Проблемы с сетью и брандмауэром после лечения

Printable View

13.09.2012, 17:19
petrostal

Вложений: 2

Проблемы с сетью и брандмауэром после лечения

Здравствуйте. Есть сервер на Windows 2008 r2 std, недавно при перезагрузке стал выдавать ошибку в svhost, почистил антивирусом, вылечил около 50 файлов. Теперь к данному серверу нет возможности удалённо подключиться, закрыты все порты, пинг при этом идет нормально. Некоторые службы, в том числе Брандмауэр, перестали запускаться, куча ошибок везде. На сервере стоит сервер 1С, к нему неполучается подключиться по его портам, что-то блокирует весь трафик, файерволов не стоит. Прошу Вашей помощи.Логи прилагаю, только вот не нашёл где взять virusinfo_syscure.zip. Остальные два здесь.
13.09.2012, 17:20
Info_bot

Уважаемый(ая) [B]petrostal[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
16.09.2012, 00:24
Techno

[quote="petrostal;924725"]Есть сервер на Windows 2008 r2 std[/quote]
Почему в логе Platform: Windows 7 SP1 (WinNT 6.00.3505)

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
QuarantineFile('C:\Windows\XXXXXXD757504A\svchsot.exe','');
DeleteFile('C:\Windows\XXXXXXD757504A\svchsot.exe');
DeleteFileMask('C:\Windows\XXXXXXD757504A','*',true);
DeleteDirectory('C:\Windows\XXXXXXD757504A');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At1.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At10.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At11.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At12.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At13.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At14.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At15.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At16.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At17.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At18.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At19.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At2.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At20.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At21.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At22.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At23.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At24.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At3.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At4.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At5.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At6.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At7.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At8.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At9.job');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.[/CODE]

[COLOR=#FF0000]Перезагрузите компьютер[/COLOR]

[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR=Red][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

- Повторите логи.

- [URL="http://virusinfo.info/showthread.php?t=53070"][B]Сделайте лог полного сканирования MBAM[/B][/URL].
17.09.2012, 10:47
petrostal

Вложений: 3

Насчет платформы, конечно, интересно, сервер куплен в магазине, все лицензионное...

Карантин по ссылке загрузить не получается, пишет "Ошибка загрузки. Данный файл уже был загружен". Файл с карантином пустой внутри.
Логи сделал, вложу вместе с карантином.
mbam при запуске сканирования выдает ошибку:
____________________________________________________
Сигнатура проблемы:
Имя события проблемы: BEX
Имя приложения: mbam.exe
Версия приложения: 1.62.0.140
Отметка времени приложения: 5036941e
Имя модуля с ошибкой: dhcpcsvc.DLL
Версия модуля с ошибкой: 6.1.7600.16385
Отметка времени модуля с ошибкой: 4a5bd9b5
Смещение исключения: 00001c89
Код исключения: c0000005
Данные исключения: 00000008
Версия ОС: 6.1.7601.2.1.0.16.7
Код языка: 1049
Дополнительные сведения 1: 0a9e
Дополнительные сведения 2: 0a9e372d3b4ad19135b953a78882e789
Дополнительные сведения 3: 0a9e
Дополнительные сведения 4: 0a9e372d3b4ad19135b953a78882e789

Ознакомьтесь с заявлением о конфиденциальности в Интернете:
[url]http://go.microsoft.com/fwlink/?linkid=104288&clcid=0x0419[/url]

Если заявление о конфиденциальности в Интернете недоступно, ознакомьтесь с его локальным вариантом:
C:\Windows\system32\ru-RU\erofflps.txt
________________________________________________________________
17.09.2012, 11:35
Techno

Вы первый скрипт выполнили?

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
QuarantineFile('C:\Windows\XXXXXXD757504A\svchsot.exe','');
QuarantineFile('C:\2230800.dll','');
DeleteFile('C:\2230800.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\RemoteAccess\RouterManagers\Ip','DLLPath');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At1.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At10.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At11.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At12.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At13.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At14.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At15.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At16.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At17.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At18.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At19.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At2.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At20.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At21.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At22.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At23.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At24.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At3.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At4.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At5.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At6.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At7.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At8.job');
DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\At9.job');
DeleteFile('C:\Windows\XXXXXXD757504A\svchsot.exe');
DeleteFileMask('C:\Windows\XXXXXXD757504A','*',true);
DeleteDirectory('C:\Windows\XXXXXXD757504A');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.[/CODE]

[COLOR="#FF0000"]Перезагрузите компьютер[/COLOR]

[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

- Повторите логи.

[quote="petrostal;925493"]mbam при запуске сканирования выдает ошибку:[/quote]
Попробуйте сделать лог MBAM в безопасном режиме.
17.09.2012, 12:25
PavelA

Вы в "Планировщике заданий" сами ничего не создавали или ПО, установленное на сервере?
17.09.2012, 13:49
petrostal

Вложений: 4

Скрипт выполнял. На всякий случай выполнил ещё раз. Перезагрузился, создал карантин. Файл карантина по ссылке вверху опять не прикрепляется, пишет, что файл уже был загружен.
Логи повторил, прикладываю. На всякий случай прикладываю лог АВЗ от исполнения первого скрипта - там какие-то ошибки писал. Архив с карантином пуст. MBAM в безопасном режиме без загрузки сетевых драйверов прошел, лог прикладываю.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[QUOTE=PavelA;925516]Вы в "Планировщике заданий" сами ничего не создавали или ПО, установленное на сервере?[/QUOTE]Планировщик пуст, ничего там не добавлял...
17.09.2012, 14:00
Techno

C:\Windows\XXXXXXD757504A - есть такая папка?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Удалите то, что нашел MBAM.
18.09.2012, 11:25
petrostal

[QUOTE=Techno;925544]C:\Windows\XXXXXXD757504A - есть такая папка?

[COLOR=silver]- - - Добавлено - - -[/COLOR]

Удалите то, что нашел MBAM.[/QUOTE]

папки нет, пропала. То, что нашёл MBAM удалил. Проблема осложнилась тем, что сеть теперь вообще не поднимается, удаленного доступа к серверу вообще нет, на самом сервере интернета нет, в общем совсем беда.
18.09.2012, 11:50
PavelA

[QUOTE]4. Проверка Winsock Layered Service Provider (SPI/LSP)
[/QUOTE] Проверь наличие файлов, на которые AVZ ругается в логе после вот в этой строчке. Скорее всего, Winsock2 придется лечить.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[QUOTE]4. Проверка Winsock Layered Service Provider (SPI/LSP)
[/QUOTE] Проверь наличие файлов, на которые AVZ ругается в логе после вот в этой строчке. Скорее всего, Winsock2 придется лечить.
19.09.2012, 15:39
petrostal

[QUOTE=PavelA;925676] Проверь наличие файлов, на которые AVZ ругается в логе после вот в этой строчке. Скорее всего, Winsock2 придется лечить.[/QUOTE]Папка system32 вообще отстуствует в папке ../Администратор/windowsКаким то чудом сеть поднялась, коннект стабильный со вчерашнего вечера, брандмауэр включился, пока работает. Потестирую пока систему в работе.
19.09.2012, 16:08
PavelA

Путь просто AVZ не верно разобрала. Хорошо, что все заработало.