svchost.exe открывает кучу соединений на 445 порт

После загрузки системы svchost.exe пытается установить соединение с разнообразной кучей IP адресов, на первый взгляд не повторяющихся на порт 445. Так же в начале работы svchost пытается соединяется с чем-то на 80 порт, успешно, в журнале Comodo Firewall числится иногда по 60 кб закаченной информации, и соединений или попыток соединений в списке штук по 20-30.
Traffic Inspector показывает, что на 445 порт на разные айпишники лезет ws2_32.dll.
Соединение на 445 удаленный порт я временно закрыл файерволом. Лечение дрвебом обнаружило windowsautomaticupdates.exe в каталоге system32, удалил.
Прошу помощи...

а где virusinfo_syscure.zip?
virusinfo_cure.zip прикреплять нельзя

Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
DeleteService('Windows Log');
QuarantineFile('C:\WINDOWS\system32\nvsvcd.exe','');
QuarantineFile('c:\docume~1\an\applic~1\trustm~1\teamaudiofour.exe','');
DeleteService('runtime2');
DeleteService('PSSdk21');
QuarantineFile('HookDLL.DLL','');
DelBHO('{68EBD240-34BC-4503-8432-D2AB5168F4EB}');
DelBHO('{B863453A-26C3-4e1f-A54D-A2CD196348E9}');
DelBHO('{C8A2694C-B669-579E-4212-1E4F0802301F}');
DeleteFile('winusi32.dll');
DeleteFile('C:\WINDOWS\system32\undname.exe');
DeleteFile('C:\WINDOWS\system32\svshost.dll');
DeleteFile('C:\WINDOWS\system32\ntsock.exe');
DeleteFile('C:\WINDOWS\system32\nvsvcd.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите карантин через ссылку [b][color=red]Прислать запрошенный карантин [/color][/b] вверху темы, как написано в приложении 3 Правил.
[b]Обновите базы AVZ![/b]
Сделайте новые логи и приложите к этой теме.

virusinfo_syscure.zip не видел, было тока два зипа после работы AVZ, которые и прислал. Может че напутал...

Спасибо за помощь! Чет дофига... Странно, винт машины до этого отцеплял и зацеплял на неинфицированную с лиценз виндой, апдейтами и обновленным антивирусом ESET. Просканировал винт, ниче не нашлось... Завтра на работе попробую это сделать.

В основном, остались следы в реестре. Вредоносных файлов может уже не быть.

Скрипт выполнил. Отправившись в перезагрузку, винда зависла, оставив на экране обои и мышь, перегрузил Reset'ом. Карантин оказался пуст, прислать нечего. Далее собрал логи по правилам, во время перезагрузки между syscure и syscheck перезагрузился в линукс и проверил наличие runtime*.sys в каталоге драйверов, и остальных указанных в скрипте файлов - отсутствуют. Правда hookdll.dll по всему диску не искал. Логи прилагаю.
svchost.exe ведет себя так же, правда меньше - лезет везде и всюду после загрузки на 445 порт, скачивает что-то с 80-го, через пару минут затихает.
Да, и еще. При втыкании флэшки на ней образуется файл autorun.inf. Открыл в блокноте, файл содержит 57.9 кб какой-то бинарной фигни, правда строчки часто начинаются с ";".

Дополнение. Еще на флэшке образуется каталог RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665, и в нем лежит файл jwgkvsq.vmx, при удалении autorun.inf и этого каталога при попытке автозапуска винда пытается этот .vmx и загрузить. Скопировал оба файла, если надо, могу прислать.

Скормил оба файла eset на другой машине. Нашел в них Win32/Conficker.AA. Странно, что на винте с зараженной системой ниче не нашел при этом. Остаюсь зараженный.

[QUOTE=imprg;348201]
Да, и еще. При втыкании флэшки на ней образуется файл autorun.inf. Открыл в блокноте, файл содержит 57.9 кб какой-то бинарной фигни, правда строчки часто начинаются с ";".

Дополнение. Еще на флэшке образуется каталог RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665, и в нем лежит файл jwgkvsq.vmx, при удалении autorun.inf и этого каталога при попытке автозапуска винда пытается этот .vmx и загрузить. Скопировал оба файла, если надо, могу прислать.
[/QUOTE]
Это один из варианттов Кидо. Надо заплатки ставить.
Остатки в реестре все-таки есть:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('runtime2');
QuarantineFile('C:\WINDOWS\System32\drivers\protect.sys','');
BC_DeleteSvc('protect');
DeleteFile('C:\WINDOWS\System32\drivers\protect.sys');
DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторить логи.
То, что появляется на флешке, прислать по Правилам через карантин AVZ.

Усе, наконец-то нашел я его. gejldrf.dll в каталоге system32, срубил нафиг, стало все ок. Файлы на флэшке не появляются, svchost никуда не лезет. Стелс, зараза, пришлось из-под линукса срубать. Он самый, кидо. Если нужен, пришлю.
protect.sys и runtime2.sys нету на машине. Хотя ща на всякий случай выполню скрипт.

Файл сохранён как 090212_114943_virus_4993e2a725a00.zip

Да-а-а.
Прозевал я его. :( Из дома писал торопился.
Из лога AVZ:
[QUOTE]3. Сканирование дисков
Прямое чтение C:\WINDOWS\system32\gejldrf.dll[/QUOTE]

Не страшно :-) Нашел его и ладно.
На всякий случай еще последний лог, после удаления. Патч от микрософта поставил. А заразился судя по всему я через расшаренный на моей машине принтер.

Вопрос еще по теме. Как отключить автозапуск файлов с флэшки? Шоб даже при наличии autorun.inf на флэшках был тока запрос "че делать"?

У нас в "Чаво" есть тема по этому поводу.

В принципе все теперь работает, но есть последствия - с приходом вируса мой расшаренный принтер никому не виден. Как и расшаренный каталог. Можно это исправить? Перезапускал службы, закрывал и снова открывал доступ к принтеру, бестолку.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \autorun.inf - [B]Worm.Win32.AutoRun.etg[/B] (DrWEB: Win32.HLLW.Shadow)[*] \gejldrf.dll - [B]Net-Worm.Win32.Kido.by[/B] (DrWEB: Win32.HLLW.Autoruner.5555)[*] \jwgkvsq.vmx - [B]Net-Worm.Win32.Kido.by[/B] (DrWEB: Win32.HLLW.Autoruner.5555)[/LIST][/LIST]