svchost.exe открывает СОТНИ соединений

Printable View

20.04.2009, 23:32
plug

Вложений: 3

svchost.exe открывает СОТНИ соединений

svchost.exe открывает СОТНИ соединений на незнакомые сайты )))
Помогает блокировка фаерволом процесса services.exe (естественно блокировка процесса svchost не желательна по причинам надобности локальной сети и интернета).
Проверял на вирусы при помощи AVG8.5 free и kaspersky removal tool 7.0 (вирусная база от 20.04.2009).
Касперский нашел Win32.mufanom.p и win32.inject.sph. Проблема не пропала.

Спасибо всем кто сможит что посоветовать
20.04.2009, 23:45
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('RRRZNVVF');
QuarantineFile('C:\WINDOWS\system32\drivers\RRRZNVVF.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\RRRZNVVF.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
21.04.2009, 08:59
plug

Вложений: 3

выполнил скрипт, отослал карантин согласно приложению 3, прикрепояю новые логи

p.s. после выполнения скрипта блокировка фаерволом процесса services.exe уже не помогает ;(. svchost самостоятельно отрывает большое кол-во соединений
21.04.2009, 11:46
Rene-gad

Сделайте лог gmer: [url]http://virusinfo.info/showthread.php?t=40118[/url]
При выполнении лога отключите антивирус и файрвол.
21.04.2009, 21:41
plug

Вложений: 1

Отправляю запрошенный лог файл от Gmer.
p.s. люди добрые помогите кто чем может, компьютер сильно сильно болен :(
21.04.2009, 21:48
V_Bond

C:\WINDOWS\system32\drivers\ndis.sys - пришлите согласно приложения 2 правил
21.04.2009, 23:06
plug

отправил C:\WINDOWS\system32\drivers\ndis.sys согласно приложению 2.
Как только я его выгрузил из памяти - AVG сразу нашел там троян Rootkit-Agent.DI.
Подскажите как вылечить этот файл - он же нужен для нормальной работы сетевых сервисов... Похоже дело именно в нём.
p.s. а правда ли что почти все (если не все) антивирусы не могут проверить/вылечить файлы, которые УЖЕ загружены как драйверы?
21.04.2009, 23:10
V_Bond

файл нужо заменить на чистый из консоли восстановления и ли загрузившист с CD
21.04.2009, 23:16
plug

Ага, спасибо.

Нашел на дружественном сайте:
Вариант 1.
1. Нажмите кнопку "Пуск" и выберите команду "Выполнить".
2. В диалоговом окне "Открыть" введите команду cmd и нажмите кнопку "OK".
3. В командной строке введите sfc /scannow и нажмите "ENTER".
Windows будет проверять целостность системных файлов, [B]понадобится диск с дистрибутивом[/B].

Вариант 2.
1. Загрузиться с LiveCD (там этот файл не сможет маскироваться).
2. Перезаписать нормальным файлом.

Всем большое спасибо
21.04.2009, 23:26
V_Bond

sfc /scannow поможет если у вас дистрибутив с сп3 ...
21.04.2009, 23:35
plug

есть )
тока постоянно пишет "Files that are requires for Windows to run properly must be copied to the DLL Cashe."
варинты: Retry , More Information , Cansel
нажимаю Retry - виндовс дальше запускает проверку и через какое то вемя выдает опять тоже.
Мне поможет постоянное нажатие Retry или надо загрузиться с диска и там запустить консоль восстановления?
21.04.2009, 23:56
V_Bond

в DLL Cashe у вас тоже файл подменен ... лучший вариант с CD
22.04.2009, 20:18
plug

ещё раз благодарствую

[size="1"][color="#666686"][B][I]Добавлено через 9 часов 45 минут[/I][/B][/color][/size]

заменил
C:\WINDOWS\system32\drivers\ndis.sys
на оригинальный - пока всё норм )
23.04.2009, 20:18
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\drivers\ndis.sys - [B]Virus.Win32.Protector.a[/B] ( DrWEB: Trojan.NtRootKit.2670, BitDefender: Trojan.Kobcka.HN )[/LIST][/LIST]