Приступы "бешенства" исходящего траффика...

На вкладке "сетевая активность" в моём Агнитуме (оутпост файрволл) обнаружил случайно неприятную штуку - через OpenVPN у меня фигачит исходящий траффик с бешеной скоростью... навскидку около сотни метров в минуту получается...

Доктор Веб (базы ежедневно обновляются) нифига не нашёл...

"Приступы" эти часто сопровождаются следующей фигнёй :
Инет-соединение (АДСЛ), рвётся-восстанавливается с интервалом 1-2 секунды... максимум 5... иногда в течение продолжительного времени... полчаса-час...
Во время одного из таких приступов я и заглянул в свой файрволл (сначала грешил на своего прова...), обнаружив утекающий траффик ... в приличном темпе... иной раз около метра в секунду...

Что характерно - пока писал эти несколько строк (минута где-нить ушла) связи практически не было... АДСЛ включается на 1-2 секунды и вырубается на 5-10 секунд, НО!!! Файрволл показывает исходящий траффик непрерывным... да ещё и через OpenVPN.exe (она у меня тарелку спутниковую обслуживает... т.е. траффик только входящий по определению...)

Чессказать - вообще нифига не понимаю - запросный-то канал у меня идёт через АДСЛ... оно вырублено - а траффик идёт бешеный НАРУЖУ... т.е. ИСХОДЯЩИЙ...
(пока это дописываю - уже 400метров почти улетело - АХРЕНЕТЬ!!!...
Более того - вырубаю адаптер модема программно (Виндой), а этому ггаду видимо пофигу... трафик в окошке "сетевая активность" файрволла ни на секунду не прерывается...:?

Вопщем - мама дарагая... :'-(

1. Выполните скрипт, карантин по правилам:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\program files\technotrend\tt-budget\dvbdata.exe','');
QuarantineFile('C:\Program Files\WIDCOMM\Программное обеспечение Bluetooth\btsendto_ie.htm','');
QuarantineFile('C:\WINDOWS\System32\spool\PRTPROCS\W32X86\WfxPrint2000.dll','');
QuarantineFile('C:\WINDOWS\SOUNDMAN.EXE','');
QuarantineFile('\SystemRoot\system32\DRIVERS\tap0801.sys','');
QuarantineFile('\SystemRoot\System32\sam_nv4_disp.dll','');
QuarantineFile('\SystemRoot\system32\drivers\magicpvt.sys','');
QuarantineFile('\SystemRoot\system32\DRIVERS\fetnd5b.sys','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/code]
2. Карантин по правилам. Можете самостоятельно проверить файл [QUOTE]'C:\WINDOWS\SOUNDMAN.EXE[/QUOTE] на [url]www.virustotal.com[/url] для быстроты.

[QUOTE=Alex_Goodwin;131614]1. Выполните скрипт, карантин по правилам:...
2. Карантин по правилам. Можете самостоятельно проверить файл на [url]www.virustotal.com[/url] для быстроты.[/QUOTE]
Спасибо Вам большое, Алекс...:beer: Скрипт выполнил...
Файл проверил... чисто... :embarasse
А карантин по правилам - это типа подождать скока-то, пока они там отлежатся ?... :? Или прислать Вам архив с ними ?...

Прошу прощения за ламерский вопрос... :wall:

P.S. Кстати - этот зловред тока щас снова вылез "в эфир"...
Я, злорадно ухмыляясь, выдёргиваю из модема телефонный провод - ему хоть бы хны... траффик крутицца по прежнему... я выдёргиваю до кучи даже USB (гы-гы-гы...)
Т.е. модем уже висит на стене в гордом одиночестве, не имея ничего общего с моим компьютером, а исходящий траффик как фигачил со скоростью 100 метров в минуту - так и фигачит...
Я открываю диспетчер задач, чтоб глянуть через какой адаптер идёт вся эта байда - а он (зловред) почему-то вдруг заткнулся, , на этот раз выбросив всего 180 метров с мелочью (обычно 400 метров примерно...)
Использовал он Адаптер TAP-Win32 Adapter V8 (OpenVPN)... как, собсно, и прежде...

Господи - как может траффик уходить наружу, если отключен модем ?...
Мобыть он внутри машины гоняет эту хрень ?
Тогда почему файрволл исходящий траффик адресует на тот же айпишник, с которым работает OpenVPN (тарелка), где по определению возможен только входящий траффик...
Ведь когда я жму "дисконнект" у OpenVPN - он (зловред) вырубается...
Значит он юзает именно эту тулзу...

Вопщем - чем дальше в лес, тем толще партизаны... Говорила же мама - "учись!!!"... :wall:

"Карантин по правилам" - это , в вашем случае, загрузить карантин AVZ по ссылке [url]http://virusinfo.info/upload_virus.php?tid=12162[/url] , как написано в прил.3 [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL]

[QUOTE=Numb;131674]"Карантин по правилам" - это , в вашем случае, загрузить карантин AVZ по ссылке [url]http://virusinfo.info/upload_virus.php?tid=12162[/url] , как написано в прил.3 [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL][/QUOTE]
Спасибо дружище !!!... Отправил...

Прошу прощения за отсутствие совести... ;)

В карантине пришел битый архив. Пожалуйста, отправьте его еще раз. И еще вопрос: трафик идет по виртуальному соединению. А какое устройство использует OpenVpn для создания виртуального соединения? Ваш ADSL - модем?

[QUOTE=Numb;131810]В карантине пришел битый архив. Пожалуйста, отправьте его еще раз. [/QUOTE]
Отправил... Только щас понял, что я с паролем перемудрил (И ВО ВТОРОЙ РАЗ ТОЖЕ)...
Она [B]avz4[/B] же по умолчанию его ставит, а я, дятел, сам добавил пароль "virus"... вот наверное и проблема...
Рискнуя нарвацца на неприятности, отправил следом (В ТРЕТИЙ РАЗ) "нетронутый" архив, созданный [B]avz4[/B], без моего "вмешательства"... ;)
[B]Файл сохранён как 070904_085540_virus_46dd63dcf3b04.zip
Размер файла 112023
MD5 c502de396e12b8015dffb2b48f7d55b3[/B]
[QUOTE]И еще вопрос: трафик идет по виртуальному соединению. А какое устройство использует OpenVpn для создания виртуального соединения? Ваш ADSL - модем?[/QUOTE]
Чессказать, как и любой ламер, я могу ошибацца, в маршрутизации я нифига не понимаю, как фпрочем и во многом другом, но из физических устройств у меня только АДСЛ модем и две сетевые платы - TechnoTrend DVBsat PCI budget адаптер (через него OpenVpn получает входящий траффик...) и VIA Rhine II Fast Ethernet Adapter (он вроде пока "не при делах"...), исходящий же идёт через TAP-Win32 Adapter V8 и ADSL модем,
Единственное, что могу сказать точно, так это то, что на модеме исходящий траффик сильно превышает входящий... а на ТехноТренде - наоборот...
Мобыть есть какой-нить простой способ узнать - какое из устройств она использует для создания соединения ? Типа для чукчей... пошагово - открыть "то", нажать "то", прочитать "там" ?... :?

Повторюсь - в момент "выхода зловреда" я даже выдёргивал из модема все провода, и телефонный и USB, но файрволл всё равно показывал непрерывный бешеный исходящий траффик по UDP протоколу на тот же удалённый адрес, что и обычно ( с которым OpenVpn работает в "состоянии покоя"...)

Господи.. как же с нами, ламерами трудно... :'-(

[size="1"][color="#666686"][B][I]Добавлено через 3 часа 6 минут[/I][/B][/color][/size]

[QUOTE=Numb;131810]И еще вопрос: трафик идет по виртуальному соединению. А какое устройство использует OpenVpn для создания виртуального соединения? Ваш ADSL - модем?[/QUOTE]
Вот что ещё нарыл :
При коннекте OpenVpn открывает окно, в котором пишет логи соединения кажецца...
Так вот - там (в этом окне) адаптер упомянут только один :
TAP-WIN32 device [[B][COLOR="Blue"]TAP-Win32 Adapter V8[/COLOR][/B]]

Присланные файлы по вирустоталу чистые...

[QUOTE=Alex_Goodwin;131890]Присланные файлы по вирустоталу чистые...[/QUOTE]
М-мда-а-а... :?
А мой "зловред" тем временем уже поумнел... сильно связь не рвёт... выскочит... одним ударом выбросит сотню метров траффика и обратно... в кусты...

Чё ж делать-то, братцы ?... :?
Што мы имеем :

Шпион пользуется услугами OpenVPN по протоколу UDP, мало того - его деятельность я НАБЛЮДАЮ В РЕАЛЬНОМ ВРЕМЕНИ (он правда много времени сейчас не даёт... минута в среднем... )...
Так неужели нет средств, чтобы засечь - КТО активен в этот момент в системе ?... :embarasse
Тем более ТАК активен (у меня проц грузицца на 99% во время его работы)...
Или вычленить как-то "парциальную" составляющую в общем траффике, проходящем через эту прогу, чтобы обнаружить адрес исходящих пакетов ?...
Системные средства (да и файрволл тоже) "говорят" - openvpn.exe, но "разложить" то траффик можно как-нить ?... Или я ошибаюсь ?...:?

Мобыть нужно снять с чего-нить логи ИМЕННО ВО ВРЕМЯ РАБОТЫ "зловреда" - не вопрос, братцы... с удовольствием...
Только скажите с чего, и , мобыть - как... ;) Сделаю в лучшем виде... :beer:

Да... и спасибо Вам, братцы, за Вашу работу... :beer:

Я могу, конечно, ошибаться, но, похоже, что вредит вам не вирус, просто та сетевая карта, которую использует OpenVPN, переведена в [URL="http://en.wikipedia.org/wiki/Promiscuous_mode"]promiscuous mode[/URL]. Если провайдер не настаивает на использовании именно openVPN, попробуйте какое-нибудь другое VPN-решение. Попробуйте так же обратиться в службу тех. поддержки вашего провайдера. Очень похоже, что проблема не с вирусами а с настройками сетевых карт и/или VPN соединения.

[QUOTE=Numb;131919]Я могу, конечно, ошибаться, но, похоже, что вредит вам не вирус, просто та сетевая карта, которую использует OpenVPN, переведена в [URL="http://en.wikipedia.org/wiki/Promiscuous_mode"]promiscuous mode[/URL]. Если провайдер не настаивает на использовании именно openVPN, попробуйте какое-нибудь другое VPN-решение. Попробуйте так же обратиться в службу тех. поддержки вашего провайдера. Очень похоже, что проблема не с вирусами а с настройками сетевых карт и/или VPN соединения.[/QUOTE]
Понял... Спасибо... попробую тряхнуть саппорт прова... :beer:

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]69[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]