Тянет в инет..

[Eugene_G]

При подключении интернет-соединения идет траффик...видимо какой-то троян все время что-то подгружает..маскируется как svchost.exe....логи прилагаются

Заранее спасибо )

[Макcим]

Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 StopService('Oru03');
 StopService('Beh25');
 StopService('Yce71');
 SetServiceStart('Oru03', 4);
 SetServiceStart('Beh25', 4);
 SetServiceStart('Yce71', 4);
 QuarantineFile('C:\WINDOWS\System32\Drivers\Oru03.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Beh25.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Yce71.sys','');
 DeleteFile('C:\WINDOWS\System32\Drivers\Yce71.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Beh25.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Oru03.sys');
 BC_ImportALL;
 BC_DeleteSvc('Oru03');
 BC_DeleteSvc('Beh25');
 BC_DeleteSvc('Yce71');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

Загрузите карантин согласно приложению №3 правил. Повторите логи.

[Eugene_G]

Карантин выслал.
симптомы те же (...тянет траффик
просканил cureit нашел
C:\WINDOWS\system32\drivers\smtpdrv.sys - инфицирован Trojan.NtRootKit.360
высалаю логи

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('smtpdrv');
 StopService('Yce71');
 SetServiceStart('smtpdrv', 4);
 SetServiceStart('Yce71', 4);
 DeleteFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys');
 DeleteFile('C:\WINDOWS\system32\Drivers\Yce71.sys');
 BC_DeleteSvc('Yce71');
 BC_DeleteSvc('smtpdrv');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите лог .... virusinfo_syscheck.zip

[Eugene_G]

..

[V_Bond]

выполните скрипт ...

begin
 RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Yce71\0000', 'CSConfigFlags', '1');
 BC_DeleteSvc('Yce71');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\Yce71.sys');
 BC_Activate;
 RebootWindows(true);
 end.

повторите лог .... virusinfo_syscheck.zip

[Eugene_G]

..

[Макcим]

Выгрузите все антивирусы, файрволы и повторите скрипт V_Bond ещё раз.

[Eugene_G]

Проблема исчезла!

Огромное спасибо за помощь

[pig]

Повторите логи для контроля.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 7
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drivers\\oru03.sys - Trojan-Downloader.Win32.Mutant.aim (DrWEB: BackDoor.Bulknet.134)