servises.exe

[Morbi]

здравствуйте, помогите пожалуйста.
есть подозрения по работе этого процесса.

[Шапельский Александр]

Здравствуйте! Выполните скрипт

begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\vtany.sys','');
 SetServiceStart('vtany', 4);
 DeleteService('vtany');
 QuarantineFile('C:\WINDOWS\services.exe','');
 DeleteFile('C:\WINDOWS\services.exe');
 DeleteFile('C:\WINDOWS\vtany.sys');
BC_ImportAll;
ExecuteSysClean;
Executerepair(6);
ExecuteWizard('SCU', 2, 2, true);
ExecuteWizard('TSW', 2, 2, true);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
BC_Activate;
RebootWindows(true);
end.

закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 2 Диагностики и новый лог прикрепите к новому сообщению.

[Morbi]

карантин выслал,
новый лог:

[Шапельский Александр]

В логе чисто, что с проблемой?
Рекомендую:
- удалить Bonjour--http://virusinfo.info/showthread.php?t=27923
- обновить Windows XP SP2 до Windows XP SP3, возможно потребуется активация;
- Internet Explorer v7.00 до Internet Explorer v8.00;
- установить последние обновления на ОС

[Morbi]

антивирус не может обновить базы...

74.125.77.***
65.55.184.26
эти сайты упорно по 66кб забирают у меня, данные исходящего трафика.

бонжур не было в програмс файлс, и в программе lspfix не было нужной dll для удаления.
сейчас поставлю sp3, выполню скрипт для удаления бонжур и отпишусь...

[Шапельский Александр]

Лог MBAM сделайте

[Morbi]

поставил сервис пак, бонжур удалил скриптом.

программу MBAM не скачать, сайт не открывается, на айпи сайта отправляется траффик по 66кб =(

[Шапельский Александр]

Все скачивается, видно Вы что-то не так делаете.
Скачать http://majorgeeks.com/downloadget.ph...d909666f809b26

[Morbi]

видно, у меня что-то с провайдером или же что-то на компьютере мешает =/
спасибо, с мажоргикс скачалось...

[Шапельский Александр]

74.125.77.***
65.55.184.26
эти сайты упорно по 66кб забирают у меня, данные исходящего трафика.

По поводу сайтов... 65.55.184.26--http://65.55.184.26/windowsupdate/v6/default.aspx -- что-то напоминает?
К сожалению, первый не могу проверить--неполный адрес.
Удалите в MBAM

аражено ключей реестра:
HKEY_CLASSES_ROOT\CLSID\{8e8e8f8a-8fcc-88ce-bcb8-b8fd8e88888a} (Malware.Packer) -> No action taken.

Заражено параметров реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
C:\Program Files\Common Files\keylog.txt (Malware.Trace) -> No action taken.

Отпишитесь

[pig]

первый не могу проверить--неполный адрес.

Хватило двух старших байт:

OrgName:    Google Inc. 
OrgID:      GOGL
Address:    1600 Amphitheatre Parkway
City:       Mountain View
StateProv:  CA
PostalCode: 94043
Country:    US

NetRange:   74.125.0.0 - 74.125.255.255

[Morbi]

да, благодарю, с виндоус апдейт разобрался сам тоже) как только написал - проверил, чей это айпи)

а первый адрес оканчивается на 100, 101 и 102 чаще всего... вот только с гуглом как-то не могу его сопоставить... да и зачем гуглу насиловать мой компьютер.
IP адрес: 74.125.77.100
Имя сайта: ew-in-f100.1e100.net
=/
во вложении скрин комодо файрволла, где обрисована моя проблема. так же ведет себя браузер, оправляя по 66 кб на айпи 74.125.77.100-102

сейчас попробую удалить зараженные участки реестра =)

[Шапельский Александр]

так же ведет себя браузер, оправляя по 66 кб на айпи 74.125.77.100-102

Немного поправлю--66b (байт)
Что отправляет эти байты, надо подумать.

[Morbi]

да) не углядел, байты)

удалил те значения реестра через мвам, только, когда вылез запрос на перезагрузку, и я нажал "да", появилось окно программки 2ip.ru, которая защищает компьютер от занесения чего-либо в автозапуск, но согласиться на это я не успел >_<
повторно проверил, удаленных значений нет.

но антивирус пока что обновить не удалось, все так же по 66 байт...(

[Шапельский Александр]

Уже поздно, завтра продолжим.

Добавлено через 11 часов 23 минуты

Сделайте комплект логов.

[Morbi]

здравствуйте снова)

даже ютуб не открывается... причиной этому может быть падение днс? у моего провайдера это не редкость.

[Morbi]

а еще один айпи адрес, принадлежащий моему провайдеру постоянно сканирует порты, за что блочится файрволлом. этот адрес вроде служит для... работы днс. не знаю, как это корректно сказать.

[Шапельский Александр]

даже ютуб не открывается... причиной этому может быть падение днс? у моего провайдера это не редкость.

Может быть. В логах чисто. Сделайте лог MBAM и Gmer

[Morbi]

при попытке открыть сайт gmer...

у Вас нет альтернативной ссылки? =(

[Шапельский Александр]

у Вас нет альтернативной ссылки? =(

http://www.gmer.net/download.php