Большой исходящий траффик - отправили с DrWeb'а к вам

[deleske]

Добрый день!

На моем компьютере, скорее всего, есть вирусы. Этот вывод я делаю по мониторингу интернет-трафика. С моего компа постоянно (и равномерно) качается "отправленный" трафик, даже, когда ни один браузер не запущен, и сразу после того, как происходит подключение к интернету.
Dr.Web находил пару дней назад троянов, и сказал, что вылечил их.
Повторная проверка Dr.Web больше вирусов не выявляла. Вирусные базы актуальные.
Однако, проблема не была решена, исходящий трафик все так же идет.

[Макcим]

Выполните скрипт в AVZ

begin
 QuarantineFile('C:\Program Files\EbatesMoeMoneyMaker4\EbatesMoeMoneyMaker.exe','');
 QuarantineFile('C:\WINDOWS\System32\a5js4fr.dll','');
 QuarantineFile('C:\DOCUME~1\LEESEE~1\LOCALS~1\Temp\svchots.exe','');
 QuarantineFile('C:\Documents and Settings\Leesee4kaa\Application Data\Mra\Update\games.dll','');
 QuarantineFile('c:\windows\system32\tecompntwx.exe','');
 DeleteFile('C:\DOCUME~1\LEESEE~1\LOCALS~1\Temp\svchots.exe');
 DeleteFile('C:\WINDOWS\System32\a5js4fr.dll');
 BC_ImportALL;
 BC_LogFile(GetAVZDirectory + 'boot_clr.log');
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки пришлите файлы карантина по правилам раздела "Помогите".
Повторите логи, а также добавьте файл bclr.log из папки AVZ.

[Numb]

В дополнение, в программе Hijackthis пофиксите строки:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://ws1.appswebservice.com/index.php?tpid=10301&ttid=104
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://start.traffer.ru/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,First Home Page = http://start.traffer.ru/first/
O4 - HKLM\..\Run: [msmsg] reg add "HKCU\software\Microsoft\Internet Explorer\Main" /v "Start Page" /t REG_SZ /d http://start.traffer.ru/ /f
O4 - HKLM\..\Run: [msn] reg add "HKLM\software\Microsoft\Internet Explorer\Main" /v "First Home Page" /t REG_SZ /d http://start.traffer.ru/first/ /f

[Shu_b]

c:\windows\system32\tecompntwx.exe - Win32.HLLW.MyBot.based (DrWeb-beta)

другие запрошенные в карантин не попали (кроме приблуды от mra).

[Numb]

Программа AVZ - файл - выполнить скрипт - выполните следующий скрипт:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\EbatesMoeMoneyMaker4\EbatesMoeMoneyMaker.exe','');
 DeleteFile('c:\windows\system32\tecompntwx.exe');
ExecuteSysClean;
RebootWindows(true);
end.

Система будет перезагружена. После перезагрузки, пришлите содержимое карантина AVZ, если туда что-нибудь попадет, и сделайте, пожалуйста, новые логи.
В дополнение: у вас -

Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Настоятельно рекомендуется поставить SP2+все последующие обновления.

[deleske]

Большое спасибо за профессиональную помощь!
После выполнения всех предложенных скриптов проблема исчезла.

Остается вопрос: спасет ли меня в будущем от этой (или подобной) проблемы установка Касперского? И не впустую ли я потратился на лиценз Dr.Web?

[Shu_b]

Остается вопрос: спасет ли меня в будущем от этой (или подобной) проблемы установка Касперского? И не впустую ли я потратился на лиценз Dr.Web?

Здесь в качестве пострадавших появляются пользователи различных антивирусов... согласно статистике данного ресурса (см тему исследования антивирусов) средняя недетектируемость зловредов, новых и проходящих через этот ресурс, состовляет порядка 60 процентов... По этому весь груз обеспечения безопасности ложиться на пользователя, которому просто необходимо, соблюдать некоторые правила описанные и на этом форуме.

[pig]

Dr.Web - хороший антивирус, он он не всесилен. Антивирус - аналог решётки на окнах. Если стены картонные, толку от решёток мало. Поэтому поставьте Service Pack 2 и все последующие заплатки безопасности. Включите брандмауэр, если он выключен. И будете чувствовать себя вполне комфортно.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 10
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\tecompntwx.exe - Backdoor.Win32.Rbot.rq (DrWEB: Win32.HLLW.MyBot.based)