Почтовый вирус

[PavelA]

Нужно проверить диск, это правая клавиша на диске, "Сервис", проверка диска. Можно без проверки поверхности.

[Deeman]

Нужно проверить диск, это правая клавиша на диске, "Сервис", проверка диска. Можно без проверки поверхности.

Не понял?

[PavelA]

chkdsk /f /c - в командной строке выполнить.

[Deeman]

Сегодня внимательно наблюдал за поведением системы.
У меня нет полной уверенности, что вирус убит.
Прстой пример :
Загрузил компьютер, подключился к инету, ВСЕ приложения закрыты - только статистика входящего и исходящего трафика, полтора часа после подключении к сети к компу никто не подходил, за это время отправлено и принято почти 20 тысяч пакетов!!!
Это нормально???
Если нет, что еще посоветуете сделать?

[Bratez]

Сделайте новые логи, посмотрим.
Можно еще дополнительный лог сделать, как описано тут:
http://virusinfo.info/showthread.php?t=10387

[Deeman]

Вот новые логи.
Есть один маскирующийся процесс

[Bratez]

Выполните скрипт в AVZ:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\mssrv32.exe','');
DeleteFile('C:\WINDOWS\system32\mssrv32.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам.

Добавлено через 3 минуты

В первых логах этой штуки не было, уже в процессе где-то подхватили
После скрипта сделайте новый лог HijackThis.

Добавлено через 1 минуту

У вас базы антивируса обновляются? Зверьки-то ваши старые, особенно первый...

[Deeman]

Крантин отправил.
Касперского снес т.к. он вообще не реагировал.
Симантик замечал отправки через 25 порт с новыми базами, но не лечил.
Сейчас стоит база Симантика от 16/12/07

Странно где я мог второй поймать? Заходил только на ваш сайт и сюда http://www.hcsibir.ru - скорее всего здесь второй вирус и словил.

[Deeman]

Вот лог.
По ошибке (на автомате набрал, т.к. в голове сидело) опять зашел сюда http://www.hcsibir.ru
Интересно словил или нет?

[Deeman]

Посоветуйте какой монитор поставить, чтобы они реагировали на зараженные страницы?
Симантик молчит блин...

[Bratez]

В логе чисто. Надеюсь лишнего трафика больше нет?
Тот, что в карантине - совсем свежая модификация известного трояна, пока из популярных антивирусов его ловит только DrWeb (Trojan.Packed.194).

Добавлен в базы KAV как Backdoor.Win32.Kbot.ax

[Deeman]

Понаблюдаю за трафиком... Пока сложно сказать. Он как минимум не должен увеличиваться просто так, когда ВСЕ приложения закрыты. Причем входящий равен исходящему...
Так что посоветуете в качестве антивирусного монитора?
DrWeb?

Добавлено через 8 минут

На счет старого первого вируса.
CureIT! которым я проверил комп согласно ваших правил его тоже не отловил!

[Bratez]

Не отловил, потому что это был руткит.

Добавлено через 53 секунды

100% гарантии не даст ни один антивирус.

[Deeman]

Все в порядке!
Через час в инете никакой активности не обнаружено!
Оргомное спасибо!

P.S. Однако думаю, что это не последнее мое обращение...

[Deeman]

Я начинаю отчаиваться.
Опять был резкий скачек трафика. В течении 20 минут по 10 тыс входящих и исходящих пакетов "на моих глазах"!
Были включен только барозер IE на страницах без обновления.
Автообновление Винды отключено.
Где паразит?
Что делать?

[V_Bond]

у вас нортон интернет секьюрити ?
что там в логах фаервола ... ?
у вас установлен SQL сервер не допускаете что активность может исходить оттуда ... ?

[Deeman]

Если честно - кроме симантик антивирус у меня сейчас ничего не установлено.
Фаервола тоже нет, покрайней мере я его не ставил...
SQL сервер - понятие не имею что это. Тоже лично я не ставил...

[V_Bond]

1433	LISTENING	0.0.0.0	38990	[1448] c:\program files\pinnacle\mediaserver\microsoft sql server\mssql$pinnaclesys\binn\sqlservr.exe

pinnacle - ваш ?
ставте фаерволл например COMODO (ссылки есть в соответствующем разделе форума) ... увидете что у вас общается с сетью ...

[Deeman]

Да мой.
Это програмка для видеозахвата и монтажа.
Снесу.
Ок.
Огромное спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\mssrv32.exe - Backdoor.Win32.Kbot.ax (DrWEB: Trojan.Packed.194)