Паразитный трафик

[pechka]

Снова здравствуйте!
На компьютере наблюдается несанкционированный паразитный трафик. Трафик в основном исходящий, не прекращается даже, если в файерволе включена блокировка всех соединений. Возникает только при подключении к сети интернет. При выключенном доступе в интернет - лишь короткая периодическая активность сетевого соединения. Все автоматические обновления выключены. Сижу за NAT-ом. Антивирус (SAV), файервол (Outpost), сканер (Ad-Aware) явного беспокойства не проявляют. Команда "netstat" явно подозрительных соединений не выдаёт.

При запуске AVZ пишет:
Ошибка в работе антируткита (Range Check Error), шаг [11]
но продолжает работать. по окончании проверки создается только virusinfo_cure.zip и логфайл.

[kps]

Выполните скрипт в AVZ:

begin
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\hticons.dll','');
 QuarantineFile('C:\Program Files\SaveChm\SaveChm.vbs','');
 QuarantineFile('C:\WINDOWS\TEMP\lsass.exe','');
 QuarantineFile('c:\huadio.tmp','');
 QuarantineFile('C:\WINDOWS\System32\DRIVERS\Kaf27.sys','');
 QuarantineFile('C:\WINDOWS\system32\PRTdlink.dll','');
 DeleteFile('C:\WINDOWS\System32\DRIVERS\Kaf27.sys');
 DeleteFile('C:\WINDOWS\TEMP\lsass.exe');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Kaf27');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 правил (загружать здесь: http://virusinfo.info/upload_virus.php?tid=24084 ).

Сделайте новые логи (все 3) и прикрепите еще boot_clr.log из папки AVZ.

[PavelA]

Антивирус отключить!!! Карантин из темы удалить!!!
Выполнить:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\SaveChm\SaveChm.vbs','');
 QuarantineFile('C:\WINDOWS\TEMP\lsass.exe','');
 QuarantineFile('C:\PROGRA~1\NETSUP~1\guihook.exe','');
 QuarantineFile('C:\WINDOWS\system32\PRTdlink.dll','');
 DeleteFile('C:\WINDOWS\System32\Drivers\Kaf27.sys');
 BC_DeleteSvc('Kaf27');
 DeleteFile('C:\WINDOWS\TEMP\lsass.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Прислать карантин через красную ссылку вверху темы. Сделать новые логи.
Если будет вылетать, то выполните его в защищ. режиме.

[pechka]

Корректно смог выполниться только первый скрипт. Проблема с паразитным трафиком была нейтрализована. Похоже, что всему виной был "Kaf27.sys" (variant of Win32/Srizbi). Лога boot_clr.log не получил. Чтобы получить лог virusinfo_syscure.zip пришлось остановить вручную все вспомогательные сервисы антивируса. Пропала "сеть", но после деинсталяции Outpost Firewall появилась вновь. В целом сейчас система выглядит "здоровой". На всякий случай, передаю затребованные Вами файлы и логи повторного сканирования. Спасибо за помощь!

[V_Bond]

выполните скрипт ...

begin
  BC_DeleteSvc('Kaf27');
 DeleteFile('Kaf27.sys');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите virusinfo_syscheck.zip

[pechka]

Выполнил

[kps]

У Вас чисто. Какие-то проблемы остались?

[pechka]

Как сообщил в своём 4-м посте: "В целом сейчас система выглядит здоровой". Приношу благодарность всем оказавшим помощь. Спасибо!

[kps]

Нам интересно Ваше мнение о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drivers\\kaf27.sys - Rootkit.Win32.Qandr.au (DrWEB: Trojan.Spambot.3201)