Printable View
Поймал троян который использует мое подключение к интернету и гоняет пакеты. Исходящих пакетов у меня в 5 раз больше входящих. Когда троян активирован линия всегда перегружена. Похоже через меня рассылают спам. Еще интересно, что троян активируется, когда никто за компютером не работает и после перезагрузки никак себя не проявляет.
Не могу с ним справиться. Надеюсь на помощь.
Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\Installer\1815aa9.msi');
DeleteFile('C:\Documents and Settings\root\Application Data\Microsoft\Installer\{738179D8-3D76-4AFF-A7BE-AEF3B4370CB4}\ARPPRODUCTICON.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие рание в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы)
Повторите логи.
Карантин выслал, а вот логи
в логах ничего подозрительного больше нет,проблема исчезла?
Спасибо! Благодарю за помощь.
Понаблюдаю теперь за трафиком.
Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program.exe','');
QuarantineFile('C:\WINDOWS\pagepromoterbar.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите карантин согласно приложению 3 правил.
Увы, но проблема не исчезла. Сейчас троян опять активизировался и куда-то шлет пакеты по 20 Mb за 15 мин.
Файл C:\Program.exe не существует, но этот путь как-то связан с БД MySQl, я пробовал его фиксить, но тогда MySql не работает.
Повторяю логи при активизированном трояне, может что увидите.
pagepromoterbar.dll я бы убил и посмотрел, как будет без него.
Может это принтер шалит, отключите все его сервисы на время.
Удалил, но это не он, и не принтер. Наш системный администратор посмотрел на шлюзе. От меня идет большой SMTP трафик на бесплатные почтовые сервера (mail.ru, yandex.ru и т.п.)
[size="1"][color="#666686"][B]Добавлено через 15 минут[/B][/color][/size]
Переустанавливать Винду из-за этих спамеров что-ли?
установите фаервол,например [URL="http://www.personalfirewall.comodo.com/"]Comodo[/URL] и узнаем кто там у нас шалит ;)
либо в момент активности, пуск--выполнить--cmd и там вводим netstat -ab >c:\virusinfo.txt
и файлик прикрепите к сообщению
PS.но фаервол не повредит.
А к вашему апачу есть доступ снаружи? Мож кто ломанул его и через него рассылает спам.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\pagepromoterbar.dll - [B]not-a-virus:AdWare.Win32.Delf.aj[/B][/LIST][/LIST]