Похоже стандартный набор:Deflib, winlogon...беспокоит вход\исх. трафик!

Здравствуйте!
очень надеюсь на вашу помощь!
В свойствах подключения каждый день виден большой обьем трафика..(~100мб) причем и исходящего примерно в таком же объеме. Давно было подозрение на руткит пересылающий спам..после прочтения этого сайта утвердившееся...Стоит антивирус НОД32 3,0,566,0 (как его выгружать незнаю поэтому во время проверок он был не отключен:sad:)Он находил Deflib.sys и ipv6fv, но они появляются снова..winlogon.exe в локальной временной папке юзера визуально не видно..:smile: ...

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\DRIVERS\epfwtdir.sys','');
QuarantineFile('C:\WINDOWS\system32\DefLib.sys','');
QuarantineFile('c:\docume~1\xcube\locals~1\temp\winlogon.exe','');
DeleteFile('c:\docume~1\xcube\locals~1\temp\winlogon.exe');
DeleteFile('C:\WINDOWS\system32\DefLib.sys');
BC_ImportAll;
BC_QrFile('C:\WINDOWS\system32\DRIVERS\epfwtdir.sys');
BC_DeleteFile('C:\WINDOWS\system32\DefLib.sys');
BC_DeleteSvc('Deflib');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=15470[/url]

2.Пофиксить в HijackThis следующие строчки, если останутся ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\XCube\LOCALS~1\Temp\winlogon.exe[/CODE]
3. Установите AVZPM ([url]http://virusinfo.info/showthread.php?t=12316[/url])
4. Сделайте новые логи для проверки

[quote=rubin;162626]
2.Пофиксить в HijackThis следующие строчки, если останутся ( [URL]http://virusinfo.info/showthread.php?t=4491[/URL] )
[code]O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\XCube\LOCALS~1\Temp\winlogon.exe[/code][/QUOTE]
такой строчки не осталось...трафик как шел так и идет...нужно присылать новые логи? ставить AVZPM?

Пока ничего не надо. Ещё один подозреваемый на исследовании.

на всякий случай логи..
еще беспокоит что АВЗ при стандартной проверке пишет:
"6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
Проверка отключена пользователем"
...если проблема с трафиком то, наверное, порты как раз слушать и нужно??:blink:

p.s. AVZPM включил, потом сделал логи.


OMG! IMPOSSBL!! вроде бы никто больше ничего через меня не качает!!
Благодарен от всей души!! Большое спасибо!!

осталось только 2 вопроса:
1)в сетке есть еще компьютер с такой же заразой..(там сетевое подключение отключено конечно) - можно ли там применить такой же скрипт?? или мучить вас новыми логами?
2)можете дать ссылку или коротко рассказать как не заразиться этими руткитами, основные пути их распространения я так понял не такие же как у "обычных" вирусов..это уязвимости браузера? или все таки зараженные скрипты сайтов?

Еще раз большое спасибо!!!

1. Лучше прислать новые логи в новую тему
2. Регулярно обновлять антивирус, ставить все заплатки от Microsoft, работать под ограниченной записью, а не под администраторской

winlogon.exe - [b]SpamTool.Win32.Agent.ee[/b]

[size="1"][color="#666686"][B][I]Добавлено через 1 час 4 минуты[/I][/B][/color][/size]

epfwtdir.sys - чистый

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Что из вышеуказанного не нужно?

>> Заблокирован пункт меню Справка и техподдержка

А это сами делали?

>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: к ПК разрешен доступ анонимного пользователя

1.кроме этого все не нужно...
2. да, не нравится справка и ресент докс в меню..

[code]begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\docume~1\\xcube\\locals~1\\temp\\winlogon.exe - [B]Trojan-Mailfinder.Win32.Agent.ee[/B] (DrWEB: Trojan.Spambot.2384)[/LIST][/LIST]