[Løst] spjr.sys, Rootkit?

[Vizla]

Heisann! Postet topic for en liten stund siden i nettverksdelen av forumet da jeg prøver å kjøre et script som krever at port 80 ikke brukes. Heldigvis tror jeg at jeg kan si, for tror jeg har funnet en liten snik som kjører på maskinen.

 

Sjekket i TCPView og fant følgende:

System:4 TCPV6 bott:80 bott:0 LISTENING

System:4 TCPV6 bott:445 bott:0 LISTENING

System:4 TCPV6 bott:5357 bott:0 LISTENING

 

Har sittet i en halvtimes tid og søkt opp alt som kjører under System ( Process Explorer ) og jobbet meg ned til "spjr.sys". Eneste referanse jeg finner der er at det mistenkes som rootkit.

 

Prøvde GMER, men den ville ikke fungere, samme med RootRepeal. ( Kjører Windows 7 x64 U ) Avira finner ingenting, ser ingenting unormalt i HijackThis og Malware finner ingenting. Comodo har så langt i kveld ikke vist noe trafikk på den tilkoblingen.

Prøvd å søke etter filen men ingenting som heter det. Når jeg forsøker å stoppe den får jeg kun "Unable to access thread."

 

Scannet med Sophos Anti-rootkit, og resultatet er som følger:

Den er blitt bekreftet ren, og har nå kjørt Autoruns, som var altfor mye for min del. Har gått gjennom, men når man ikke helt hva man ser etter i et slikt virrvarr er det som å lete etter den berømte nåla. Hvis noen ønsker å ta en titt kan jeg gi link til resultatet fra den.

 

Skal sies at jeg på ingen måte er sikker på om det er en sammenheng mellom spjr.sys og portene det lyttes på, så om noen har noen gode forslag til hvordan jeg kan verifisere at det er nettopp spjr.sys som lytter hadde det vært suverent. Jeg har forsøkt å bruke putty til telnet men den lukkes bare.

Endret 9. april 2010 av Vizla

[raWrz]

er dette deg?

http://forums.comodo.com/virusmalware-removal-assistance/need-help-with-what-i-think-is-a-rootkit-t55001.0.html;msg387160

 

(likt forumnavn så tipper vel ja?)

[Vizla]

er dette deg?

http://forums.comodo.com/virusmalware-removal-assistance/need-help-with-what-i-think-is-a-rootkit-t55001.0.html;msg387160

 

(likt forumnavn så tipper vel ja?)

Det er helt korrekt. Fått bekreftet at det er Daemon Tools. Var veldig usikker, men ville være på den sikre siden.