Улетает исходящий трафик со скоростью 40к пакетов в 5 минут.

Нуждаюсь в помощи. По всем признакам похоже на "Kido". Изначально были проблемы с открытием антивирусных сайтов. Это поправил скриптом, выполненным в AVZ. Скрипт нашел здесь, на форуме. Так же выполнял проверку в безопасном режиме актуальной версией Cure It. Было найдено несколько троянов, которые в итоге были удалены. Видимого результата это не дало. ОС - сборка от "зверя". Только что обновил её до самого актуального sp3, по этому с заплатками проблемы быть не может. Как все это я обнаружил - стал плохо работать интернет (вечером), этому особого значения не придал, т.к. он частенько плохо работает именно вечером. На следующий день стал разбираться, когда увидел что исходящие пакеты в несколько сотен раз превышают входящие - поставил outpost firewall. Получилась следующая картина - при запущенном firewall процесс svchost нагружает ЦП ~на 60%, а процесс lsass на остальные 40%. При этом пакеты отправляются нормально, firewall их держит. Стоит его отключить - как тут же нагрузка на ЦП падает до 0%, а пакеты начинают стремительно бежать в неизвестном направлении. Штатный антивирус - NOD32, постоянно обновлялся, работал непрерывно, вирусов он не обнаруживал. Логи прилагаю ниже. Надеюсь на скорую помощь, работа стоит :?

Плохого не увидел.

1. [QUOTE='Enth;701302']ОС - сборка от "зверя"[/QUOTE]

2. Проверьте, возможно это одна из установленных программ

[B]Venus Doom , [/B]да нет, кроме аутпоста ничего не ставил. Еще замечена такая тенденция - выключил NOD32 что бы делать логи - пакеты пришли в норму. С инетом точно все нормально - проверял на буке.

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

Хотя вот как вариант - лазил по порно сайтам, мне несколько раз выдавало полноразмерное окно с иероглифами как hex в файле. Только что заметил на рабочем столе файл "tmp.tmp". Такого у меня не было... Такой же файл имеется по следующим адресам:

C:\Documents and Settings\Enth
C:\Program Files\QIP
C:\WINDOWS\system32
D:\ProГраммы\Garena\plugins\UI
C:\Documents and Settings\Enth\Local Settings\Application Data\Google\Chrome\Application\5.0.375.99

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

+ вот такое "C:\WINDOWS\system32\drivers\afwcore.sys" в подозрительных объектах. Подозрение на RootKit. Перехватчик KernelMode. Может вы не заметили!?

Сделайте лог: [url]http://virusinfo.info/showthread.php?t=53070[/url]

[QUOTE]+ вот такое "C:\WINDOWS\system32\drivers\afwcore.sys" в подозрительных объектах. Подозрение на RootKit. Перехватчик KernelMode. Может вы не заметили!?[/QUOTE]Заметил, это от антивируса AVAST!

Аваста никогда не было, это точно! Может быть это от аутпоста.

[QUOTE='Enth;701382']Аваста никогда не было, это точно! Может быть это от аутпоста. [/QUOTE]Да, спутал, прошу прощения.

Удалите с МВАМ:
[CODE]C:\Program Files\Common Files\keylog.txt (Malware.Trace) -> No action taken.[/CODE]

Файлы tmp.tmp тоже удалите.

[B][B]Venus Doom, [/B][/B]keylog удалил. С tmp.tmp получилась загвоздка - после перезагрузки он создается только в папке system32. Отправка пакетов и загрузка ЦП - без изменений.

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

Может стоит копать в сторону процессов svchost и lsass, так как именно на них влияет аутпост, не давая пакетам хаотично отправляться, как в следствии - поднятие нагрузки на ЦП до 100%...

Подготовьте новый комплект логов

Новый комплект логов:

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\mdswieos.dll','');
DeleteFile('C:\WINDOWS\system32\mdswieos.dll');
RegKeyStrParamWrite('HKLM','system\currentcontrolset\control\securityproviders','SecurityProviders', 'msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Замечена странная особенность - когда делаю лог syscure.zip отключаю интернет как сказано в инструкции, после создания лога - включаю что бы создать следующий лог, но интернет не хочет работать, отправляет/принимает пару пакетов и все. Тип соединения DHCP (провайдер высылает настройки сети по запросу компьютера). После выполнения выше указанного скрипта поведение трафика и загрузка ЦП пришли в норму. Файл карантина вроде бы отправил... Так же прилагаю логи:

Ничего плохого не видно

Спасибо, проблема воде бы решена, но остались симптомы, при закрытии любых программ, компьютер стоит в бездействии где-то секунду, потом только закрывает. Что это может быть?

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 19 минут[/I][/B][/color][/size]

Да, это совсем не радует, при открытии/закрытии фильма/винампа компьютер полностью подвисает, даже курсор не шевелится.

[size="1"][color="#666686"][B][I]Добавлено через 5 часов 11 минут[/I][/B][/color][/size]

Так же только что обнаружил - при попытке открыть что то через "Выполнить" - винда зависает.

В общем принял решение переставить систему. Проблема решена.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\mdswieos.dll - [B]Packed.Win32.Krap.hr[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Trojan.Generic.4779938, AVAST4: Win32:Malware-gen )[/LIST][/LIST]