Исходящий траффик в два раза больше входящего

Printable View

06.01.2008, 13:26
Deniska1983

Исходящий траффик в два раза больше входящего

Здравствуйте!
у меня исходящий траффик примерно в два раза больше входящего. сканировал cureit'ом - нашёл кучу троянов. всё удалил. повторил сканирование - больше никаких вирусов нет, но траффик всё равно уходит. также производил сканирование avast'ом - тоже всё чисто.
буду признателем за любую оказанную помощь
06.01.2008, 13:38
rubin

[code]Восстановление системы: включено[/code]
Отключить...

Выполните скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Documents and Settings\Денис\desktop.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\win32.exe','');
QuarantineFile('C:\WINDOWS\system32\MSCORE.DLL','');
QuarantineFile('C:\WINDOWS\system32\svchost.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Карантин пришлите по ссылке [url]http://virusinfo.info/upload_virus.php?tid=16026[/url]
06.01.2008, 13:46
Deniska1983

восстановление системы отключил.
скрипт выполнил.
файлы карантина закачал
06.01.2008, 14:11
rubin

MSCORE.DLL - [b]Trojan.Win32.Small.yd[/b]
svchost.exe - [b]Trojan.Win32.Patched.bh[/b]
Выполните скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\MSCORE.DLL');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Вручную запакуйте файлы
C:\Documents and Settings\Денис\desktop.exe
C:\WINDOWS\System32\drivers\win32.exe
в архив с паролем virus и пришлите их тоже

Насчет svchost.exe... троян пропатчил системный файл - первый вариант восстановить его с дистрибутива, второй - скачать к примеру CureIt или AVPTool и пролечить ими файлик
06.01.2008, 14:18
Bratez

Выполните еще такой скрипт:
[code]
begin
ClearQuarantine;
BC_QrSvc('NdisWon');
BC_DeleteSvc('NdisWon');
BC_Activate;
RebootWindows(true);
end.[/code]
Если карантин будет не пуст - пришлите по правилам.
06.01.2008, 15:36
Deniska1983

[quote]
Вручную запакуйте файлы
C:\Documents and Settings\Денис\desktop.exe
C:\WINDOWS\System32\drivers\win32.exe
в архив с паролем virus и пришлите их тоже
[/quote]
таких файлов у меня нет

[quote]Насчет svchost.exe... троян пропатчил системный файл - первый вариант восстановить его с дистрибутива, второй - скачать к примеру CureIt или AVPTool и пролечить ими файлик[/quote]

проверил cureit'ом - ничего подозрительного не нашёл

после запуска второго скрипта, windows походу удалил все драйвера. всё стало очень сильно тормозить (было удалено подключение интернет, драйвер видео-карты выдавал какую-то ошибку, оформление windows было сбито). пришлось вставить диск с windows и выполнить восстановление системы с него. как только всё восстановил - исходящий траффик всё ещё в два раза больше входящего.

файлы из карантина я удалил сразу, но третий скрипт запустил. файлы, которые находятся в карантине - я отправил вам. также вот новые логи
06.01.2008, 16:01
V_Bond

пофиксите ...
[code]
O4 - HKCU\..\Run: [default] C:\Documents and Settings\Денис\desktop.exe
O4 - HKCU\..\Run: [main] C:\WINDOWS\System32\drivers\win32.exe
[/code]
провертесь [URL="http://dnl-eu5.kaspersky-labs.com/devbuilds/AVPTool/"]AVPTool[/URL]
06.01.2008, 16:12
Bratez

Пофиксите в HijackThis:
[code]
O4 - HKCU\..\Run: [main] C:\WINDOWS\System32\drivers\win32.exe
O4 - HKCU\..\Run: [default] C:\Documents and Settings\Денис\desktop.exe
[/code]
Перезагрузитесь и повторите лог HijackThis.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Судя по последним логам, svchost.exe в порядке... странно.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Ах, да, правильно:
[quote]пришлось вставить диск с windows и выполнить восстановление системы с него.[/quote]

Все ОК, больше ничего подозрительного в логах нет.
06.01.2008, 17:06
Deniska1983

пофиксил с помощью HijackThis
AVPTool ничего не нашёл
исходящий траффик по-прежнему в два раза больше чем входящий
вот лог
06.01.2008, 17:14
Bratez

[b]c:\program files\myie2 ru 0.8.350 megapack\myie.exe[/b]
закиньте на [url]www.virustotal.com[/url] - чем черт не шутит...
А больше и не к чему придраться.
06.01.2008, 17:29
Deniska1983

закинул, так как вы рекомендовали; и вот какой результат выдал
eSafe 7.0.15.0 2008.01.03 [COLOR=red]suspicious Trojan/Worm[/COLOR]
[COLOR=black]Sophos 4.24.0 2008.01.06 [COLOR=red]Mal/Emogen-P[/COLOR][/COLOR]
[COLOR=black]остальные антивирусы - всё чисто[/COLOR]

я использую MyIE в качестве интернет-браузера. вы думаете проблема в нём?
06.01.2008, 17:41
Bratez

[quote]я использую MyIE в качестве интернет-браузера.[/quote]
А его можно использовать как-то иначе? :biggrin:

[quote]вы думаете проблема в нём?[/quote]
Все возможно. Уж если ntoskrnl и svchost патчат, то браузер сам бог велел. Попробуйте установить Opera и попользоваться ею - будет ли разница?
20.01.2008, 16:08
Deniska1983

поставил я Opera. всё стало норм. траффик норм. спасибо всем за помощь.
p.s. кстати, какой-то из троянов украл мой номер icq. очень обидно, т.к. этим номером пользовался лет пять. пароль был сохранён в программе qip
22.02.2009, 03:18
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]16[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\mscore.dll - [B]Trojan.Win32.Small.yd[/B] (DrWEB: Trojan.DownLoader.43004)[*] c:\\windows\\system32\\svchost.exe - [B]Trojan.Win32.Patched.bh[/B] (DrWEB: Trojan.DownLoader.39301)[*] \\2008-01-06\\bcqr00005.dta - [B]Trojan.Win32.Small.yd[/B] (DrWEB: Trojan.DownLoader.43004)[*] \\2008-01-06\\bcqr00006.dta - [B]Trojan.Win32.Small.yd[/B] (DrWEB: Trojan.DownLoader.43004)[*] \\2008-01-06\\bcqr00007.dta - [B]Trojan.Win32.Patched.bh[/B] (DrWEB: Trojan.DownLoader.39301)[*] \\2008-01-06\\bcqr00008.dta - [B]Trojan.Win32.Patched.bh[/B] (DrWEB: Trojan.DownLoader.39301)[/LIST][/LIST]