Printable View
Добрый вечер!
Несколько компьютеров в домене качают трафик с ip 217.73.201.237
Сканировал касперским, вебом - результат отрицательный.
прикладываю логи с одной машины.
утилита Tcpview показывает что на этой машине на этот адрес долбится касперский, на другой isa клиент.
В логах чисто,вот инфа по этому адресу [url]http://whois.domaintools.com/217.73.201.237[/url]
в логах чисто.....
а трафика с этого ip несколько гигов в месяц!
C:\WINDOWS\Installer\3fe10c4.msi- это много весит? надо бы Олегу отослать ;)
блокировать пробовали данный IP ?
теперь конечно данный ip заблокировал на isa сервере, но заразу ведь все равно надо вычистить:).
В архиве файл весит около 1 метра, без 7,5
Загрузите его сюда [url]http://zalil.ru/[/url] и дайте ссылку
загрузил
[url]http://slil.ru/26110284[/url]
удалил касперского, поставил outpost
вот как выглядит теперь
Присланный файл не анализировали?
Вот прикладываю рис. где на адрес долбится касперский
Ерунда какая то получается.....
1)Отформатировал винт, установил ХР, KAV7, без сети.
2)Установил скачанную только с микрософта последнюю версию microsoft firewall client 2004 для ISA server 2004.
3) Воткнул комп в домен.
4)тут же касперский выдает сообщение о том, что microsoft firewall client 2004 не может установить соеденение с адресом 217.73.201.237
НАРОД ЧТО ЕНТО ЗА ЕРУНДА ТАКАЯ?
Не может случайно на серваке какая-нибудь хрень сидеть и заставлять этот microsoft firewall client 2004 долбиться по этому адресу?
Вашими антивирусными утилитами AVZ и HijackThis можно сервак проверить?(server 2003)
Дайте совет, я уже не знаю что делать....
Firewall Client вряд ли по собственному почину туда лезет. Либо какое-то приложение (может, сам KAV?), либо действительно ISA Server даёт такое целеуказание.
удалил isa клиента
теперь долбится svchost
в отчетах каспера-
Попытка процесса с PID 988 получения доступа к процессу Антивирус Касперского с PID 2044 заблокирована. Это результат срабатывания механизма самозащиты.
и так весь отчет
Посмотрите,пожалуйста, логи
голая система(только установленная) и kav7
[CODE]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.bokselnet.spb.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.bokselnet.spb.ru
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://isa.bokselnet.spb.ru:8080/array.dll?Get.Routing.Script
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = isa.bokselnet.spb.ru:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.bokselnet.spb.ru;<local>
O14 - IERESET.INF: START_PAGE_URL=http://www.bokselnet.spb.ru
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = bokselnet.spb.ru
O17 - HKLM\Software\..\Telephony: DomainName = bokselnet.spb.ru
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = bokselnet.spb.ru
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = bokselnet.spb.ru
[/CODE]Знаете всех в этом списке?
Фирма эта, которой IP принадлежит, Вам известна?
bokselnet.spb.ru
это наша фирма
kav только что выдал
"06.09.2008 23:19:42 Программа C:\WINDOWS\System32\svchost.exe не может установить соединение с сервером 217.73.201.237. Проверьте параметры соединения с интернетом. Возможно, в установленном сетевом экране отсутствует разрешающее правило для приложения avp.exe.
"
Еще раз попробуем :>
[QUOTE]Фирма эта, которой IP принадлежит, Вам известна? [/QUOTE]
Файл
[CODE]
C:\WINDOWS\System32\svchost.exe[/CODE]
по приложению 2 и 3 правил закачайте.
[B]217.73.201.237[/B]
[B]этот ip мне неизвестен[/B]
C:\WINDOWS\System32\svchost.exe не добавляется в карантин
пишет
"Процесс добавления файлов запущен
Процесс добавления файлов завершен"
но в карантине н6ичего не появляется...
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SetAVZGuardStatus(True);
BC_QrFile('c:\windows\system32\winlogon.exe');
BC_QrFile('c:\windows\system32\lsass.exe');
BC_QrFile('c:\windows\system32\svchost.exe');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки:
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
карантин отправил.
После выполнения скрипта и перезазрузки kav выдал
"06.09.2008 23:42:23 Процесс C:\WINDOWS\system32\userinit.exe (PID: 1708): попытка загрузки нового или измененного модуля заблокирована.
"
[QUOTE=Lrad;280198]карантин отправил.[/QUOTE]Там только ini- файлы. Значит АВЗ их признает
[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]
[QUOTE=Lrad;280184][B]217.73.201.237[/B]
[B]этот ip мне неизвестен[/B]
[/QUOTE]
А не Ваш ли это провайдер, батенька?
[QUOTE]Stack Ltd. *
StackNet is a service provider for the southern part of Moscow Region and was established by "Stack Ltd." in the early 90s to connect the local towns of Serpukhov, Pushchino, Protvino and Obolensk. Clients are given full access to dial-up IP/UUCP services which include email, Internet access, ftp (and their own large archive) and newsgroups. This site is in Russian and English.[/QUOTE]
в папке Quarantine
лежат три файла .dta
217.73.201.237 это не мой провайдер
я в другом регионе вообще
[QUOTE=Lrad;280206]в папке Quarantine
лежат три файла .dta[/QUOTE]Вот их с ini вместе и нужно закачать.
[size="1"][color="#666686"][B][I]Добавлено через 48 секунд[/I][/B][/color][/size]
[QUOTE=Lrad;280206]
217.73.201.237 это не мой провайдер
я в другом регионе вообще[/QUOTE]
А может у Вашего провайдера проблемы и Вас переключили временно на другой куст?
[quote=Rene-gad;280208]А может у Вашего провайдера проблемы и Вас переключили временно на другой куст?[/quote]
у меня этот ip заблокирован на сервере
высылаю карантин еще раз(сам архивировал)
По Вирустотал - файлы чистые.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]