Неизвестные процессы TMMT тормозят работу сервера win 2008R2 после лечения вируса wasppacer

Доброго времени суток уважаемые хелперы, обращаюсь к вам за помощью по следующему поводу:
Вчера на сервере WIN2088r2 x64 eset file server обнаружил несколько вредоносных файлов wasppacer и waagent, при этом сервер подтормаживал. Я нодом все это полечил, поменял админские пароли, но заметил несколько процессов ранее мне не знакомых (tmmt32.exe, tmmt64.exe, tmmt.exe) запущенных под системой, попробовал пристрелить, появляются снова. Нод больше ничего не находит, а тормоза остались и процессы тоже. Помогите пожалуйста, мне кажется это зараза какаято.

Уважаемый(ая) [B]ExecutorSet[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('C:\Windows\SysWOW64\MTMonitor\tsynchost.exe');
TerminateProcessByName('C:\Windows\SysWOW64\MTMonitor\tmmt64.exe');
TerminateProcessByName('c:\windows\syswow64\mtmonitor\tmmt.exe');
QuarantineFile('C:\Windows\PreInstall\uddisrw.exe', '');
QuarantineFile('c:\windows\syswow64\mtmonitor\tmz.dll', '');
QuarantineFile('C:\Windows\SysWOW64\MTMonitor\tsynchost.exe', '');
QuarantineFile('C:\Windows\SysWOW64\MTMonitor\tmmt64.exe', '');
QuarantineFile('c:\windows\syswow64\mtmonitor\tmmt.exe', '');
QuarantineFileF('c:\windows\syswow64\mtmonitor', '*', true, '', 0, 0, '', '', '');
DeleteFile('c:\windows\syswow64\mtmonitor\tmmt.exe', '32');
DeleteFile('C:\Windows\SysWOW64\MTMonitor\tmmt64.exe', '32');
DeleteFile('C:\Windows\SysWOW64\MTMonitor\tsynchost.exe', '32');
DeleteFile('c:\windows\syswow64\mtmonitor\tmz.dll', '32');
DeleteFile('C:\Windows\PreInstall\uddisrw.exe', '32');
DeleteFileMask('c:\windows\syswow64\mtmonitor', '*', true);
DeleteDirectory('c:\windows\syswow64\mtmonitor');
ExecuteSysClean;
ExecuteRepair(9);
end.[/code]Перезагрузите сервер.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Спасибо за помощь, все выполнил

Похоже, там ещё может быть подсаженый софт.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа.
Прикрепите эти три файла к своему следующему сообщению.

Вот:>

Вообще, программа, что болталась - [URL="https://www.mipko.ru/terminal-monitor/"]MIPKO Terminal Monitor[/URL]. Может, кто-то из админов установил, не согласовав с другими? Там в комлекте ещё и кейлоггер идёт, так что штука, в принципе полезная, но надо знать, чья ;) Созданы файлы 06.03.2015 19:54:49 - разбирайтесь, кто установил.
Смотрите в папке C:\Users\Все пользователи\mtml\MIPKO Terminal Monitor - там ярлыки и файлы ещё остались, возможно, по их владельцу определите, что за пользователь установил.

Тормоза ушли! Спасибо огромное за помощь, скорее всего взломали пароль к рдп администратора:O
Вам пора курсы какие-нибудь создавать для начинающих админов. Обязательно поддержу ваш проект:)

Меры против взлома надо принять как организационные, так и технические.

1. Сменить пароли на учётки с администраторскими правами, у кого они были не по делу - отобрать права администратора.

2. На средства удалённого доступа к серверу, если таковые установлены (Radmin и т. п.), также менять пароли, обновлять до последних версий эти программы.

3. Проверить разрешающие правила системного бранмауэра или другого файрвола (если установлен), доступ извне ограничить только теми ip-адресами, или хотя бы подсетями, и теми портами, для которых это необходимо удалённым клиентам и для удалённого управления. Аналогичные действия - если доступ контролируется аппаратным роутером/файрволом.

4. Включить в антивирусе противодействие потенциально нежелательным программам (ПНП/PUP) - если есть такая возможность.

5. Установить все важные обновления безопасности на систему.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]124[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]