smtp активность в netstat

[c11ross]

Недавно обнаружил smtp активность, netstat выдает следующее:

TCP home-4d0ebf7fcd:6000 z-smtp-03.comm2000.it:smtp ESTABLISHED
TCP home-4d0ebf7fcd:6006 mx.atlink.it:smtp TIME_WAIT
TCP home-4d0ebf7fcd:6009 89-96-170-203.ip13.fastwebnet.it:smtp SYN_SENT
TCP home-4d0ebf7fcd:6012 ibox.zucchetti.com:smtp TIME_WAIT
TCP home-4d0ebf7fcd:6014 mail.global.frontbridge.com:smtp TIME_WAIT
TCP home-4d0ebf7fcd:6016 mxd3.aruba.it:smtp TIME_WAIT
TCP home-4d0ebf7fcd:6018 mxd10.aruba.it:smtp TIME_WAIT
TCP home-4d0ebf7fcd:6020 barracuda.tecnogi.com:smtp ESTABLISHED
TCP home-4d0ebf7fcd:6021 mxd9.aruba.it:smtp TIME_WAIT
TCP home-4d0ebf7fcd:6022 mail9.interhost.it:smtp TIME_WAIT
TCP home-4d0ebf7fcd:6023 pmx-slave.intred.it:smtp ESTABLISHED
TCP home-4d0ebf7fcd:6025 host16-112-static.53-88-b.business.telecomitalia
.it:smtp TIME_WAIT
TCP home-4d0ebf7fcd:6026 sferamail.sfera.net:smtp TIME_WAIT
TCP home-4d0ebf7fcd:6027 smtp.oa-brera.inaf.it:smtp TIME_WAIT
TCP home-4d0ebf7fcd:6028 billo.ntrade.it:smtp TIME_WAIT
TCP home-4d0ebf7fcd:6029 gateway.webhosting.it:smtp SYN_SENT
TCP home-4d0ebf7fcd:6030 host170-31-static.91-82-b.business.telecomitalia
.it:smtp ESTABLISHED
TCP home-4d0ebf7fcd:6032 mailin1.consisto.net:smtp ESTABLISHED
TCP home-4d0ebf7fcd:6033 62.149.128.213:smtp ESTABLISHED
TCP home-4d0ebf7fcd:6035 zimbra.interconnessioni.it:smtp SYN_SENT
TCP home-4d0ebf7fcd:6036 mailgw03.playnet.it:smtp SYN_SENT

Пробовал Dr.Web CureIT, непомогло
Файлы логов, полученных в процессе диагностики

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
 DeleteFile('C:\WINDOWS\system32\regedit.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог gmer

[c11ross]

Сделал новые логи и прислал запрошенный карантин

[thyrex]

Сохраните текст ниже как cleanup.bat в ту же папку, где находится y9o5cr24.exe (gmer)

y9o5cr24.exe -del service tnzymgs
y9o5cr24.exe -del file "C:\WINDOWS\system32\lejnw.dll"
y9o5cr24.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\tnzymgs"
y9o5cr24.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\tnzymgs"
y9o5cr24.exe -reboot

И запустите cleanup.bat.
Компьютер перезагрузится!

Сделать новый лог gmer.

[c11ross]

Хм... странно получается...
При запуска бат файла, появилась ошибка что файл lejnw.dll не найден + запись в реестре не существует.

Могла ли AVZ его удалить при повторном создании логов? Я запускал AVZ после gmer.

Сейчас в nestat больше нет smtp активности
новый лог от gmer

[thyrex]

Чисто

Установите все новые обновления для Windows
Установите Internet Explorer 8 (даже если им не пользуетесь)

[c11ross]

thyrex, спасибо большое за помощь

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения вредоносные программы в карантинах не обнаружены