Какая то программа съедает трафик

[COLOR=#222222][FONT=Verdana]Столкнулся с такой проблемой:
Дома выделенка, местная сеть, я в всегда в ней форум, игры и вот враз стало исчезать по 40-50 метров трафика за вечер, типа закачка с с IP 212.23.59.8 , 212.23.59.14.

Провайдер от всего открестился , сказал что это какие то программы обновляются у меня, но автообновление всех програм и винды у меня вырублено наглухо, и этих якобы скачанных мною мегабайт НЕТ у меня на компе !
Началось это все вдруг и недавно. Касперский с самыми новыми базами, Ad-Aware? Spybot все с апрельскими базами ничего не находят.

Заблокировал эти ip в анти-хакере и вот опять какое то приложение ломиться на эти адреса перебирая все локальные порты, как узнать что это за приложение/приложения? И конечно избавиться от этого (2,9руб/метр)[/FONT][/COLOR]

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('Security.exe','');
QuarantineFile('Internet.exe','');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.

Выполнил скрипт, компьютер перезагрузился, но в папке Карантин только пустая папка 23.04.2007.....

Похоже этих двух там действительно нет... Выполните такой скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('Security.exe','');
QuarantineFile('Internet.exe','');
QuarantineFile('C:\WINDOWS\system32\logonuiX.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\SSHDRV61.sys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите содержимое карантина по правилам.

Файл virus.zip выслал по правилам
(Результат загрузки:
Файл сохранён как 070424_060146_virus_462d650a06373.zip
Размер файла 13504087
MD5 5bf66e5d9d4299c0df2ebd4a)

Ого! Что ж там за рыба поймалась аж на 13,5Mb? :)
Коллеги, у кого трафик дешевый, гляньте пожалста.

Здраствуйте!

Самых важных файлов как раз и нет - Security.exe и Internet.exe.

С уважением,
Павел Зеленский
Вирусный аналитик

Я по-прежнему считаю, что дело в msfeedssync.exe. Даже семантический анализ имени файла говорит об этом. :)

Нужно найти службу, связанную с этим файлом, и отключить ее. Я практически уверен, что после этого трафик прекратится.

Вчера опять блокировал уже другие IP с которых трафик начался, 84.53.138.0-84.53.139.255; 212.243.221.194-212.243.221.255 - проверил они же Akamai.

По поводу файлов Security.exe и Internet.exe, где их взять, ведь скрипт выполнил как просили.

Может в Анти-Хакере закрыть этому процессу (msfeedssync.exe) выход в инет совсем? Но он обращается и на ip провайдера,
и на IP из диапазонов :
0.0.0.0-255.255.255.255;
88.212.192.0-88.212.220.255;
212.48.138.16-212.48.138.23;
217.73.199.32-217.33.199.255.

Вот так поискать : [url]http://virusinfo.info/showthread.php?t=4567[/url]

msfeedssync.exe - это штучка от IE7, точнее синхронизатор от его RSS-клиента.
Проверьте, что у вас там, наверно подписаны на пару десятков каналов,
вот и прет трафик...

Насчет неуловимой парочки (Security.exe, Internet.exe) -
из того что в логе AVZ они видны в AppInit_DLLs, а в HijackThis - нет,
напрашивается вывод, что они живы и как-то хитро маскируются. Явно не полезные программы.
Думаю, надо попробовать их удалить следующим скриптом:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('Internet.exe');
DeleteFile('Security.exe');
BC_DeleteFile('Internet.exe');
BC_DeleteFile('Security.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Выполните и повторите логи п.10 и 12 правил.

Да у меня стоит IE7. RSS подписка на 3 канала один из них погода, и эта подписка гораздо раньше у меня создана, чем попер трафик, и не менялась.
Security.exe, Internet.exe вот так поискал: [url]http://virusinfo.info/showthread.php?t=4567[/url]. Все равно пусто.
Msfeedssync.exe - заблокировал в этом процессе на всякий случай все ip кроме адресов провайдера и 0.0.0.0-255.255.255.255 - хотя не знаю что это за ip.
Выполню вечером то что советуете.

У меня нет IE7, но могу предположить, что он по умолчанию подписан на какие-то каналы.
[url]http://forum.exler.ru/index.php?showtopic=117463&st=0#entry12474002[/url]

Выполните и повторите логи п.10 и 12 правил.[/quote]
Отключил службы как советуют [URL]http://forum.kaspersky.com/index.php?showtopic=30184[/URL], и по книге Nick,

Следов "сладкой парочки" больше не видно.
Что с трафиком?

Можно еще пофиксить вот это:
[QUOTE]O23 - Service: AcrSch2Svc - Корпорация Майкрософт - (no file)[/QUOTE]
Название службы от Acronis'a и почему-то - "Майкрософт". Но файла все равно нет, так что это просто мусор.

Трафика нет, может благодаря тому что я в Анти-Хакере все перекрыл и нахожусь сейчас только в домашней сети, во внешний инет не хожу до решения проблемы (страшно)), понаблюдаю в выходные. Msfeedssync.exe - этот процесс тоже кстати исчез.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]20[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]