services.exe гонит беспорядочный трафик

Всем доброго дня!

Процесс, который маскируется под services.exe гонит беспорядочный трафик на разные адреса. Найти его не могу. На virusinfo доступа нет.
Логи в атт., глянте, спасибо.

В AVZ выполните скрипт:

[code]
Function RegKeyResetSecurityEx(ARoot, AName : string) : boolean;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
RegKeyResetSecurity(ARoot, AName);
KeyList := TStringList.Create;
RegKeyEnumKey(ARoot, AName, KeyList);
for i := 0 to KeyList.Count-1 do
begin
KeyName := AName+'\'+KeyList[i];
RegKeyResetSecurity(ARoot, KeyName);
RegKeyResetSecurityEx(ARoot, KeyName);
end;
KeyList.Free;
end;
Function BC_ServiceKill(AServiceName : string; AIsSvcHosted : boolean = true) : byte;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
Result := 0;
if StopService(AServiceName) then Result := Result or 1;
if DeleteService(AServiceName, not(AIsSvcHosted)) then Result := Result or 2;
KeyList := TStringList.Create;
RegKeyEnumKey('HKLM','SYSTEM', KeyList);
for i := 0 to KeyList.Count-1 do
if pos('controlset', LowerCase(KeyList[i])) > 0 then begin
KeyName := 'SYSTEM\'+KeyList[i]+'\Services\'+AServiceName;
if RegKeyExistsEx('HKLM', KeyName) then begin
Result := Result or 4;
RegKeyResetSecurityEx('HKLM', KeyName);
RegKeyDel('HKLM', KeyName);
if RegKeyExistsEx('HKLM', KeyName) then
Result := Result or 8;
end;
end;
if AIsSvcHosted then
BC_DeleteSvcReg(AServiceName)
else
BC_DeleteSvc(AServiceName);
KeyList.Free;
end;
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\Valentin\LOCALS~1\Temp\w_wE.tmp','');
QuarantineFile('C:\WINDOWS\system32\Drivers\ilamcoig.sys','');
DeleteFile('C:\WINDOWS\system32\Drivers\ilamcoig.sys');
DeleteFile('C:\DOCUME~1\Valentin\LOCALS~1\Temp\w_wE.tmp');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\VBRuntime','EventMessageFile');
BC_ImportDeletedList;
ExecuteSysClean;
AddToLog(inttostr(BC_ServiceKill('ilamcoig')) );
SaveLog(GetAVZDirectory+'avz_log.txt');
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum','{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.
[/code]

После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы
Логи повторите

Я не уверен в достоверности логов, поскольку получаю их с удалённого компа от удалённого пользователя весьма неграмотного, но, в атт всё, что есть. В папке Quarantine папка с сегодняшней датой, но она пуста. Заработал доступ на virusinfo

В AVZ пусть выполнит скрипт:

[code]
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\ilamcoig');
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\ilamcoig\Parameters');
ExecuteWizard('TSW',3,3,true);
RebootWindows(true);
end.
[/code]
Нужен лог virusinfo_syscheck.zip + в дополнение сделайте лог [url=http://virusinfo.info/showthread.php?t=40118]Gmer[/url]

Удалось сделать архив карантина с файлом C:\WINDOWS\system32\Drivers\ilamcoig.sys. Скопировать файл в карантин вручную не удавалось. "Файл занят другим приложением". В safe mode ьфшина уходит в перезагрузку на стадии загрузки личных параметров любого пользавателя. Файл скопирован в карантин с помощью бут-сд.

Файл сохранён как 100209_203522_Quarantine_4b719cdae1991.zip
Размер файла 755452
MD5 c0e947804eb60e0f4a456f158dac9d83

Gmer сделать полный, или достаточно только начало?
остальные логи в атт.

За это вам особое спасибо :)
Подождем результата от аналитиков.
=
gmer - нужно полный скан.

[QUOTE=миднайт;582865] За это вам особое спасибо :)[/QUOTE]
М-ммм... за спасибо - спасибо! конечно-же! а за что, конкретнее?

[QUOTE=миднайт;582865] Подождем результата от аналитиков.[/QUOTE]
ждёмс...
[QUOTE=миднайт;582865]gmer - нужно полный скан.[/QUOTE]
понял. сделаем.

В AVZ выполните скрипт:

[code]
begin
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\drivers\oreans32.sys','');
DeleteFileMask('%Tmp%', '*.*', true);
DeleteFileMask('C:\Documents and Settings\LocalService\Local Settings\Application Data\Temp\', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('TSW',2,2,true);
ExecuteWizard('SCU',3,3,true);
RebootWindows(true);
end.
[/code]

После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Выполните скрипт (ScanVuln.txt) во вложении, результат c:\avz_log.txt или из папки AVZ\Log прикрепите к сообщению.
Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы

[ATTACH]216192[/ATTACH]

Файл сохранён как 100218_151332_Quarantine_4b7d2eec7d55d.zip
Размер файла 32373
MD5 826d02daab3195b1b6934476c7d699cf

и avz_log в атт.

[B]C:\WINDOWS\system32\drivers\oreans32.sys[/B] - файл чистый.
avz_log.txt - не тот файл прикрепили, повторите ScanVuln.txt. Прикрепите новый avz_log.txt

сорри, вот то походу:

Пройдитесь по ссылкам из лога avz_log.txt , поставьте обновления на систему.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]