winlogon больше ста открытых портов

Сначала заметил что в файерволе постепенно нарастает количество открытых портов. Установил Нортон антивирус проверил он нашел несколько файлов с вирусами, я их всех удалил. В особенности много было файлов в папке восстановления системы. Потом поставил AntiVir он нашел еще файлы, я их тоже удалил. Заметил что порты открываются одним приложением (не помню каким). Когда его отключаешь порты закрываются, но потом оно запускается опять. Я удалил это приложение.

Потом стало запускаться и открывать порты Run32dll, таже песня. Сейчас Winlogon и Run32dll, но ведь winlogon не закроешь. И при загрузке вылезают окна Файервола разрешить или блокировать приложения. "Запуск DLL как приложения", "Winlogon".

Вирус был LookMe (точно не помно) и Какой-то Trojan, тоже не помню удалил их всех Нортон.

А все началось с того, что через минут 10 в интернете невозможно открыть ни одной страницы и что либо закачать.

Какие есть соображения?
Спасибо!

[QUOTE=Into]Вирус был LookMe (точно не помно) и Какой-то Trojan, тоже не помню удалил их всех Нортон.
QUOTE]
Look2Me у Вас живее всех живых - начните лечение с удаления его, это он winlogon грузит.
пришлите на исследование файлы:
D:\WINDOWS\system32\pmnnk.dll
D:\Program Files\ScanSoft\OmniPageSE2.0\ophookSE2.dll

и на будущее - перед выполнением исследования системы отключайте лишние приложения типа Delphi, reget.

AntiVir & Symantec - не самое мудрое решение. Лучше поставьте КАВ6 или дрвеб 4.33... первый предпочтительней.

Прислать как написано в правилах вот эти файлы

d:\program files\ramcleaner\ramcleaner.exe
D:\WINDOWS\system32\cutemon2k.dll
D:\WINDOWS\system32\guard.tmp
D:\WINDOWS\system32\h8l2li3o18.dll
SystemRoot\System32\Drivers\FTD2XX.sys
D:\WINDOWS\System32\CNAB4RPK.EXE

>D:\WINDOWS\system32\h8l2li3o18.dll
Этого после того как отошлете можно удалать - это он открывает кучу портов.

[QUOTE=Sanja]>D:\WINDOWS\system32\h8l2li3o18.dll
Этого после того как отошлете можно удалать - это он открывает кучу портов.[/QUOTE]

Так он зараза такая изменяет имя при каждой загрузке. Я не смог его отправить, он не присоединяется ни в какую. Указываю явно путь. НЕТ и Всё. А все остальное вроде отправил.

Еще открывает порты Run32dll. Этот процесс завершаешь и половину портов закрываются.

Этого, который имя меняет - прибить посредством KAV 6. Или поискать в соседних темах описание ручного избиения.

Run32dll - процесс точно так называется?

Из присланного по Drweb:
D:\WINDOWS\system32\pmnnk.dll - Trojan.Virtumod ( [url]http://virusinfo.info/showthread.php?p=74464#post74464[/url] )
D:\WINDOWS\system32\guard.tmp - Adware.Look2me
D:\WINDOWS\system32\krdfc.dll - Adware.Look2me

Процесс точно называется Rundll32.exe.
При загрузке Вылезает окно Файервола Запуск DLL библиотеки как приложения, где он спрашивает что делать с приложением ... блокировать, обновить... И всегда новая xxxxx.dll

Сейчас уже более 500 портов открывается в течении часа...

ХЕЛЛППП!!!

[QUOTE=Into]Так он зараза такая изменяет имя при каждой загрузке.
[/QUOTE]
Пролечите систему [url=http://www.f-secure.com/tools/f-look2me.zip]f-look2me[/url] затем [url=ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe]CureIt[/url], после повторите 2 последних лога из правил.

Проверка f-look2me помогла. Порты закрылись.

А вот проверка Dr.Web Scaner обнаружила в файле pmnnk.dll вирус Trojan.Virtumod. Пишет что будет исцелен после рестарта. Нет не исцеляется. Чем исцелить? Или удалить как?

Последние два лога правил - это проверка hijackthis и отправка лога вам?

[QUOTE=Into]Проверка f-look2me помогла. Порты закрылись.[/QUOTE]

Угу "Неуловимый джо" -
O20 - Winlogon Notify: Shell Extensions - D:\WINDOWS\system32\h64m0gh1e64.dll (file missing)
"помер".

[QUOTE=Into]А вот проверка Dr.Web Scaner обнаружила в файле pmnnk.dll вирус Trojan.Virtumod. Пишет что будет исцелен после рестарта. Нет не исцеляется. Чем исцелить? Или удалить как?
[/QUOTE]
Последний из 2-х логов AVZ и Hijack.

Поехали дальше -
1. Cкачайте [url=http://swandog46.geekstogo.com/avenger.zip]The Avenger[/url]
2. Распакуйте программу к примеру в каталог C:\Avn
3. Запустите Avenger.exe и выбирите "Input script manually"
4. Нажмите на иконку с увеличительным стеклом.
5. Введите в открывшееся окно текст из рамки ниже -
[code]
Files to delete:
D:\WINDOWS\SYSTEM32\pmnnk.dll
[/code]
6. Нажмите на иконку со светофором.
7. Перезагрузитесь.
8. После перезагрузки в блокноте откроется файл с протоколом выполнения, сохраните его.
9. [url=http://virusinfo.info/showthread.php?t=4491]Пофиксите[/url] с помощью Hijack This -
[code]
O2 - BHO: (no name) - {6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - D:\WINDOWS\system32\pmnnk.dll
O20 - Winlogon Notify: pmnnk - D:\WINDOWS\SYSTEM32\pmnnk.dll
O20 - Winlogon Notify: Shell Extensions - D:\WINDOWS\system32\h64m0gh1e64.dll
O23 - Service: Network Monitor - Unknown owner - D:\Program Files\Network Monitor\netmon.exe (file missing)
[/code]
10. Повторите 2 последних лога из правил и добавьте к ним лог Avenger для проверки.

Вот все как говорилось!
HijackThis1.log до Fix
HijackThis.log после Fix и перезагрузки.

[QUOTE=Into]Вот все как говорилось![/QUOTE]
Ага, похоже чисто :)

Спасибо всем огромное за помощь! Компьютер заведомо лучше стал работать. Но вот что за Trojan.Virtumod?

[QUOTE=Into]Спасибо всем огромное за помощь! Компьютер заведомо лучше стал работать. Но вот что за Trojan.Virtumod?[/QUOTE]
[url]http://securityresponse.symantec.com/avcenter/venc/data/trojan.vundo.html[/url]