Большой исходящий трафик на различные неизвестные хосты

Обнаружил при помощи программки Glass Wire (брэндмауэр от бесплатного антивируса 360 total security) большой исходящий трафик (по нескольку Gb за сутки с компьютера на неизвестные мне хосты. Примеры хостов: s18374473.onlinehome-server.info, SOL-FTTB.99.217.118.46.sovam.net.ua, n178-18-13-h145.gw-net.metromax.ru и прочие:
[ATTACH=CONFIG]597504[/ATTACH]
Я пытался блокировать конкретные хосты через брэндмауэр windows. С блокированных хостов трафик исчезал, но возникали все новые хосты на которые постоянно генерируется исходящий трафик.

Выполнил ваши инструкции:
1.Сделал полную проверку компьютера антивирусом 360 total sec
2. Сделал проверку инструментом Касперского
Проблема осталась

Уважаемый(ая) [B]vvkokoev[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[QUOTE]AVZ запущен из терминальной сессии (RDP-Tcp#0)[/QUOTE]

Здравствуйте,

Переделайте логи не из терминальной сессии.

Здравствуйте!
Выполнил не из терминальной сессии.

Здравствуйте,

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
QuarantineFile('c:\program files (x86)\tweak marketing\advanced direct remailer\adr.exe','');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
BC_ImportQuarantineList;
ExecuteRepair(1);
end.
[/CODE]

Перезагрузите сервер вручную.

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

Все выполнено по Вашей инструкции.

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-363796185-3904313707-2134927466-1104\...\Policies\Explorer: []
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
Toolbar: HKLM - No Name - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} - No File
Toolbar: HKLM - No Name - {CC1A175A-E45B-41ED-A30C-C9B1D7A0C02F} - No File
CHR HKLM-x32\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck] - <no Path/update_url>
CHR HKLM-x32\...\Chrome\Extension: [ilamgbdaebkbpkkmfmmfbnaamkhijdek] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ofdgafmdegfkhfdfkmllfefmcmcjllec] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pnooffjhclkocplopffdbcdghmiffhji] - hxxps://clients2.google.com/service/update2/crx
2015-11-03 14:36 - 2015-11-03 14:36 - 00673312 _____ (MediaGet LLC) C:\Users\Вячеслав\Downloads\u0421u043au0430u0447u0430u0442u044c-u0431u0435u04_id3697541ids2s.exe
Task: {9667FD56-9DD8-4E6D-BC16-0253E3195F04} - System32\Tasks\RegClean Pro_UPDATES => C:\Program Files (x86)\RegClean Pro\RegCleanPro.exe [2013-02-28] (Systweak Inc) <==== ATTENTION
Task: {C09AE06B-8E29-4FEE-B9B5-8C1B7A30A582} - \nethost task -> No File <==== ATTENTION
Task: {CDA1A82A-2DDD-4B90-8998-ABCE88B97DA2} - System32\Tasks\RegClean Pro_DEFAULT => C:\Program Files (x86)\RegClean Pro\RegCleanPro.exe [2013-02-28] (Systweak Inc) <==== ATTENTION
Task: {D7C3527F-49A2-4B8F-8307-1DD0787DC191} - \3CXAbyssWebserver Recycle -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:373E1720
AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A
AlternateDataStreams: C:\ProgramData\TEMP:A064CECC
AlternateDataStreams: C:\ProgramData\TEMP:A1364FD1
AlternateDataStreams: C:\Users\Все пользователи\TEMP:373E1720
AlternateDataStreams: C:\Users\Все пользователи\TEMP:41ADDB8A
AlternateDataStreams: C:\Users\Все пользователи\TEMP:A064CECC
AlternateDataStreams: C:\Users\Все пользователи\TEMP:A1364FD1
EmptyTemp:
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

Обратите внимание на следующую ошибку в системных событиях:
[QUOTE]
Error: (11/04/2015 08:12:58 PM) (Source: Ntfs) (EventID: 55) (User: )
Description: Структура файловой системы на диске повреждена и непригодна к использованию.
Запустите программу CHKDSK на томе \Device\HarddiskVolumeShadowCopy4.[/QUOTE]

Рекомендуется выполнить проверку на ошибки файловой системы.

Доброе утро.
Выполнил Ваши рекомендации. Жду дальнейших инструкций.

Что с проблемой?

Здравствуйте! Беда ушла. Большое спасибо. Хорошо, что есть такой хороший проект virusinfo.
Из-за чего был такой трафик на компьютере какие меры предосторожности принять на будущее?

С большим уважением,
Вячеслав

[QUOTE=vvkokoev;1329331]
Из-за чего был такой трафик на компьютерев[/QUOTE]

Данное поведение возможно из-за ранее присутствующего у Вас на ПК остатки вредоносного ПО по типу Adware.

Сегодня проблема вернулась. Снова травик исхлдящий на неизвестный хост. Скрин в приложении.

Здравствуйте,

Для того, чтобы исключить возможность легального трафика выполните следующие инструкции.

На момент воспроизведения проблемы пожалуйста выполните следующую команду в командной строке (cmd.exe)
[CODE]netstat -aonp TCP | findstr "31.186.144.56:80"[/CODE]

,где 31.186.144.56 - целевой ip-адрес исходящего трафика.

Далее значение PID из предыдущего вывода(последнее значение в результата) укажите вместо "PID" в следующей команде:
[CODE]tasklist | findstr /c:"PID" [/CODE]

Здравствуйте!
Выполнил как Вы сказали. Вот что получилось. Скрин прикреплен.
Еще одно дополнение: в момент активизации несанкционированного исходящего трафика происходит прерывание сеанса подключения к компьютеру через удаленный рабочий стол: т.е. связь то прерывается не надолго то снова восстанавливается самопроизвольно. Что делать, как устранить?

Согласно, указанному скрину ip:94.185.86.2 подключен к ПК по протоколу RDP (3389/tcp).

Рекомендую сменить все пароль, если пароли не установлены, то установить их, так как по сей видимости если Вам этот ip незнаком, то выполняется несанкционированное подключение к ПК.
Также если между компьютером и интернетом стоит роутер (маршрутизатор) сменить там пароли и пересмотреть настройки.