помогите. исходящий smtp трафик.

[Igorius75]

Добрый день.
В сети заражено уже 3 компьютера (симптоматика одна и таже).
На проксе с них идет трафик по 25 порту.
Перед рассылкой спам обращается по IP 208.72.168.176 (я так понимаю берет там список адресов, и образец писем), при блокировании этого IP начинает лезть на дргуие IP (америка онлайн).
На компьютерах стоит Каспер, базы актуальны, ничего не выявляет, пробовал НОД и curit, и троян ремувер, тоже бесполезно. (пробовал и из системы, и с загрузочной балванки).
Пробовал найти службу или exe`шник который шлет на 25 порт, при помощи CurrPorts, неудачно, в системе таких нет (найти не удалось).

помогите ((( уже морально готов форматить 3 машины и заного все устанавливать.

[Гриша]

Отключите восстановление системы!

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\drivers\spools.exe','');
 QuarantineFile('C:\Documents and Settings\LocalService\cftmon.exe','');
 DeleteService('Winlr41');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winlr41.sys');
 DeleteFile('C:\Documents and Settings\LocalService\cftmon.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\spools.exe');
BC_ImportALL;  
ExecuteSysClean;
BC_DeleteSvc('Winlr41');    
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[Igorius75]

все вроде бы сделал.
вопрос, можно ли эти скрипты запускать на других машинах с такимиже симптомами? или Вам с каждой машны нужны отчеты?

[Гриша]

В логах чисто,для каждой системы отдельная тема и свои скрипты...

[Igorius75]

огромное спасибо.

зы
продолжение тут
http://virusinfo.info/showthread.php?t=30059