1026 и 1027 - китайский Ip-спам или вирус? [Архив]

Просмотр полной версии : 1026 и 1027 - китайский Ip-спам или вирус?

Ghost_2003

11.01.2006, 02:57

1.
Win XP Prof, SP2.
P4 3,2 GHz, MB ASUS P5... проблем с hard - нет.
KAV 5 говорит - вирусов нет,
Spyware - нет (Outpost Firewall Pro).
===
2.
Стоит легальный Outpost Firewall Pro ver. 3.0.557.5918 (437)
Проблема - BSOD (синий экран)
Выход в и-нет - dialup:
=
процесс svchost.exe
направление IN
протокол UDP
удаленный хост 221.xxx.xxx.xxx (китайцы)
удаленный порт xxxxx
локальный адрес 82.xxx.xxx.xxx
локальный порт 1026
221.10.254.93 UDP (1027)
221.10.254.93 UDP (1026)
222.134.45.53 UDP (1027)
222.134.45.52 UDP (1027)
222.134.45.52 UDP (1026)
---
Китайский Ip-спам:
http://forum.codenet.ru/showthread.php?threadid=23946)
===
3.
Открытые порты:
OUTPOST.EXE TCP localhost:any 803
SYSTEM TCP localhost:any 1025
SYSTEM rawsocket localhost:any 0
SVCHOST.EXE TCP localhost:any dcom
SYSTEM gre localhost:any 12032
SYSTEM UDP localhost:any 445
netbios TCP localhost:any microsoft_ds
===
P.S.
Синий экран ругается на USB дрова модема, но
стоят последняя отлаженная версия ZyXEL, и
до китайских UDP 1026 с "драйверами" проблем не было.
Переустановка не помогла.
===
P.P.S.
К Вам посоветовали обратиться на "Неофициальном русском форуме Outpost Firewall", топик:
http://forum.five.mhost.ru/showthread.php?t=2717

agnec

11.01.2006, 09:07

для начала надо было чуть внимательнее прочитать правила http://virusinfo.info/showthread.php?t=1235
там есть "закройте все запущенные программы". у вас их запущено предостаточно и разбираться с каждой что-то не хочется.
еще один важный момент - комп похоже разогнан (C:\Program Files\ASUS\Ai Booster\OverClk.exe). в этом случае я бы не стал утверждать, что с железом все в порядке. порпобуйте всеже убрать разгон и действовать в полном соответствии с правилами http://virusinfo.info/showthread.php?t=1235

Geser

11.01.2006, 10:15

Geser

11.01.2006, 10:19

ПО делу, ничего особенного в логах не видно. А входящие соединения на svchost.exe можно вообще запретить. По идее не должно мешать.

Ghost_2003

12.01.2006, 00:18

Спасибо за ответы.
===
"... еще один важный момент - комп похоже разогнан (C:\Program Files\ASUS\Ai Booster\OverClk.exe)."
Принципиально не занимаюсь разгоном, см. скриншоты на http://ghost-2003.narod.ru/
===
Удалил ветку реестра запуска "Launch Ai Booster" (если не пользуюсь, зачем рюшечки):
"C:\Program Files\ASUS\Ai Booster\OverClk.exe"
А так же:
"TrueImageMonitor":
C:\Program Files\Acronis\TrueImageEnterprise\TrueImageMonitor .exe
===
Уважаемые, интересно, что живет в компьютере, и открывает порт 12032,
и ни KAV 5.0.388 Personal PRO, ни Антивирусная утилита AVZ 4.10 не видят
см. выше и скриншоты на http://ghost-2003.narod.ru/

Ghost_2003

12.01.2006, 00:37

ПО делу, ничего особенного в логах не видно. А входящие соединения на svchost.exe можно вообще запретить. По идее не должно мешать.
Спасибо, создал правило:
*Блокировать Входящее UDP для SVCHOST.EXE на 1025-65535

orvman

12.01.2006, 03:06

Вроде глянул. Действительно, системка вроде чистенькая, ничего подозрительного не вижу.
После цитаты на Форуме Outpost :

Cлужбу отключил, но китайцы все равно защиту Outpost Firewall пробивают до BSOD (синего экрана)., поэтому и возникли подозрения, т.к. при правильных действиях и настройках ОР такого быть не должно, значит что-то сидит внутри и пробивает, поэтому и отправил на этот форум для детального анализа. Сейчас разобрались.
Значит, как я и говорил, неправильная настройка ручками.
Далее на http://forum.five.mhost.ru/showthread.php?t=2717&page=2

RobinFood

12.01.2006, 10:59

*Блокировать Входящее UDP для SVCHOST.EXE на 1025-65535
В свое время я потратил большую кучу времени, чтобы разобраться, почему у меня перестал работать Windows Update. Оказалось - именно из-за блокирования входящих соединений svchost. Возникала такая ситуация:

1. svchost посылает исходящий UDP-пакет со случайного (>1024) порта на 53-й порт DNS-сервера провайдера. Здесь нет никакого криминала, это обычный честный DNS-запрос.
2. DNS-сервер шлет ответ в виде входящего UDP-пакета на тот самый порт, с которого был отослан запрос. Здесь тоже все честно, это самый обычный ответ.
3. Файервол этот входящий пакет блокирует. Здесь не все понятно. Чтобы разобраться, почему файервол считает этот пакет входящим, мне не хватает знаний. Возможно, это был баг в файерволе, который я использовал, но, может быть, это просто специфика UDP-протокола.