После перезагрузки сервера нет исходящего http + руткиты

Здравствуйте!
Была замечена странная активность на сервере. После
перезагрузки перестал работать исходящий http трафик. Хром выдает ошибку
DNS_PROBE_FINISHED_NXDOMAIN.<br>Антивирус стоит на сервере Nod32.
Чистился с помощью CureIt, Malwarebytes Anti-Malware, ADWCleaner, TDSSKiller, autoruns.
При попытке запуска AVZ на читску - программа сообщает
Функция ntdll.dll: _fltused (1750) перехвачена, метод Code Hijack (метод не определен).
и дальше зависает.
Получилось сделать только второй пункт скриптов(его прилагаю) потому как третий зависает с ошибкой Функция ntdll.dll: _fltused (1750) перехвачена, метод Code Hijack (метод не определен).

Видел схожую тему ([URL="http://virusinfo.info/showthread.php?t=125123"]ТУТ[/URL]), но решение в ней не помогло.

Уважаемый(ая) [B]ExLatus[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

В MBAM Вы успешно удалили свой же, видимо, AmmyyAdmin и активатор MS Office :>

После удаления в MBAM этого:[CODE]Trojan.Proxy, HKLM\SOFTWARE\CLASSES\RemoveWat.DynamicNS, Помещено в карантин, [75787db5404bb0863584812ad52d0bf5],
Trojan.Proxy, HKLM\SOFTWARE\WOW6432NODE\CLASSES\RemoveWat.DynamicNS, Помещено в карантин, [d815e15117749c9aa8118d1e40c2ea16],
Trojan.Proxy, HKLM\SOFTWARE\CLASSES\WOW6432NODE\RemoveWat.DynamicNS, Помещено в карантин, [d815e15117749c9aa8118d1e40c2ea16],[/CODE]
перезагружали сервер? Если нет - сделайте это и сообщите ситуацию.

Да снес офис и не страшно.
Основная проблема осталась после перезагрузки. Я пока не понимаю как вырезать руткит, если это действительно руткит.

Нет, скорее всего, руткита.

Скачайте утилиту [URL="http://download.bleepingcomputer.com/farbar/MiniToolBox.exe"]MiniToolBox[/URL] и сохраните на рабочем столе.

Запустите [U]при подключённом интернете[/U], отметьте следующие пункты:

[LIST][*]Report IE Proxy Settings[*]Report FF Proxy Settings[*]List content of Hosts[*]List IP Configuration[*]List Winsock Entries[*]List last 10 Event Viewer Errors[*]List Installed Programs[*]List Devices Only Problems[*]List Users, Partitions and Memory size[*]List Minidump Files[*]List Restore Points[/LIST]

и нажмите Старт.

После завершения сбора информации откроется отчет [b]MTB.txt[/b], прикрепите его к своему сообщению. Если вы закрыли отчет утилиты, он будет находиться в той же папке, откуда была запущена утилита.

Лог программы MTB

DNS сервер 8.8.8.8 и был раньше прописан? Он доступен?

Пробуйте CMD-файл из таких команд:[CODE]netsh winsock reset all
netsh int 6to4 reset all
netsh int ipv4 reset all
netsh int ipv6 reset all
netsh int httpstunnel reset all
netsh int isatap reset all
netsh int portproxy reset all
netsh int tcp reset all
netsh int teredo reset all[/CODE]
Перезагрузка, проверяйте ситуацию.

Да, гуглднс самописный. Пинг до него идет.
[CODE]>netsh winsock reset all

Сброс каталога Winsock выполнен успешно.
Необходимо перезагрузить компьютер, чтобы завершить сброс.

>netsh int 6to4 reset all
Команда int 6to4 reset all не найдена.

>netsh int ipv4 reset all
Сброс Эхо-запрос - сбой.
Отказано в доступе.

Сброс Глобальный - OK!
Сброс Интерфейс - OK!
Сброс Адрес одноадресной рассылки - OK!
Сброс Маршрут - OK!
Для завершения этого действия требуется перезагрузка.

>netsh int ipv6 reset all
Сброс Эхо-запрос - сбой.
Отказано в доступе.

Заданные пользователем настройки для сброса отсутствуют.

>netsh int httpstunnel reset all
Команда int httpstunnel reset all не найдена.

>netsh int isatap reset all
Команда int isatap reset all не найдена.

>netsh int portproxy reset all

>netsh int tcp reset all
ОК.

>netsh int teredo reset all
Команда int teredo reset all не найдена.
[/CODE]

Ситуация не изменилась.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Теперь НЕ админы не могут зайти на сервер по причине:
"Служба "Клиент групповой политики" препятствует входу в систему"
Отказано в доступе.

[QUOTE=ExLatus;1345265]Теперь НЕ админы не могут зайти на сервер по причине:
"Служба "Клиент групповой политики" препятствует входу в систему"
Отказано в доступе.[/QUOTE]

Это в политиках безопасности надо смотреть, кому разрешён локальный вход, сброс винсокс никак на это не должен был влиять.

Откат системы как вариант рассматриваете?

Мне кажется, что уже надо просто переустанавливать.
Обнаружил, что при загрузке не стартует DHCP клиент с ошибкой 1083.
И при перезагрузке в событиях от TaskScheduler прилетает критическое сообщение
[CODE]Служба планировщика заданий обнаружила ошибку инициализации RPC в "RpcServerUseProtseq:ncacn_ip_tcp". Дополнительные сведения: значение ошибки: 14.[/CODE]
Код события 404.

Конечно, если есть возможность откатить на какое-то время назад, то было бы замечательно. А то переустанавливать все это мне кажется надолго.

Попробуйте последнюю удачную конфигурацию по F8 в начале загрузки.

Пробовал. Не помогло.

Тогда - переустановка, видимо. "Чем убитую чинить, лучше новую купить" - была в своё время такая реклама одного автосалона...

Еще ковыряю сервер.
Оказалось, что nslookup нормально видит сервера и что сайты открываются по IP но не открываются по имени.

Терять уже нечего... Попробуйте выполнить скрипт в AVZ:[CODE]begin
ExecuteRepair(15);
end.[/CODE]с последующей перезагрузкой.

Если не поможет - такой:[CODE]begin
ExecuteRepair(15);
end.[/CODE]
Базы AVZ только с другого компьютера обновите предварительно.

Это я уже делал. Не в этом проблема.
Почему при попытке удалить полностью сетевой протокол я вижу это:
[url]http://take.ms/PpgEV[/url]
[url]http://take.ms/eP1qJ[/url]
Почему есть Протокол Интернета версии 4 и есть Internet Protocol Version 4?

Пытаюсь полностью удалить Tcp/IP Например как написано [URL="http://www.rialcom.ru/index.php?option=com_content&view=article&id=413"]ЗДЕСЬ[/URL], но вот вопрос почему у меня 2 сетевых протокола?

Видимо, в процессе восстановления сдублировались.
Удаляйте сетевые адаптеры, устанавливайте снова, это, пожалуй, последнее, что можно попытаться.

Удалить из списка устройств? Таким образом?

Да, и установить снова.

Не помогло. Так на английском и осталось написано.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

И проблема осталась.
Нету доступа к сайтам по имени.

Я иссяк, сеансы некромантии мне не всегда удаются :?

Спасибо за попытку!
Будем ждать новые силы. Слишком сложно согласовать переустановку сервера. По этому пока стараюсь его восстановить.