DHCP Virus

[U]итак имееться:[/U]
1. локальная сетка Ethernet, построена на неуправляемых свичах dlink
2. адреса рабочим станциям выдаються службой DHCP (W2K3)
3. на машинах установлен Eset Nod32 3.0, базы свежие, регулярно обновляюца.
4. обновления безопасности винды тоже имеются.

[U]проблема:[/U]
каждый понедельник, ровно в 8 утра, машины подключенные к одному из свичей, перестают получать адрес. Через некоторое время все встает на свои места.

[U]синдромы:[/U]
1. Если в это время поставить статический адрес, то пинги до сервака не проходят.
2. Адрес получают на подобии 169.254.97.6..

[U]подозрения:[/U]
1. Zlob.DNS Changer (т.к. были обнаружены записи в реесте :Tcpip\Parametrs\NameServer 85.255.112.208 85.255.112.79
2. Trojan.Flush.M (подозрение на поддельный DHCP сервер который раздает неправильные dns настройки клиентам, на том же свиче)

[U]действия:[/U]
1. был сужен круг подозреваемых, до 5 компьютеров..
2. на указанных компьютерах была проведена проверка:
а.) DrWeb CureIt (ничего)
б.) HiJackThis (ничго подозрительного)
в.) Trojan Remover (ничего)
г.) Anti-Malware (обнаружил остатки MyWebSearch недоснесенного Нодом)
д.) ExtrimateIt (ничего)
е.) AVZ (ничего подозрительного)
Ё.) сканирование открытых портов по которым работает dhcp на этих хостах тоже ничего не дало.
3. жду следущего понедельника чтобы воспользоваться DhcpExplorer для обнаружения поддельного Dhcp :)

вопрос: какие советы будут?
где еще можно посмотреть следы трояна..
принимаю любые предложения :)

Лог представьте с одной из рабочих станций. Иначе это просто гадание на кофейной гуще.

вот логи с предполагаемого разносчика

virusinfo_cure.zip удалите отсюда

>> Опасно ! Обнаружена маскировка процессов -- Установите AVZPM
Перезагрузитесь и сделайте заново логи. На новое устройство внимания не обращайте.

сделал

Был скрытый процесс и исчез не показавшись. Странно это все.

[QUOTE=PavelA;433469]Был скрытый процесс и исчез не показавшись. Странно это все.[/QUOTE]

и я про тоже :(

[size="1"][color="#666686"][B][I]Добавлено через 1 час 11 минут[/I][/B][/color][/size]

только что отработал AVP Tool - ничего не нашел