tcpsvcs32.exe - странная активность, не обнаруживается антивирусом!

[KsunReh]

Пожалуйста помогите!

У меня при загрузке компа, даже когда я ничего не делаю, есть сетевая активность.

AVZ написал что-то типа "нестандартный ключ... скрытый запуск tcpsvcs32.exe"

Команда netstat Far 'a дает следущее:
Активные подключения
Имя Локальный адрес Внешний адрес Состояние
TCP mk:2931 mj.majordomo.ru:http TIME_WAIT
TCP mk:2993 mj.majordomo.ru:http TIME_WAIT
TCP mk:3126 mj.majordomo.ru:http TIME_WAIT
TCP mk:3211 mj.majordomo.ru:http TIME_WAIT
TCP mk:3538 mj.majordomo.ru:http TIME_WAIT
TCP mk:3675 mj.majordomo.ru:http TIME_WAIT
TCP mk:3722 mj.majordomo.ru:http LAST_ACK
TCP mk:3725 mj.majordomo.ru:http SYN_SENT

Утилита CureIT! ничего не находит. Кроме того, незнаю связано это или нет, при очередной перезагрузки компьютера у меня загнулся файервол COMODO - написал, что все службы отключены и попросил переустановить программу(службы и в правду не включались) После этого я как раз и обнаружил эту нездоровую активность.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\tcpsvcs32.exe','');
 DeleteFile('C:\WINDOWS\tcpsvcs32.exe');
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(16);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Сделайте новые логи.

[KsunReh]

Скрипт выполнен. Вот новые логи:

[Bratez]

virus.zip уберите, его надо сюда:
http://virusinfo.info/upload_virus.php?tid=13382

tcpsvcs32.exe - свежий троянчик, успешно удален.
Не исключено, что крал пароли, поменяйте их все на всякий пожарный.

Желательно отключить все ненужное из этого списка:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Больше ничего плохого в логах нет.

[KsunReh]

Спасибо за помощь!

Архив с вирусом выслал по ссылке.

Но AVZ при проверке пишет что-то подозрительное (вроде когда делал ЛОГи это тоже было)

Функция NtConnectPort (1F) перехвачена (80598C34->F634F0D2), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtCreateFile (25) перехвачена (8057164C->F6351302), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtCreatePort (2E) перехвачена (80592699->F634F02C), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtCreateSection (32) перехвачена (80564B1B->F634FAAE), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtCreateThread (35) перехвачена (8057F262->F634ED12), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtDeleteFile (3E) перехвачена (805D8CF7->F6350CB0), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtDeleteKey (3F) перехвачена (8059D6BD->F634FEC0), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtDeleteValueKey (41) перехвачена (80597430->F634FDDA), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtOpenProcess (7A) перехвачена (8057459E->F634FB94), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtOpenSection (7D) перехвачена (805766CC->F634F9E0), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtOpenThread (80) перехвачена (80597C0A->F634FCB0), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtSetContextThread (D5) перехвачена (8062C85B->F634EBB4), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtSetInformationFile (E0) перехвачена (80579E7E->F6350DE0), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtSetValueKey (F7) перехвачена (80575527->F634F26A), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtShutdownSystem (F9) перехвачена (80645BD3->F634FFA0), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtTerminateProcess (101) перехвачена (8058AE1E->F634EF66), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtWriteFile (112) перехвачена (8057A125->F635114A), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys
Функция NtWriteFileGather (113) перехвачена (805DB3DE->F6350FB4), перехватчик C:\WINDOWS\System32\DRIVERS\cmdmon.sys

[Bratez]

Все в порядке, это перехваты вашего фаервола.

[KsunReh]

Сапасибо за разъяснения!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\tcpsvcs32.exe - Trojan-PSW.Win32.LdPinch.dwn (DrWEB: Trojan.Packed.194)