Спасайте!

Здравствуйте! У нас Windows 2003 - он КД. С какого то момента стала резко тормозить локальная сеть, при этом RDP работает нормально. А сегодня вообще не достучаться до сервера, и к сетевым принтерам. Систему несколько раз пытался восстановить из архивов, не помогает. И еще не могу выполнить обновление ни какое, например KB4012598, пишет нет прав на обновление(до восстановления из архива успешно его установил). Прогонял Касперским, AdwCleaner и др. не помогает. В логах ничего криминального. Еще постоянно слетает агент Касперкого после перезагрузки, сам Секьюрити центр стоит на другом сервере.

Архив карантина пуст

Уважаемый(ая) [B]NVPR[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

вот

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Все очень плохо?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

И еще Kaspersky Endpoint перестал обновятся, 95% и все. Ой, нет, вот потребовал перезагрузку.

Для установки этого злосчастного обновления KB4012598, пришлось из него получить MSI. Ну а потом, оно установилось....

На самом сервере криминала не видно. Может, на других компьютерах черви гуляют?

Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].

Спасибо. Все бы ничего. Конечно сейчас проверю. И даже лок.сетку думаю настою, где то на раб.станциях гадость =))). Но вот почему слетает агент Kaspersky Security Center после каждой перезагрузки сервера? Хотя это уже наверное не к Вам. Ну хоть проверили =))) Удачи...

То есть, дальше проверить сервер Вы не хотите, хоть я и предложил ещё логи сделать?

Ой, продолжим. Извините =))) Нужно, сейчас пришлю.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Кажется есть на что посмотреть

[QUOTE=NVPR;1451179]Ой, продолжим. Извините =))) Нужно, сейчас пришлю.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Кажется есть на что посмотреть[/QUOTE]
Вспоминайте, что просили вас сделать и что прислали в итоге?

Сейчас. Извините, немного отвлекся.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Не то отправил =)))

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Локальная сеть работает, исправил. Еще в Host, убрал owa(уже не используем). Или пока вообще ничего не делать? Дождаться ваших рекомендаций, так как восстановил из старого архива, много чего надо править.

Если восстановили из архива - все следы стёрты.

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url] при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.

Прикрепите этот файл к сообщению.

Выполнил

[I]Поиск критических уязвимостей
Жизненный цикл Windows Server 2003 закончился

Уязвимость в MSXML делает возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?FamilyID=1e2738b9-d3c2-4dfe-8a79-335d5feee55b[/url]

Обновление для системы безопасности Microsoft Office Word 2010
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=37f75e69-8d92-4c5c-abc2-62374aefe596[/url]

Уязвимости в Adobe Flash Player для Internet Explorer
[url]https://fpdownload.adobe.com/get/flashplayer/latest/help/install_flash_player_ax.exe[/url]

Обнаружено уязвимостей: 4[/I]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Вот только, еще неприятность.

[ATTACH=CONFIG]660696[/ATTACH]
не смог запустить AVZ. Пришлось через cmd/

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Обновление поставил. Опять же через командную строку.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Стало намного лучше. Могу ставить обновления, по поводу агента Касперского не могу проверить(уже пользователи подключились), после трех часов перезагрузка. А вот с правами на запуск непонятно...

А из других папок пробовали запускать? Возможно, прав нет на папку, или политиками запрещён запуск из временных.
Кабы это не сервер, применили бы грубые, но действенные средства, а тут надо нежно, чтоб нужное не сковырнуть...

пробовал, не запускается

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Мне бы АD перенести на другой. Тогда убил бы. Похоже с моими правами совсем плохо. Может мне нового админа завести?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Я согласен на грубые. Только очередной архив сделаю. Это минут 40.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Там еще когда то Exchange стоял, и остались следы.

Попробуйте нового админа создать.

Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].

[url]https://yadi.sk/d/6a90BBDm3JaKJR[/url] - полный образ

Вообще домен очень старый больше 15 лет. Железо менялось, его все время перетаскивал. И теперь стоит задача перетащить на Win2012R2. Теперь это только файл сервер, ну и конечно КД.
Сейчас проблемы - это права; при перезагрузке слетает агент Касперского(пытался снести с помощью KLRemover - не удачно); и теперь еще следы от exhange(это после восстановления и старого архива, я его сносил еще года два назад, пока не удалю совсем не перетащить AD на другой сервер); добавилась какая то гадость в sysvol.

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):[code];uVS v4.0.5 [http://dsrt.dyndns.org]
;Target OS: NTv5.2
v400c
deldir %SystemDrive%\PROGRAM FILES\IOBIT\IOBIT UNINSTALLER
regt 18
regt 35
regt 11
apply[/code]
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Перезагрузите сервер.

Но толку, думаю, не будет, разворачивайте новый сервер.

Так просто новый нельзя. Надо как минимум убить КД.

Вам не кажется, что мы сильно отклонились от тематики форума по лечению вирусов? :>

Да, Вы правы. Не гневайтесь. Поймите меня, чтобы найти "гадость", приходится много нервничать. Так вот, пришлось восстановить сервис DCOM. И после этого агент не слетает, но появился явный вирус, в файле C:\WINDOWS\SYSTEM32\MSCTFIME.IME(точно FW). А так же большое подозрение на неизвестный загрузчик SHA1.

[url]https://yadi.sk/d/VX5GezTi3JbWpC[/url] ссылка на полный образ