Через меня идет спам-трафик.

Добрый день.

Эту тему я уже поднимал на avast.ru, но ребята не смогли мне помочь. >:(

Windows XP SP2 (build 2002)
Avast 4.7 Home (4.7.1001)
VPS 000757-2
Firewall - сейчас Комодо (на момент обнаружения проблемы не было ничего)

Повторюсь: [I]"Три дня назад обратил внимание на значек АвастМейлСканера в трее, он усиленно проверял исходящую почту. Почту я не отправлял и это было подозрительно. Посмотрел в лог и - мама-мия!!! Тонны спама! [/I]

[I]Были запущены Аваст и АВЗ - результат нулевой."[/I]

Спам уходит в виде пакетов ICMP Type:3 Code:3

Также при каждом соединении svchost желает отправить UDP пакет для: 239.255.255.250::upnp-mcast(1900)

Рассылка спама происходит не при каждом соединении, а по получении неких управляющих пакетов.

Через несколько минут приделаю логи.

................. готово.

Программа AVZ - файл - выполнить скрипт - выполните следующий скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Drivers\Parport.SYS','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\OAARXRUC.exe','');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\OAARXRUC.exe');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code] Система будет перезагружена. После перезагрузки, содержимое карантина AVZ загрузите по ссылке [url]http://virusinfo.info/upload_virus.php?tid=11110[/url] , как написано в прил.3 [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL] , и сделайте новые логи, начиная с п. 10 правил. Попутно вопросы: видны симантек и аваст - кто из них живой?

От Симантека потроха SystemWorks (СпидДиск, ВинДоктор).
SymAntiVirus не ставил, т.е. живет только Аваст.

[size="1"][color="#666686"][B]Добавлено через 15 минут[/B][/color][/size]
[quote=Numb;123267]:\DOCUME~1\9335~1\LOCALS~1\Temp\OAARXRUC.exe')[/quote]

Я на 100% уверен, что этот файл появился сегодня, после запуска утилит с Sysinternals. Вряд ли он имеет отношение к существующей проблеме...

Еще, вопрос: Второй раз скрипты можно выполнять не выгружая Антивирус и Файервол?

Можно, но лучше выгрузить - логи получаются меньше, их легче читать. Карантин дошел. OAARXRUC.exe оказался от rootkit revealer-а от sysinternals - ваша правда :( Тогда просьба: дополнительно к логу исследования системы и логу hijackthis, сделайте логи, которые описаны здесь - [url]http://virusinfo.info/showthread.php?t=10387[/url] В безопасном режиме при этом перезагружаться необязательно.

Получите.

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
QuarantineFile('C:\WINDOWS\system32\ctfmon.exe','');
end.[/CODE]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k[/CODE]
Пришлите файлы карантина по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url] раздела "Помогите". Сделайте логи с запущенным Internet Explorer. Какой почтовой программой пользуетесь?

[QUOTE='Maxim;123298']Какой почтовой программой пользуетесь?[/QUOTE]
GMail.com

Сделал все, как вы сказали. АнтиВирус и Файрвол отключены, запущен Макстон. (Да, еще "висел" ПроцессЭксплорер).

Странно... Вот уже добрых 4 часа никакого исходящего трафика! Мистика!

[QUOTE='Аксель;123304']GMail.com[/QUOTE]У них есть фирменная программа?

[QUOTE='Maxim;123307']У них есть фирменная программа?[/QUOTE]

Нет. Я имел в виду, что пользуюсь он-лайн сервисом.

[QUOTE='Аксель;123312']Я имел в виду, что пользуюсь он-лайн сервисом.[/QUOTE]Как-то не состыковывается с
[QUOTE='Аксель;123259']Повторюсь: "Три дня назад обратил внимание на значек АвастМейлСканера в трее, он усиленно проверял исходящую почту. Почту я не отправлял и это было подозрительно. Посмотрел в лог и - мама-мия!!! Тонны спама! [/QUOTE]Кто тогда спам отправлял?

Спамботу клиенты не нужны. А вот как АвастМейлСканер проверяет трафик web-сайта GMail.com - это большой секрет той маленькой компании.

[QUOTE='pig;123325']Спамботу клиенты не нужны. А вот как АвастМейлСканер проверяет трафик web-сайта GMail.com - это большой секрет той маленькой компании.[/QUOTE]Намекаете на проверку SSL? Спамбот мог отправлять через любой другой ящик.

Точно не я. Бот наверное...

Поясню:

Периодически, при подключении к интернету, включается сканер почты Аваста.

Всплывающее информационное окошко показывает почтовые пакеты, уходящие по разным адресам (от А до Z), с заголовками призывающими купить средства для увеличения [B][COLOR="Red"][BLOCKED][/COLOR][/B] (в основном) или Виагру.

Резко падает скорость соединения и исходящий трафик увеличивеатся вдвое по сравнению с входящим.

Поаккуратней с терминологией. Форум могут читать дети.

Ok.

Присланный файл чистый. Можно считать проблему решенной?

Не решена проблема - похоже, видно заразу :( Пожалуйста, сделайте следующее: на время выполнения скрипта, отключитесь от сети, отключите монитор avast!-а и восстановление системы. Далее: программа AVZ - файл - выполнить скрипт - выполните следующий скрипт: [code]begin
Clearquarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\drivers\runtime2.sys','');
QuarantineFile('\??\C:\WINDOWS\System32\drivers\runtime2.sys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code] После перезагрузки, пришлите содержимое карантина, как написано в прил. 3 правил. После сервиса от sysinternals боюсь удалять сразу, но на 90% это тот зверь , который и предлагает удлиннить *censored* . Вдобавок, еще вопрос: на машине были когда-нибудь установлены какие нибудь программы от Citrix Systems ?

Отправил.

Но мне кажется, что при выполнении скрипта, произошли какие-то проблемы.

Мне тоже так кажется. Ни какого [U]runtime2.sys[/U] я в логах не нахожу.

При выполнении скрипта, в окне исполнения процесса, были видны "ругательства" АВЗ. Но все происходило так быстро, что детально рассмотреть информацию не представлялось возможным.

Вопрос: Найти средствами АВЗ и отправить искомый файл можно?

[size="1"][color="#666686"][B]Добавлено через 2 минуты[/B][/color][/size]
Собственно, попробовал найти runtime2.sys, при помощи АВЗ - результат нулевой.

Странно. runtime2.sys виден в списке драйверов, как неактивный драйвер. По приметам он - и есть тот спамбот, который периодически начинает рассылать почту с вашей машины. Но что провоцирует его активность - непонятно. На вопрос по поводу программ от citrix вы не ответили - используются они как-то на данной машине? Все-таки, попробуйте так: программа AVZ - файл - выполнить скрипт - выполните следующий скрипт: [code]begin
Clearquarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\drivers\asc3550u.sys','');
DeleteFile('C:\WINDOWS\System32\drivers\asc3550u.sys');
BC_DeleteFile('C:\WINDOWS\System32\drivers\asc3550u.sys');
DeleteFile('\??\C:\WINDOWS\System32\drivers\runtime2.sys');
BC_DeleteFile('\??\C:\WINDOWS\System32\drivers\runtime2.sys');
DeleteFile('C:\WINDOWS\System32\drivers\runtime2.sys');
BC_DeleteFile('C:\WINDOWS\System32\drivers\runtime2.sys');
bc_deletesvc('runtime2');
bc_deletesvc('asc3550u');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code] Машина будет перезагружена. После перезагрузки, пришлите снова карантин AVZ и повторите логи, включая и логи, предложенные [URL="http://virusinfo.info/showthread.php?t=10387"]здесь[/URL] и, в дополнение, прикрепите лог boot_clr.log из директории AVZ.

Высылаю логи. Карантин, как я уже говорил, не интересен (там только ТоталКоммандер.ВАК)

Цитрикса не было и нет.

Пердложенные для фиксации интернет соединения скрипты еще не выполнял, как сделаю сообщу дополнительно.

Скрип (14) помог. Ура! Пишу из горящего танка (зачеркнуто) со своего компьютера.

Уже хорошо. В логах я ничего активно-подозрительного не вижу - будем надеяться, что победили спамбота. [quote]Delete Service & File runtime2 - succeeded[/quote] А вы говорили, что его нет :)
Просьба к другим хелперам - посмотрите логи по теме, пожалуйста.

В логах чисто. Единственный вопрос к выздаравливающему: Policy на IE сами устанавливали? Если ответ нет, то надо профиксить строчку:
[CODE]O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present[/CODE]

Policy не трогал. Строчку пофиксил.

Всем большое спасибо, проблем больше нет.

з.ы. Странно, что "покойный" runtime2 не засветился в карантине.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]