Взлом без подключения к сети

[4nt]

Столкнулся с такой проблемой, что взламывают компьютер даже без подключенного кабеля. Пробовал разные файрволлы, антивирусы, переустанавливал систему много раз, форматировал диски, ничего не помогает (вирусы, вредоносные программы не находит). Сразу же после установки системы на отформатированный раздел кто-то появляется в системе, запускает процессы, меняет настройки и мешает нормальной работе. Каким образом, непонятно, сетевой кабель отключал. Кто может помочь распознать угрозу и как с ней бороться?

PS
Материнка Asus P7P55D-E PRO.
Никаких дополнительных плат, кроме Creative X-Fi, не установлено.

[eco]

переустанавливал систему много раз, »
С какой го***сборки?

что взламывают компьютер даже без подключенного кабеля. »
НЛО скорее всего.

на отформатированный раздел кто-то появляется в системе, запускает процессы, меняет настройки и мешает нормальной работе » он (http://multmir.net/multimages/262.jpg) наверное. :)

[iskander-k]

Столкнулся с такой проблемой, что взламывают компьютер даже без подключенного кабеля. Пробовал разные файрволлы, антивирусы, переустанавливал систему много раз, форматировал диски, ничего не помогает (вирусы, вредоносные программы не находит). »
Ни один антивирус не является гарантией чистоты от вирусов.

Раз у вас
Сразу же после установки системы на отформатированный раздел кто-то появляется в системе, запускает процессы, меняет настройки и мешает нормальной работе. »

Значит сборка которую вы используете - уже заражена.
Озвучте что за сборку ОС вы используете и где скачивали ?

и

Выложите логи в соответствии с этими (http://forum.oszone.net/post-717373.html) инструкциями.

[4nt]

Сборка 2600.xpsp.080413_2111: Service Pack 3
Скачивал с torrents.ru (сейчас rutracker)
Логи прикрепил.

[4nt]

Один из дисков был в формате RAW, восстановил его в NTFS, переделал логи.

[iskander-k]

Зачем вам два антивируса ?
COMODO Internet Security

Comodo Internet Security - комплексное решение бесплатно. Защищает от вирусов и Интернет атак, включающая антивирус и антишпион, персональный фаервол и модуль защиты от вредоносных программ Comodo Defense+
и

Kaspersky Anti-Virus 2012


• Скачайте Malwarebytes Anti-Malware (http://www.besttechie.net/mbam/mbam-setup.exe), установите, обновите базы, выберите Perform Full Scan, нажмите Scan, после сканирования - Ok - Откройте лог и скопируйте в сообщение.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM (http://data.mbamupdates.com/tools/mbam-rules.exe).

[4nt]

Comodo Internet Security ставил как файрволл (обычно использовал Outpost Firewall, но последнии 2 раза когда переустанавливал винду, после установки Outpost и перезагрузки, появлялся синий экран, загрузиться можно было только в безопасном режиме).
И Kaspersky Anti-Virus 2012 как антивирус.


Вот лог:
Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Версия базы данных: 7924

Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

11.10.2011 21:39:05
mbam-log-2011-10-11 (21-39-05).txt

Тип сканирования: Полное сканирование (C:\|D:\|E:\|F:\|)
Просканированные объекты: 155496
Времени прошло: 4 минут, 47 секунд

Зараженные процессы в памяти: 0
Зараженные модули в памяти: 0
Зараженные ключи в реестре: 0
Зараженные параметры в реестре: 0
Объекты реестра заражены: 1
Зараженные папки: 0
Зараженные файлы: 0

Зараженные процессы в памяти:
(Вредоносных программ не обнаружено)

Зараженные модули в памяти:
(Вредоносных программ не обнаружено)

Зараженные ключи в реестре:
(Вредоносных программ не обнаружено)

Зараженные параметры в реестре:
(Вредоносных программ не обнаружено)

Объекты реестра заражены:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowHelp (PUM.Hijack.StartMenu) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.

Зараженные папки:
(Вредоносных программ не обнаружено)

Зараженные файлы:
(Вредоносных программ не обнаружено)

[iskander-k]

раздел кто-то появляется в системе, запускает процессы, меняет настройки и мешает нормальной работе. »
Какие процессы запускаются ? какие настройки меняются ?
Скачайте Process Explorer (http://technet.microsoft.com/ru-ru/sysinternals/bb896653) . Сделайте лог (меню File -> Save) и выложите.

[4nt]

Процессы вроде как системные запускаются (wmiprvse, wmiadap, rundll32, imapi и т.д.) запускается установка драйверов каких то устройств, которые уже установлены или вообще которых нет на компе.

Лог:

Process PID CPU Private Bytes Working Set Description Company Name
System Idle Process 0 99.22 0 K 28 K
System 4 0 K 268 K
Interrupts n/a 0.39 0 K 0 K Hardware Interrupts and DPCs
smss.exe 584 168 K 384 K Диспетчер сеанса Windows NT Корпорация Майкрософт
csrss.exe 640 1*444 K 3*736 K Client Server Runtime Process Microsoft Corporation
winlogon.exe 664 6*380 K 1*504 K Программа входа в систему Windows NT Корпорация Майкрософт
services.exe 708 1*648 K 3*408 K Приложение служб и контроллеров Корпорация Майкрософт
svchost.exe 884 1*524 K 3*856 K Generic Host Process for Win32 Services Microsoft Corporation
CTxfispi.exe 628 3*744 K 6*192 K SPI (Creative X-Fi Module) Creative Technology Ltd
klwtblfs.exe 2612 1*056 K 3*764 K WebToolBar component Kaspersky Lab ZAO
wmiprvse.exe 3116 2*052 K 5*236 K WMI Microsoft Corporation
svchost.exe 972 2*008 K 4*620 K Generic Host Process for Win32 Services Microsoft Corporation
cmdagent.exe 1016 33*700 K 2*580 K COMODO Internet Security COMODO
svchost.exe 1040 10*776 K 18*144 K Generic Host Process for Win32 Services Microsoft Corporation
CTAudSvc.exe 1096 1*052 K 3*112 K Creative Audio Service Creative Technology Ltd
avp.exe 1116 77*824 K 42*112 K Kaspersky Anti-Virus Kaspersky Lab ZAO
lsass.exe 720 2*324 K 1*340 K LSA Shell (Export Version) Microsoft Corporation
taskmgr.exe 1848 1*252 K 4*636 K Диспетчер задач Windows Корпорация Майкрософт
explorer.exe 1644 26*592 K 35*188 K Проводник Корпорация Майкрософт
rundll32.exe 296 4*760 K 5*956 K Запуск библиотеки DLL как приложения Корпорация Майкрософт
avp.exe 352 28*344 K 4*172 K Kaspersky Anti-Virus Kaspersky Lab ZAO
VolPanlu.exe 360 5*628 K 8*712 K VolPanlu.exe Creative Technology Ltd
cfp.exe 380 18*812 K 4*880 K COMODO Internet Security COMODO
ctfmon.exe 572 1*136 K 4*212 K CTF Loader Microsoft Corporation
firefox.exe 2512 130*136 K 139*872 K Firefox Mozilla Corporation
procexp.exe 3044 0.39 7*908 K 10*952 K Sysinternals Process Explorer Sysinternals - www.sysinternals.com

[iskander-k]

Из этого куска лога ничего плохого не видно.
запускается установка драйверов каких то устройств, которые уже установлены или вообще которых нет на компе. »
Чтобы этого не было - установите нормальную версию ОС - желательно лицензионную, без всяких встроенных драйверов от "Васи пупкина" с оформлением под висту или семёрку, чистая ОС будет надежнее.

[4nt]

Чтобы этого не было - установите нормальную версию ОС »
Думал об этом. Но не факт что проблема устранится, уже устанавливал 2 разные сборки XP и Windows 7.

Я тут когда восстанавливал файлы с диска, который переконвентировали в RAW, увидил кучу левых папок, название которых большинство из них имели типа [00001]. И файлы с расширением *.sql, *.dll, *.exe как в этих папках, так и в других, в которых где их быть попросту не должно. Однако на диске и ни этих папок, ни этих файлов никогда не видел. Просматривал программой GetDataBack.

[iskander-k]

Я не вижу у вас активного заражения.

Попробуем еще такой лог.



•Скачайте ComboFix (http://subs.geekstogo.com/ComboFix.exe) или здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.
1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html). Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Как использовать ComboFix (http://virusnet.info/forum/showthread.php?t=2773)
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe.

[4nt]

Прикрепил.

[zirreX]

Ничего вредоносного.

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall(Обязательно должен быть пробел между combofix и /u), нажмите кнопку "ОК"
http://virusnet.info/images/combofix-uninstall.jpg

Скачайте OTCleanIt (http://oldtimer.geekstogo.com/OTC.exe) или с зеркала (http://virusnet.info/forum/downloads.php?do=file&id=19&act=down), запустите, нажмите Clean up

[4nt]

Попробую еще восстановить те файлы которые небыли видный виндой, но видела программа GetDataBack и отправить на проверку. Пока это сделать не получается, права админа отобрали. Винду уже устал переустанавливать...