05/26 16:11:00 [1508] <GetOnlineNicInfo>:Netport Count=105/26 16:11:00 [1508] <GetOnlineNicInfo>:NicInfo<SSANICs><SSANIC Ip= ....."... (removed)..05/26 16:11:00 [1508] <DoHeartbeat> Set heartbeat event05/26 16:11:00 [1508] Use new configuration05/26 16:11:00 [1508] <CSyLink::IndexHeartbeatProc()>05/26 16:11:00 [1508] <IndexHeartbeatProc> Got ConfigObject to proceed the operation.. pSylinkConfig: 01BDE52805/26 16:11:00 [1508] <IndexHeartbeatProc>====== Reg Heartbeat loop starts at 16:11:00 ======05/26 16:11:01 [1508] HEARTBEAT: Check Point 105/26 16:11:01 [1508] Get First Server!05/26 16:11:01 [1508] <GetFirstSEMServer> Selecting a random server05/26 16:11:01 [1508] <GetFirstServer> Using server '10.0.0.25'05/26 16:11:01 [1508] HEARTBEAT: Check Point 205/26 16:11:01 [1508] <PostEvent>going to post event=EVENT_SERVER_CONNECTING05/26 16:11:01 [1508] <PostEvent>done post event=EVENT_SERVER_CONNECTING, return=005/26 16:11:01 [1508] HEARTBEAT: Check Point 305/26 16:11:01 [1508] <IndexHeartbeatProc>Setting the session timeout on Profile Session to 3000005/26 16:11:01 [1508] HEARTBEAT: Check Point 405/26 16:11:01 [1508] <IndexHeartbeatProc>===Get Index STAGE===05/26 16:11:01 [1508] ************CSN=2899805/26 16:11:01 [1508] <mfn_MakeGetIndexUrl:>Request is: action=12&hostid=E08125620A00001901D5B88324B9CE6D&chk=D94ED4E866402A65CD619F60428B4580&ck=0BD9B23AFF5ABA29160F913250AFBDAA&uchk=4A4F9B6F6FCFDAC222E51C273843777D&uck=A780077068263BF94F627ACFB7ECAC80&hid=40D344CE34D89293F9B0C1E61648B96D&groupid=F34834370A0000190015B758697663EE&mode=0&hbt=1800&as=28998&cn=[hex]4C4F544F54534B49595850&lun=[hex]61646D696E6973747261746F72&udn=[hex]5045524D2E534E532E474B05/26 16:11:01 [1508] <GetIndexFileRequest:>http://10.0.0.25:8014/secars/secars.dll?h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etIndexFileRequest:>SMS return=50005/26 16:11:01 [1508] <ParseHTTPStatusCode:>500=>500 INTERNAL SERVER ERROR05/26 16:11:01 [1508] HTTP returns status code=50005/26 16:11:01 [1508] <GetIndexFileRequest:>RECEIVE STAGE COMPLETED05/26 16:11:01 [1508] <GetIndexFileRequest:>COMPLETED05/26 16:11:01 [1508] <IndexHeartbeatProc>GetIndexFile handling status: 50005/26 16:11:01 [1508] <IndexHeartbeatProc>Switch Server flag=105/26 16:11:01 [1508] HEARTBEAT: Check Point 5.105/26 16:11:01 [1508] <ScheduleNextUpdate>new scheduled heartbeat=128 seconds05/26 16:11:01 [1508] HEARTBEAT: Check Point 805/26 16:11:01 [1508] Get Next Server!05/26 16:11:01 [1508] <IndexHeartbeatProc>switch to another server05/26 16:11:01 [1508] <DecrementScheduleTime:>New scheduled heartbeat=64 seconds05/26 16:11:01 [1508] HEARTBEAT: Check Point 105/26 16:11:01 [1508] HEARTBEAT: Check Point 205/26 16:11:01 [1508] <PostEvent>going to post event=EVENT_SERVER_CONNECTING05/26 16:11:01 [1508] <PostEvent>done post event=EVENT_SERVER_CONNECTING, return=005/26 16:11:01 [1508] HEARTBEAT: Check Point 305/26 16:11:01 [1508] <IndexHeartbeatProc>Setting the session timeout on Profile Session to 3000005/26 16:11:01 [1508] HEARTBEAT: Check Point 405/26 16:11:01 [1508] <IndexHeartbeatProc>===Get Index STAGE===05/26 16:11:01 [1508] ************CSN=2899905/26 16:11:01 [1508] <mfn_MakeGetIndexUrl:>Request is: action=12&hostid=E08125620A00001901D5B88324B9CE6D&chk=D94ED4E866402A65CD619F60428B4580&ck=0BD9B23AFF5ABA29160F913250AFBDAA&uchk=4A4F9B6F6FCFDAC222E51C273843777D&uck=A780077068263BF94F627ACFB7ECAC80&hid=40D344CE34D89293F9B0C1E61648B96D&groupid=F34834370A0000190015B758697663EE&mode=0&hbt=1800&as=28999&cn=[hex]4C4F544F54534B49595850&lun=[hex]61646D696E6973747261746F72&udn=[hex]5045524D2E534E532E474B05/26 16:11:01 [1508] <GetIndexFileRequest:>http://frade.sns.gk:8014/secars/secars.dll?h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etIndexFileRequest:>SMS return=50005/26 16:11:04 [1508] <ParseHTTPStatusCode:>500=>500 INTERNAL SERVER ERROR05/26 16:11:04 [1508] HTTP returns status code=50005/26 16:11:04 [1508] <GetIndexFileRequest:>RECEIVE STAGE COMPLETED05/26 16:11:04 [1508] <GetIndexFileRequest:>COMPLETED05/26 16:11:04 [1508] <IndexHeartbeatProc>GetIndexFile handling status: 50005/26 16:11:04 [1508] <IndexHeartbeatProc>Switch Server flag=105/26 16:11:04 [1508] HEARTBEAT: Check Point 5.105/26 16:11:04 [1508] <ScheduleNextUpdate>new scheduled heartbeat=128 seconds05/26 16:11:04 [1508] HEARTBEAT: Check Point 805/26 16:11:04 [1508] Get Next Server!05/26 16:11:04 [1508] <PostEvent>going to post event=EVENT_SERVER_DISCONNECTED05/26 16:11:05 [1508] <PostEvent>done post event=EVENT_SERVER_DISCONNECTED, return=005/26 16:11:05 [1508] <IndexHeartbeatProc>====== IndexHeartbeat Procedure stops at 16:11:05 ======05/26 16:11:05 [1508] <IndexHeartbeatProc>Set Heartbeat Result= 105/26 16:11:05 [1508] <IndexHeartbeatProc>Sylink Comm.Flags: 'Connection Failed' = 1, 'Using Backup Sylink' = 0, 'Using Location Config' = 005/26 16:11:05 [1508] <IndexHeartbeatProc>Connection Failed! No. of tries = 205/26 16:11:05 [1508] Use new configuration05/26 16:11:05 [1508] HEARTBEAT: Check Point Complete05/26 16:11:05 [1508] <IndexHeartbeatProc>Done, Heartbeat=128seconds05/26 16:11:05 [1508] </CSyLink::IndexHeartbeatProc()>05/26 16:11:05 [1508] <CheckHeartbeatTimer>====== Heartbeat loop stops at 16:11:05 ======

Тоесть, в принципе то что я и в снифере видел.

Обновил управляющий сервер SEPM до 11.0.4202. Та же ошибка 500я.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Ну вот почему так всегда... Только собираешься похвалить один из 3х последних версий самый стабильный клиент SEP. И вот тебе раз

Обновил управляющий сервер SEPM до 11.0.4202. Та же ошибка 500я.

и потерял этот сервер. после перезапуска службы = java -1.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
и потерял этот сервер. после перезапуска службы = java -1.

поверх какой версии ставили?

Вот это проверяли?

http://service1.symantec.com/support/ent-s...d9?OpenDocument

И еще посмотрите вот эту статью, эта ошибка давно исправлено, но похоже ли на вашу проблему?

http://service1.symantec.com/support/ent-s...a2?OpenDocument

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Статьи уже давно в закладках. Не помогло сначала ничего абсолютно. Перепроверил все параметры, которые отвечали за данную ошибку. Уже все с закрытыми глазами делаю.

В логе ошибка

2009-05-26 18:29:31.236 SEVERE: Unknown Exception in: com.sygate.scm.server.servlet.StartupServletjava.lang.Exception: HTTP 404 Not Found, URL: http://localhost:8014/secars/secars.dll?action=34

и все тут. Служба стартует, две-три секунды и останавливается с типовой ошибкой. Реконфигурация сервера SEPM тоже не помогала.

Но настырности не занимать. Установка\удаление программ->Recovery. Результат положительный. Сервер восстановился, база цела, настройки тоже.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Кейс зарегистрирован 27 мая. Пока молчание. По словам поддержки - проблема из за создающихся дублей в БД.

Есть ли смысл пройтись на боевом сервере по табличкам запросом и поубивать записи относящиеся к данным компам? И не будет ли краха базы? Там же вроде все проиндексировано...

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Попробовал удалить проблемного клиента из таблиц скриптом по COMPUTER_ID = 2013D99E0A000019003C96161F81FE87 (этот ID выдернут из таблиц, принадлежит 1му клиенту).

DELETE FROM [Endpoint].[dbo].[sEM_COMPUTER]Where [COMPUTER_ID] = '2013D99E0A000019003C96161F81FE87'DELETE FROM [Endpoint].[dbo].[sEM_AGENT]Where [COMPUTER_ID] = '2013D99E0A000019003C96161F81FE87'DELETE FROM [Endpoint].[dbo].[sEM_CLIENT]Where [COMPUTER_ID] = '2013D99E0A000019003C96161F81FE87'DELETE FROM [Endpoint].[dbo].[LEGACY_AGENT]Where [COMPUTER_ID] = '2013D99E0A000019003C96161F81FE87'

Увы, к положительному результату не привело.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Увы, к положительному результату не привело.

Напишите мне в ЛС номер кейса

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Shell пытаются воспроизвести проблему, должны в ближайшее время связаться

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Решение есть. Спасибо поддержке.

Необходимо:

1) Остановить SEPM

2) Остановить SEP на клиенте (или smc -stop).

3) Выбрать из таблиц запросом проблемного клиента SEP

SELECT * from [Endpoint].[dbo].[sEM_COMPUTER]where [COMPUTER_NAME] = 'clientname'SELECT * from [Endpoint].[dbo].[sEM_CLIENT]where [COMPUTER_NAME] = 'clientname'

Выбирать необходимо из обоих таблиц, так как искомый [CLIENT_ID] может быть в нескольких записях и разный в таблицах.

4) Выбираем [CLIENT_ID] для дополнения запроса.

5) Скриптом указанным ниже удаляем записи из таблиц

DELETE from [Endpoint].[dbo].[sEM_COMPUTER]where [COMPUTER_NAME] = 'clientname'DELETE from [Endpoint].[dbo].[sEM_CLIENT]where [COMPUTER_NAME] = 'clientname'DELETE from [Endpoint].[dbo].[sEM_AGENT]where [COMPUTER_ID] = 'clientid' orwhere [COMPUTER_ID] = 'clientid2' orwhere [COMPUTER_ID] = 'clientid3'

6) Стартуем SEPM

7) Стартуем на клиенте SEP и смотрим в troubleshooting-->server.

Можно и таким скриптом (проще :) )

delete from [Endpoint].[dbo].[sEM_AGENT] where [COMPUTER_ID] not in (select [COMPUTER_ID] from [Endpoint].[dbo].[sEM_COMPUTER])

где [Endpoint].[dbo] - имя БД SQL (по умолчанию, по-моему sem5).

Предыдущей моей ошибкой было то что не остановил SEPM\SEP.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • Wenderoy
      Антивирус Kyранина (Кuranin Antivirus Free 2017) - https://kuranin.org Тестируем на 315 свежих зловредах из разных источников: malc0de, cleanmx, vxvault и т. д.


      Антивирус реагирует практически на каждый вирус, удаляем - на остатке 4 файла. Запуск:



      Два раза эвристическая сработка, один раз - автоматическое удаление зловредного кода. При этом все запускаемые объекты представляли собой консольные приложения, последнее запустило несколько процессов, но антивирус их заблокировал. В поставку входит утилита для чистки реестра - сканирует и удаляем остаточный мусор... Итог: система абсолютно чистая и работает стабильно, сканирование Hitman Pro в лишний раз это подтвердило.
    • PR55.RP55
    • PR55.RP55
      И в uVS  явный косяк с анализом автозапуска. C:\WINDOWS\SYSWOW64\IHCTRL32.DLL C:\WINDOWS\SYSTEM32\IHCTRL32.DLL _________________________________________________ Полное имя                  C:\WINDOWS\SYSWOW64\IHCTRL32.DLL
      Имя файла                   IHCTRL32.DLL

       Сохраненная информация      на момент создания образа
      Статус                      [Запускался неявно или вручную]
      File_Id                     556EBE5498000
      Linker                      7.0
      Размер                      603648 байт
      Создан                      12.04.2017 в 20:44:02
      Изменен                     08.03.2017 в 07:22:45
                                  
      TimeStamp                   03.06.2015 в 08:44:04
      EntryPoint                  +
      OS Version                  5.0
      Subsystem                   Windows character-mode user interface (CUI) subsystem
      IMAGE_FILE_DLL              +
      IMAGE_FILE_EXECUTABLE_IMAGE +
      Оригинальное имя            DDDDDDDD.DLL
      Тип файла                   32-х битный ИСПОЛНЯЕМЫЙ
      Цифр. подпись               Отсутствует либо ее не удалось проверить
                                  
      Доп. информация             на момент обновления списка
      SHA1                        2428AE627F382A886C0C48F4748C0DB3FD943796
      MD5                         79283E53B76D96C869EF64241D5D2794
                                  
      Ссылки на объект            
      Prefetcher                  C:\WINDOWS\Prefetch\Layout.ini _________________________________________ Полное имя                  C:\WINDOWS\SYSTEM32\IHCTRL32.DLL
      Имя файла                   IHCTRL32.DLL
      Тек. статус                 сервисная_DLL в автозапуске [SVCHOST]
                                  
      Сохраненная информация      на момент создания образа
      Статус                      сервисная_DLL в автозапуске [SVCHOST]
      Инф. о файле                Не удается найти указанный файл.
      Цифр. подпись               проверка не производилась
                                  
      Ссылки на объект            
      Ссылка                      HKLM\System\CurrentControlSet\Services\ihctrl32\Parameters\ServiceDLL
      ServiceDLL                  %SystemRoot%\System32\ihctrl32.dll ____________________________________________ Полное имя                  C:\WINDOWS\SYSTEM32\WSAUDIO.DLL
      Имя файла                   WSAUDIO.DLL
      Тек. статус                 ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ сервисная_DLL в автозапуске [SVCHOST]
                                  
                               
      Сохраненная информация      на момент создания образа
      Статус                      сервисная_DLL в автозапуске [SVCHOST]
      Инф. о файле                Не удается найти указанный файл.
      Цифр. подпись               проверка не производилась
                                  
      Ссылки на объект            
      Ссылка                      HKLM\System\CurrentControlSet\Services\wsaudio\Parameters\ServiceDLL
      ServiceDLL                  %SystemRoot%\System32\wsaudio.dll
      ________________________________________________ А из лога FRST  видно, что... S2 wsaudio; C:\Windows\SysWOW64\wsaudio.dll [251392 2017-05-12] () [File not signed] 2017-06-25 15:31 - 2017-05-12 21:03 - 00251392 _____ C:\Windows\SysWOW64\wsaudio.dll             ------------ И какой вывод ? 1) Файл а втозапуске - но как бы и нет... SYSWOW64 SYSTEM32 2) Файл есть но uVS  его не видит...     Образ:    http://zalil.su/2930698 Тема: https://forum.esetnod32.ru/forum6/topic14098/ и таких тем ( по wsaudio.dll  уже за сотню ) Я уже об этом в  писал выше - а сейчас пишу подробно.                           
    • PR55.RP55
      Error: (06/25/2017 05:44:21 PM) (Source: Microsoft-Windows-LoadPerf) (EventID: 3011) (User: NT AUTHORITY)
      Description: При выгрузке строк счетчиков производительности для службы WmiApRpl (WmiApRpl) произошел сбой. Первое двойное слово (DWORD) в секции данных содержит код ошибки. Возможно что-то новое для WMI придумали.
      Во сяком случае это: KERNCAP.VBS в секции WMI --------- Полное имя                  KERNCAP.VBS
      Имя файла                   KERNCAP.VBS

      Сохраненная информация      на момент создания образа
      Статус                      в автозапуске ---------------- Образ: http://zalil.su/5444829
                                  
    • PR55.RP55
      Demkd https://forum.esetnod32.ru/forum6/topic14097/ Если сравнить записи в uVS и FRST то я не вижу в uVS записи: BootExecute: autocheck autochk * sh4native 7099sdnclean64.exe Запуск приложений через ключ реестра BootExecute http://hex.pp.ua/bootexecute.php Я так думаю, что можно исхитриться и чего нибудь да запустить.