Соединения с CLOSE_WAIT статусом от svchost выполняющего (DcomLaunch)

[dolzenko]

Недавно начал наблюдать подобную неприятность. Сам файл C:\WINDOWS\system32\rpcss.dll сканировал онлайн сканерами, AVZ, AVPTool - все молчат. В остальном компьютер содержится в полной чистоте и порядке.

Соответственно вопрос, эти http соединения это совсем неправильно и я стал частью ботнета?

Прилагаю картинки из ProcessExplorera. Возможно бы и создал тему в "Помогите" но пока не вижу особого смысла так как сам в состоянии оценить вывод как Hijackthis так и AVZ и там все чисто (ну за исключением явно ложных срабатываний на драйвер DaemonTools и LvHook от лингво)

[AndreyKa]

за исключением явно ложных срабатываний на драйвер DaemonTools и LvHook от лингво

Хотите сказать, что DaemonTools не перехватывает функции ОС работы с дисками, а LvHook с клавиатурой?
Сделайте логи по Правилам, тогда будет о чём говорить.

[dolzenko]

Сделайте логи по Правилам, тогда будет о чём говорить.

Надеюсь все правильно сделал

Добавлено через 5 часов 41 минуту

Продолжаю наблюдать за этим сервисом и компьютером в целом. Сейчас никакой не предусмотренной активности не наблюдается.
Может это ломать пытались?

[AndreyKa]

Отключите службу восстановления системы (см. Приложение 1 Правил). В её хранилище троян.
Возможно, никаких активных зловредов нет. Но у вас очень много специфического софта. Проведите процедуру, описанную в первом сообщении: http://virusinfo.info/showthread.php?t=3519

[dolzenko]

Отключите службу восстановления системы (см. Приложение 1 Правил). В её хранилище троян.

А есть ли смысл т.к. больше похоже на то что это ложное срабатывание, вот что говорит virustotal.com на файл C:\System Volume Information\_restore{9B42ABFE-A4D7-4C76-9686-AB2EED0E3486}\RP824\A0237942.exe http://www.virustotal.com/analisis/e...ab42d0adcc8632

Проведите процедуру, описанную в первом сообщении: http://virusinfo.info/showthread.php?t=3519

всмысле посканировать свой софт для базы AVZ? это можно.

[AndreyKa]

Для ложных срабатываний AVZ есть такая ссылка: http://z-oleg.com/secur/avz/uploadvir.php
Отправьте туда файл C:\System Volume Information\_restore{9B42ABFE-A4D7-4C76-9686-AB2EED0E3486}\RP824\A0237942.exe, выбрав вариант "ложное срабатывание".

[dolzenko]

Для ложных срабатываний AVZ есть такая ссылка: http://z-oleg.com/secur/avz/uploadvir.php
Отправьте туда файл C:\System Volume Information\_restore{9B42ABFE-A4D7-4C76-9686-AB2EED0E3486}\RP824\A0237942.exe, выбрав вариант "ложное срабатывание".

сделано