svchost.exe спамит изодящие подключения

Printable View

26.10.2008, 15:44
Hostile

Вложений: 3

svchost.exe спамит изодящие подключения

Процесс svchost.exe постоянно спрашивает разрешения на исходящее подклюечие к 216.195.61.61. и еще нескольким спам-адресам рассылки в т.ч.:
msx.mail.ru (94.100.176.20),
fg-in-f27.google.com (72.14.221.27),
gsmtp183.google.com (64.233.183.27),
mx2.messagegibgengine.com (66.111.4.71),
mail7.hsphere.cc (216.157.145.27),
fg-in-f114.google.com (72.14.221.114)

запретил их поадресно в Аутпосте - но это же не выход....
проверял на вирусы Др.Вебом с последними базами - результатов нет.
проверял Malwarebytes' Anti-Malware - результаты были, почистил - но спам подключений всеравно остался...надеюсь на вашу помощь!
26.10.2008, 15:58
Rene-gad

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('Ovb17');
StopService('Mty06');
StopService('Lrw63');
StopService('ati5puxx');
QuarantineFile('C:\WINDOWS\System32\Drivers\Ovb17.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Mty06.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Lrw63.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\ati5puxx.sys','');
DeleteFile('C:\WINDOWS\System32\Drivers\Ovb17.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Mty06.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Lrw63.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\ati5puxx.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Ovb17');
BC_DeleteSvc('Mty06');
BC_DeleteSvc('Lrw63');
BC_DeleteSvc('ati5puxx');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[CODE]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/CODE]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 2 п.4 правил).
- Прикрепите логи к новому сообщению.
26.10.2008, 16:40
Hostile

Вложений: 3

после скрипта...
выслал архив с карантином.
26.10.2008, 17:10
V_Bond

[URL="http://www.majorgeeks.com/downloadget.php?id=5199&file=15&evp=0d36c3ec48c6373fd5daac78f0c6a417"]скачайте [/URL]C:\WINDOWS\System32\Drivers\ati5puxx.sys - force delete
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('ati5puxx');
DeleteFile('C:\WINDOWS\System32\Drivers\ati5puxx.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи
26.10.2008, 17:55
Hostile

Вложений: 3

Registry mechanic выдает ошибку при запуске: Unicode systems are currently not supported.

Сделал Форс дилит - ati5puxx.sys

когда делал скрипт - система в конце не перезагрузилась сама и подвисла - ничего кроме reset не помогло...

логи обновил...
26.10.2008, 17:57
V_Bond

какой Registry mechanic ? ...
віполните скрипт из поста 4 еще раз и повторите логи ...
26.10.2008, 18:17
Hostile

Вложений: 3

Ваша ссылка в 4м посте - ведет к скачке какой-то утилиты Registry Mechanic - вот я и упомянул про это....

сделал скрипт - новые логи...
26.10.2008, 18:40
V_Bond

[QUOTE=Hostile;301936]Ваша ссылка в 4м посте - ведет к скачке какой-то утилиты Registry Mechanic - вот я и упомянул про это....

сделал скрипт - новые логи...[/QUOTE]
ссылка [B]на прямое скачивание IceSword[/B] ... вам не терпелось что- то нажимать , вот вы иначали клацать по рекламным ссылкам ...
в логах ничего плохого ...