svchost.exe ломится по портам 25, 80, 443

[VBlack]

Здравствуйте. У меня появилась проблема. После загрузки svchost.exe ломится по портам 25, 80, 443 на кучу разных сайтов (всплывает в аутпосле). На удивление ни DrWeb ни Касперский ни Ad-Aware ничего не находят. В аттачменте необходимые логи. Заранее спасибо, потому что это первый раз когда я сам не могу найти заразу.

[V_Bond]

выполните скрипт ....

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('D:\Programs\Tools\Audit\Packers\ProcDump\vxdbody.kmd','');
 QuarantineFile('w3svapi32.dll','');
 QuarantineFile('firewall.exe','');
BC_ImportQuarantineList;
 BC_Activate;
 RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...

[VBlack]

Спасибо, карантин прислал. Только мне кажется что он нормально не создался ? Может я и ошибаюсь... C:\WINDOWS\system32\w3svapi32.dll - эта dll еще осталась. Она действительно странная, упакована UPX и судя по содержимому внедряеться в процессы DLL Injection'ом

[kps]

Присланный карантин пустой.

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\FMDriver.sys','');
QuarantineFile('D:\Programs\Tools\Audit\Packers\ProcDump\vxdbody.kmd','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\DUBE100B.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\hwmdr.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\GetBINFile.sys','');
QuarantineFile('c:\SmartNcode\V9.0\TeakLite\dspgapi.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\epcpuid.sys','');
QuarantineFile('C:\WINDOWS\system32\w3svapi32.dll','');
QuarantineFile('C:\WINCE420\PUBLIC\COMMON\OAK\TARGET\ARMV4\RETAIL\walker.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\SPTD7725.SYS','');
BC_ImportQuarantineList;
BC_QrSvc('FMDriver');
BC_QrSvc('epcpuid');
BC_QrSvc('dspgapi');
BC_QrSvc('GetBINFile');
BC_QrSvc('hwmdr');
BC_QrSvc('S1TRACE');
BC_QrSvc('DUBE100B');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 правил (загружать здесь: http://virusinfo.info/upload_virus.php?tid=20656 ).

Вот это Ваше? :
d:\my\delphi\projects\pw_ups\
d:\my\delphi\projects\ssv\release\ssv.exe

[VBlack]

Спасибо, карантин отправил.

Вот это Ваше? :
d:\my\delphi\projects\pw_ups\
d:\my\delphi\projects\ssv\release\ssv.exe

Да это мое.
Могу еще остальные бегло описать.
1. FMDriver.sys - это драйвер прямого доступа к TV тюнеру для Axife FM Player
2. vxdbody.kmd - по-моему один из скриптов ProcDump'a
3. DUBE100B.sys - драйвер D-Link USB-LAN DUB E-100
4. hwmdr.sys - не знаю
5. GetBINFile.sys - не знаю
6. dspgapi.sys - часть отладчика для работы с JTAG
7. epcpuid.sys - не знаю
8. w3svapi32.dll - не знаю. подозрительная dll запакованная UPX
9. walker.exe - насколько помню часть отладчтка под WinCE
10. SPTD7725.SYS - Помниться драйвер прямого доступа к CD/DVD вроде от Alcohol.

[Гриша]

w3svapi32.dll - Trojan.Win32.Agent.jcn,свежий.

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\w3svapi32.dll');
DeleteFile('w3svapi32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пофиксить

O20 - Winlogon Notify: w3svapi32 - C:\WINDOWS\SYSTEM32\w3svapi32.dll

Повторите логи.

dspgapi.sys, DUBE100B.sys, epcpuid.sys, FMDriver.sys, GetBINFile.sys, hwmdr.sys, SPTD7725.SYS, vxdbody.kmd, walker.exe_-чистые.

firewall.exe поищите через AVZ,найдете пришлите согласно приложению 2 правил.

[VBlack]

Логи приложил. firewall.exe не находиться, вот что пишет AVZ

Ошибка карантина файла, попытка прямого чтения (firewall.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\firewall.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\firewall.exe)
Карантин с использованием прямого чтения - ошибка

Скажите какой антивирус находит этот вирус ? Не стоит ли сменить DrWeb на что-нибудь другое ?

[V_Bond]

firewall.exe искали так .... ?
http://virusinfo.info/showthread.php?t=4567

[VBlack]

firewall.exe искали так .... ?
http://virusinfo.info/showthread.php?t=4567

Именно так, и не только на системном а на всех дисках.

[V_Bond]

выполните скрипт ....

begin
 DeleteFile('firewall.exe');
ExecuteSysClean;
RebootWindows(true);
end.

обновите базы авз , повторите логи ...

[VBlack]

Скрипт выполнил, базы обновил, логи прилагаю.

[wise-wistful]

АВЗ самостоятельно удалила GetBINFile.sys >>>>> Trojan-Spy.Win32.Banker.dvp и ещё кое-кого из System Volume Information. Я бы на Вашем месте отключил восстановление системы, что бы прибить законсервированных врагов.

Добавлено через 3 минуты

Как поживает система?

[VBlack]

Восстановление выключил, врагов прибил. GetBINFile.sys - многие антивири на него ругаются, но он идет на диске с фирменными дровами от материнки хотя конечно все может быть. Снес эту утилиту нафиг.

Спасибо, система перестала ломиться и-нет.

[kps]

Нам интересно Ваше мнение о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 37
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\w3svapi32.dll - Trojan.Win32.Agent.jcn (DrWEB: Trojan.Maby.9)