[B][B]- Kerio Winrout Firewall логирует hhtp-трафик с этой машины:[/B][/B]
[B]*.*.*.* - - [26May2008095142 +0400] POST [URL]:http:d3m0n.tv/web/s.php[/URL]? HTTP1.1 404 954[/B]
[B]- Не устанавливаются обновления Виндоуз;[/B]
[B]- Подозрение на кейлоггер.[/B]
Программа AVZ - файл - выполнить скрипт - выполните следующий скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\livenote.exe','');
QuarantineFile('C:\WINDOWS\System32\livenote.exe','');
QuarantineFile('C:\WINDOWS\System32\khooker.exe','');
QuarantineFile('C:\WINDOWS\htpatch.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\HSF_CNXT.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\rksample.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\basic2.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\anvioctl.sys','');
BC_ImportquarantineList;
BC_Activate;
RebootWindows(true);
end.[/code] Система будет перезагружена. После перезагрузки, карантин AVZ загрузите по ссылке [url]http://virusinfo.info/upload_virus.php?tid=23423[/url] , как написано в прил.3 правил.
Дополнение:
- Kerio Winrout Firewall логирует hhtp-трафик с этой машины на [url]:http:d3m0n.tv/web/s.php?[/url] один раз в минуту, и один раз в сутки на "GET [url]:http:213.186.126.105/bots/cfg.bin[/url] HTTP/1.1" 200 36956
Прошу помощи!
В присланном карантине все файлы чистые. В карантин не попали livenote.exe , C:\WINDOWS\System32\khooker.exe , C:\WINDOWS\htpatch.exe . Попробуйте поискать их самостоятельно. Если найдете - запакуйте в архив с паролем virus и загрузите по ссылке [url]http://virusinfo.info/upload_virus.php?tid=23423[/url]
khooker.exe найти не удалось.
livenote.exe и htpatch.exe закачал.
Никто ничего не посоветовал, как поймать зловреда :(
Пришлось действовать самому.
Попытки накатить SP3 приводили к БСОД.
Переустановил ОС!
Всем спасибо!
Печально, что поздно увидел тему. :(
Кусочек лога AVZ:
[CODE]
Прямое чтение C:\Documents and Settings\Инна\Application Data\ntos.exe
Прямое чтение C:\Documents and Settings\Инна\Application Data\wsnpoem\audio.dll
Прямое чтение C:\Documents and Settings\Инна\Application Data\wsnpoem\video.dll[/CODE]
Скорее всего это те самые звери.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]22[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]