Комп передает данные в сеть!

Printable View

26.11.2007, 17:55
Dimbas4

Вложений: 3

Комп передает данные в сеть!

Мой комп передает в сеть больше чем принимает, тем самым затормаживается инет. Firewol показывает высокую активность SVCHOST.EXE, проверка каспером и вебером ни чего не дала, выполнил все пункты, кроме 2 не смог найти болванку, а так им проверил все чисто.
26.11.2007, 18:07
rubin

[url]http://virusinfo.info/showthread.php?t=10387[/url]
Сделайте этот лог
26.11.2007, 18:26
Dimbas4

Вложений: 1

Дополнение

Дополнительный лог
26.11.2007, 18:41
rubin

[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\Drivers\ini910u.sys','');
BC_ImportQuarantineList;
BC_QrFile('C:\WINDOWS\system32\Drivers\ini910u.sys');
BC_Activate;
RebootWindows(true);
end.[/code]
Карантин пришлите по п.3 Правил
26.11.2007, 18:54
Dimbas4

Карантин

Выслал

{[COLOR="Red"]moderated! - Карантин присылать по п.3 Правил[/COLOR] - тот что был ненужен, он пуст}
26.11.2007, 19:32
PavelA

Есть вариант, что это Виндовс апдейт качает. Можно попробовать его временно отключить, или настроить на скачивание только критических обновлений.
26.11.2007, 19:39
Dimbas4

у меня опять тот же самый файл получается только 3 файла ini

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Это точно не вин абдейт т.к. оно у меня всегда откл. и еще трафик не входящий а исходящий слишком большой, передает хотя все шары закрыты
26.11.2007, 19:50
rubin

На время выполнения скрипта отключали антивирус?
Как вариант можно попробовать вручную заархивировать и прислать...
Либо выполнить скрипт в безопасном режиме
26.11.2007, 19:50
V_Bond

ini910u.sys ... похоже проходит по базе безопасных
выполните скрипт...
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('\??\C:\WINDOWS\system32\Drivers\uphcleanhlp.sys','');
QuarantineFile('C:\WINDOWS\system32\wups2.dll','');
QuarantineFile('C:\WINDOWS\system32\wuaueng.dll','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил. ...
хотя скорее они чистые...
активность у вас все же скорее связана с обновлениями .... на что указывает активность wups2.dll ...
отключите авто обновление думаю сетевая активность исчезнет...
26.11.2007, 19:56
rubin

[quote]ini910u.sys ... похоже проходит по базе безопасных[/quote]
Не знаю... но все таки для очищения моей совести как нибудь пришлите нам :)
26.11.2007, 20:19
Dimbas4

Карантин

Сейчас исходящий трафик не большой, но когда есть кто либо в сети. Выходим мы через шлюзы, то активность вырастает с тем компок который я указываю в шлюзе. Передаю данных в 2 раз больше чем принимаю, так же уходят данные и в инет.

[size="1"][color="#666686"][B][I]Добавлено через 17 минут[/I][/B][/color][/size]

Я файл отправил! Результаты загрузки нуна писать?
26.11.2007, 20:25
rubin

C:\WINDOWS\system32\wups2.dll
C:\WINDOWS\system32\wuaueng.dll
Чисты. Нет возможности прислать ini910u.sys?
26.11.2007, 20:28
V_Bond

присланные файлы как и ожидалось чистые ....
26.11.2007, 20:32
Dimbas4

ini910u.sys такого файла на диске C нет!

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Вчера перед установкой системы каспер нашел вот такой файл a0093575.exe в папке восстановления системы на диске D. Название вируса точно не помню но каспер его добавил в свои базы 7 ноября!
26.11.2007, 20:38
rubin

Ну тогда все чисто значит..
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
Что из этого не нужно?
26.11.2007, 20:41
Dimbas4

я не разбираюсь в этом, вроде все не нужно, нужно только чтоб через меня могли выйти в инет (по шлюзу) и получать доступ к моим папкам!
26.11.2007, 20:45
rubin

[code]begin
SetServiceStart('RemoteRegistry', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('RDSessMgr', 4);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
end.[/code]
Думаю нечто подобное, возникнут проблемы - вернем обратно
27.11.2007, 02:48
Bratez

Проблемы очевидно уже возникли ;)
Выполните следом такой скрипт:
[code]begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RebootWindows(true);
end.[/code]
22.02.2009, 02:57
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]