Показано с 1 по 13 из 13.

svchost.exe открывает кучу соединений на 445 порт (заявка № 39500)

  1. #1
    Junior Member Репутация
    Регистрация
    11.02.2009
    Сообщений
    7
    Вес репутации
    56

    Question svchost.exe открывает кучу соединений на 445 порт

    После загрузки системы svchost.exe пытается установить соединение с разнообразной кучей IP адресов, на первый взгляд не повторяющихся на порт 445. Так же в начале работы svchost пытается соединяется с чем-то на 80 порт, успешно, в журнале Comodo Firewall числится иногда по 60 кб закаченной информации, и соединений или попыток соединений в списке штук по 20-30.
    Traffic Inspector показывает, что на 445 порт на разные айпишники лезет ws2_32.dll.
    Соединение на 445 удаленный порт я временно закрыл файерволом. Лечение дрвебом обнаружило windowsautomaticupdates.exe в каталоге system32, удалил.
    Прошу помощи...
    Вложения Вложения
    Последний раз редактировалось drongo; 11.02.2009 в 16:53.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для drongo
    Регистрация
    17.09.2004
    Адрес
    Israel
    Сообщений
    7,164
    Вес репутации
    994
    а где virusinfo_syscure.zip?
    virusinfo_cure.zip прикреплять нельзя

  4. #3
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,632
    Вес репутации
    1315
    Закройте все программы.
    Запустите AVZ.
    Выполните скрипт через меню Файл:
    Код:
    begin
    SetAVZGuardStatus(True);
     DeleteService('Windows Log');
     QuarantineFile('C:\WINDOWS\system32\nvsvcd.exe','');
     QuarantineFile('c:\docume~1\an\applic~1\trustm~1\teamaudiofour.exe','');
     DeleteService('runtime2');
     DeleteService('PSSdk21');
     QuarantineFile('HookDLL.DLL','');
     DelBHO('{68EBD240-34BC-4503-8432-D2AB5168F4EB}');
     DelBHO('{B863453A-26C3-4e1f-A54D-A2CD196348E9}');
     DelBHO('{C8A2694C-B669-579E-4212-1E4F0802301F}');
     DeleteFile('winusi32.dll');
     DeleteFile('C:\WINDOWS\system32\undname.exe');
     DeleteFile('C:\WINDOWS\system32\svshost.dll');
     DeleteFile('C:\WINDOWS\system32\ntsock.exe');
     DeleteFile('C:\WINDOWS\system32\nvsvcd.exe');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите карантин через ссылку Прислать запрошенный карантин вверху темы, как написано в приложении 3 Правил.
    Обновите базы AVZ!
    Сделайте новые логи и приложите к этой теме.
    Последний раз редактировалось AndreyKa; 11.02.2009 в 18:05.

  5. #4
    Junior Member Репутация
    Регистрация
    11.02.2009
    Сообщений
    7
    Вес репутации
    56
    virusinfo_syscure.zip не видел, было тока два зипа после работы AVZ, которые и прислал. Может че напутал...

    Спасибо за помощь! Чет дофига... Странно, винт машины до этого отцеплял и зацеплял на неинфицированную с лиценз виндой, апдейтами и обновленным антивирусом ESET. Просканировал винт, ниче не нашлось... Завтра на работе попробую это сделать.

  6. #5
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,632
    Вес репутации
    1315
    В основном, остались следы в реестре. Вредоносных файлов может уже не быть.

  7. #6
    Junior Member Репутация
    Регистрация
    11.02.2009
    Сообщений
    7
    Вес репутации
    56
    Скрипт выполнил. Отправившись в перезагрузку, винда зависла, оставив на экране обои и мышь, перегрузил Reset'ом. Карантин оказался пуст, прислать нечего. Далее собрал логи по правилам, во время перезагрузки между syscure и syscheck перезагрузился в линукс и проверил наличие runtime*.sys в каталоге драйверов, и остальных указанных в скрипте файлов - отсутствуют. Правда hookdll.dll по всему диску не искал. Логи прилагаю.
    svchost.exe ведет себя так же, правда меньше - лезет везде и всюду после загрузки на 445 порт, скачивает что-то с 80-го, через пару минут затихает.
    Да, и еще. При втыкании флэшки на ней образуется файл autorun.inf. Открыл в блокноте, файл содержит 57.9 кб какой-то бинарной фигни, правда строчки часто начинаются с ";".

    Дополнение. Еще на флэшке образуется каталог RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665, и в нем лежит файл jwgkvsq.vmx, при удалении autorun.inf и этого каталога при попытке автозапуска винда пытается этот .vmx и загрузить. Скопировал оба файла, если надо, могу прислать.

    Скормил оба файла eset на другой машине. Нашел в них Win32/Conficker.AA. Странно, что на винте с зараженной системой ниче не нашел при этом. Остаюсь зараженный.
    Вложения Вложения
    Последний раз редактировалось imprg; 12.02.2009 в 10:23.

  8. #7
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2522
    Цитата Сообщение от imprg Посмотреть сообщение
    Да, и еще. При втыкании флэшки на ней образуется файл autorun.inf. Открыл в блокноте, файл содержит 57.9 кб какой-то бинарной фигни, правда строчки часто начинаются с ";".

    Дополнение. Еще на флэшке образуется каталог RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665, и в нем лежит файл jwgkvsq.vmx, при удалении autorun.inf и этого каталога при попытке автозапуска винда пытается этот .vmx и загрузить. Скопировал оба файла, если надо, могу прислать.
    Это один из варианттов Кидо. Надо заплатки ставить.
    Остатки в реестре все-таки есть:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     BC_DeleteSvc('runtime2');
     QuarantineFile('C:\WINDOWS\System32\drivers\protect.sys','');
     BC_DeleteSvc('protect');
     DeleteFile('C:\WINDOWS\System32\drivers\protect.sys');
     DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Повторить логи.
    То, что появляется на флешке, прислать по Правилам через карантин AVZ.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  9. #8
    Junior Member Репутация
    Регистрация
    11.02.2009
    Сообщений
    7
    Вес репутации
    56
    Усе, наконец-то нашел я его. gejldrf.dll в каталоге system32, срубил нафиг, стало все ок. Файлы на флэшке не появляются, svchost никуда не лезет. Стелс, зараза, пришлось из-под линукса срубать. Он самый, кидо. Если нужен, пришлю.
    protect.sys и runtime2.sys нету на машине. Хотя ща на всякий случай выполню скрипт.

    Файл сохранён как 090212_114943_virus_4993e2a725a00.zip
    Последний раз редактировалось imprg; 12.02.2009 в 11:50.

  10. #9
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2522
    Да-а-а.
    Прозевал я его. Из дома писал торопился.
    Из лога AVZ:
    3. Сканирование дисков
    Прямое чтение C:\WINDOWS\system32\gejldrf.dll
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  11. #10
    Junior Member Репутация
    Регистрация
    11.02.2009
    Сообщений
    7
    Вес репутации
    56
    Не страшно :-) Нашел его и ладно.
    На всякий случай еще последний лог, после удаления. Патч от микрософта поставил. А заразился судя по всему я через расшаренный на моей машине принтер.

    Вопрос еще по теме. Как отключить автозапуск файлов с флэшки? Шоб даже при наличии autorun.inf на флэшках был тока запрос "че делать"?
    Вложения Вложения

  12. #11
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2522
    У нас в "Чаво" есть тема по этому поводу.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  13. #12
    Junior Member Репутация
    Регистрация
    11.02.2009
    Сообщений
    7
    Вес репутации
    56
    В принципе все теперь работает, но есть последствия - с приходом вируса мой расшаренный принтер никому не виден. Как и расшаренный каталог. Можно это исправить? Перезапускал службы, закрывал и снова открывал доступ к принтеру, бестолку.

  14. #13
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,233
    Вес репутации
    977

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 3
    • В ходе лечения обнаружены вредоносные программы:
      1. \autorun.inf - Worm.Win32.AutoRun.etg (DrWEB: Win32.HLLW.Shadow)
      2. \gejldrf.dll - Net-Worm.Win32.Kido.by (DrWEB: Win32.HLLW.Autoruner.5555)
      3. \jwgkvsq.vmx - Net-Worm.Win32.Kido.by (DrWEB: Win32.HLLW.Autoruner.5555)


  • Уважаемый(ая) imprg, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Ответов: 5
      Последнее сообщение: 20.05.2009, 07:13
    2. svchost.exe открывает СОТНИ соединений
      От plug в разделе Помогите!
      Ответов: 13
      Последнее сообщение: 23.04.2009, 20:18
    3. Ответов: 8
      Последнее сообщение: 03.04.2009, 12:12
    4. windows\svchost.exe лезет на 123 порт
      От JohnDoe в разделе Помогите!
      Ответов: 30
      Последнее сообщение: 22.02.2009, 09:16
    5. Ответов: 1
      Последнее сообщение: 16.06.2008, 01:24

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01032 seconds with 20 queries