[решено] Появилась всплывающая подсказка о том что "вредоносная программа удалена"

[weer6185]

после загрузки и установки обновлений windows (в т.ч средство удаления вредоносных программ) и перезагрузки появилась всплывающая подсказка о том что "вредоносная программа удалена", было это сообщение пару секунд и не успел полностью прочитать, это не сообщение антивируса 100%, журнал windows ответа на вопрос что же там было удалено, не дает, журнал защитника windows вообще пуст, как можно узнать что было удалено?

[Morpheus]

weer6185, а если ещё раз перезагрузиться, не появляется?

[MadMaks]

weer6185, А посмотреть логи программы средства удаления вредоносных программ?
Средство удаления вредоносных программ сохраняет отчет о результатах работы в файле журнала %windir%\debug\mrt.log.
а тут (http://support.microsoft.com/kb/890830/ru) описание работы самого Средства удаления

[weer6185]

вот я не знал где этот лог хранится и есть ли он вообще, судя по нему удалился Anvir Task Manager, странно что его определило как вирус, раньше то не было и у каспера к нему не было претензий
вот лог для тех кому любопытно :)
--------------------------------------------------------------------------------------- Microsoft Windows Malicious Software Removal Tool v3.11, September 2010 Started On Wed Oct 06 23:41:44 2010 WARNING: Security policy doesn't allow for all actions MSRT may require.->Scan ERROR: resource process://pid:1116 (code 0x00000005 (5)) Engine internal result code = 80508015 Results Summary: ---------------- No infection found. Microsoft Windows Malicious Software Removal Tool Finished On Wed Oct 06 23:42:06 2010 Return code: 0 (0x0) --------------------------------------------------------------------------------------- Microsoft Windows Malicious Software Removal Tool v3.12, October 2010 Started On Wed Oct 13 22:40:17 2010 WARNING: Security policy doesn't allow for all actions MSRT may require.->Scan ERROR: resource process://pid:1892 (code 0x00000005 (5)) ->Scan ERROR: resource process://pid:5080 (code 0x00000005 (5)) ->Scan ERROR: resource process://pid:5740 (code 0x00000005 (5)) ->Scan ERROR: resource process://pid:5740 (code 0x00000005 (5)) Engine internal result code = 80508015 Results Summary: ---------------- No infection found. Microsoft Windows Malicious Software Removal Tool Finished On Wed Oct 13 22:41:52 2010 Return code: 0 (0x0) --------------------------------------------------------------------------------------- Microsoft Windows Malicious Software Removal Tool v3.13, November 2010 Started On Wed Nov 10 08:21:15 2010 ->Scan ERROR: resource process://pid:1200 (code 0x00000005 (5)) Engine internal result code = 80508015 Results Summary: ---------------- No infection found. Microsoft Windows Malicious Software Removal Tool Finished On Wed Nov 10 08:23:22 2010 Return code: 0 (0x0) --------------------------------------------------------------------------------------- Microsoft Windows Malicious Software Removal Tool v3.14, December 2010 Started On Tue Dec 14 21:45:10 2010 ->Scan ERROR: resource process://pid:1188 (code 0x00000005 (5)) Quick Scan Results for 4884D754-258D-4139-AE2D-64C85FFBE735: ---------------- Threat detected: PWS:Win32/Frethog.gen!H file://C:\Program Files\AnVir Task Manager\AnVir.exe SigSeq: 0x00026178963FCA52 SHA1: 87ABBB028ECD27C1D6B6AF9EA1AA4273FCAEA16E regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\AnVir Task Manager uninstall://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\AnVir Task Manager Quick Scan Removal Results ---------------- Start 'remove' for regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\AnVir Task Manager Operation succeeded ! Start 'remove' for uninstall://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\AnVir Task Manager Operation succeeded ! Start 'remove' for file://\\?\C:\Program Files\AnVir Task Manager\AnVir.exe Operation succeeded ! Results Summary: ---------------- Found PWS:Win32/Frethog.gen!H and Removed! Microsoft Windows Malicious Software Removal Tool Finished On Tue Dec 14 21:48:32 2010 Return code: 6 (0x6) --------------------------------------------------------------------------------------- Microsoft Windows Malicious Software Removal Tool v3.14, December 2010 Started On Tue Dec 14 22:13:57 2010 Microsoft Windows Malicious Software Removal Tool Finished On Tue Dec 14 22:14:08 2010 Return code: 0 (0x0)

[MadMaks]

weer6185,
Странно конечно, у меня тоже установлен Anvir но ни кто его не удалял ни когда (правда он старый уже)
Средство удаления, то трёх месячной давности, может уже исправили это детектирование :)
Вчера вышло свежее (выходит каждый второй четверг месяца)

[weer6185]

так это вроде свежее (December 2010 Started On Tue Dec 14 21:45:10 2010) сегодня только через winupdate загрузилось, там просто лог общий для всех версий в начале пишет сентябрь 2010, а в конце уже декабрь 2010

а если ещё раз перезагрузиться, не появляется? »
слава богу нет :)

[Morpheus]

weer6185, просто встречал как-то вирусяку, она при каждой перезагрузке что-то якобы удаляла, прикидываясь антивирем.

[weer6185]

в продолжение....
т.к программа Anvir task manager все таки нужна пришлось ее заново установить, а тут обнаружилось что файлы от прошлой установки остались (кроме anvir.exe), но они все помечены значком - замочек, вот так:
http://s014.radikal.ru/i328/1012/fb/8dd5dd4d8767.jpg
что это значит и как вернуть в нормальное состояние?

[okshef]

[решено] Что означает значок "замок", на папках? (http://forum.oszone.net/thread-154351.html)

[Siava one]

Аналогично. Сегодня утром последний Anvir Task Manager удалился средством удаления вредоносных программ.

[MadMaks]

Siava one, очень интересно :)
Вот сейчас проверил, версия Anvir Task Manager 6.3.1.0
Microsoft Windows Malicious Software Removal Tool v3.14, December 2010
Started On Mon Dec 20 18:30:04 2010
Extended Scan Results : C:\Program Files\AnVir Task Manager ----------------
No infection found as part of the extended scan Results Summary: ----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Mon Dec 20 18:30:49 2010
Return code: 0 (0x0)

[Siava one]

MadMaks,
2a814f7132505fc11a0e4c769d19b31f - вот нормальная MD5 от последнего 6.3.1
a635c226e153fa7df5af7ebe137ab876 - а вот контрольная сумма от зараженного PWS:Win32/Frethog.gen!H (прилагаю (http://siava.ru/share/901140), !!!осторожно, ставить только для экспериментов!!!)

Сегодня утром Anvir выдал, что найдено обновление. Я уже не помню какая версия стояла на нетбуке, поэтому сдуру согласился. Вот такие дела :)

[MadMaks]

у меня не находит ни каких обновлений.
Скачал вашу версию и с сайта (http://www.anvir.net/novosti.htm) программы.
Файлы идентичные. Где вы взяли свой дистриб?

[Siava one]

MadMaks, забавно, так как я тоже перед постингом скачивал с сайта и сверял контрольные суммы с anvirrus.exe 6.3.1, который нашёл в папке закачек на файловом сервере, который заведомо чист.

Быть может ломанули сайт их?

[MadMaks]

Ну вот это нам не ведомо будет ещё долго )))
Одно очевидно старые дистрибы и то, что я сегодня скачивал одинаковые и Касперский молчит.

[okshef]

Siava one, пожалуйста, выполните рекомендации и представьте логи, согласно правил запроса о помощи (http://forum.oszone.net/post-717373-2.html).

[MadMaks]

:lol:
Сегодня на виртуалке тоже выскочило это сообщение
Microsoft Windows Malicious Software Removal Tool v3.14,
December 2010 Started On Tue Dec 21 16:05:32 2010
->Scan ERROR: resource process://pid:3216 (code 0x00000005 (5))
Quick Scan Results for 6ECFD98E-8790-43CC-9EF1-07C69FED8E4F:
---------------- Threat detected: PWS:Win32/Frethog.gen!H
file://C:\Program Files\AnVir Task Manager\AnVir.exe
SigSeq: 0x00026178963FCA52 SHA1: 8A92CB83A1B7E4BDB590AD789159075B181A33DC
regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\AnVir Task Manager
uninstall://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\AnVir Task Manager Quick Scan Removal Results
---------------- Start 'remove' for regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\AnVir Task Manager Operation succeeded !
Start 'remove' for uninstall://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\AnVir Task Manager Operation succeeded !
Start 'remove' for file://\\?\C:\Program Files\AnVir Task Manager\AnVir.exe Operation succeeded ! Results Summary:
---------------- Found PWS:Win32/Frethog.gen!H and Removed! Microsoft Windows Malicious Software Removal Tool Finished
On Tue Dec 21 16:07:22 2010 Return code: 6 (0x6)

[weer6185]

просканировал еще раз:
Microsoft Windows Malicious Software Removal Tool v3.16, February 2011 Started On Thu Feb 10 14:32:54 2011 Extended Scan Results ---------------- ->Scan ERROR: resource process://pid:5212 (code 0x00000005 (5)) ->Scan ERROR: resource file://C:\hiberfil.sys (code 0x00000020 (32)) ->Scan ERROR: resource file://C:\pagefile.sys (code 0x00000020 (32)) ->Scan ERROR: resource file://C:\System Volume Information\{3808876b-c176-4e48-b7ae-04046e6cc752} (code 0x00000005 (5)) ->Scan ERROR: resource file://C:\System Volume Information\{9522157e-34a2-11e0-9791-005056c00008}{3808876b-c176-4e48-b7ae-04046e6cc752} (code 0x00000005 (5)) Threat detected: PWS:Win32/Frethog.gen!H file://C:\ProgramData\Microsoft\Microsoft Antimalware\LocalCopy\{876384A4-1F7B-415B-BA76-B269C6551537}-AnVir.exe SigSeq: 0x000289782961C16B SHA1: FB4E07479784B4633FB82AB0349635EEF4CF9193 Extended Scan Removal Results ---------------- Start 'remove' for file://\\?\C:\ProgramData\Microsoft\Microsoft Antimalware\LocalCopy\{876384A4-1F7B-415B-BA76-B269C6551537}-AnVir.exe Operation succeeded ! Results Summary: ---------------- Found PWS:Win32/Frethog.gen!H and Removed! Microsoft Windows Malicious Software Removal Tool Finished On Thu Feb 10 16:22:14 2011 Return code: 6 (0x6)
на сей раз саму программу AnvirTaskManager не удалило (возможно помог UAC) и место действия из Program Files перенеслось в Program Data, наверное это какая то копия была....

[MadMaks]

weer6185, скорее всего поняли, что по горячились и исправили базы.
Вот теперь AnvirTaskManager не детектируется как вирус.