Printable View
Добрый день!
В установленном Firewall Agnitum Outpost часто появляются smtp запросы от процесса n/a на разные адреса.
Firewall выдает предупрждение о том что была предотвращена попытка изменения файлов запускаемых приложений. Антивирусы ничего найти не могут.
Установлен NOD32 v.4.0.417
Скачивал бесплатные утилиты Касперского и Др.Веба (запускал в безопасном режиме) - они тоже ничего не нашли.
Прилагаю файлы исследований
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]R3 - URLSearchHook: (no name) - - (no file)
F2 - REG:system.ini: UserInit=C:\WINXP\System32\userinit.exe
[/CODE]
После перезагрузки:
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL]
Пофиксил, перезагрузился, запустил Gmer, сделал скан и лог.
- Сделайте лог [URL="http://www2.gmer.net/mbr/mbr.exe"]mbr.exe[/URL]
Лог
Ничего зловредного не видно.
Да, но постоянно запросы smtp от процесса n/a, предупрждения при запуске лююбой программы, что была предотвращена попытка изменения файла, а также пропала вкладка безопасность только на папке с антивирусом NOD32 и Firewall`ом Agnitum Outpost и я ничего ни удалить ни изменить в этой папке не могу, в безопасном режиме все нормально и вкладка безопасность появляется. Есть компьютеры в локальной сети - у них тоже с папкой Firewall и антивирус те же проблемы.
Скачайте special avz по ссылке в подписи и сделайте им логи по правилам. Базы обновлять не надо.
Логи
Уважаемый [B]Rene-gad[/B], Вы про меня не забыли?
PS. Извиняюсь что надоедаю, просто я в офисе где находится зараженный компьютер буду еще 1 час и потом только в понедельник.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{95289393-33EA-4F8D-B952-483415B9C955}');
QuarantineFile('C:\MDaemon\WebAdmin\WebAdmin.exe','');
DeleteFile('C:\Documents and Settings\server\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
[QUOTE=SergSC;447604]
Уважаемый [B]Rene-gad[/B], Вы про меня не забыли?.[/QUOTE]Уважаемый SergSC, мы обрабатываем заявки в порядке поступления :)
1. SMTP запросы пропали
2. Microsoft_DC запросы появились
3. Предупрждение от Firewall "Предотвращена попытка изменения файлов" осталось
4. Т.к. заходил на зараженный компьютер удаленно через RAdmin, забыл отключить ESET антивирус и он не дал файл закинуть в карантин AVZ, а сразу его сам себе в карантин забрал, я его оттуда извлек и отправил как просили (соответственно заархивировав с паролем).
5. Заметил, что когда в интернете работаешь браузер время от времени посылает пакеты на сайты :
google-analytics.com
google.com
b.scorecardresearch.com
cr-tools.clients.google.com
googleads.g.doubleclick.net
pagead2.googlesyndication.com
Я их прописал в файле hosts в папке \system32\drivers\etc с ip 127.0.0.1
[QUOTE=SergSC;449154]
Я их прописал в файле hosts в папке \system32\drivers\etc с ip 127.0.0.1[/QUOTE]
Не надо в файле hosts ничего прописывать, оставьте там только 127.0.0.1 localhost , все остальное - [I]фтопку[/I]
Можно скриптом:
[CODE]begin
ClearHostsFile;
RebootWindows(true);
end.[/CODE]
Microsoft_DC - это, извините, кто?
Сделайте по возможности логи по правилам в локальной сессии (не через Радмин и Ко.).
[QUOTE=Rene-gad;449275]
Microsoft_DC - это, извините, кто?
[/QUOTE]
Это 445 порт.
Логи я делал в локальной сессии, я скрипт удаленно запускал.
[size="1"][color="#666686"][B][I]Добавлено через 23 минуты[/I][/B][/color][/size]
Заметил, что SMTP запросы на разные IP опять появляются
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL]
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]