Services.exe, открытие портов и проблема с нетом.

Здравствуйте! Проблема заключается в том, что просматривая мой Outpost Firewall я обратил внимания на тот факт, что открыто большое количество портов. Некий services.exe с момента загрузки ОС начинает открывать порты, пытаясь, на сколько я понимаю, соеденится с левым айпи (некий 208.66.195.169). Соединение блокируется и идёт обращение к следующему порту. При этом, когда кол-во портов достигает 3994 (примерно через часа 1,5) я не могу выйти в интернет... Мой Nod32 не находит в этом services.exe вирусов. Не представляю что это значит. Надеюсь, Вы сможете подсказать мне проблему и выход из неё. Заранее благодарен!

С уважением, Алексей.

IP действительно сомнительный [url]http://www.nic.ru/whois/?query=208.66.195.169[/url]
В логах ни чего криминального нет.

выполните скрипт AVZ - файл - выполнить скрипт, копьютер перезагрузиться

[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\??\C:\WINDOWS\system32\main.sys','');
QuarantineFile('\??\C:\WINDOWS\system32\reg.sys','');
QuarantineFile('C:\WINDOWS\system32\wsys.dll','');
QuarantineFile('c:\windows\system32\services.exe','');
DeleteFile('C:\WINDOWS\system32\wsys.dll');
ExecuteSysClean;
RebootWindows(true);
end.[/code]

после перезагрузке файлы из папки AVZ - Quarantine - сегодняшнее число залейте по правилам приложения 2

пофиксите в HijackThis

[code]O2 - BHO: iMeshBar BHO - {5345A7A1-805A-4923-B505-86B2FEBA3FE0} - C:\Program Files\iMeshBar\bar\1.bin\IMESHBAR.DLL (file missing)
O3 - Toolbar: iMeshBar - {5345A7A9-805A-4923-B505-86B2FEBA3FE0} - C:\Program Files\iMeshBar\bar\1.bin\IMESHBAR.DLL (file missing)[/code]

Этот services.exe виден только в "Порты TCP/UDP"
Он конектился по 2554 и 25 порту... Однако больше ни где он не засветился... Хм. Сейчас Вам напишу скрипт карантина.

AVZ - Файл - Выполнить скрипт[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\services.exe','');
RebootWindows(true);
end.[/CODE]
После перезагрузки отправте нам папку Quarantine - сегодняшнее число по правилам форума.
Логичнее исследовать сам services.exe

Ну давайте перестрахуемся. Добавте в свой скрипт services.exe - тоже на карантин.

Блин, только сейчас дошло! Если он конектился по 25 порту, то лучше Вам, [B]Гир[/B], поменять все пароли!

Ego1st, выполнил Ваш скрипт и появилось чтото более серьёзное. При перезагрузке винда нормально не загрузилась! Викынуло сообщение на синем экране [URL]http://img112.imageshack.us/img112/3506/1bm6.jpg[/URL]

P.S. В нет зашёл со второй винды, у меня 2 ОС...

Max_Novak, не знаю был ли 25-ый порт? А о каких паролях идёт речь?

второй раз не пробовали войти?
попробуйте в последнюю удачную конфигурацию зайти..
меня если честно удивляет такого не должно было быть, это точно..

Возможно что services.exe передал Ваши пароли третьей стороне... Но я сказал что ВОЗМОЖНО. На 100% я не уверен.

Max_Novak, а какие пароли? Пользовательские при входе в ОС? Или сохранённые в "автозаполнении"??? Да и скорее всего это не так, ведь Outpost должен блокировать данное приложения...

Ego1st, не помогло!!! Чтож делать? Переставлять ОС?

или в безапасном режиме или из другой оси попробуйте востановить из карантина авз файл
C:\WINDOWS\system32\wsys.dll

Outpost можно обойти, ну как разберетесь с ОС, то поменяйте на всякий случай все пароли.

Max_Novak, прошу прощения за то что туплю, но скажите какие конкретно пароли имеете в виду???

Ego1st, помогло! =) Теперь слать Вам файлы из карантина?

да..

Да любые какие найдет :) Если Outpost допустил конект с 25 портом без Вашего разрешения, то это его характеризует не с лучшей стороны.

Max_Novak, сейчас наблюдается конект свыше 1032 порта (и 803-ий)

Ego1st, на карантин передалось только 3 файла! Тоесть, services.exe не передался. Попробовал ещё раз - никакого результата!!!
Появилось ещё два интересных запроса (естевственно я их заблокировал):

На картинке Windows Update рвется в сеть...

Разорвите конект и попытайтесь вручную выловить злополучный файл. Заархивируйте его под пароль и закачайте по правилам форума.

Итак... Не знаю на сколько правильно я сделал, но... Я скопировал файл из другой ОС, в левую папку. Попытался добавить его на карантин, но оно всё равно не добавилось. Тогда я поменял разрешение с exe на ex и отправил на карантин... На этот раз также вышло!!! В чём же дело? Может просто файл слишком большой для помещения в карантин(прошу прощение, если предположение сильно нелепо)?

[quote=Гир;93220]Итак... Не знаю на сколько правильно я сделал, но... Я скопировал файл из другой ОС, в левую папку. Попытался добавить его на карантин, но оно всё равно не добавилось. Тогда я поменял разрешение с exe на ex и отправил на карантин... На этот раз также вышло!!! В чём же дело? Может просто файл слишком большой для помещения в карантин(прошу прощение, если предположение сильно нелепо)?[/quote]
-антивирусная утилита О. Зайцева в своей работе использует так называемую Базу безопасных объектов и если файл проходит идентификацию по этой базе то он в карантин не вносится...

[quote=Max_Novak;93215]На картинке Windows Update рвется в сеть...[/quote]-всё бы ничего, да вот только узлы какие-то явно не те... интересно, а что при этом сообщает Контроль компонентов от Outpost Firewall`а, вполне может оказаться, что некая левая dll`ка примазалась к Windows Update и ломится в сеть под его крышей...

Чтож тогда делать? Получается нужно только переставлять ОС?

-ну, а всё же, Outpost Контроль компонентов, что выдаёт?..
-а ещё можно при помощи фичи LowerPaneView в [URL="http://download.sysinternals.com/Files/ProcessExplorer.zip"]ProcessExplorer[/URL] посмотреть какие-такие компоненты используются, особенно обратить внимание на те у которых пусты колонки(Columns) Description, Company Name и Version.