Printable View
Кушается траффик. сам. даже при отключенной аське, мэйлагенте, выключенном браузере и т.п.
Др.Вэб нашел 1 троян (причем на диске F, ну , в смысле винт у меня разбит на 3 диска), удалил его, но проблема осталась.
Сделал все по ПРАВИЛАМ, логи прилагаю. Посмотрите, "может что в консерватории подправить?"© :)
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\win_iq.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=16504[/url]).
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
[quote]
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
[/quote]
Это круто! Уже 3-й сервиспак на подходе, а у вас вообще никакого!
Может системе таки надоело и она сама решила обновиться? ;)
Случаем это не OracleClient к серверу коннектится? ;)
[quote=Maxim;173134]Случаем это не OracleClient к серверу коннектится? ;)[/quote]
Да не, его тоже выключал, все одно траффик идет.:unsure:
А что мешает поставить firewall?
Судя по карантину, файл win_iq.dll на диске отсутствует.
Пофиксите в HijackThis:
[code]
O20 - AppInit_DLLs: C:\WINDOWS\System32\win_iq.dll
[/code]
Перезагрузитесь и повторите лог HijackThis.
что б не флудить зря, отвечу в 1 посте:
1. Карантин выслал.
2. Про сервис пак - потрясу админа, пусть поставит правда, что ли.
3. firewall стоит на сервере, через который инет идет. потому у меня и не стоит(да и не было ничего такого раньше). но тоже спрошу админа на всякий случай.
4. "Спасибо" нажал ;)
пофиксил, вот лог. что дальше? (пока еще проблема остается)
Если вот эта программа вам знакома:
F:\distr\Tests\X_Moroz.exe
то больше придраться не к чему. Разве что предположить, что кто-то приконнектил вашу административную шару и потихоньку скачивает к примеру вашу коллекцию музыки... Возможно, работает автообновление Windows или других программ.
Трафик более входящий или исходящий?
Давайте отключим все что вам не нужно из этого:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба TlntSvr (Telnet)
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
X_Moroz.exe - все нормально, нужная прога
автообновление проверил, отключено.
траффик в обе стороны, примерно поровну, входящий чуть больше.
по списку все поотключал, не нашел только где отключить:
>> Безопасность: к ПК разрешен доступ анонимного пользователя
завтра админ обещал поставить сервиспак, говорит, был уверен, что он стоит у меня(а я сам и не обращал внимания). продолжу борьбу.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]