Сетевая активность 445, 135 порт

Printable View

16.07.2007, 13:12
locust

Вложений: 3

Сетевая активность 445, 135 порт

Помогите пожалуйста решить проблему. Один из компьютеров в локальной сети по всей видимости заражен - проявляется это в попытках обращения с него ко всем IP адресам сети интернет провайдера на 445 и 135 порты. Касперский ничего не находит.

P.S. Забыл уточнить - с компьютера так же периодически происходит обращение к IP 72.20.22.179. После добавления запрещающего правила на этот IP в фаерволе шлюза попытки обращения к портам 445 и 135 после перезагрузки зараженного компьютера прекратились.
16.07.2007, 13:55
Muzzle

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\mcrtdep.dll','');
QuarantineFile('C:\WINDOWS\system32\ucimdmat.dll','');
QuarantineFile('C:\WINDOWS\system32\guard.tmp','');
QuarantineFile('C:\WINDOWS\system32\acrsvc.dll','');
QuarantineFile('C:\WINDOWS\system32\wgnetmgr.dll','');
QuarantineFile('C:\WINDOWS\system32\svrvdeps.dll','');
QuarantineFile('C:\WINDOWS\system32\src.dll','');
QuarantineFile('C:\WINDOWS\system32\surwvdrv.dll','');
QuarantineFile('C:\WINDOWS\system32\cCtsrvps.dll','');
QuarantineFile('C:\WINDOWS\system32\llbmp13n.dll','');
QuarantineFile('C:\WINDOWS\system32\wxnhttp.dll','');
QuarantineFile('C:\WINDOWS\system32\FO20.DLL','');
QuarantineFile('C:\WINDOWS\system32\sirrnru.dll','');
QuarantineFile('C:\WINDOWS\system32\ssclient.dll','');
QuarantineFile('C:\WINDOWS\system32\JBAA500.DLL','');
QuarantineFile('afess.exe','');
QuarantineFile('C:\WINDOWS\System32\SCardClnt.exe','');
QuarantineFile('C:\WINDOWS\inetdata\services.exe','');
QuarantineFile('c:\windows\system32\mxrs.exe','');
DeleteFile('c:\windows\system32\mxrs.exe');
DeleteFile('C:\WINDOWS\System32\SCardClnt.exe');
DeleteFile('afess.exe');
DeleteFile('C:\WINDOWS\system32\ssmc.exe');
DeleteFile('C:\WINDOWS\inetdata\services.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=11077[/url]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]
O23 - Service: Remote Reader Machine - Unknown owner - C:\WINDOWS\system32\ssmc.exe (file missing)
O20 - Winlogon Notify: A3dxq - C:\WINDOWS\
O20 - Winlogon Notify: Group Policy - C:\WINDOWS\
O16 - DPF: {2F003D51-39FD-4D18-9016-95CF70B92ABE} - http://download.movienetworks.com/install/US/altpmtscab.cab
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.exe.imgfarm.com/images/nocache/funwebproducts/ei/SmileyCentralFWBIniti alSetup1.0.0.15.cab
O16 - DPF: {02C20140-76F8-4763-83D5-B660107B7A90} - http://connect.online-dialer.com/cax.cab
O16 - DPF: {1C955F3B-5B32-4393-A05D-24B4970CD2A1} (Video Class) - http://streamp.babenet.com/cabs/videox.cab
O14 - IERESET.INF: START_PAGE_URL=http://www.hp.com
O13 - WWW Prefix:
O13 - DefaultPrefix:
O3 - Toolbar: (no name) - {0E1230F8-EA50-42A9-983C-D22ABC2EED3B} - (no file)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://searchbar.findthewebsiteyouneed.com
[/CODE]
16.07.2007, 15:23
locust

Спасибо. Сделал все что написано. Что нужно делать дальше?
16.07.2007, 15:42
Muzzle

Хотел бы порекомендовать обновить систему до SP2(у вас SP1) + все последующие критические обновления,иначе вы можете стать частым гостем раздела "помогите",так же обновите Internet Explorer(уже 7 версия),либо пользуйтесь альтернативными браузерами например FireFox,Opera.

Флуд на порты пропал?
В карантин попал 1 файл [B]mxrs.exe[/B]- [COLOR="Red"]Backdoor.Win32.SdBot.avj[/COLOR], зловред(судя по логам именно он обращался к портам 135,445),его мы удалили.
У вас скорей всего ещё присутствует [B]Adware.Win32.Look2me.ab[/B]
[url]http://www.z-oleg.com/secur/virlist/vir1095.php[/url]
Повторите логи.
и будем его вычищать ;)
16.07.2007, 17:21
locust

Вложений: 3

Флуд прекратился. Спасибо за оперативную и квалифицированную помощь. :)

В приложении логи повторного сканирования системы.

Хочу еще спросить - не можете подсказать почему Каперский не находил этого вируса? Возможно надо включить какие-то опции сканера и монитора?
16.07.2007, 17:54
PavelA

[QUOTE]В присланном Вами файле обнаружено новое вредоносное программное обеспечение.
Его детектирование будет включено в очередное обновление антивирусных баз под именем
Backdoor.Win32.SdBot.avj.[/QUOTE]
Да просят меня модераторы. ;)
16.07.2007, 18:27
Muzzle

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\x.cab','');
DeleteFile('C:\WINDOWS\system32\JBAA500.DLL');
DeleteFile('C:\WINDOWS\system32\ssclient.dll');
DeleteFile('C:\WINDOWS\system32\sirrnru.dll');
DeleteFile('C:\WINDOWS\system32\wxnhttp.dll');
DeleteFile('C:\WINDOWS\system32\FO20.DLL');
DeleteFile('C:\WINDOWS\system32\llbmp13n.dll');
DeleteFile('C:\WINDOWS\system32\cCtsrvps.dll');
DeleteFile('C:\WINDOWS\system32\surwvdrv.dll');
DeleteFile('C:\WINDOWS\system32\src.dll');
DeleteFile('C:\WINDOWS\system32\svrvdeps.dll');
DeleteFile('C:\WINDOWS\system32\wgnetmgr.dll');
DeleteFile('C:\WINDOWS\system32\acrsvc.dll');
DeleteFile('C:\WINDOWS\system32\guard.tmp');
DeleteFile('C:\WINDOWS\system32\ucimdmat.dll');
DeleteFile('C:\WINDOWS\system32\mcrtdep.dll');
DeleteFile('c:\x.cab');
BC_DeleteFile('C:\WINDOWS\system32\JBAA500.DLL');
BC_DeleteFile('C:\WINDOWS\system32\ssclient.dll');
BC_DeleteFile('C:\WINDOWS\system32\sirrnru.dll');
BC_DeleteFile('C:\WINDOWS\system32\FO20.DLL');
BC_DeleteFile('C:\WINDOWS\system32\wxnhttp.dll');
BC_DeleteFile('C:\WINDOWS\system32\llbmp13n.dll');
BC_DeleteFile('C:\WINDOWS\system32\cCtsrvps.dll');
BC_DeleteFile('C:\WINDOWS\system32\surwvdrv.dll');
BC_DeleteFile('C:\WINDOWS\system32\src.dll');
BC_DeleteFile('C:\WINDOWS\system32\svrvdeps.dll');
BC_DeleteFile('C:\WINDOWS\system32\wgnetmgr.dll');
BC_DeleteFile('C:\WINDOWS\system32\acrsvc.dll');
BC_DeleteFile('C:\WINDOWS\system32\guard.tmp');
BC_DeleteFile('C:\WINDOWS\system32\ucimdmat.dll');
BC_DeleteFile('C:\WINDOWS\system32\mcrtdep.dll');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=11077[/url]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]
O23 - Service: MXRS(mxrs) (MXRS) - Unknown owner - C:\WINDOWS\system32\mxrs.exe (file missing)
O23 - Service: Windows User Mode Driver Framework (UMWdf) - Unknown owner - (no file)
[/CODE]
и для контроля повторите логи.
17.07.2007, 18:56
locust

Спасибо за помощь. Выполнил приведенный выше скрипт. Судя по его логике в карантин должен был поместится файл 'c:\x.cab', однако я его там не вижу. Папка карантина пуста.
Так же не удается почему-то пофиксить в HijackThis приведенные строки. После нажимания кнопки "fix checked" и повтороном сканировании и перезагрузки эти строки остаются.
17.07.2007, 19:02
Макcим

Сделайте повторные логи.
17.07.2007, 20:17
pig

[QUOTE='locust;123297']Так же не удается почему-то пофиксить в HijackThis приведенные строки.[/QUOTE]
O23 фиксятся особым образом. См. продолжение темы про фиксы.
22.02.2009, 02:02
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]40[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\mxrs.exe - [B]Backdoor.Win32.SdBot.avj[/B] (DrWEB: BackDoor.IRC.Sdbot)[/LIST][/LIST]