на компе живет спам-сервер

[edward_1]

Здравствуйте.

Пару недель назад поисковик (рамблер) отправил меня по ссылке на какой-то порносайт. Сразу же заметил что с компом стало что-то неладно. В частности появился большой исходящий трафик. Установил Касперского 6.0, он нашел штук пять различных вирусов, успешно их удалил. Но на этом проблемы не кончились. Был заблокирован таск менеджер, удалена служба брандмауэра. С этими проблемами я тиоже справился. Но главная (исходящий трафик) так и осталась. Что интересно, при попытке посмотреть кто и что шлет в инет утилитками netstat и active ports комп аварийно перезагружается, то есть без завершения работы windows, аналогично как если бы нажали кнопку reset на компьютере. В данный момент исходящий трафик не наблюдается, но такое тоже уже было. Некоторое время его нету, возникает ощущение что проблема пофиксена, но через какое-то время снова начинается рассылка. Netstat и Active Ports так и не работают. AVZ тоже аварийно перегружал комп, пока не выгружал по максимуму все программы, утилиты и службы. Оставлял только минимальный набор, необходимый для функционарования системы. После этого удалось просканировать систему AVZ. Логи прилагаю. Надеюсь на помощь.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\drivers\Mwxv86.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\Mwxv86.sys');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Сделайте новые логи.

[edward_1]

При выполнении скрипта так же произошла жесткая перезагрузка. Пришлось снова все выгружать по максимуму, отключать сеть и останавливать большинство служб. После этого скрипт был выполнен. Карантин выслал.

[Bratez]

Файла в карантине нет, хотя он был туда добавлен.
Удаление похоже выполилось успешно.
Давайте новые логи, посмотрим.

[edward_1]

Вот новые логи:

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\drivers\symavc32.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите по правилам файл
E:\Masters\Screen Savers\StripSaver\StripSaver\DialerOffline.dll

Посмотрите, что нужно из этого:

>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя

Что не нужно - отключим.

[edward_1]

Скрипт выполнил, вроде бы помогло. По крайней мере netstat сейчас работает. Запрошенный файл выслал.
Из служб можно выключить разве что:
"Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)"
Но это я и сам смогу сделать. Все остальное необходимо оставить.
Вот новые логи:

[V_Bond]

пофиксите ..

O20 - Winlogon Notify: botreg - C:\WINDOWS\

выполните скрипт...

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\system32\aspimgr.exe');
 BC_ImportDeletedList;
 BC_DeleteSvc('aspimgr');   
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

повторите логи...

[edward_1]

Пофиксил.
Скрипт выполнил.
Вот логи:

[V_Bond]

больше не вижу ничего подозрительного ... какие-то проблемы остались ?

[edward_1]

Пока что больше не замечаю проблем. Трафика нет, netstat работает (был косвенным признаком наличия вируса). Большое спасибо за помощь.

[Bratez]

E:\Masters\Screen Savers\StripSaver\StripSaver\DialerOffline.dll -
потенциально опасное ПО not-a-virus: Dialer.Win32.DialerOffline.
Можете просто удалить его руками или включите расширенные базы Касперскому.

[edward_1]

Даже не знаю что это за Screen Saver у меня завалялся :-) Друзья видать подкинули с кучей софта. Прибил весь савер полностью, я ими все равно не увлекаюсь.

[drongo]

обновить антивирус
Чтобы уменьшить шанс заражения, на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты (Firefox и Opera это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": http://security-advisory.newmail.ru

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов : http://virusinfo.info/showthread.php?t=3519
Мы будем Вам очень благодарны!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. e:\\masters\\screen savers\\stripsaver\\stripsaver\\dialeroffline.dll - not-a-virusialer.Win32.DialerOffline (DrWEB: Dialer.Egroup)