подозрение коннект ДНС прова..

[Паша101]

добрый день!
На шлюзе летит трафик.
Ломится на ДНС провайдера. Логи со шлюза уже присылал Вам - ничего не нашли..
Присылаю лои подозрительного соседнего ПК.
Кстати в логе хайджека увидел ip шлюза (192.168.1.99)

[Info_bot]

Уважаемый(ая) Паша101, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Techno]

Здравствуйте!!!

- Выполните в АВЗ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 SetServiceStart('newdriver', 4);
 StopService('newdriver');
 QuarantineFile('C:\WINDOWS\system32\sd3pRDP5.dll','');
 QuarantineFile('C:\WINDOWS\goToBed.bat','');
 QuarantineFile('C:\WINDOWS\uhtrj.sys','');
 DeleteFile('C:\WINDOWS\uhtrj.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('newdriver');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Повторите логи.

- Сделайте лог полного сканирования MBAM.

FreeRIP Toolbar сами устанавливали?

[Паша101]

выложу пока повторные логи, а то MBAM долго сканирует..его позже прикреплю.
FreeRIP Toolbar до меня еще кто устанавливал наверное..
карантин выслал.

[Techno]

Задание goToBed.job, которое выключает компьютер, в планировщике сами делали?

FreeRIP Toolbar до меня еще кто устанавливал наверное..

Если он Вам не нужен, то удалите...

Ждем MBAM...

[Паша101]

Задание goToBed.job, которое выключает компьютер, в планировщике сами делали?


Если он Вам не нужен, то удалите...

Ждем MBAM...

Да сам делал...
Скоро МБАМ..
я уже не знаю че делать - вчера на шлюзе сделал быструю проверку нашел троян - удалил, хотя до этого делал Полную проверку (выкладывал на вирусинфо)- не находил...

[Паша101]

Лог mbam прикрепил

[Techno]

- Удалите в MBAM:

HKCR\CLSID\{82184935-B894-4AB2-8590-603BA7D74B71} (Trojan.WebMoner) -> Действие не было предпринято.
HKCR\vykroiki.eProtocol (Trojan.WebMoner) -> Действие не было предпринято.

C:\Documents and Settings\server1\Application Data\Sun\Java\Deployment\cache\6.0\56\38f70078-3ad97564 (Trojan.Dropper) -> Действие не было предпринято.

Это все знакомо?

C:\Качалка\fscommand\bonus4.exe (Malware.Packer) -> Действие не было предпринято.
C:\Качалка\fscommand\bonus5.exe (Malware.Packer) -> Действие не было предпринято.
Y:\termsrv.dll (Trojan.Downloader) -> Действие не было предпринято.

Что с проблемой?

[Паша101]

все удалил, проблема осталась...

[Techno]

- Сделайте лог ComboFix.

[Паша101]

Добрый день!
прикрепляю..

[Techno]

Не ответили...

Это все знакомо?

C:\Качалка\fscommand\bonus4.exe (Malware.Packer) -> Действие не было предпринято.
C:\Качалка\fscommand\bonus5.exe (Malware.Packer) -> Действие не было предпринято.
Y:\termsrv.dll (Trojan.Downloader) -> Действие не было предпринято.

Добавлено через 1 минуту

Как самочувствие после combofix'а?

[Паша101]

C:\Качалка\fscommand\bonus4.exe (Malware.Packer) -> Действие не было предпринято.
C:\Качалка\fscommand\bonus5.exe (Malware.Packer) -> Действие не было предпринято.

все удалил на всякий случай

После combofix'а состояние норм.. К ДНС теперь поятоянно не лезет. - НО думаю это просто совпадение, т.к. вчера отключал этот ПК от сети, а коннект к днс все равно на шлюзе был..Я вообще не могу найти закономерность..
Вот бы шлюз еще проверить на combofix - но та тема затухла и никто не помогает...

[Techno]

все удалил на всякий случай

а это тоже не знакомо? Y:\termsrv.dll (Trojan.Downloader) -> Действие не было предпринято.

- Удалите ComboFix
И обновляться Вам срочно надо и проблем сразу станет меньше

- Установите SP3 (может потребоваться активация), новый Internet Explorer, а также все доступные обновления для Windows

Добавлено через 3 минуты

Вот бы шлюз еще проверить на combofix - но та тема затухла и никто не помогает...

В той теме тоже ответил.
Обновляйтесь, потом понаблюдайте и сообщите о результатах...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 9
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\uhtrj.sys - Trojan-Banker.Win32.Qhost.mro ( DrWEB: Trojan.Hosts.5006, BitDefender: Rootkit.52152, AVAST4: Win32:Rootkit-gen [Rtk] )