Printable View
Здравствуйте.
Вчера я случайно обнаружил странную активность svchost.exe, который коннектился на ip-адрес 209.59.202.* на порт 80 каждые полторы минуты. И в tasklist было 6 svchost. Проверив CureIt'ом я ничего не нашел. Сегодня утром я заметил в диспетчере задач уже 7 svchost, из них 3 от пользователя SYSTEM, 2 - NETWORK SERVICE, 2 - LOCAL SERVICE. Когда я отключил локальную сеть, то коннекты прекратились. Прошу помочь.
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\gdrv.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tap0901.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\ET5Drv.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\csrbc01.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\TBPanel.SYS','');
QuarantineFile('C:\Program Files\Macromedia\Dreamweaver 8\Macromedia_Dreamweaver_8.exe','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=27094[/url] ).
Очистите временные папки и кеш браузера.
Сделайте новые логи.
Закачал карантин. Логи в аттаче.
Какие действия предпринимать дальше?
Вроде активности svchost в интернет нет
Подождем ответ вирлаба о Вашем карантине.
В логах ничего плохого.
[CODE]Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)[/CODE]
Поставьте Сервис Пак 3
Большое спасибо за помощь!
Rene-gad, поставлю, спасибо за совет.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\ntos.exe - [B]Trojan-Spy.Win32.Zbot.djz[/B] (DrWEB: Trojan.Packed.569)[/LIST][/LIST]