появляются новые маршруты каждый день под вечер и также время от времени папка device [not-a-virus:Server-FTP.Win32.Serv-U.6404 ]

Printable View

18.07.2015, 16:28
felcons

Вложений: 3

появляются новые маршруты каждый день под вечер и также время от времени папка device [not-a-virus:Server-FTP.Win32.Serv-U.6404 ]

Каждый день примерно в 20 часов прописываются левые маршруты.
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.1.1 192.168.1.3 20
31.28.48.129 255.255.255.255 192.168.1.1 192.168.1.3 20
37.147.42.176 255.255.255.255 192.168.1.1 192.168.1.3 20
37.147.56.107 255.255.255.255 192.168.1.1 192.168.1.3 20
79.141.63.22 255.255.255.255 192.168.1.1 192.168.1.3 20
94.41.120.159 255.255.255.255 192.168.1.1 192.168.1.3 20
95.29.72.88 255.255.255.255 192.168.1.1 192.168.1.3 20
109.201.105.186 255.255.255.255 192.168.1.1 192.168.1.3 20
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
128.69.229.95 255.255.255.255 192.168.1.1 192.168.1.3 20
185.8.221.226 255.255.255.255 192.168.1.1 192.168.1.3 20
192.168.1.0 255.255.255.0 192.168.1.3 192.168.1.3 20
192.168.1.1 255.255.255.255 192.168.1.3 192.168.1.3 20
192.168.1.3 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.1.255 255.255.255.255 192.168.1.3 192.168.1.3 20
224.0.0.0 240.0.0.0 192.168.1.3 192.168.1.3 20
255.255.255.255 255.255.255.255 192.168.1.3 192.168.1.3 1
Основной шлюз: 192.168.1.1
===========================================================================
Постоянные маршруты:
Отсутствует
мой компьютер работает через роутер
адрес роутера: 192.168.1.1
адрес моего компьютера: 192.168.1.3
на компьютере с опасных програм работает фтп сервер, а также программа чтения с экрана jaws, так как у меня проблемы по зрению.
во вложении додаю файлы анализов avz, и HijackThis.
утилиткой от доктора Веба я проверял и ничего не было найдено.
18.07.2015, 16:31
Info_bot

Уважаемый(ая) [B]felcons[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
18.07.2015, 18:35
SQ

Здравствуйте,

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
TerminateProcessByName('e:\documents and settings\admin\application data\acewebextension\updater\ace_web_extension.exe');
QuarantineFile('E:\Documents and Settings\admin\Application Data\ACEStream\updater\ace_update.exe','');
QuarantineFile('E:\Documents and Settings\admin\Application Data\AceWebExtension\updater\ace_web_extension.exe','');
QuarantineFile('E:\Documents and Settings\admin\Application Data\AceWebExtension\updater\lib\win32com.shell.shell.pyd','');
QuarantineFile('E:\Program Files\Firefox Builder Optimization\fbo.exe','');
QuarantineFile('E:\Program Files\USB Safely Remove\USBSafelyRemove.exe','');
QuarantineFile('e:\windows\prkiller.exe','');
QuarantineFile('f:\program files\jmc\jmc.exe','');
QuarantineFile('F:\Program Files\ProgDVB\ProgLauncher.exe','');
QuarantineFile('F:\program files\RhinoSoft.com\Serv-U\RhinoNET.dll','');
QuarantineFile('F:\program files\RhinoSoft.com\Serv-U\ServUDaemon.exe','');
QuarantineFile('f:\program files\rhinosoft.com\serv-u\servutray.exe','');
DeleteFile('E:\Documents and Settings\admin\Application Data\ACEStream\updater\ace_update.exe','32');
DeleteFile('E:\Documents and Settings\admin\Application Data\AceWebExtension\updater\ace_web_extension.exe','32');
DeleteFile('E:\Documents and Settings\admin\Application Data\AceWebExtension\updater\lib\win32com.shell.shell.pyd','32');
DeleteFileMask('E:\Documents and Settings\admin\Application Data\AceWebExtension', '*', true, ' ');
DeleteDirectory('E:\Documents and Settings\admin\Application Data\AceWebExtension');
DeleteFileMask('E:\Documents and Settings\admin\Application Data\ACEStream', '*', true, ' ');
DeleteDirectory('E:\Documents and Settings\admin\Application Data\ACEStream');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','AceUpdater');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','AceWebExtensionUpdater');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
Код:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.

- Сделайте лог [URL=http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk]Check Browsers' LNK[/URL] и приложите его в теме.
18.07.2015, 22:59
felcons

маршруты прописываются, как я говорил восновном вечером и каждый раз разные.
например сегодня прописалось вот такое:
31.134.235.178 255.255.255.255 192.168.1.1 192.168.1.3 20
83.166.109.2 255.255.255.255 192.168.1.1 192.168.1.3 20
178.45.46.200 255.255.255.255 192.168.1.1 192.168.1.3 20
19.07.2015, 01:22
mike 1

Предыдущее сообщение читали?
19.07.2015, 16:04
SQ

[QUOTE=felcons;1295969]не смотря на все процедуры появился вот такой маршрут:
212.87.190.188 255.255.255.255 192.168.1.1 192.168.1.3 20[/QUOTE]

Вы можете попробовать Сами определить какой процесс добавляет новые маршруты, следующим образом:

[CODE]212.87.190.188 255.255.255.255 192.168.1.1 192.168.1.3 20 [/CODE]

Попробуйте проверить каким процессом используется данный ip адрес: 212.87.190.188 в командной строке

[CODE]>netstat -anop tcp | find "[B]212.87.190.188[/B]"

Примерно должны получить так, только в Вашем случае PID (последнее значение) может быть другим:

TCP [B]212.87.190.188[/B]:59870 212.87.190.188:56156 TIME_WAIT [B]6588[/B]
[/CODE]

В случае если PID будет равен к примеру 6588 проверьте в командной строке
[CODE]
>tasklist /fi "pid eq [B]6588[/B]"

Примерно должны получить так, только в Вашем случае имя процесса может быть другим:

Имя образа PID Имя сессии № сеанса Память
========================= ======== ================ =========== ============
[B]uTorrent.exe [/B] 6588 Console 1 76,560 КБ[/CODE]
19.07.2015, 16:05
SQ

[QUOTE=felcons;1295969]
на данное время после процедур перестало работать torrent tv. просто не запускаются каналы.
[/QUOTE]

В случае, если Вы используете ACEStream, т.е. сами устанавливали и требуется в дальнейшем использовать, то Вам следует его переустановить.
20.07.2015, 11:40
felcons

Вложений: 2

Все процедуры сделал. только хочу сказать, что программа serv-u то фтп сервер и он мне нужен для обмена файлами. В нём вирусов не было. Ну и кроме того было удалено acestream, при том мне не будет доступно торрент тв. Значит торрент тв смотреть опасн

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

на данное время после процедур перестало работать torrent tv. просто не запускаются каналы.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

не смотря на все процедуры появился вот такой маршрут:
212.87.190.188 255.255.255.255 192.168.1.1 192.168.1.3 20

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

ДАнные советы ничего не дали. маршруты прописываются и дальше. прописалось вот так:
109.110.90.161 255.255.255.255 192.168.1.1 192.168.1.3 20

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

полявился вот такой маршрут:
109.201.79.171 255.255.255.255 192.168.1.1 192.168.1.3 20
пишу вот так
netstat -anop tcp | find "109.201.79.171"
в ответ ничего не говорится.
тоесть просто пустая командная строка и всё.
что дальше делать, и как избежать добавления таких маршрутов?
из-за таких маршрутов, потом не работает днс.
если написать
nslookup
то просто по таймауту выпадает, и 192.168.1.1
пингуется, а вот на днс запросы не отвечает.
Начинает отвечать только после перезагрузки компьютера.ДАнные советы ничего не дали. маршруты прописываются и дальше. прописалось вот так:
109.110.90.161 255.255.255.255 192.168.1.1 192.168.1.3 20
20.07.2015, 12:03
SQ

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
20.07.2015, 16:28
SQ

Скачайте [URL="http://images.malwareremoval.com/random/RSIT.exe"]RSIT[/URL]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.
20.07.2015, 20:49
felcons

Вложений: 3

полявился вот такой маршрут:
109.201.79.171 255.255.255.255 192.168.1.1 192.168.1.3 20
пишу вот так
netstat -anop tcp | find "109.201.79.171"
в ответ ничего не говорится.
тоесть просто пустая командная строка и всё.
что дальше делать, и как избежать добавления таких маршрутов?
из-за таких маршрутов, потом не работает днс.
если написать
nslookup
то просто по таймауту выпадает, и 192.168.1.1
пингуется, а вот на днс запросы не отвечает.
Начинает отвечать только после перезагрузки компьютера.ДАнные советы ничего не дали. маршруты прописываются и дальше.
И ещё вопрос может ли utorrent прописывать данные маршруты, и если да, то почему ж потом dns перестаёт работать?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

утилитку Farbar Recovery Scan Tool
не удаётся скачать. пробовал разными браузерами и она не качается.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Сканирование сделал и файлы во вложении.
кроме того сегодня опять появилась папка device, которая пустая.
и днс сегодня упал.пишу
route print
получаю такие лишние маршруты.

31.28.59.64 255.255.255.255 192.168.1.1 192.168.1.3 20
128.74.12.188 255.255.255.255 192.168.1.1 192.168.1.3 20
ну и сразу падает днс.
nslookup
DNS request timed out.
timeout was 2 seconds.
*** Can't find server name for address 192.168.1.1: Timed out
*** Default servers are not available
Default Server: UnKnown
Address: 192.168.1.1
при том пинг на адрес проходит.
Обмен пакетами с 192.168.1.1 по 32 байт:
Ответ от 192.168.1.1: число байт=32 время<1мс TTL=64
Ответ от 192.168.1.1: число байт=32 время<1мс TTL=64
Ответ от 192.168.1.1: число байт=32 время<1мс TTL=64
Ответ от 192.168.1.1: число байт=32 время<1мс TTL=64
Статистика Ping для 192.168.1.1:
Пакетов: отправлено = 4, получено = 4, потеряно = 0 (0% потерь),
Приблизительное время приема-передачи в мс:
Минимальное = 0мсек, Максимальное = 0 мсек, Среднее = 0 мсек
21.07.2015, 12:46
SQ

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [] => [X]
GroupPolicyScripts: Group Policy detected <======= ATTENTION
GroupPolicyScripts\User: Group Policy detected <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
SearchScopes: HKU\S-1-5-21-1454471165-1482476501-1801674531-500 -> yandex.ru-223842 URL = http://inet123.ru/?cx=partner-pub-7107628092852806%3Asxiti5-ktqk&cof=FORID%3A10&ie=windows-1251&q={searchTerms}&sa=%CF%EE%E8%F1%EA&siteurl=inet123.ru%2F#881
FF Plugin HKU\S-1-5-21-1454471165-1482476501-1801674531-500: @acestream.net/acestreamplugin,version=3.0.12 -> E:\Documents and Settings\admin\Application Data\ACEStream\player\npace_plugin.dll No File
FF Plugin HKU\S-1-5-21-1454471165-1482476501-1801674531-500: @acestream.net/acestreamplugin,version=3.0.3 -> E:\Documents and Settings\admin\Application Data\ACEStream\player\npace_plugin.dll No File
U1 WS2IFSL; No ImagePath
2015-06-24 18:49 - 2015-06-16 00:03 - 00000000 ____D E:\Documents and Settings\admin\Application Data\.ACEStream
2015-06-21 12:01 - 2015-06-10 23:36 - 00000000 ____D E:\Documents and Settings\All Users\Application Data\ProductData
Ace Stream Media 3.0.12 (HKU\S-1-5-21-1454471165-1482476501-1801674531-500\...\AceStream) (Version: 3.0.12 - Ace Stream Media) <==== ATTENTION!
AlternateDataStreams: E:\Documents and Settings\admin\Local Settings\Application Data:wa
AlternateDataStreams: E:\Documents and Settings\All Users\Application Data\TEMP:07BF512B
AlternateDataStreams: E:\Documents and Settings\All Users\Application Data\TEMP:0CE7F3C9
AlternateDataStreams: E:\Documents and Settings\All Users\Application Data\TEMP:2CFDCA54
AlternateDataStreams: E:\Documents and Settings\All Users\Application Data\TEMP:41ADDB8A
AlternateDataStreams: E:\Documents and Settings\All Users\Application Data\TEMP:58D8F144
AlternateDataStreams: E:\Documents and Settings\All Users\Application Data\TEMP:7250CDF6
AlternateDataStreams: E:\Documents and Settings\All Users\Application Data\TEMP:9E00596C
AlternateDataStreams: E:\Documents and Settings\All Users\Application Data\TEMP:A064CECC
EmptyTemp:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![/LIST]
21.07.2015, 15:11
SQ

Уточните пожалуйста Вам знаком следующий файл:

[CODE]QuarantineFile('e:\windows\prkiller.exe','');[/CODE]

Попробуйте его проверить на [URL="https://www.virustotal.com"]Virustotal[/URL] и приложите ссылку в следующем сообщение.
07.08.2015, 17:02
felcons

Вложений: 1

всё описанное выше сделал. файл prkiller.exe у меня находится очень давно. это утилитка, которая выбивает процессы. по нажатии ctrl +shift+` появляется список процессов в том порядке в котором они запущены и по ентеру их можна выбивать.
вот ссылка на проверку.
[url]https://www.virustotal.com/ru/file/b7208dfec40ba650dd26232d6bdb411f65edfd4e88a1d6a8356b7c5fccd71129/analysis/1438936530/[/url]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

ничего все те советы не дали. маршруты появились опять:
95.24.74.100 255.255.255.255 192.168.1.1 192.168.1.3 20
95.73.251.46 255.255.255.255 192.168.1.1 192.168.1.3 20
08.08.2015, 08:17
felcons

Эксперементальным путем удалось выяснить, что лишние маршруты появляются, когда запущен utorrent. он у меня пропатчен на предмет dht. но вот если он не запущен, то лишних маршрутов не появляется. Может есть где другая версия пропатченного на предмет dht utorrent клиента? А по поводу папки device, то пока я так и не выяснил, от чего она появляется в корне системного диска.
08.08.2015, 13:30
SQ

На этом все, выходит данная проблема все же от utorrent, с этим помочь не сможем, Вам дорога к разработчику данного ПО.
12.08.2015, 19:23
felcons

А utorrent, вообще должен создавать дополнительные маршруты? А что по папке divece? мы так и не выявили, кто её создаёт.
13.08.2015, 01:24
SQ

[QUOTE=felcons;1303897]А utorrent, вообще должен создавать дополнительные маршруты? [/QUOTE]
Вы ранее написали:
[QUOTE]он у меня пропатчен на предмет dht[/QUOTE]
возможно в этом проблема.

[QUOTE=felcons;1303897]
А что по папке divece? мы так и не выявили, кто её создаёт.[/QUOTE]

Речь о каталоге:

[CODE]2015-07-20 15:50 - 2015-07-20 15:50 - 00000000 ____D E:\Device[/CODE]

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFileF('E:\Device', '*', false,'', 0, 0);
BC_ImportQuarantineList;
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
Код:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.
13.08.2015, 01:34
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]32[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] f:\program files\rhinosoft.com\serv-u\servutray.exe - [B]not-a-virus:Server-FTP.Win32.Serv-U.6404[/B][/LIST][/LIST]