комп в инет ломится и че-то качает=(

Printable View

08.11.2007, 16:19
sonic8191

комп в инет ломится и че-то качает=(

Доброго времени суток!=)) вот столкнулся я с такой проблемкой - комп постоянно что-то с инета качает! (определяю по модему АДСЛ - у него постоянно лампочки мигают оч быстро) проверял и Др.Вебом и Каспером (все с последнейшими обновлениями) - 0 эффекта! ничего не находят антивири!:'-( а комп по-прежнему так и продолжает периодически что-то качать! ну мну это бесит - и траффик расходуется попусту и скорость вообще никакущая - 1-5 кб/с вместо 40 положенных!:?сначала думал на трояны-даунлоадеры а потом обломался, ничего не найдя! и еще одна странность - если все отрублено (и комп и модем) и если модем включить то комп сам включаеццо:Z я вообще не понимаю в чем дело! можт уже что-то в биос прописалось??? Кто-нить может помочь в разрешении такой фигни??
ЗЫ маленькая предыстория. Раньше у меня был винч и тада там стояла винда хр. Антивиря не было! вскоре винда здохла от вирусов видать и я купил другой винч, поставил свежую винду, установил Веба с последними обновлениями. потом вспомнил что на старом винче было много музона и подрубил его как слейв. Проверил его - а там в папке "систем волюм информэйшн" 79 троянов "голд спай". Ну я все и делетнул. все прошло норм а через мксяц гдето проявился вышеописанный случай......
08.11.2007, 16:22
Bratez

[quote]если все отрублено (и комп и модем) и если модем включить то комп сам включаеццо я вообще не понимаю в чем дело! можт уже что-то в биос прописалось???[/quote]
Это в биосе, смотрите раздел, где управление питанием.
А по теме - правила выполните, плиз:
[url]http://virusinfo.info/showthread.php?t=1235[/url]
08.11.2007, 20:54
sonic8191

Вложений: 3

окей! воть логи!
ЗЫ а где в биосе управление питанием???
08.11.2007, 21:04
drongo

выполните скрипт( AVZ ) :
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\System32\tmp_2a.dll','');
QuarantineFile('C:\WINDOWS\System32\Drivers\jcguard.SYS','');
QuarantineFile('C:\WINDOWS\System32\lutymi.dll','');
BC_ImportAll;
BC_Activate;
ExecuteRepair(12);
ExecuteRepair(13);
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Загрузите карантин через ссылку вверху темы.

P.s.Про питание , в баёсе самому придётся искать. Заодно узнаете где что ;-)Их довольно много, и есть отличия .(материнки то разные )
10.11.2007, 17:13
sonic8191

СПС!!!!!РЕСПЕКТ ТЕ ЧУВАК!
вот карантинные файлы

[quote]Файл сохранён как 071110_081546_Quarantine_4735bd12716a8.zip
Размер файла 509880
MD5 c80e90a91e13845e1c613b909724d681[quote/]
10.11.2007, 17:24
Bratez

lutymi.dll - [b]Backdoor.Win32.Agent.adr[/b]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\System32\lutymi.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пофиксите в HijackThis:
[code]
R3 - URLSearchHook: (no name) - {83821C2B-32A8-4DD7-B6D4-44309A78E668} - (no file)
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O20 - AppInit_DLLs: C:\WINDOWS\System32\tmp_2a.dll
O21 - SSODL: DCOM Server 25319 - {2C1CD3D7-86AC-4068-93BC-A02304B25319} - C:\WINDOWS\System32\lutymi.dll
O22 - SharedTaskScheduler: DCOM Server 25319 - {2C1CD3D7-86AC-4068-93BC-A02304B25319} - C:\WINDOWS\System32\lutymi.dll
[/code]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

После фикса еще раз перезагрузитесь и сделайте новые логи, начиная с п.10 правил.
10.11.2007, 19:57
sonic8191

вот этого там не было

O21 - SSODL: DCOM Server 25319 - {2C1CD3D7-86AC-4068-93BC-A02304B25319} - C:\WINDOWS\System32\lutymi.dll
O22 - SharedTaskScheduler: DCOM Server 25319 - {2C1CD3D7-86AC-4068-93BC-A02304B25319
10.11.2007, 19:58
rubin

Не было - это хорошо :) Ждем новых логов
10.11.2007, 20:02
sonic8191

Вложений: 2

Логи
10.11.2007, 20:09
rubin

Проблема исчезла?

Что из списка Вам не нужно?
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба TlntSvr (Telnet)
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
10.11.2007, 20:12
sonic8191

в смысле - не нужно????
ЗЫ да проблемы больше нет =)
10.11.2007, 20:20
rubin

Ну эти службы несут в себе потенциальную угрозу, а в подавляющем большинстве случаев они не нужны... Скажим, какие именно не нужны, и мы поможем с отключением
11.11.2007, 20:48
sonic8191

ну вобщемто все не нужны кроме вот этого

>> Безопасность: разрешен автозапуск программ с CDROM
11.11.2007, 20:49
rubin

[code]
begin
SetServiceStart('RemoteRegistry', 4);
SetServiceStart('TermService', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TlntSvr', 4);
SetServiceStart('RDSessMgr', 4);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RebootWindows(true);
end.
[/code]
11.11.2007, 20:51
sonic8191

спс
11.11.2007, 20:53
rubin

Советуем прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов[/URL]. Мы будем Вам очень благодарны!

Удачи!
22.02.2009, 02:50
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\lutymi.dll - [B]Backdoor.Win32.Agent.adr[/B] (DrWEB: Trojan.Spambot.2506)[*] \\quarantine\\2007-11-10\\bcqr00005.dta - [B]Backdoor.Win32.Agent.adr[/B] (DrWEB: Trojan.Spambot.2506)[*] \\quarantine\\2007-11-10\\bcqr00006.dta - [B]Backdoor.Win32.Agent.adr[/B] (DrWEB: Trojan.Spambot.2506)[/LIST][/LIST]