множество коннектов на 25-й порт к удаленным ip-адресам

[MStar]

Видимо поймал какой-то спам вирус, т.к. netstat -an показывает множество коннекотв к удаленным ip-адресам на 25-й порт.

Помогите, ибо после 10-15 минут работы ПК после загрузки все сетевые сервисы (почта, браузеры) перестают работать - невозможно соединиться с удаленными серверами.

[PavelA]

Дело известное, спамбот живет в драйвере ndis.sys.
Выполнять аккурантно!!!
План такой:

1.AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('NDIS.sys','');
 QuarantineFile('\??\C:\fwdrv.sys','');
 QuarantineFile('c:\cd1041.nls','');
 QuarantineFile('c:\windows\csrss.exe','');
 QuarantineFile('c:\program files\maxthon\b.exe','');
 QuarantineFile('c:\23d.tmp','');
QuarantineFile('c:\windows\system32\msvcrtd.exe','');
QuarantineFile('C:\WINDOWS\system32\ipv6monl.dll','');
 DeleteFile('c:\23d.tmp');
 BC_DeleteSvc('msupdate');
 BC_DeleteFile('c:\23d.tmp');
 BC_DeleteFile('C:\WINDOWS\system32\ipv6monl.dll');
 BC_DeleteFile('c:\windows\system32\msvcrtd.exe');
 BC_DeleteFile('c:\windows\csrss.exe');
 BC_DeleteFile('c:\cd1041.nls');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.

После перезагрузки.
Загрузить карантин согласно приложения 3 правил . (ссылка вверху темы)

2.Скачайте утилиту восстановления ndis.sys: Вложение 10580

3. Перезагрузитесь в безопасный режим, запустите утилиту и нажмите кнопку Patch.

[MStar]

Выполнил скрипт.
Карантин отправил по ссылке в начале темы.
Перезагрузился в safe mode и запустил патч.
После перезагрузки в обычный режим netstat -an "успокоился" и больше не показывает коннекты к удаленным серверам на 25-й порт.

Видимо проблема со спамботом решилась. Что-то еще нужно сделать?

[PavelA]

Нужно заново сделать логи.

После анализа карантина м.б. еще что-нибудь удалим.
Антивируса базы надо обновить. Подозреваю, давно это не делали.

Добавлено через 28 минут
Не видно карантина. Не добрался он до нас.

Добавлено через 2 часа 26 минут
Пришел анализ:
Имеем Virus.Win32.Agent.x, SpamTool.Win32.Agent.u,
Trojan-PSW.Win32.LdPinch.bvb, Packed.Win32.Tibs.am

+ новенький Backdoor.Win32.Agent.alm

Точно по именам файлов написать не могу, карантин слишком здоров получился.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 18
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\cd1041.nls - Trojan-Proxy.Win32.Pixoliz.mf (DrWEB: Trojan.Spambot.2373)
  2. c:\\program files\\maxthon\\b.exe - Backdoor.Win32.Agent.alm (DrWEB: Trojan.Packed.166)
  3. c:\\windows\\csrss.exe - Trojan-PSW.Win32.LdPinch.bvb (DrWEB: Trojan.PWS.LDPinch.171
  4. c:\\windows\\system32\\drivers\\ndis.sys - Virus.Win32.Agent.x (DrWEB: Trojan.Spambot)
  5. c:\\23d.tmp - Packed.Win32.Tibs.am (DrWEB: Trojan.Packed.142)