Огромный исходящий траффик

[Senescent]

Админ сказал, что с моей машины идёт огромный исходящий траффик. Плюс утилитка bwmeter засекла некую активность в ночное время.
В эту ночь с 21.00 по 5.00 ежечасно исходящий траффик ~500Кб, входящий ~70+Кб. До и после окончания этого промежутка соотношение траффика каждый час 40Кб:10Кб. Меня в это время на работе не было, компьютер был включен, запущены были обычные ежедневные приложения.

Прошу помощи, Благодарю заранее.

[drongo]

Ваш админ прав
1.Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\program files\cctray\cctray.exe','');
 QuarantineFile('c:\windows\system32\inetsrv\inetinfo.exe','');
 QuarantineFile('C:\WINDOWS\system32\msindeo.dll','');
 QuarantineFile('C:\WINDOWS\WindowsSecurityUpdate.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\oreans32.sys','');
 QuarantineFile('C:\Program Files\CCTray\SerialPort.dll','');
DeleteFile('C:\WINDOWS\WindowsSecurityUpdate.exe');
DeleteFile('C:\WINDOWS\system32\msindeo.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы)

2.Пофиксить в HijackThis следующие строчки- если будут такие ( http://virusinfo.info/showthread.php?t=4491 )

O2 - BHO: (no name) - {7ACB5731-5839-13AB-EABC-124791194525} - C:\WINDOWS\system32\msindeo.dll
O4 - HKLM\..\Run: [Security] C:\WINDOWS\WindowsSecurityUpdate.exe
O21 - SSODL: msindeo.dll - {7ACB5731-5839-13AB-EABC-124791194525} - C:\WINDOWS\system32\msindeo.dll
O23 - Service: Windows Audio AudioSrvRasAuto (AudioSrvRasAuto) - Unknown owner - C:\WINDOWS\system32\lr87.exe (file missing)
O23 - Service: Secondary Logon seclogonwuauserv (seclogonwuauserv) - Unknown owner - C:\WINDOWS\system32\accservf.exe (file missing)

3.Сделайте новые логи после лечения и присоедините к следующему сообщению.

[Senescent]

Сделал всё, как велели.
Запрошенные файлы из карантина послал чуть ранее.
В аттаче последние логи.

[drongo]

msindeo.dll = http://virusinfo.info/showpost.php?p...&postcount=238
Плохо фиксили , 023 особенно надо, сказано : http://virusinfo.info/showpost.php?p=80604&postcount=2

O23 - Service: Secondary Logon seclogonwuauserv (seclogonwuauserv) - Unknown owner - C:\WINDOWS\system32\accservf.exe (file missing)
O23 - Service: Windows Audio AudioSrvRasAuto (AudioSrvRasAuto) - Unknown owner - C:\WINDOWS\system32\lr87.exe (file missing)

C:\WINDOWS\system32\drivers\oreans32.sys сохраните в укромном месте9лучше в архиве под паролем), а из нынешней папки удалите. если все программы будут работать стабильно- то можно удалить совсем.

[Senescent]

да, я уж после отправки заметил, что эти пункты не пофиксились.
простой останов сервисов, кстати, не помог. пришлось сделать руками disable, только тогда пофиксилось.

файл oreans32.sys убрал в архив

остался последний вопрос: что делать с msindeo.dll? он уже прибит? или надо ещё что-то сделать дополнительно?

[Макcим]

Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 StopService('seclogonwuauserv');
 StopService('AudioSrvRasAuto');
 BC_DisableSvc('seclogonwuauserv');
 BC_DisableSvc('AudioSrvRasAuto');        
 BC_DeleteSvc('seclogonwuauserv');
 BC_DeleteSvc('AudioSrvRasAuto');
 BC_DeleteFile('C:\WINDOWS\system32\accservf.exe');
 BC_DeleteFile('C:\WINDOWS\system32\lr87.exe');      
 BC_Activate;
 RebootWindows(true);
end.

Повторите логи.

[Senescent]

Скрипт выполнил, прикладываю логи

[Макcим]

Всё нормально. Проблема решена?

[Senescent]

Всё нормально.

тьфу-тьфу-тьфу

Проблема решена?

надеюсь, что да.

Спасибо огромное за помощь.

[Макcим]

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

Удачи!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 21
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\msindeo.dll - Trojan-Spy.Win32.Goldun.pc (DrWEB: Trojan.PWS.GoldSpy)