Процесс lsass.exe забивает исходящий канал

Добрый день! С середины прошлой недели по всему офису стала каждые пять минут отваливаться аська, стали медленно открываться страницы при отличных пингах и трассах. Провайдер сказал, что на нашем модеме очень много открытых сессий. В понедельник я вычислил машину, с которой сразу же после загрузки системный процесс lsass.exe начинал отправлять пакеты по 80-му порту на 18 IP-адресов, расположенных по большей части в Молдове, Латвии, Украине и России (один во Вьетнаме и один в США). Если запустить какое-либо приложение, использующее интернет (IE, Outlook, ICQ, Skype), то и эти процессы сразу же начинали отправлять пакеты на эти айпишники. Кроме того, на рабочем столе постоянно появляется файл tmp.tmp. Такой же нашел и в system32. Удалять его не пытался, т. к. он нулевой длины и вряд ли его удаление поможет решить проблему. Команда route print выдала, что троян заблокировал сайты антивирусных компаний. На компьютере стоит Симантек, с нормальными обновлениями (обновил вручную). После сканирования в обычном режиме он ничего не нашел. Сканировал утилитой Cure It в обычном и безопасном режимах. Нашла пару троянов PWS.Ibank.89 и вроде бы такой же, но с номером 116. Удалила их. Проблема не решилась. Повторное сканирование ничего не нашло. Сделал образ раздела С: акронисом. На другом компьютере подмонтировал его и проверил с помощью Kaspersky Virus Removal Tool c обновлениями от 19.08.2010. Ничего нового. Потом подмонтировал этот образ в виртуальную машину под Vmware - сразу после первой загрузки процесс lsass.exe пытался отправить пакеты на свои айпишники. Потом после перезагрузки никаких попыток не было, что я ни делал. Как вариант, возможно, эта зараза грузится как драйвер или компонент драйвера какого-то железа? Сменилось железо на виртуальной машине, вот и файл перестал подгружаться. В качестве временной меры все его айпишники заблокировал через таблицу маршрутизации и добавил на всякий случай айпишники в hosts. С интернетом проблема решилась. Сегодня утром на первоначальные 18 айпишников пакеты больше не отправлялись, зато они отправлялись на 5 новых китайских. Пришлось блокировать и их. Вычислить как эта зараза проникла на компьютер и как у нее получается запускаться не могу.

[ATTACH]262430[/ATTACH]

[ATTACH]262431[/ATTACH]

[ATTACH]262432[/ATTACH]

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\mjghrsbl.dll','');
DeleteFile('C:\WINDOWS\system32\mjghrsbl.dll');
RegKeyStrParamWrite('HKLM','system\currentcontrolset\control\securityproviders','SecurityProviders', 'msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(20);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [URL="http://virusinfo.info/showpost.php?p=351873&postcount=1"]gmer[/URL]

Сделал всё, как вы сказали. Только в конце возникла одна проблемка: при попытке сохранить лог сканировая gmer'а подвис комп и сохранить его не удалось. В следующий раз доступ к компьютеру у меня будет не раньше среды, поэтому в среду смогу выслать все файлы. Могу добавить, что после выполнения скрипта в AVZ попытки отправить пакеты прекратились, а mjghrsbl.dll на virustotal.com опознается десятью антивирусами. Так что огромное спасибо за помощь. Все файлы обязательно вам пришлю.

Будем ждать.

Обещанные файлы. Карантинный файл будет немножко позже, его аваст с флешки удалил на другом компьютере, из дома отправлю.

1. Сохраните текст ниже как [B][COLOR="DeepSkyBlue"]1.bat[/COLOR][/B] в ту же папку, где находится [B][COLOR="Blue"]6i0o455v.exe (GMER)[/COLOR][/B] и запустите этот батник(1.bat):
[CODE]
6i0o455v.exe -del service rwpak
6i0o455v.exe -del file "C:\WINDOWS\system32\gitntiep.dll"
6i0o455v.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\rwpak"
6i0o455v.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\rwpak"
6i0o455v.exe -reboot[/CODE]

Компьютер перезагрузится.

После перезагрузки:

2.[URL="http://virusinfo.info/showthread.php?t=4491"]Профиксите[/URL] в HijackThis
[CODE]
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - Z:\PROGRA~1\ICQ\ICQ.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - Z:\PROGRA~1\ICQ\ICQ.exe (file missing)
[/CODE]
- карантин пришлите
- Сделайте повторный лог [COLOR="Blue"]virusinfo_syscheck.zip[/COLOR]

Карантин отправил. Новый лог прикрепил. Записи об ICQ не чистил, т. к. диск Z - это виртуальный шифрованный PGP-диск, который просто в момент сканирования был не подключен, поэтому на самом деле ссылка в реестре идет на существующий файл. Всё остальное сделал.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('c:\windows\system32\OCMAPIHK.DLL','');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows','AppInit_DLLs','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы

Обновите систему
- SP2 обновите до [URL="http://www.microsoft.com/Downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4"]Service Pack 3[/URL](может потребоваться активация)
[B]*[/B] Перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
[B]*[/B] Microsoft остановил поддержку и выпуск обновлений безопасности для ОС Windows XP без установленного SP3
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]
- поставте [URL="http://get.adobe.com/reader/otherversions/"]Adobe Reader 9.3[/URL] или удалите старый.

после обновления отпишитесь о проблеме

Два раза выполнял скрипт, но почему-то quarantine.zip получался нулевого размера. Отправлять его не стал. Файл OCMAPIHK.DLL точно не связан ни с какой заразой, он из PGP Desktop. Симптомы заражения уже исчезли после выполнения первого скрипта. Огромное спасибо за помощь.

обновляйтесь

Уже давно обновился, времени не было отписаться. Огромное спасибо за помощь!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\mjghrsbl.dll - [B]Packed.Win32.Krap.hr[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Variant.Zbot.17, AVAST4: Win32:MalOb-CG [Cryp] )[/LIST][/LIST]