windows\svchost.exe лезет на 123 порт

[JohnDoe]

Firewall стал сообщать что C:\windows\svchost.exe лезет на 123 порт на разные IP. Возможно из-за этого на контроллере домена стала выпадать ошибка
[q]Ошибка приложения svchost.exe, версия 5.2.3790.3959, модуль kernel32.dll, версия 5.2.3790.3959, адрес 0x0006beb8.[/q]
Возможно и на контроллере засела гадость, а может это моя машина его вешает.
Посмотрел список подозрительных объектов, какая то зараза из папки Temp работает. и svchost.exe слушает 123 порт
Спасибо

[V_Bond]

выполните скрипт

begin
 QuarantineFile('C:\Temp\sfamcc00001.dll','');
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[JohnDoe]

вот логи. карантин отправляю

[V_Bond]

ничего плохого не вижу ....служба NTP использует для своей работы протокол UDP
и как раз 123 порт для синхронизации часов ....

[JohnDoe]

В сборе информации упоминается 2 таких файла C:\Temp\sfamcc00001.dll
Причем после перезагрузки они все равно там есть. Странно зачем.

угу 123 udp это служба времени. Но маниакальным деланием svchost лезет на любой подвирнувшийся ip по этому порту. Раз прям пошел по подряд 10.0.0.12, 10.0.0.13...

Добавлено через 11 часов 47 минут

Скачал утилиту от Касперского. проверяю ей. еще часа 3 проверять. Она уже нашла червя Net-Worm.win32.Kido.j в файлах

c:\windows\system32\aacgmtoz.dll
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\...\fpmmpfml[1].jpg

жду когда закончит проверку.

Добавлено через 32 минуты

в реестре нашел по имени файла aacgmtoz.dll

Имя службы: seuiej
Путь к файлу: %SYSTEM%\svchost.exe -k netsvcs

Похоже на вот это http://av-school.ru/news/a-186.html

В общем все еще ожидаю когда проверка каспером в безопасном режиме закончится.

[PavelA]

C:\WINDOWS\system32\aacgmtoz.dll - вот это поищи через AVZ.
Наайдется, отправить в карантин и загрузить сюда.

[JohnDoe]

карантин выслал. Туда добавил еще несколько файлов, которые утилита касперского опознала как трояны. Они лежали в кеше программы HandyCache в интернет хожу только оперой и файрфоксом.

[PavelA]

C:\WINDOWS\system32\aacgmtoz.dll - троян (W32.Downadup по Симантеку). Сейчас скрипт напишу для его удаления.

Выполнить:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\system32\aacgmtoz.dll' );
 BC_ImportDeletedList;
 BC_DeleteFile('C:\WINDOWS\system32\aacgmtoz.dll');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

Сделать новые логи. Кеш HandyCash думаю тоже можно почистить.

[JohnDoe]

Файл уже удалил. Потом сразу же, в безопасном режиме прошел в реестре и удалил все ключи seuiej которые нашел. на всякий случай сделал экспорт. Поставил заплатку WindowsXP-KB921883-x86-RUS. Пока работает.

[JohnDoe]

вот последние логи

[PavelA]

Одного а/вируса надо оставить, а так в логах стало чисто.

[JohnDoe]

В смысле а/вируса надо оставить?
Антивирус? у меня стоит DrWeb как основной, со спайдером. А у Nod32 amon отключен, он для проверки подозрительных файлов. Теперь еще касперская утилита "Klif Mini-Filter" подсадила.

[PavelA]

Если Вы их - а/вирусы контролируете, то все хорошо.
Утилита Касперского должна за собой следы подсчистить.

[JohnDoe]

контролирую.
Да, каспрерский спрашивал удалить себя с компа, я сказал нет думал попробовать перенести установленую на другую машину без установки. Значит надо подчистить.
Кстати удивило что касперский нашел трояна в себе же, в папке куда только что установился. Скачивал по ссылке из "правил". Ругнулась на файл
c:\virus removal tool\is-qph50\startup.exe Trojan-Spy.Win32.KeyLogger.bhg

[JohnDoe]

Произошел рецидив. На моем компе svchost.exe уронил сервис файрвола fwsrv.exe. Сразу отключил комп от сети и стал проверять, утилита касперского снова нашла тот же вирус в файле
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\...\<имяфайла>[1].jpg Имя файла другое, не как в прошлый раз. Так же появился новый сервис, с новой dll в качестве параметра. Картинку я отловил, в архив сохранил. Интересно что это за NetworkService и что за кеш эксплорера. Подскажите какая уязвимость используется для проникновения и как этого избежать? Файлик картинки могу выслать, может поймете механизм, вдруг отличается от той dll что высылал ранее?

[PavelA]

Логи новые нужны, по ним посмотрим.

[JohnDoe]

Вот логи.

[PavelA]

Выполнить:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\WINDOWS\System32\Drivers\bcftdi.SYS','');
BC_ImportDeletedList;
BC_Activate;
end.

Прислать карантин, если в него этот файл попадет.

[JohnDoe]

Файл в карантин не попал. Мне не очень не нравятся 2 dll
C:\Temp\sfamcc00001.dll
C:\Temp\sfareca00001.dll
я их в безопасном режиме удалял. Все равно появляюся. В свойствах написано Приложение "Сервер регистрации, (C) Microsoft" это я так понимаю для всех dll. Но левые они какие то, вкладки версия нету.

[PavelA]

Файл в карантин не попал. Мне не очень не нравятся 2 dll
C:\Temp\sfamcc00001.dll
C:\Temp\sfareca00001.dll
я их в безопасном режиме удалял. Все равно появляюся. В свойствах написано Приложение "Сервер регистрации, (C) Microsoft" это я так понимаю для всех dll. Но левые они какие то, вкладки версия нету.

Библиотеку я эту на ВТ проверил. Все 38 а/вирусов сказали чистые.
Попробуй провериться MBAM ( http://malwarebytes.gt500.org/mbam-setup.exe ) Лог получившийся прикрепи сюда.