tcpsvcs32.exe - странная активность, не обнаруживается антивирусом!

Printable View

20.10.2007, 13:09
KsunReh

Вложений: 3

tcpsvcs32.exe - странная активность, не обнаруживается антивирусом!

Пожалуйста помогите!

У меня при загрузке компа, даже когда я ничего не делаю, есть сетевая активность.

AVZ написал что-то типа "нестандартный ключ... скрытый запуск tcpsvcs32.exe"

Команда netstat Far 'a дает следущее:
Активные подключения
Имя Локальный адрес Внешний адрес Состояние
TCP mk:2931 mj.majordomo.ru:http TIME_WAIT
TCP mk:2993 mj.majordomo.ru:http TIME_WAIT
TCP mk:3126 mj.majordomo.ru:http TIME_WAIT
TCP mk:3211 mj.majordomo.ru:http TIME_WAIT
TCP mk:3538 mj.majordomo.ru:http TIME_WAIT
TCP mk:3675 mj.majordomo.ru:http TIME_WAIT
TCP mk:3722 mj.majordomo.ru:http LAST_ACK
TCP mk:3725 mj.majordomo.ru:http SYN_SENT

Утилита CureIT! ничего не находит. Кроме того, незнаю связано это или нет, при очередной перезагрузки компьютера у меня загнулся файервол COMODO - написал, что все службы отключены и попросил переустановить программу(службы и в правду не включались) После этого я как раз и обнаружил эту нездоровую активность.
20.10.2007, 15:16
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\tcpsvcs32.exe','');
DeleteFile('C:\WINDOWS\tcpsvcs32.exe');
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(16);
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Сделайте новые логи.
20.10.2007, 16:16
KsunReh

Вложений: 4

Скрипт выполнен. Вот новые логи:
20.10.2007, 16:45
Bratez

virus.zip уберите, его надо сюда:
[url]http://virusinfo.info/upload_virus.php?tid=13382[/url]

tcpsvcs32.exe - свежий троянчик, успешно удален.
Не исключено, что крал пароли, поменяйте их все на всякий пожарный.

Желательно отключить все ненужное из этого списка:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
Больше ничего плохого в логах нет.
20.10.2007, 17:03
KsunReh

Спасибо за помощь!

Архив с вирусом выслал по ссылке.

Но AVZ при проверке пишет что-то подозрительное (вроде когда делал ЛОГи это тоже было)

[SIZE=2][COLOR=#ff0000]Функция NtConnectPort (1F) перехвачена (80598C34->F634F0D2), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtCreateFile (25) перехвачена (8057164C->F6351302), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtCreatePort (2E) перехвачена (80592699->F634F02C), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtCreateSection (32) перехвачена (80564B1B->F634FAAE), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtCreateThread (35) перехвачена (8057F262->F634ED12), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtDeleteFile (3E) перехвачена (805D8CF7->F6350CB0), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtDeleteKey (3F) перехвачена (8059D6BD->F634FEC0), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtDeleteValueKey (41) перехвачена (80597430->F634FDDA), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtOpenProcess (7A) перехвачена (8057459E->F634FB94), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtOpenSection (7D) перехвачена (805766CC->F634F9E0), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtOpenThread (80) перехвачена (80597C0A->F634FCB0), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtSetContextThread (D5) перехвачена (8062C85B->F634EBB4), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtSetInformationFile (E0) перехвачена (80579E7E->F6350DE0), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtSetValueKey (F7) перехвачена (80575527->F634F26A), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtShutdownSystem (F9) перехвачена (80645BD3->F634FFA0), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtTerminateProcess (101) перехвачена (8058AE1E->F634EF66), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtWriteFile (112) перехвачена (8057A125->F635114A), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtWriteFileGather (113) перехвачена (805DB3DE->F6350FB4), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
[/COLOR][/SIZE]
20.10.2007, 17:15
Bratez

Все в порядке, это перехваты вашего фаервола.
20.10.2007, 17:18
KsunReh

Сапасибо за разъяснения!
22.02.2009, 02:42
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\tcpsvcs32.exe - [B]Trojan-PSW.Win32.LdPinch.dwn[/B] (DrWEB: Trojan.Packed.194)[/LIST][/LIST]