Нераспознанная программа...

**Sharr** · 16.06.2008, 02:26

Здравствуйте.
WinXP SP2
Проблема: во время сеанса в инете брандмауэр антивира стал выкидывать окна, типа "сообщение было отвергнуто сервером как спам", только успевал закрывать. В дальнейшем стали вылезать окна "нераспознанная программа попыталась получить доступ к Интернет через и т.д.". Сейчас: "svchost пытается получить доступ к Интернету через один или несколько нераспознанных модулей. Удалённый адрес 239.255.255.250:1900" .То же самое для iexplorer, но Удалённый адрес 213.133.106.251:53. При осмотре антивир выловил парочку троянов. Всяческие антитрояны - как мертвому припарка. Qureit тоже наловил, но проблема не ушла. Помогите, иначе прийдется восстанавливать систему из довольно старого образа и есть риск потерять наработки.
Если что-то неправильно сделал, поправьте, выполню все ваши рекомендации. Если затяну с ответами, не обессудьте, на работе админами отключены почтовые сервисы.
Спасибо.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Bratez** · 16.06.2008, 02:42

Пофиксите в HijackThis:

Код:

O4 - HKLM\..\Run: [runservices] C:\WINDOWS\services.exe
O20 - Winlogon Notify: reset5 - C:\WINDOWS\SYSTEM32\reset5.dll

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\services.exe','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Sbh17.sys','');
 DeleteFile('C:\WINDOWS\System32\Drivers\Sbh17.sys');
 DeleteFile('C:\WINDOWS\services.exe');
BC_ImportALL;
BC_DeleteSvc('Sbh17');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=24656).

Рекомендуется отключить все что вам не нужно из этого списка:

Код:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба TlntSvr (Telnet)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)

а также службу Bonjour.

Сделайте новые логи, начиная с п.10 правил.

**Sharr** · 16.06.2008, 03:47

Проблемы с отключением службы Bonjour??? В C:\Program Files\Bonjour\ такая есть, производитель Apple.
И службы терминалов. Тип запуска - Отключено.
состояние - рабтает, кнопка Стоп не активна. Может при перезагрузке остановится.
Извините, virus.zip присылать по ссылке в том виде, как он получился в AVZ? Я не понял он с паролем или без?
"Разрешена загрузка только архивных файлов с расширением zip.
Архивы должны быть созданы с паролем "virus" !!!" ?!
Пофиксил, скрипт выполнил. Антивир:"Apach пытается получить доступ к Интернету через один или несколько нераспознанных модулей"

**PavelA** · 16.06.2008, 12:14

Карантин из AVZ идет уже с паролем, ничего устанавливать не надо.

Карантин пришел пустой.

**Sharr** · 16.06.2008, 23:54

Извиняюсь, прислал что было. В \Qurantine\2008-06-16. В архиве соответственно тоже - 4 шт. bcqr*.ini. Маленькие какие-то 130Б и 144Б. Это то, что надо? Выслать ещё раз?