Модифицированы префиксы протоколов

[Earring21]

Добрый день.

Недавно поймали вирус, но сейчас вроде как ничего не находит.
Интернет(сайты открываются) работает, внутренняя сеть тоже.
Но одна проблема осталась(её до вируса небыло). Есть программа она гоняет видео по 3000 порту с удаленной точки(стат IP) не может достучаться до видео-сервера.Даже если точнее сказать даже не программа, простой telnet по 3000 порту так же не доходит до удаленной точки(с остальных машин в сети подобной проблемы нет).
АВЗ вроде ничего подозрительного не нашел, кроме этой вот строчки
"Модифицированы префиксы протоколов".
Что может быть ?

[rubin]

Не хватает лога hijackthis и virusinfo_syscheck

virusinfo_cure - это карантин (у Вас правда пустой), отсылать нужно сюда - http://virusinfo.info/upload_virus.php?tid=18699

[Bratez]

По сообщению KIS, ваш лог syscure содержит вредоносный объект
Exploit.HTML.Mht (модификация).

[Зайцев Олег]

Эксплоита там нет ... эксплоит заразил компьютер и привел к проблеме, в логе есть прямая ссылка на эксплоит, на него и ругается KIS.
Знаит так:
1. Выполнить скрипт:

begin
 QuarantineFile('C:\TEMP\winlogon.exe','');
 QuarantineFile('C:\WINDOWS\csrss.exe','');
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('C:\WINDOWS\System32\winnet.dll','');
 QuarantineFile('C:\WINDOWS\System32\bvsjds7ehd.dll','');
 QuarantineFile('C:\WINDOWS\System32\winload.dll','');
 RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{11111111-1111-1111-1111-111111111123}');
 DeleteFile('C:\WINDOWS\System32\bvsjds7ehd.dll');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
 DeleteFile('C:\WINDOWS\csrss.exe');
 DeleteFile('C:\TEMP\winlogon.exe');
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteSysClean; 
end.

2. Нужно сделать логи по правилам (2 лога AVZ + HijackThis)

[DVi]

По сообщению KIS, ваш лог syscure содержит вредоносный объект
Exploit.HTML.Mht (модификация).

Так оно и есть: при указании в html-файле ссылки на зараженный ресурс веб-антивирус КИСа может диагностировать подозрение на вирус.

[Rene-gad]

при указании в html-файле ссылки на зараженный ресурс веб-антивирус КИСа может диагностировать подозрение на вирус.

KAV тоже реагирует на эксплойт

[rubin]

Правильно - веб-антивирус есть и на КАВе, и на КИСе

[Earring21]

Выполнил сказанное+скрипт.

[drongo]

Ну вот , нужный файл нечаянно удалился. Будьте внимательны когда прикрепляете файлы!

[Earring21]

Пока без изменений.
telnet-ом не могу достучаться до адреса(в программе соотвественно тоже).

[rubin]

Карантина Вашего не вижу

http://virusinfo.info/upload_virus.php?tid=18699

[Earring21]

Карантин сбросил.

[rubin]

Не тот... virusinfo_cure - это, что получилось в ходе создания логов
Нужен virus.zip - читайте приложение 3 Правил

[Earring21]

Карантин был пустой. На всякий сделал автокарантин. Его прислал.

[rubin]

Выполните:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DelBHO('BE756CFF-ADB4-4bc5-A35F-19E546E5710E');
 DelBHO('8D5849A2-93F3-429D-FF34-260A2068897C');
 QuarantineFile('C:\WINDOWS\System32\bvsjds7ehd.dll','');
 DelBHO('74EFCE6B-FE84-443D-94F6-101AE84DF961');
 QuarantineFile('C:\DOCUME~1\Andrey\APPLIC~1\~tmpdll.dll','');
 DelBHO('2BDEC973-B5AC-4e5b-8AB3-5A0500880DA2');
 QuarantineFile('C:\WINDOWS\System32\winnet.dll','');
 QuarantineFile('C:\WINDOWS\System32\winload.dll','');
 QuarantineFile('C:\WINDOWS\System32\poof','');
 QuarantineFile('C:\WINDOWS\System32\drivers\protect.sys','');
 QuarantineFile('C:\WINDOWS\System32\kprof','');
 DeleteFile('C:\WINDOWS\System32\kprof');
 DeleteFile('C:\WINDOWS\System32\drivers\protect.sys');
 DeleteFile('C:\WINDOWS\System32\poof');
 DeleteFile('C:\WINDOWS\System32\winload.dll');
 DeleteFile('C:\DOCUME~1\Andrey\APPLIC~1\~tmpdll.dll');
 DeleteFile('C:\WINDOWS\System32\bvsjds7ehd.dll');
 DeleteFile('C:\WINDOWS\System32\winnet.dll');
 BC_ImportAll;
 BC_DeleteSvc('protect');
 BC_DeleteSvc('poof');
 BC_DeleteSvc('kprof');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

Пришлите новый карантин и сделайте новые логи

[Earring21]

Выполнил скрипт.
Выложил новые логи. Отослал карантин.
Пока все без изменений.
Какие ещё будут мысли ?

[rubin]

Пофиксьте:

O20 - Winlogon Notify: origami - C:\WINDOWS\
O20 - Winlogon Notify: rpcc - C:\WINDOWS\

C:\WINDOWS\SYSTEM32\DRIVERS\vpckom.SYS
Пришлите по правилам

[Earring21]

Сказанное пофиксил(лог после фикса и перезагрузки выложил).
Запрошенный файл отправил.

[rubin]

C:\WINDOWS\system32\drivers\vpckom.sys - чист

Какие жалобы остались?

[Earring21]

Все тоже самое...
Телнетом не могу повеситься на нужный IP нужный порт(Соответственно и программой использующей тот же IP и порт тоже).
В остальном все оК.