Перманентная попытка доступа svchost на 70.84.186.66 плюс генерирование набора слов "test"

Система защищена Outpost Firewall, регулярно чистится NOD32 и Ad-Aware SE.
Дня четыре назад заметил значительный исходящий трафик. Просканировал NOD-ом. Был идентифицирован троян Obfuscated. Успокоился.
Через два дня заметил тот же трафик.
Провёл "массированную" чистку. Снова тот же Obfuscated, хотя и в другой папке. Кроме того выявил sysdrv5, который вычистил скриптом с этого сайта.
Просмотрел журнал Outpost-а. Выявил непонятный мне доступ svchost'а и закрыл его. После этого стал наблюдать постоянную попытку доступа svchost на адрес 70.84.186.66.
И в завершение всего произошло нечто неописуемое. Можете считать меня параноиком, но я трижды наблюдал, как мой компьютер начинает произвольно набирать непрерывную последовательность слов "test", словно кто-то сидит рядом со мной за клавиатурой.


В настоящий момент компьютер отцепил от сети физически; проверка NOD32, AVZ, CureIt, Ad-Aware никаких результатов не даёт. Ничего не находится. Тем не менее Outpost регулярно фиксирует попытку доступа svchost то на адрес 70.84.186.66, то на getlost.hk (что вообще одно и то же).

Сам я хоть и хай, но только юзер. Вся надежда на вас.

1. не надо пользоваться чужими скриптами.
2.AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);

QuarantineFile('C:\WINDOWS\SYSTEM32\ovrscn.dll','');
QuarantineFile('C:\WINDOWS\SYSTEM32\ddeml32.dll','');

BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=15633[/url]

3.По поводу магического слова "тест", то авз в этот момент работал скорее всего ;)Это стaндaртнaя фича AVZ ,ловля кейлогеров . Проявлеться с пунтосвитчем часто, так как в каком то роде это то же кейлогер, правда полезный ;)
4.напишите в теме , когда сделаете.

Скрипт выполнен. Карантин выслан.
Спасибо за быстрый ответ.

Поздравляю ;) гадость ( свежая ) с подделанной подписью майкрософта ;)
[url]http://virusinfo.info/showpost.php?p=164025&postcount=117[/url]

1.Выполнить скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\SYSTEM32\ovrscn.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\ddeml32.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(1);
ExecuteRepair(6);
ExecuteRepair(9);
ExecuteRepair(12);
RebootWindows(true);
end.[/code]
2.
ставьте avzpm в avz , делайте новые логи.

С чем Это Вы меня поздравляете, интересно? :-) С тем, что я из-за этой гадости не сплю :-)
Ну, если я кому-то помог в деле поиска гадостей, тогда всегда пожалуйста :-)

[url]http://virusinfo.info/showpost.php?p=164024&postcount=4[/url]

Скрипт выполнил. avzpm поставил. Делаю логи

Инструкции выполнены.

Утром попробовал выйти в сеть. Похоже, попытки посторонних соединений прекратились уже.
Мужики, ну вы таааакое полезное и доброе дело делаете... Нет слов. СПАСИБО!

пофиксите ...
[code]
O20 - Winlogon Notify: ddeml32 - ddeml32.dll (file missing)
O20 - Winlogon Notify: ovrscn - ovrscn.dll (file missing)
[/code]
повторите лог HijackThis

Сделано. Лог HijackThis прилагаю.

Так как? Моя тема закончена? :blink:

Что из этого не нужно?
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Это домашний комп. Используется только для работы с фотографиями.
Отключил всё кроме:

>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)

Но я просто не знаю, зачем нужны и можно ли в моём случае отключить это:
- TermService (Службы терминалов)
- SSDPSRV (Служба обнаружения SSDP)
- административный доступ к локальным дискам (C$, D$ ...)

SSDP и административный доступ к дискам можно запросто отключить. Службы терминалов - если не используете инфракрасный порт и вас не смущает пропадание имён пользователей в диспетчере задач.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\ddeml32.dll - [B]Trojan.Win32.Agent.dog[/B] (DrWEB: Trojan.DownLoader.56887)[/LIST][/LIST]