Цикличная smtp-рассылка, возможно руткит.

Стоит Outpost 4.0.1025.7828, DrWeb 4.33 с обновленными базами.
Постоянно идет smtp-рассылка с процесса systems.exe, создаю правило через файервол на запрет исходящих smtp-пакетов, начинается беспорядочный перебор адресов и портов. ДрВеб ничего не находит.

virusinfo_cure.zip - удалите из темы карантин .... нужен virusinfo_syscure.zip

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

профиксите .....
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
O2 - BHO: RGWIE Class - {D4D5806E-EA2C-45b2-972D-8BE237697B87} - RGWIE.dll (file missing)
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
O4 - HKLM\..\Run: [Microsoft Windows] C:\WINDOWS\system32\Kernel.exe
[/code]
выполните скрипт.....
[code]
begin
QuarantineFile('C:\WINDOWS\system32\Kernel.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\cpadvai.dll','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\Kernel.exe');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил....
повторите логи....

При выполнении скрипта вылетает ошибка "Failed to set data for DisplayName"
В карантин ничего не попадает

переделал скрипт .... пробуйте запустить ... если не получится ... сделайте принтскрин ошибки....

[quote=V_Bond;132751]переделал скрипт .... пробуйте запустить ... если не получится ... сделайте принтскрин ошибки....[/quote]
Сделал. Прислал, я так понял нужны были 3 файла
Kernel.exe, ntos.exe, cpadvai.dll, но в карантине почему-то всего 2 файла с расширением .dta и 6 файлов с расширением .ini

у меня сегодня очень плохо с экстросенсорикой , зачем вы удалили из карантина файлы(?), пришлите его как есть, [B]без редактирования[/B]....

[quote=V_Bond;132754]у меня сегодня очень плохо с экстросенсорикой , зачем вы удалили из карантина файлы(?), пришлите его как есть, [B]без редактирования[/B]....[/quote]
Прошу прощения, файлы эти (карантин) я грохнул :embarasse (это серьезно?)
Логи повторил...
Файл virusinfo_syscure.zip у меня не создается. При выполнении скрипта "Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info" у меня создается файл virusinfo_cure.zip

выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\cpadvai.dll','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
профиксите ....
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
[/code]
пришлите карантин согласно приложения 3 правил....
повторите логи....

при выполнениие скирпта - ошибка

попробуйте выполнить скрипт в сафе моде...

В сэйф моде скрипт прошел, но видимо с ошибками, не успел прочитать, комп перегрузился. В карантин попали только ini-файлы
Файл так назвал (virusinfo_cure1.zip), потому что общий файл был 800 Кб и есть еще второй, но я превысил максимальный объем вложений, так что не знаю как быть

[highlight]Запрошенные файлы присылать по ссылке, что вверху темы![/highlight]
Пришлите, как положено.

и логи AVZ повторите ..

Стоит выполнить еще такой скрипт:

[CODE]
begin
BC_QrFile('C:\WINDOWS\system32:lzx32.sys');
BC_DeleteFile('C:\WINDOWS\system32:lzx32.sys');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

Скрипт выполнил, логи приложил. Только объясните, пожалуйста, почему в правилах при выполнении пункта 8 упоминается файл [B][I]virusinfo_syscure.zip, [/I][/B]а реально формируется [B][I]virusinfo_cure.zip[/I][/B]

[QUOTE]почему в правилах при выполнении пункта 8 упоминается файл virusinfo_syscure.zip, а реально формируется virusinfo_cure.zip[/QUOTE]
Первый - это лог, а второй - карантин, который в тему прикреплять нельзя!

[QUOTE=Bratez;132839]Первый - это лог, а второй - карантин, который в тему прикреплять нельзя![/QUOTE]
Понял, удалил карантин, в логах интересности остались? Похоже последний скрипт помог, Аутпост больше не регистрирует smtp-пакетов.
Как в дальнейшем уберечся от спамботов? Есть методы? Кроме отключения модема :)

Больше ничего подозрительного нет.
Осталось разобраться с этим:
[code]
8. Поиск потенциальных уязвимостей
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: разрешен автоматический вход в систему[/code]
Что используется - сообщите, остальное поправим.

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: разрешен автоматический вход в систему

Кроме автоматического входа в систему не используется ничего (комп домашний), единственное, я не знаю, что такое SSDPSRV

Тогда выполните следующий скрипт:
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]

Все сделал, пока полет нормльный. БОЛЬШОЕ СПАСИБО.
Скрипт Сбора неопознанных и подозрительных выполнил, файл залил.
Еще раз спасибо.

З.Ы. Если речь идет о работе. Сервер 2003, он же терминал-сервер, на нем же скуль вертится. Как обезопасить от подобной заразы машини в ЛВС, и сервер в том числе?
Заранее спасибо.