Загрузка интернет канала (вирус!)

у меня очень большие пинги - днем до 2000 до любого сервера... ночью меньше, но все равно скачут... вот пример трассировки до провайдера


Трассировка маршрута к webplus.ru [195.131.52.140]
с максимальным числом прыжков 30:
1 22 ms 89 ms 69 ms 1.1.3.1
2 38 ms 29 ms 19 ms 195.131.253.97
3 18 ms 19 ms 19 ms nstyx-gw.wplus.net [195.131.84.232]
4 24 ms 19 ms 19 ms [URL="http://www.wplus.net/"]www.wplus.net[/URL] [195.131.52.140]
Трассировка завершена.

сейчас как назло более менение, но всеже 89-69 недолжнло быть... восновном до 195.131.253.97 прыгает от 400 до 500, днем все до 2000 как я написал раньше...

Позвонил в тех.под провайдера, там попросили в командной строке написать чего-то "blablablaSTAT" после вылезло много процессов, мне сказали что у меня вирус который забивает канал по полной.

Значит раньше у меня не стояло никаких антивирусов, фаерволов и прочих защит... винч кстати новый, 3 недели как купил (старый сгорел)... вот решил я скачать касперского 7... проверил свой комп полностью и критические области, он нечего не нашел! Далее я нашел в яндексе ваш форум, прочитал раздел "помогите" оттуда скачал ваш антивирус "azl" им проверил, ... далее решил сделать постаринке - format c: и переуснановить винду - НО пока я грузил VC с мультизагрузочника у меня выскочила ошибка, что-то там FAT или FAT32............... (у меня в ntfs вообще ) и было 4 пункта, почему возникает данная проблема.... в 4. Пукте было написано, что возможно диск С заражен, в итоге я зашел в досе в волков командер и решил форматнуть диск, но он не стал его форматировать, написало, что формат не поддерживается или недоступен... я опять загрузил винду и зашел на фашь форум и вот пишу это сообщение :)................ Помогите пожалуйста разобратся в чем тут дело.

ЗЫ: Кстати есть еще винч старый, там стояла винда с нуля (милениум), так вот там трассировка шла отлично по 20 пинги...

В логах ничего подозрительного не видно.
Единственно, я бы советовал убрать steam,
если конечно он не очень нужен.
И с антивирусами надо определиться, а то у вас и Касперский и ДрВеб сразу, так нельзя.

[quote=Bratez;118498]В логах ничего подозрительного не видно.
Единственно, я бы советовал убрать steam,
если конечно он не очень нужен.
И с антивирусами надо определиться, а то у вас и Касперский и ДрВеб сразу, так нельзя.[/quote]
Сначало ставил ДрВеб.. к нему не подошел ключ (истек), далее поставил Каспа.... др.веб естественно удалил, откуда он там взялся - не понимаю!
По поводу стима, он тоже был выключен.. не знаю как он там появился вообще :) (он при загрузге винды загружается, загрузился.. я его закрыл!)

Раз ничего подозрительного не видно, то, что тогда насчет ошибки при формате диска Ц ?

Я тут углядел все же одну подозрительную штуковину в ваших логах.
Выполните такой скрипт в AVZ:
[code]
begin
BC_QrSvc('HTTPFilterlanmanserver');
BC_QrFile('C:\WINDOWS\system32\3com_dmin.exe');
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите карантин согласно приложению 3 правил,
посмотрим, что это за чудо такое.

А пока давайте удалим остатки DrWeb'a. Поскольку будем удалять его модуль в Winsock LSP, может нарушится связь с интернетом, поэтому скачайте сразу утилиту WinSockxpFix с этого сайта: [url]http://www.winsockfix.nl/[/url]

1. Пофиксите в HijackThis строчку:
[code]
O4 - HKLM\..\Run: [DrWebScheduler] "C:\Program Files\DrWeb\DRWEBSCD.EXE"
[/code]
2. Выполните скрипт в AVZ:
[code]
begin
SetAVZGuardStatus(true);
DelSPIByFileName('drwebsp.dll',true);
AutoFixSPI;
BC_DeleteSvc('spidernt');
BC_DeleteFile('c:\windows\system32\drwebsp.dll');
BC_Activate;
RebootWindows(true);
end.[/code]

3. После перезагрузки проверьте интернет. Если не пойдет, воспользуйтесь скачанной программой. Имейте ввиду, что она сбрасывает сетевые настройки, поэтому перепишите их заблаговременно и после операции введите как было.

4. Если Steam не нужен постоянно, уберите его из автозапуска, для этого достаточно пофиксить строчку:
[code]
O4 - HKCU\..\Run: [Steam] "d:\Игры\counter-strike\steam.exe" -silent
[/code]

[QUOTE]я грузил VC с мультизагрузочника у меня выскочила ошибка, что-то там FAT или FAT32............... (у меня в ntfs вообще ) и было 4 пункта, почему возникает данная проблема.... в 4. Пукте было написано, что возможно диск С заражен, в итоге я зашел в досе в волков командер и решил форматнуть диск, но он не стал его форматировать, написало, что формат не поддерживается или недоступен... [/QUOTE]
Очевидно, ваш "мультизагрузочник" не понимает разделы NTFS.
Кстати, установщик XP с форматированием NTFS неплохо справляется ;)
Но вы не спешите с этим делом, может еще удастся вылечить.

[quote=Bratez;118513]Не сюда! Это загрузить по ссылке "Прислать запрошенные файлы" вверху темы.[/quote]
Извеняюсь, залил куда нада...
[B]Результат загрузки[/B]

Файл сохранён как070627_093450_virus_4681f6fa6cc8b.zipРазмер файла31922MD5b48670fe4a02ca32a437a06bea2d8154[B]Файл закачан, спасибо![/B]


__
Веб удалился, стим убрался...

[QUOTE]Веб удалился[/QUOTE]
Вопрос из спортивного интереса - WinSockxpFix понадобился или нет?

А [B]3com_dmin.exe [/B] действительно оказался зловредом!
Это [B]BackDoor.IRC.Sdbot.1356 [/B]aka [B]Trojan-Downloader.Win32.Zlob.and[/B].
Выполните скрипт в AVZ:
[code]
begin
BC_DeleteSvc('HTTPFilterlanmanserver');
BC_DeleteFile('C:\WINDOWS\system32\3com_dmin.exe');
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки сделайте новые логи.

P.S. Из сообщения файл с карантином уберите.

Сообщение удалил.
Вопрос из спортивного интереса - WinSockxpFix понадобился или нет? -нет

скрипт выполнил, лог прилепил :)

Ну теперь все чисто.
Как работает компьютер - лучше стало?

[quote=Bratez;118527]Ну теперь все чисто.
Как работает компьютер - лучше стало?[/quote]

Компьютер и так работал нормально (не замечал ничего плохого), а вот интернет - как скакал пинг, так и скачет

C:\Documents and Settings\SELANE>tracert webplus.ru
Трассировка маршрута к webplus.ru [195.131.52.140]
с максимальным числом прыжков 30:
1 24 ms 19 ms 19 ms 1.1.3.1
2 147 ms 459 ms 359 ms 195.131.253.97
3 32 ms 19 ms 19 ms nstyx-gw.wplus.net [195.131.84.232]
4 25 ms 29 ms 19 ms [url]www.wplus.net[/url] [195.131.52.140]
Трассировка завершена.

[QUOTE]как скакал пинг, так и скачет[/QUOTE]
Попробуйте теперь команду [B]netstat[/B] при установленном соединении с провайдером но без запущенных программ, работающих с интернетом. Если не будет большого количества непонятных активных подключений, как раньше (я практически уверен, что не будет) - тогда претензии к провайдеру.

[quote=Bratez;118538]Попробуйте теперь команду [B]netstat[/B] при установленном соединении с провайдером но без запущенных программ, работающих с интернетом. Если не будет большого количества непонятных активных подключений, как раньше (я практически уверен, что не будет) - тогда претензии к провайдеру.[/quote]
много, что там именно выложил в текст.доке

ребутнул комп, то - что было TIME_WAIT убралось... осталось то, что ESTABLISHED 16 штук... это много ?

Вообщем пинг так и прыгает, мб там у прова с днс что-то, а то что вирус нашли и удалили - спасибо тебе Bratez большое!

выполните netstat -a -b
и netstat -o
результат прикрепите.

[QUOTE=Muzzle;118566]выполните netstat -a -b
и netstat -o
результат прикрепите.[/QUOTE]

сделано

и всё же заморочки у провайдера.имхо

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\3com_dmin.exe - [B]Backdoor.Win32.Agent.aqi[/B] (DrWEB: BackDoor.IRC.Sdbot.1356)[/LIST][/LIST]