Неадекватный исходящий траффик

Друзья!

Есть два компа, завязанные в локалку. Один из них, далее №1, ходит в Сеть (через EDGE-модем).

При подключении в Интернет комп №1 (в то время как комп №2 выключен) сам по себе отсылает куда-то около 3 кБ траффика (при этом принятый траффик - где-то в р-не 200 Б), на этом всё заканчивается.

Когда включается комп №2, он начинает вести себя значительно злокачественнее, а именно - автоматически подсоединяется в Сеть (через комп №1) и начинает отсылает куда-то траффик в неограниченных кол-вах. Да и принимает тоже неслабо, однако кол-во исходящего трафика - совершенно неадекватное.

Пробовал лечить и AVZ, и свежим CureIT - нашлось довольно прилично всякого дерьма, но проблема так и не устранена.


Работать невозможно. Помогите, пожалуйста.


Антон

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url] - выполнить на [b]втором[/b] компьютере
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
BC_QrFile('C:\WINDOWS\system32\svchost.exe:ext.exe');
BC_DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe');
BC_QrSvc('FCI');
BC_DeleteSvc('FCI');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=13852[/url]
2. Повторите логи

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ на [B]первом[/B] компьютере[CODE]begin
QuarantineFile('C:\WINXP\system32\fpmon4.dll','');
QuarantineFile('C:\WINXP\System32\spool\DRIVERS\W32X86\2\fpdisp4.exe','');
QuarantineFile('c:\winxp\system32\drivers\port_nt.sys','');
end.[/CODE]Загрузите карантин по [URL="http://virusinfo.info/upload_virus.php?tid=13852"]этой[/URL] ссылке.

Сделал всё как сказали, только вот файлы Fp.... карантинировать не стал - это виртуальный

Всё сделал, только вот файлы Fp.... карантинировать не стал - это виртуальный принтер у меня, FinePrint называется.

Похоже также, что третья файлина, упомянутая Максимом - это какой-то кусок FreeDownloadManager'a (кхмммм.... да, я помню, что меня попросили закрыть все программы перед выполнением скриптов. Извините).

Логи со второго компа вот (нужно ли повторять их на первом? Просто он у меня не в пример больше).

присланный вами файл
c:\winxp\system32\drivers\port_nt.sys чист ...

Я также жутко извиняюсь за то, что по невнимательности не запаролил архивы :-( Чтобы не создавать путаницы, решил оставить как есть.

пофиксите ...
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe
[/code]
больше ничего зловредного в присланных логах
стоит разобраться с этим ...

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя

[quote]присланный вами файл
c:\winxp\system32\drivers\port_nt.sys чист ...[/quote]


Что лишний раз подтверждает, что это - кусок FDM'а. Который как раз после оной процедуры работать перестал :-) Ну это, кнчн, ничего страшного.


Хм...... Правильно ли я понимаю, что мой "комп №1" вообще тогда, получается, чист? Хоть единорогов им приманивай? Да? :-)

Так и значит :)

на данный момент ваши обе машины чисты ....

2 V_Bond: можно пояснить? Эту строку нужно прописать в system.ini? Или как?

[URL="http://virusinfo.info/showthread.php?t=4491"]пофиксить[/URL]

Уй! Ребята! Спасибо огромное!

С меня бутылка, однозначно :-) (где тут кнопочка Donate?)

Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов[/URL]. Мы будем Вам очень благодарны!

Ну что же.....

Змий повержен, трафик лишний действительно пропал, "небезопасные" службы я поотключал (теперь бы вот только узнать, когда какую из них придётся включить, ну да это уже - совсем другая история :-))


"Бутылка" сформировалась и отсылается, но как-то криво: половина сообщений - красненькие, при том, что восстановление системы я пока не включал. Никакого другого защитного софта у меня не стоит вообще. Пока.

Потратился на лицензионного Касперского - не то, чтобы денег жалко было, а просто очень уж сильно он компьютер грузит. Мне как правило не хватает ресурсов ЦП (3D-дизайн). Как вы считаете - стоит оно того?

Всем огромное спасибо за помощь и за то, что такое замечательное место вообще в Сети есть!

Искренне,
Антон


P.S. А можно напоследок дурааацкий такой и СОВЕРШЕННО ОФФТОПИЧНЫЙ вопрос? Как мне убить папки с предыдущими инсталляциями Винды? Я пробовал через Bart's PE, но ничего не вышло.... Там вообще названия папок корректно не отображались.
Я спрашиваю не из желания злостно пофлудить, а оттого, что у Яндекса уже спрашивал неоднократно. И ничего не нашёл.

[URL="http://virusinfo.info/showthread.php?t=1550"]Рекомендуемые антивирусы[/URL] - можите один из этих поставить.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]