windows\svchost.exe лезет на 123 порт

Firewall стал сообщать что C:\windows\svchost.exe лезет на 123 порт на разные IP. Возможно из-за этого на контроллере домена стала выпадать ошибка
[q]Ошибка приложения svchost.exe, версия 5.2.3790.3959, модуль kernel32.dll, версия 5.2.3790.3959, адрес 0x0006beb8.[/q]
Возможно и на контроллере засела гадость, а может это моя машина его вешает.
Посмотрел список подозрительных объектов, какая то зараза из папки Temp работает. и svchost.exe слушает 123 порт
Спасибо

выполните скрипт
[code]
begin
QuarantineFile('C:\Temp\sfamcc00001.dll','');
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи

вот логи. карантин отправляю

ничего плохого не вижу ....служба NTP использует для своей работы протокол UDP
и как раз 123 порт для синхронизации часов ....

В сборе информации упоминается 2 таких файла C:\Temp\sfamcc00001.dll
Причем после перезагрузки они все равно там есть. Странно зачем.

угу 123 udp это служба времени. Но маниакальным деланием svchost лезет на любой подвирнувшийся ip по этому порту. Раз прям пошел по подряд 10.0.0.12, 10.0.0.13...

[size="1"][color="#666686"][B][I]Добавлено через 11 часов 47 минут[/I][/B][/color][/size]

Скачал утилиту от Касперского. проверяю ей. еще часа 3 проверять. Она уже нашла червя Net-Worm.win32.Kido.j в файлах

c:\windows\system32\aacgmtoz.dll
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\...\fpmmpfml[1].jpg

жду когда закончит проверку.

[size="1"][color="#666686"][B][I]Добавлено через 32 минуты[/I][/B][/color][/size]

в реестре нашел по имени файла aacgmtoz.dll

Имя службы: seuiej
Путь к файлу: %SYSTEM%\svchost.exe -k netsvcs

Похоже на вот это [url]http://av-school.ru/news/a-186.html[/url]

В общем все еще ожидаю когда проверка каспером в безопасном режиме закончится.

C:\WINDOWS\system32\aacgmtoz.dll - вот это поищи через AVZ.
Наайдется, отправить в карантин и загрузить сюда.

карантин выслал. Туда добавил еще несколько файлов, которые утилита касперского опознала как трояны. Они лежали в кеше программы HandyCache в интернет хожу только оперой и файрфоксом.

C:\WINDOWS\system32\aacgmtoz.dll - троян (W32.Downadup по Симантеку). Сейчас скрипт напишу для его удаления.

Выполнить:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\aacgmtoz.dll' );
BC_ImportDeletedList;
BC_DeleteFile('C:\WINDOWS\system32\aacgmtoz.dll');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]

Сделать новые логи. Кеш HandyCash думаю тоже можно почистить.

Файл уже удалил. Потом сразу же, в безопасном режиме прошел в реестре и удалил все ключи seuiej которые нашел. на всякий случай сделал экспорт. Поставил заплатку WindowsXP-KB921883-x86-RUS. Пока работает.

вот последние логи

Одного а/вируса надо оставить, а так в логах стало чисто.

В смысле [I]а/вируса надо оставить[/I]?
Антивирус? у меня стоит DrWeb как основной, со спайдером. А у Nod32 amon отключен, он для проверки подозрительных файлов. Теперь еще касперская утилита "Klif Mini-Filter" подсадила.

Если Вы их - а/вирусы контролируете, то все хорошо.
Утилита Касперского должна за собой следы подсчистить.

контролирую.
Да, каспрерский спрашивал удалить себя с компа, я сказал нет думал попробовать перенести установленую на другую машину без установки. Значит надо подчистить.
Кстати удивило что касперский нашел трояна в себе же, в папке куда только что установился. Скачивал по ссылке из "правил". Ругнулась на файл
c:\virus removal tool\is-qph50\startup.exe Trojan-Spy.Win32.KeyLogger.bhg

Произошел рецидив. На моем компе svchost.exe уронил сервис файрвола fwsrv.exe. Сразу отключил комп от сети и стал проверять, утилита касперского снова нашла тот же вирус в файле
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\...\<имяфайла>[1].jpg Имя файла другое, не как в прошлый раз. Так же появился новый сервис, с новой dll в качестве параметра. Картинку я отловил, в архив сохранил. Интересно что это за NetworkService и что за кеш эксплорера. Подскажите какая уязвимость используется для проникновения и как этого избежать? Файлик картинки могу выслать, может поймете механизм, вдруг отличается от той dll что высылал ранее?

Логи новые нужны, по ним посмотрим.

Вот логи.

Выполнить:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\System32\Drivers\bcftdi.SYS','');
BC_ImportDeletedList;
BC_Activate;
end.[/CODE]

Прислать карантин, если в него этот файл попадет.

Файл в карантин не попал. Мне не очень не нравятся 2 dll
C:\Temp\sfamcc00001.dll
C:\Temp\sfareca00001.dll
я их в безопасном режиме удалял. Все равно появляюся. В свойствах написано Приложение "Сервер регистрации, (C) Microsoft" это я так понимаю для всех dll. Но левые они какие то, вкладки версия нету.

[QUOTE=JohnDoe;320804]Файл в карантин не попал. Мне не очень не нравятся 2 dll
C:\Temp\sfamcc00001.dll
C:\Temp\sfareca00001.dll
я их в безопасном режиме удалял. Все равно появляюся. В свойствах написано Приложение "Сервер регистрации, (C) Microsoft" это я так понимаю для всех dll. Но левые они какие то, вкладки версия нету.[/QUOTE]

Библиотеку я эту на ВТ проверил. Все 38 а/вирусов сказали чистые.
Попробуй провериться MBAM ( [url]http://malwarebytes.gt500.org/mbam-setup.exe[/url] ) Лог получившийся прикрепи сюда.

я их тоже проверил, значит твои результаты сначала предложили посмотреть :)

[size="1"][color="#666686"][B][I]Добавлено через 20 минут[/I][/B][/color][/size]

bcftdi.SYS это файл от Alcohol52% насколько помню.

Не-а. Он от jetico firewall, я уже про него прочитал.

Что это за пользователь такой NetworkService. Зачем ему explorerом ходить в сеть, именно в темпе эксплорера появляется jpg который на самом деле либо exe либо dll. Кстати почему я сейчас заметил, полез в jetico добавить правило, а у меня рабочий конфиг выгружен. И стал шерстить машину снова.

Лог проверки

Чисто!

Может прислать ту "картинку" которую я отловил. хотя DrWeb ее определяет как novvl[1].jpg инфицирован Trojan.DownLoad.16849 но это если сканер напрямую на него натравить. Мне гораздо интереснее как этот Trojan.DownLoad попадает на комп, и что сделать что бы избежать подобного.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Напрямую натравить в смысле указать проверку этого файла, если например в UnrealCommander эту картинку просмотреть или нажать F4 редактирование спайдер молчит как партизан

Присылай. Пусть спецы из ЛК посмотрят на нее. Может в ней код зашит.

отправил

Действительно, там зверь. Мой Симантек сразу убил, как только на диск распаковал.
W32.Downadup, тот же самый что и был.
Ссылочка на описание:
[url]http://securityresponse.symantec.com/security_response/writeup.jsp?docid=2008-112203-2408-99&tabid=2[/url]

Суть та же: dll-ка со случ. именем в %System%

знаю что зверь. второй раз уже. как от него защитится? выше писал ссылку про kido (по касперскому) там указывается что лезет через уязвимость и ссылка на MS где брать патч. я этот патч поставил. еще какой то нужен.

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

поискал в сети по симантековскому названию. нашел это [url]http://minivan.ru/phpBB2/viewtopic.php?download=92766&t=9310[/url] там линк еще на одну заплатку щас буду апдейтится.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\handycache\\cache\\kupiserial.ru\\index.php^\\categoryid=128 - [B]Trojan-Clicker.HTML.IFrame.bk[/B][*] c:\\program files\\handycache\\cache\\kupiserial.ru\\index.php^\\productid=398 - [B]Trojan-Clicker.HTML.IFrame.bk[/B][*] c:\\program files\\handycache\\cache\\moody.ru\\index.css - [B]Trojan-Downloader.HTML.IFrame.dq[/B][*] c:\\program files\\handycache\\cache\\simg.zedo.com\\exitpop\\ep.js - [B]Trojan.JS.Agent.fu[/B][*] c:\\windows\\system32\\aacgmtoz.dll - [B]Net-Worm.Win32.Kido.j[/B] (DrWEB: Trojan.DownLoad.16849)[*] \\novvl[1].jpg - [B]Net-Worm.Win32.Kido.j[/B] (DrWEB: Trojan.DownLoad.16849)[/LIST][/LIST]