Установка пароля на антивирус + самопроизвольная блокировка пользователей

ОС — Windows Server 2008 R2 Standard SP1.
Антивирус — ESET NOD32 Antivirus 4 Business Edition.
Сервер используется как сервер терминалов для 1С.


Месяц назад сервер подцепил пару-тройку вирусов + блокиратор, которые были вычищены с помощью DrWeb CureIt в безопасном режиме. Но такое ощущение, что какие-то "хвосты" остались.
Иногда проявляются следующие проблемы:
1. Терминальные пользователи блокируются. Просто сама по себе устанавливается галочка "Заблокировать пользователя".
2. Устанавливается пароль на ESET NOD32 Antivirus 4 Business Edition. Сам по себе. Помогает только снос в безопасном режиме через утилиту удаления и установка с нуля.


Сделал анализ с помощью AVZ и HijackThis. Прикладываю логи. Хочется до конца вычистить "заразу".


Заранее спасибо.

Уважаемый(ая) [B]sargon[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].

Доступ к серверу через RDP у удалённых пользователей есть? Меняйте им пароли на сложные, отбирайте администраторские права, они им не нужны. На папки, куда они должны иметь право записи, или полные права, например, на папки с базами 1С, выделите разрешения через закладку "Безопасность" в свойствах папки.

Брандмауэр системный включён?

Можно ли сделать полный образ автозапуска uVS, подключившись по RDP? Нет возможности добраться до сервера, чтобы сделать данную процедуру локально.

Делайте.

Образ автозапуска прикрепил во вложениях.

Доступ по RDP у удаленных пользователей есть. Админские пароли все поменяны. Брэндмауэр включен.

Надеюсь, AmmyyAdmin [I]C:\USERS\GORLENKOVA\DOWNLOADS\AA_V3.EXE[/I] - на вас работает?

Отпишите мне в личку внешний ip, по которому есть доступ снаружи к серверу, проверю на уязвимости, нежно, ничего не уроню. Судя по блокировкам терминальных пользователей, брутфорсят снаружи.

Да, Ammyy Admin раньше использовался для удаленного доступа из вне.

Остальную информацию скинул в личку.

Теперь вид снаружи вселяет оптимизм ;)

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url] при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

Могу ли осуществить выполнение скрипта в АВЗ по терминалке? Повторюсь, что в данный момент физического доступа к серверу нет. Он далеко-далеко. :)

И все-таки хотелось бы спросить. Ничего подозрительного в логах не увидели? Какая-то "зараза" пароли на антивирус все-таки устанавливает. :)

Можно по терминалке.

Подозрительного в логах нет. После смены порта и настройки брандмауэра пароли на антивирус так и устанавливают?
Установите свой ;)

Пока что пароль на антивирус не был повторно установлен.

Буду тестировать. В течении пары недель отпишусь по результатам. Спасибо большое.