Непонятное поведение Windows Server 2003

Серьезные подозрения на вирус. Все началось с того, что сервер пропал из сети. При попытке зайти в свойства сетевого адаптера, подвисло все окно "Сетевые подключения", при этом ОС работает нормально. Дальше больше, при попытке остановки служб, так же подвисает окно со службами, при попытке установки программ - то же самое. Программы запускаются выборочно, AVZ - запустился, а вот Cure It - нет. Nod с актуальными базами ничего не нашел, AVZ тоже, но по всем признакам какая то зараза сидит. :umnik2:

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\documents and settings\cto\local settings\temporary internet files\content.ie5\b4m95hn0\469c7vgb[1].exe');
QuarantineFile('C:\WINDOWS\TEMP\MBX@728@11E33A0.###','');
QuarantineFile('c:\documents and settings\cto\local settings\temporary internet files\content.ie5\b4m95hn0\469c7vgb[1].exe','');
DeleteFile('c:\documents and settings\cto\local settings\temporary internet files\content.ie5\b4m95hn0\469c7vgb[1].exe');
DeleteFileMask('c:\documents and settings\cto\local settings\temporary internet files\content.ie5','*.*',true);
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам

Выполните: [url]http://support.kaspersky.ru/kis2009/error?qid=208636215[/url]

Сделайте новые логи

Выполнил скрипт, сходил по ссылке, поставил 3 заплатки, прошелся утилитой kk.exe. После этого сделал новые логи. Видимых изменений - нет. :(

Такой лог сделайте: [url]http://virusinfo.info/showthread.php?t=40118[/url]

[QUOTE=Venus Doom;684349]Такой лог сделайте: [URL]http://virusinfo.info/showthread.php?t=40118[/URL][/QUOTE]
Сделал.

Сохраните текст ниже как [B]cleanup.bat[/B] в ту же папку, где находится [B]gmer.exe[/B]
[CODE]gmer.exe -del service yltfl
gmer.exe -del file "C:\WINDOWS\system32\czukmdv.dll"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\yltfl"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\yltfl"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\yltfl"
gmer.exe -reboot[/CODE]И запустите [B]cleanup.bat[/B].
Компьютер перезагрузится

Сделайте новый лог gmer.

[QUOTE=Venus Doom;684897]Сохраните текст ниже как [B]cleanup.bat[/B] в ту же папку, где находится [B]gmer.exe[/B]
Сделайте новый лог gmer.[/QUOTE]
Батник сделал и выполнил.
Лог записал.
Изменений нет. :(

Сделайте новый комплект логов

[QUOTE=Venus Doom;685197]Сделайте новый комплект логов[/QUOTE]
Эти нужны логи?

Вы не забыли про меня? Проблема все еще актуальна. :(

Sp2 для Win Server 2003 установите

[QUOTE=Venus Doom;685716]Sp2 для Win Server 2003 установите[/QUOTE]
Установил. Не помогло. Прогнал систему быстрой проверкой MBAM - ничего не нашел. :(

[QUOTE=MegaTech;685881]Установил. Не помогло. Прогнал систему быстрой проверкой MBAM - ничего не нашел. :([/QUOTE]
Не нужно на сервере запускать кучу всего по принципу "не понятно что,а вдруг поможет" - не поможет, точнее поможет - добить сервер... Давайте разбираться по порядку:
1. Что происходило перед появлением проблемы (что-то устанавливалось, удалялось, переустанавливалось, обновлялось, были перезагрузки и т.п.) ? - это важно
2. В логах видны "хвосты" от NOD, но с пометкой "файл не найден". NOD утановлен или нет ? Если нет, то удален он был некорректно и это могло вызвать проблемы. на этот случай есть утилита ESET Uninstaller - [URL]http://kb.eset.com/esetkb/index?page=content&id=SOLN2289[/URL]. Я бы в любом случае советовал прогнать этот унинсталлер для профилактики
3. что показывает диспетчер устройств, есть ли там среди оборудования сетевая карта, не показывает ли по ней диспетчер проблем ?
4. что видно в журналах сервера ? Для начала стоит посмотреть журналы "Система" и "Приложения", любые аварийные события за ближайшее время прольют свет на проблему
5. Что расскажет ipconfig /all > ip_log.txt ? (лог следует приатачить сюда)
6. Еще вопрос - есть ли в сети домен ? Active Directory ?
7. Не производились ли перед появлением глюка манипуляции со службами (отключени, включение - как вручную, так и разными твикерами). Если производились - то мы проведем процедуру сравнения состояни служб с эталонным сервером, может что-то важное отключено или не может загрузиться

[QUOTE=Зайцев Олег;686355]
1. Что происходило перед появлением проблемы (что-то устанавливалось, удалялось, переустанавливалось, обновлялось, были перезагрузки и т.п.) ? - это важно
[/QUOTE]
Ничего не ставилось и не обновлялось. Как мне сообщили, выключали свет надолго, упс комп вырубил, после включения он перестал быть виден в сети. С этого момента я им и занялся.
[QUOTE]
2. В логах видны "хвосты" от NOD, но с пометкой "файл не найден". NOD утановлен или нет ? Если нет, то удален он был некорректно и это могло вызвать проблемы. на этот случай есть утилита ESET Uninstaller - [URL]http://kb.eset.com/esetkb/index?page=content&id=SOLN2289[/URL]. Я бы в любом случае советовал прогнать этот унинсталлер для профилактики
[/QUOTE]Нод стоял, но на момент возникновения проблем, у него почему то была отключена "защита файлов в реальном времени", были мысли что возможно он блокирует сетевой трафик. Удалил его ручками из безопасного режима.
ESET Uninstaller'ом удалил то что он нашел.

[QUOTE]
3. что показывает диспетчер устройств, есть ли там среди оборудования сетевая карта, не показывает ли по ней диспетчер проблем ?
[/QUOTE]
Сетевая карта есть. Диспетчер проблем не показывает. Пробовал отключать\включать, переустанавливать драйвера. Я думаю, проблема не в сетевой карте, это лишь один из симптомов.
[QUOTE]
4. что видно в журналах сервера ? Для начала стоит посмотреть журналы "Система" и "Приложения", любые аварийные события за ближайшее время прольют свет на проблему
[/QUOTE]
Сейчас проанализирую.
[QUOTE]
5. Что расскажет ipconfig /all > ip_log.txt ? (лог следует приатачить сюда)
[/QUOTE]
Ничего особенного не рассказал. Сетевуху видит, настройки тоже. Лог приложил.

[QUOTE]
6. Еще вопрос - есть ли в сети домен ? Active Directory ?
[/QUOTE]
Нет.

[QUOTE]
7. Не производились ли перед появлением глюка манипуляции со службами (отключени, включение - как вручную, так и разными твикерами). Если производились - то мы проведем процедуру сравнения состояни служб с эталонным сервером, может что-то важное отключено или не может загрузиться[/QUOTE]
Нет не производились. Сейчас любые попытки манипулировать со службами, заканчиваются зависанием этого окна.

Сидел изучал запущенные процессы. Привлек внимание процесс msmdsrv.exe, который грузил процессор примерно на 50%. После завершения его, работа системы нормализовалась! Ушли зависания и сервер стал виден в сети.

[QUOTE=MegaTech;686419]Сидел изучал запущенные процессы. Привлек внимание процесс msmdsrv.exe, который грузил процессор примерно на 50%. После завершения его, работа системы нормализовалась! Ушли зависания и сервер стал виден в сети.[/QUOTE]
Я так и предополагал ... эта гипотеза у меня была на очереди, но требовалось подтверждение. Вот оно:
[QUOTE]
Как мне сообщили, выключали свет надолго, упс комп вырубил, после включения он перестал быть виден в сети. С этого момента я им и занялся.
[/QUOTE]
Другим кандидатом был RAID контроллер - если он устроит себе проверку и пересоздание массива после краха системы, то это может занять до суток и система будет еле шевелиться.
Процесс вы зря прибили. Дело в том, что после внезапного "падения" сервера в базе SQL Server что-то портится, и он начинает некое самовосстановление + возможно перестроение выборок Analysis Service (данный процесс от него). Пока оно идет, в системе (если это небольшой сервер, на не 64 процессорный с мега-стораджем) наблюдаются тормоза вплоть до полного ступора (если софтверный RAID5 - то ступор с грантией). Если в диспетчере задач вывести столбцы, показывающие дисковый обмен - будет видно, что он и другие процессы MS SQL вовсю шуруют диском, идет поток операций чтения и записи, и длиться это может часами.
Убивать процесс некорретно - если есть подозрение, то лучше зайти в SQL Server Management Studio и корректно погасить базу целиком, если все пропадет - то виновник найден и нужно разбираться, что творится в недрах MS SQL ...

[QUOTE=Зайцев Олег;686449] Если в диспетчере задач вывести столбцы, показывающие дисковый обмен - будет видно, что он и другие процессы MS SQL вовсю шуруют диском, идет поток операций чтения и записи, и длиться это может часами.
Убивать процесс некорретно - если есть подозрение, то лучше зайти в SQL Server Management Studio и корректно погасить базу целиком, если все пропадет - то виновник найден и нужно разбираться, что творится в недрах MS SQL ...[/QUOTE]
Спасибо, за подробное разжевывание проблемы. Займусь изучением данного вопроса.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]