Какая-то гадость блокирует Outlook?

[Dr. Byaka]

Outlook не может соединиться с сервером, антивирус поймал несколько даунлоадеров и убил их, но что-то видимо осталось.
По логам AVZ видно кучу каких-то драйверов скази, при этом никаких скази устройств у меня нет, равно как и шины

[Макcим]

Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 BC_DeleteFile('C:\WINDOWS\System32\drivers\ctl_w32.sys');
 BC_DeleteFile('C:\WINDOWS\C:\WINDOWS\system32\svchost.exe');
 BC_DeleteFile('C:\WINDOWS\system32\ntos.exe');
 BC_DeleteSvc('SharedAccess');
 BC_DeleteSvc('ctl_w32');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Повторите логи.

[Dr. Byaka]

выполнено, прилагаю логи

[Макcим]

В логах всё нормально.

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

Удачи!

[Dr. Byaka]

Спасибо большое, только Outlook так и не заработал и в логах всё ещё продолжает присутствовать несколько десятков драйверов SCSI, которого на машине нет как класса

[Макcим]

в логах всё ещё продолжает присутствовать несколько десятков драйверов SCSI, которого на машине нет как класса

Это не страшно. А что с аутпостом?

[Dr. Byaka]

не с аутпостом, с MS Outlook, не может соединиться с эксчендж-сервером, до лечения - просто вис, теперь говорит, что сервер недоступен

[Макcим]

Простите, неправильно прочитал. А сервер в самом деле работает? Вряд ли дело рук вирусов.

Здесь все адреса Ваши или есть "левые"?

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = Intcross.com
O17 - HKLM\Software\..\Telephony: DomainName = Intcross.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{957A0124-EF84-4E56-80BA-1C8E1BF12269}: NameServer = 85.255.113.117,85.255.112.135
O17 - HKLM\System\CCS\Services\Tcpip\..\{C18E59D8-90B8-48E2-8F47-800E9661EE51}: NameServer = 85.255.113.117,85.255.112.135
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = Intcross.com
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.113.117 85.255.112.135
O17 - HKLM\System\CS1\Services\Tcpip\..\{957A0124-EF84-4E56-80BA-1C8E1BF12269}: NameServer = 85.255.113.117,85.255.112.135
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = Intcross.com
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.113.117 85.255.112.135
O17 - HKLM\System\CS2\Services\Tcpip\..\{957A0124-EF84-4E56-80BA-1C8E1BF12269}: NameServer = 85.255.113.117,85.255.112.135
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.113.117 85.255.112.135

[Dr. Byaka]

не наши
Информация об IP-адресе 85.255.113.117

по данным RIPE:
% This is the Ripe-Mirror Whois server.
% Note: this output has been filtered.
% Information related to '85.255.112.0 - 85.255.127.255'
inetnum: 85.255.112.0 - 85.255.127.255
netname: UkrTeleGroup
descr: UkrTeleGroup Ltd.
admin-c: UA481-RIPE
tech-c: UA481-RIPE
country: UA
org: ORG-UL25-RIPE
status: ASSIGNED PI
mnt-by: RIPE-NCC-HM-PI-MNT
mnt-lower: RIPE-NCC-HM-PI-MNT
mnt-by: UKRTELE-MNT
mnt-routes: UKRTELE-MNT
mnt-domains: UKRTELE-MNT
source: RIPE # Filtered
organisation: ORG-UL25-RIPE
org-name: UkrTeleGroup Ltd.
org-type: LIR
address: UkrTeleGroup Ltd.
Mechnikova 58/5
65029 Odessa
Ukraine
phone: +380487311011
fax-no: +380487502499
mnt-ref: UKRTELE-MNT
mnt-ref: RIPE-NCC-HM-MNT
mnt-by: RIPE-NCC-HM-MNT
source: RIPE # Filtered
person: Andrew Sotov
address: Mechnikova 58/5 65029 Odessa
abuse-mailbox: [email protected]
phone: +380631508855
nic-hdl: UA481-RIPE
source: RIPE # Filtered
хохлы

внутри нашей сети
192.168.1.15
192.168.1.5
...1.2
основные
и плюс почта 1.4 и 1.16


наружних в принципе не должно быть

[Макcим]

Тогда "левые" пофиксите в HJT.

[Dr. Byaka]

Огромное спасибо! после фикса в HJT почта пошла, после перезагрузки тоже всё в порядке

[Макcим]

Учтите, за это время отправляемая почта могла попасть в руки злоумышленников со всеми вытекающими последствиями...

[Dr. Byaka]

файл закачал
080204_061136_virusinfo_files_TONTC2_47a700f8f1fb8 .zip

Да, разумеется, будем подумать, либо конкуренты, либо клиенты... %) хотя может и просто хулиганы?

[Макcим]

С этим должна разбираться служба безопасности.