рассылка спама

[regina_r]

Локальная сеть 15 машин WinXP SP2 и сервер WinServer2000 SP4, провайдер блокирует 25 порт за рассылку спама. Все проверялось несколькими антивирусами (AVP, Nod, CureIt), кое-что нашлось, удалили. Блокировки не прекратились. На все ПК поставили NetStat, никаких "левых" соединений. С сервера (при остальных отключенных ПК) периодически процесс system (netstat показал что это запрос от kernel32.dll) отправляет запросы на 25 порт провайдера, локальные порты меняются (например начинается с 4145, потом открывается 4146, потом 4147 и т.д.). И еще, после перезагрузки сервера на запускается internet explorer, process explorer.
Логи прилагаются
moderated:::читаем правила и оттуда узнаем, как присылать карантин и какие логи нужно прикреплять к сообщению. В тех же правилах указана необходимость обновления баз АВЗ и скачивания последней версии Hijackthis.

[kps]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
 QuarantineFile('C:\WINNT\system32\drivers\raidsrc.sys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 правил (загружать здесь: http://virusinfo.info/upload_virus.php?tid=27630 ).

У Вас файрволл Kerio установлен?

[regina_r]

файрволл BlackICE Server Protection, а Керио - майл-сервер. Карантин отправлен

[regina_r]

Проблема - не запускается AVZ. IceSword показывает что avz завершается процессом system. Что делать? Помогите.

[V_Bond]

этот авз скачайте и сделайте логи ...
raidsrc.sys - Вредоносный код в файле не обнаружен...

[regina_r]

Новые логи и карантин

[Rene-gad]

В логах ничего плохого, только ИЕ нужно до версии IE6 SP1a обновить - он еще есть на сайте Микрософта.
Выполните скрипт

begin
executerepair(1);
rebootwindows(true);
end.

После перезагрузки попробуйте запустить нормальный АВЗ, обновить базы и повторить логи по правилам.

[regina_r]

Новые логи сделаны нормальным avz, с новыми базами. Проверка карантина на virustotal показываетWebwasher-Gateway6.6.22008.08.07Worm.Win32.Malware.gen (suspicious)

[Rene-gad]

Новые логи сделаны нормальным avz, с новыми базами.

Точно. Я посмотрел на Ваше сообщение о невозможности запустить АВЗ и рекомендацию коллеги

Проверка карантина на virustotal показываетWebwasher-Gateway6.6.22008.08.07Worm.Win32.Malware.gen (suspicious)

Ну и что? Проверьте там же Hijackthis или Combofix - тоже получите пару детектов.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 2
• В ходе лечения вредоносные программы в карантинах не обнаружены