Еще один спам-агент. Ничем не виден.

[Fortunate]

Идет постоянная сетевая активность, вплоть до полного забивания обратного канала. Антивирусы в упор не видят троянца. В безопасном режиме с поддержкой сети такой бешеной активности не наблюдается.

[Макcим]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\\setup50.exe','');
 BC_ImportQuarantineList;
 BC_Activate;
 RebootWindows(true);
end.

Пришлите файлы карантина по правилам раздела "Помогите".

[Fortunate]

Карантин закачал...

[PavelA]

Нужно фиксить, в смысле обновляться:

Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

И еще я бы деинсталлировал Spyware Doctor. Сомневаюсь, что в чем-то он может помочь.

[Fortunate]

Доктора удалил, обновления буду делать после лечения

[Fortunate]

AVZ упорно отказывался добавлять эти файлы в карантин.
Сравнил в свойствах файла их объем - одинаковый.
Заархивировал в ручную один из них и отправил через форму.

[Bratez]

Присланный файл - чистый, с подписью Microsoft.
Давайте еще один посмотрим:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\vsdatant.sys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки пришлите карантин, если оно туда попадет.

[PavelA]

IE был запущен при сканировании AVZ ?

[Fortunate]

IE был запущен при сканировании AVZ ?

Да, как указано в правилах.

[Fortunate]

После перезагрузки пришлите карантин, если оно туда попадет.

Карантин закачал.

[Fortunate]

может мне включить в AVZ какие-нибудь дополнительные опции и еще раз логи скинуть?
меня уже начальство прессует - часа через четыре буду винды переставлять... :-(

[PavelA]

Нужно логи ZoneAlarm посмотреть. Кто и куда лезет.

Активного заражения не видать. Попробовать прикрыть расшаренные папки, если есть такие на компьютере.

Еще вариант - просканировать Cure-It.
Плюс самая дурная мысль - м.б это SP2 начал закачиваться (:

[Fortunate]

8-[ ]

надо посмотреть.
как доберусь до этого компа - отпишу

[Fortunate]

Значит так.
Спам, вроде бы, уже не идет (по крайней мере сейчас), но
svchost ломится на 239.255.255.250:1900 один раз сразу после загрузки
и еще ZoneAlarm зарегистрировал несколько попыток соединения с 62.4.69.72:80
Кроме того, меня беспокоит открытый порт 5000, на котором слушает svchost

[PavelA]

Это с сайта Олега Зайцева

AVZ часто находит порт открытый порт TCP 5000 и сообщает об этом. Этот порт принадлежит системной службе, называемой "Служба обнаружения SSDP". Если данная служба не применяется, то рекомендуется ее отключить (в данной службе в свое время был обнаружен ряд уязвимостей).

Для отключения необходимо:

1. Нажать правую клавишу на ярлыком "Мой компьютер", в появившемся меню вызвать пункт "Управление"

2. В открывшейся консоли "Управление компьютером" раскрыть "Службы и приложения", там - "Службы"

3. В списке, который появится в правой стороне окна, следует найти службу с именем "Служба обнаружения SSDP"

4. Двойной клик левой клавишей по строке данной службы откроет окно свойств, там необходимо выбрать тип запуска "Отключено", затем нажать кнопку "Стоп", затем - "ОК"

Остальные адреса не страшные.

[Fortunate]

Службу отключил.
Если остальные адреса не страшные, то тогда закрываем тему.
Всем спасибо за помощь!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 5
• В ходе лечения вредоносные программы в карантинах не обнаружены