Показано с 1 по 12 из 12.

netstat и SYN_SENT и smtp (заявка № 20794)

  1. #1
    Junior Member Репутация
    Регистрация
    01.04.2008
    Сообщений
    5
    Вес репутации
    36

    Thumbs up netstat и SYN_SENT и smtp

    С недавнего времени появилась постоянная сетевая активность, выполнил netstat в командной строке и вот что обнаружил
    Код:
     TCP    GURU:1372              216.195.56.19:2516     SYN_SENT
     TCP    GURU:1376              mega4.z8.ru:http       SYN_SENT
     TCP    GURU:1377              mega4.z8.ru:http       SYN_SENT
     TCP    GURU:1378              mega4.z8.ru:http       SYN_SENT
     TCP    GURU:1380              mega4.z8.ru:http       SYN_SENT
     TCP    GURU:1382              mega4.z8.ru:http       SYN_SENT
     TCP    GURU:1025              mega4.z8.ru:http       SYN_SENT
     TCP    GURU:1030              mx1.rtl2.de:smtp       TIME_WAIT
     TCP    GURU:1034              cst5.belwue.de:smtp    TIME_WAIT
     TCP    GURU:1045              mega4.z8.ru:http       SYN_SENT
     TCP    GURU:1045              anchor-relay-1.mail.thus.net:smtp  TIME_WAIT
     TCP    GURU:1047              mx21.stratoserver.net:smtp  TIME_WAIT
     TCP    GURU:1049              mailin.rzone.de:smtp   TIME_WAIT
     TCP    GURU:1052              mail.g-bag.baycix.de:smtp  TIME_WAIT
     TCP    GURU:1057              listen.asamnet.de:smtp  TIME_WAIT
     TCP    GURU:1059              jacksonstops.netplan.co.uk:smtp  TIME_WAIT
     TCP    GURU:1061              mail.arcor-ip.de:smtp  TIME_WAIT
     TCP    GURU:1067              83.138.64.194:smtp     TIME_WAIT
     TCP    GURU:1070              usmtp02.venaria.marelli.it:smtp  TIME_WAIT
     TCP    GURU:1071              mail4.worldserver.net:smtp  TIME_WAIT
     TCP    GURU:1077              mx-b.kundenserver.de:smtp  TIME_WAIT
     TCP    GURU:1082              ngcobalt07.manitu.net:smtp  TIME_WAIT
     TCP    GURU:1087              boys-only.de:smtp      SYN_SENT
    Первая мысль - завелась дрянь, лечил пару дней компутер, в итоге находил периодически какие то трояны, но итог один сетевая активность и SYN_SENT остались.
    Ранее еще смотрел от какого процесса идет SYN_SENT, выяснилось что след идет к winlogon, так же откидывал сетку, после подключения сетки обратно и попытки помотретьс сетевое окружение дрянь активизировалась. Вот собсно и боримся.
    Файлики прилагаются
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3000
    Удалите либо Симантека либо Есет: 2 АВ в одной системе не приносят пользы, только проблемы!!!
    Пофиксите
    Код:
    O16 - DPF: {7d0314a8-7851-11d4-a3e1-00c04fa32518} -
    O16 - DPF: {CAFECAFE-0013-0001-0009-ABCDEFABCDEF} -
    O20 - Winlogon Notify: pmnnnoo - pmnnnoo.dll (file missing)
    O20 - Winlogon Notify: MSSYCLM - C:\WINDOWS\
    O20 - Winlogon Notify: sysfldr - C:\WINDOWS\SYSTEM32\sysfldr.dll
    O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\SYSTEM32\WLCtrl32.dll
    Выполните скрипт
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\ServicePackFiles\winlogon.exe','');
     QuarantineFile('pmnnnoo.dll','');
     QuarantineFile('C:\WINDOWS\SYSTEM32\sysfldr.dll','');
     QuarantineFile('winntn32.dll','');
     QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
     QuarantineFile('C:\WINDOWS\system32\sysfldr.dll','');
     QuarantineFile('C:\WINDOWS\System32\drivers\Bog35.sys','');
     DeleteFile('C:\WINDOWS\system32\sysfldr.dll');
     DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
     DeleteFile('winntn32.dll');
     DeleteFile('pmnnnoo.dll');
     DeleteFile('C:\WINDOWS\ServicePackFiles\winlogon.exe');
     StopService('Bog35'); 
     DeleteService('Bog35');
     DeleteFile('C:\WINDOWS\System32\drivers\Bog35.sys');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки повторите логи. Карантин закачайте по правилам.
    Последний раз редактировалось Rene-gad; 01.04.2008 в 16:24. Причина: Спасибо, Гриша :)

  4. #3
    Junior Member Репутация
    Регистрация
    01.04.2008
    Сообщений
    5
    Вес репутации
    36
    Все сделал как сказали.
    кстати, Симантек снес вчера, остался Есет, видимо какие то хвосты просто от Симантека остались
    И еще, на настоящий момент сетевая активность левая пропала, netstat ничего левого вроде как не выдает :-)
    Вложения Вложения

  5. #4
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1785
    AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    DeleteFile('WLCtrl32.dll');
    DeleteFile('sysfldr.dll');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Пофиксить

    Код:
    O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
    O20 - Winlogon Notify: MSSYCLM - C:\WINDOWS\
    O20 - Winlogon Notify: pmnnnoo - C:\WINDOWS\
    O20 - Winlogon Notify: sysfldr - sysfldr.dll (file missing)
    O20 - Winlogon Notify: winntn32 - C:\WINDOWS\
    O20 - Winlogon Notify: WLCtrl32 - WLCtrl32.dll (file missing)
    Повторите логи.

  6. #5
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3000
    Проверьте реестр.
    Если не убиты ключи, содержащие
    Код:
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WLCtrl32
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\sysfldr
    удалите их вручную. Потом повторите логи.

  7. #6
    Junior Member Репутация
    Регистрация
    01.04.2008
    Сообщений
    5
    Вес репутации
    36
    вот
    Вложения Вложения

  8. #7
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1500
    выполните скрипт. ...
    Код:
    begin
     BC_DeleteSvc('fwdrv.sys');
     QuarantineFile('fwdrv.sys','');
     DeleteFile('fwdrv.sys');
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    повторите лог virusinfo_syscheck.zip

  9. #8
    Junior Member Репутация
    Регистрация
    01.04.2008
    Сообщений
    5
    Вес репутации
    36
    Сделал
    Вложения Вложения

  10. #9
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1785
    Чисто.

  11. #10
    Junior Member Репутация
    Регистрация
    01.04.2008
    Сообщений
    5
    Вес репутации
    36
    Цитата Сообщение от Гриша Посмотреть сообщение
    Чисто.
    Спасибо всем за помощь

  12. #11
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1785
    Нам интересно Ваше мнение о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

    Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

  13. #12
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 5
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\windows\\system32\\drivers\\bog35.sys - Trojan-Downloader.Win32.Mutant.aim (DrWEB: Trojan.DownLoader.50037)
      2. c:\\windows\\system32\\sysfldr.dll - Trojan.Win32.Pakes.clw (DrWEB: Trojan.Proxy.3057)
      3. c:\\windows\\system32\\wlctrl32.dll - Trojan-Downloader.Win32.Mutant.ci (DrWEB: Trojan.DownLoad.5309)


  • Уважаемый(ая) scarev, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Не запускается Mozilla, много открытых портов netstat - ano (заявка №46380)
      От CyberHelper в разделе Отчеты сервиса лечения VirusInfo
      Ответов: 2
      Последнее сообщение: 09.01.2011, 12:00
    2. smtp активность в netstat
      От c11ross в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 06.12.2010, 22:32
    3. Ответов: 1
      Последнее сообщение: 02.04.2009, 10:20
    4. netstat + smtp
      От kba в разделе Помогите!
      Ответов: 12
      Последнее сообщение: 22.02.2009, 06:35
    5. aka automatic netstat loging
      От drongo в разделе Общая сетевая безопасность
      Ответов: 15
      Последнее сообщение: 18.12.2007, 11:59

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00453 seconds with 17 queries