Бесконтрольный исходящий траффик

[beyored]

При подключении к интернету сами начинают пересылаться данные. ДрВеб с обновлениями от 17.09.08 увидел Trojan.Siggen.66 и BackDoor.Bulknet.333. Я их удалил, еще раз проверил всю систему - ничего, а траффик уходит. Фаервалл Outpost видит процесс svchost.exe, направление - out, соединение - Generic Host HTTP Connection. Запретил его в правилах фаера - не помогло. Чего делать?

[Гриша]

Отключите антивирус и интернет!

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('synsend');
 QuarantineFile('C:\WINDOWS\system32\drivers\synsenddrv.sys','');
 QuarantineFile('c:\windows\system32\cpl32ver.exe','');
 TerminateProcessByName('c:\windows\system32\cpl32ver.exe');
 DeleteFile('c:\windows\system32\cpl32ver.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
BC_ImportALL;  
ExecuteSysClean;
BC_DeleteSvc('synsend');    
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[beyored]

Логи прикрепляю. Траффика ( лишнего ) вроде бы нет или заметно уменьшился.

[V_Bond]

выполните скрипт...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('tcpsr');
 QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
 DeleteService('plqimnouvezqnfs');
 QuarantineFile('plqimnouvezqnfs.sys','');
 DeleteService('Iud66');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Iud66.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Iud66.sys');
 DeleteFile('plqimnouvezqnfs.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[beyored]

Логи прикрепляю. Сейчас вроде и нормально все....

[Rene-gad]

-Пофиксите

R3 - URLSearchHook: (no name) -  - (no file)

Какие еще проблемы?

[vaber]

Выполните скрипт:

begin
SetAVZPMStatus(True);
RebootWindows(true);
end.

ПК перезагрузится. После этого выполните скрипт "Скрипт сбора информации для раздела "Помогите!" virusinfo.info" и архив virusinfo_syscheck.zip приложите к теме.

[beyored]

Прикрепил лог. Сейчас вроде все нормально, svchost периодически пытается соединиться: 20:49:33 SVCHOST.EXE OUT TCP corsacapital.org 80, но Outpost его останавливает. Спасибо всем большое.

[V_Bond]

выполните скрипт...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 BC_DeleteSvc('plqimnouvezqnfs');
 BC_DeleteSvc('synsend');
 QuarantineFile('C:\WINDOWS\system32\drivers\synsenddrv.sys','');
 QuarantineFile('\??\C:\WINDOWS\system32\drivers\elhzkupkt.sys','');
 DeleteFile('\??\C:\WINDOWS\system32\drivers\elhzkupkt.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\elhzkupkt.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите лог c включенным AVZPM

[beyored]

Присылаю лог. Сейчас вообще все здорово, лампочки на сетевом модеме SEND / RECEIVE не светятся сами по себе, а только когда страничка открывается

[V_Bond]

ничего не вижу плохого

[beyored]

Спасибо всем огромное, я бы сам не справился. Сейчас все классно, как и раньше.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 22
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\cpl32ver.exe - Trojan.Win32.Inject.hyj (DrWEB: Trojan.Inject.3776)
  2. c:\\windows\\system32\\drivers\\elhzkupkt.sys - Trojan.Win32.Agent.aeat (DrWEB: Trojan.Spambot.354