Вложений: 3
svchost.exe работает спам-почтальоном
[B]Та же самая история, что описано здесь [/B][URL="http://forum.kaspersky.com/index.php?showtopic=20502&view=findpost&p=178333"][B]http://forum.kaspersky.com/index.php?showtopic=20502&view=findpost&p=178333[/B][/URL][B], [/B]
[B]радикального решения не найдено.[/B]
В системе (XP SP2) установлены ZAPro, KAV5 (сейчас установлен KAV6)
+ железный firewall на рутере D-link. Локальная сеть из 4х PC.
Была замечена повышенная сетевая активность одного компьютера.
Программы, выходящие в интернет: svchost.exe(9 процессов), winlogon.exe (1 процесс), иногда KAV.
Ни KAV, ни ZAP ничего подозрительного не видели, пока не была установлена проверка почтового трафика в ZA.
Сразу были замечены KAV.exe и svchost.exe, отправляющие несанкционированную почту в драматическом объеме (более 5сообщ за 5сек. При установке блоков на вышеупомянутые программы, прекратился доступ в интернет.
Первый мой шаг - я ограничил через рутер доступ в интернет только к самым необходимым сайтам.
KAV6 поймал вирус один раз, опознал как
Trojan program [B]Trojan-Proxy.Win32.Dlena.an[/B]
File: F:\WINDOWS\system32\59562502ld.exe ,
удалил его. Потом, при явной активности Вируса, КАВ6 его не видел.
И то, что он запустил "в своих интересах" несколько копий svchost.exe, не опознал. Причем, при загрузке КАВ6 спрашивает, что svchost пытается запуститься, как child приложение, но кем оно запускается, не видит. Если запуск запретить, то окошко появляестя вновь и вновь. Запрещаешь - нет доступа в интернет, разрешаешь - льется исходящий спам.
В корне windows лежит около 30 файлов с названиями, похожими на 59562502ld.exe, у всех последние 2 символа ld:
10145312ld.exe, 1124682ld.exe, 12162502ld.exe, 12520437.cpx, 12520850.cpx, 13274532ld.exe, 13435152ld.exe, 137622ld.exe, 14182342ld.exe, 1442812ld.exe
15443432ld.exe, 15546712ld.exe, 16201872ld.exe, 1811712ld.exe, 18221712ld.exe, 20179532ld.exe, 20241252ld.exe, 22261092ld.exe, 22345782ld.exe, 2428152ld.exe
24515152ld.exe, 26299372ld.exe, 267342ld.exe, 28318432ld.exe, 29339532ld.exe, 30337502ld.exe, (архив с этими файлами приложу по запросу)
Процесс работы вируса (я далек от этой темы, поэтому сразу прошу прощения за неточности в терминологии): Он запускает svchost как child(Attempt to run process(svchost.exe) as a child of [URL="file://\\?\F:\WINDOWS\system32\winlogon.exe"]\\?\F:\WINDOWS\system32\winlogon.exe[/URL] (PID: 732)), а тот в свою очередь лезет в интернет и рассылает спам. В качестве "подсадной утки" может выступать любой процесс, стоящий в автозагрузке. Сам Kav, ZA, winlogon. Активность работы вируса всегда разная, он может занять все 100% системных ресурсов, а может и тихонько шуршать на 10%. Если стоит InternetLock (опция ZA), он может попробиваться в интернет, потом успокоиться до следующего подключения.
Последствия действия программы:
[URL="http://600dpi.ru/out/virusmazafaka/za-blocked-emails.gif"]http://600dpi.ru/out/virusmazafaka/za-blocked-emails.gif[/URL] (42кб)
Еще несколько "веселых" картинок здесь:
[url]http://600dpi.ru/out/virusmazafaka/[/url]
Итог лишь в том, что избавиться от заразы не получается,
можно лишь избегать ее последствий, блокируя выход в интернет зараженных ресурсов или ограничивая доступ к минимуму сайтов.
И еще, мой внешний ip-адрес, естественно, попал в глобальные спам-листы.
Даже трудно представить, сколька спама от меня ушло...
Машина тормозит катастрофически.
Пока набирал это сообщение, вирус проявил себя (по крайней мере, показался):
[URL="http://600dpi.ru/out/virusmazafaka/while-typing.jpg"]http://600dpi.ru/out/virusmazafaka/while-typing.jpg[/URL] (70кб)
