Продолжаю поиск заразы...

[Daemon66]

ломится в нет на СМТП порт... наудалял кучу, кажись восстанавливается зараза, в темпорари опять нагадила
Жду диагноз...

[Bratez]

Это все rpcc.dll (Trojan.Win32.Dlena, емнип)
Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINNT\system32\rpcc.dll');
 BC_DeleteFile('C:\WINNT\system32\rpcc.dll');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки пофиксите в HijackThis:

O20 - Winlogon Notify: brwmgr - brwmgr32.dll (file missing)
O20 - Winlogon Notify: decstat - cfgd3d.dll (file missing)
O20 - Winlogon Notify: dtcclzex - C:\WINNT\system32\dtcclzex.dll (file missing)
O20 - Winlogon Notify: mprwanp - C:\WINNT\system32\mprwanp.dll (file missing)
O20 - Winlogon Notify: rpcc - C:\WINNT\system32\rpcc.dll
O20 - Winlogon Notify: wmvmgr - wmvmgr32.dll (file missing)

и сделайте новые логи.

[Daemon66]

фуу. кажись зачистил...

[Daemon66]

спасибо за помощь!

[drongo]

c:\winnt\system32\winlogon.exe- кто-то патчил 21 мая 2007 года , не вы ли ?
И что-то странное с сервисами от принтера . Дата модификации раньше чем дата создания .

[Daemon66]

winlogon я не трогал... мож его червь ? а как его на вшивость проверить? с принтерами действительно интересно... на самом деле надо будет снести их да по новой поставить. Притом, не помню точно, но кажись там 3 процесса и крутятся... как такое может быть?

[Макcим]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\winnt\system32\spool\drivers\w32x86\3\cap3swk.exe','');
 QuarantineFile('C:\WINNT\opuc.dll','');
 QuarantineFile('c:\winnt\system32\winlogon.exe','');
 BC_ImportQuarantineList;
 BC_Activate;
 RebootWindows(true);
end.

Пришлите файлы карантина по правилам раздела "Помогите". Радмин сами ставили?