Подозрительная сетевая активность

Здравствуйте, уважаемые хелперы!

Вчера во время того, как компьютер был подключен к сети, DrWeb откуда-то выловил DDoS.Pamela и якобы обезвредил. Чуть позже - та же история, только поймал он уже Trojan.Siggen. Я сразу полез в AVZ и заметил целую пачку подозрительных соединений от PID 4 и PID 0. Также нашлась DLL-ка в Temp'е (имя было довольно кривое и по нему ничего не гуглилось), которую раньше там не видел и, судя по всему, не должен был - снес средствами AVZ. Но те самые подозрительные соединения после этого никуда не делись.

Помогите разобраться, пожалуйста.

P.S.
За dwe и fmon можно не переживать - свои.

Уважаемый(ая) [B]greyfox[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"] правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Еще делалось полное сканирование MBAM с базами 8271. Ничего не нашлось, кроме пары кряков на своих местах и более интересного:
[QUOTE]c:\system volume information\_restore{1ea43a15-734a-469e-b042-4257c144d31a}\RP261\A0061258.exe (Trojan.Agent.CK) -> No action taken.[/QUOTE]

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

[b]greyfox[/b], Сделайте [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]лог полного сканирования MBAM[/URL]. Приложите к сообщению

Готово.

Удалите в MBAM:
[CODE]c:\system volume information\_restore{1ea43a15-734a-469e-b042-4257c144d31a}\RP261\A0061258.exe (Trojan.Agent.CK) -> No action taken.[/CODE]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в AVZ[/URL] скрипт из файла [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]
- Откройте файл [B]avz_log.txt[/B] из под-папки [B]LOG[/B].
- Пройдитесь по ссылкам из файла [B]avz_log.txt[/B] и установите важные обновления.
- Перезагрузите компьютер.
- Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.

В MBAM удалил указанное.
Скрипт выполнил - нашлись уязвимости во Flash Player и Java. Новые версии установил. После перезагрузки и повторного выполнения скрипта вижу сообщение о том, что по распространенным уязвимостям все чисто.

Только вот эти странные подключения все еще наблюдаются - прицепил файл.

Может я могу еще что-то попроверять? Боязно теперь сёрфить с таким... :worried:

Браузером каким пользуетесь?

Mozilla Firefox 8.0. После его запуска появляются соединения от System через 445 порт и остаются даже после закрытия браузера.

Если перезагрузиться и открыть, например, Opera, то такого не наблюдается.

Еще AVZ всегда при сёрфинге видит подключения на разные IP от PID 0 (норма?).

Спасибо за помощь!

- [URL="http://virusinfo.info/showthread.php?t=58309"]Сделайте лог ComboFix[/URL].

Сделал.

- [URL="http://virusinfo.info/showthread.php?t=58309&p=500136&viewfull=1#post500136"]Удалите ComboFix.[/URL]

В логах ничего необычного.

Если проблема только с Мозиллой, попробуйте создать новый профиль в ней.

[QUOTE=Techno;846595]Если проблема только с Мозиллой, попробуйте создать новый профиль в ней.[/QUOTE]

Поэкспериментировав, выяснил, что подключения от System на 445 порт появляются в любом случае (даже если вообще не трогать ни браузеры, ни какие-то другие приложения) после пары минут с момента подключения к сети. А подключения от неизвестных процессов (которые PID 0) накапливаются по мере сёрфинга.

Еще заметил, что на днях изменилась иконка у Windows Update:
[ATTACH=CONFIG]339718[/ATTACH]

Проверял wuauclt1.exe и wuauclt.exe на virustotal - все ок.

Товарищи хелперы, подскажите, пожалуйста:
1) Может есть какие-то хотя бы предположения по подключениям от System?
2) Нормально ли появление подключений от неизвестных процессов во время сёрфинга по сети?
3) Что думаете по диалогу Windows Update?

Большое спасибо за помощь!

Скажите хотя бы - ждать ответа или не рассчитывать?

В логах ничего необычного, скорее всего Вас атакуют извне. настраивайте файерволл/закрывайте порт.

[QUOTE]За dwe и fmon можно не переживать - свои.[/QUOTE]
это случаем не от Fortinet Inc?

[QUOTE=Techno;847417]В логах ничего необычного, скорее всего Вас атакуют извне. настраивайте файерволл/закрывайте порт.[/QUOTE]

Понял, большое спасибо.

[QUOTE=миднайт;847425]это случаем не от Fortinet Inc?[/QUOTE]

Нет, самописное оно.