Services.exe, открытие портов и проблема с нетом.

[Гир]

Здравствуйте! Проблема заключается в том, что просматривая мой Outpost Firewall я обратил внимания на тот факт, что открыто большое количество портов. Некий services.exe с момента загрузки ОС начинает открывать порты, пытаясь, на сколько я понимаю, соеденится с левым айпи (некий 208.66.195.169). Соединение блокируется и идёт обращение к следующему порту. При этом, когда кол-во портов достигает 3994 (примерно через часа 1,5) я не могу выйти в интернет... Мой Nod32 не находит в этом services.exe вирусов. Не представляю что это значит. Надеюсь, Вы сможете подсказать мне проблему и выход из неё. Заранее благодарен!

С уважением, Алексей.

[Max_Novak]

IP действительно сомнительный http://www.nic.ru/whois/?query=208.66.195.169
В логах ни чего криминального нет.

[Ego1st]

выполните скрипт AVZ - файл - выполнить скрипт, копьютер перезагрузиться

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('\??\C:\WINDOWS\system32\main.sys','');
 QuarantineFile('\??\C:\WINDOWS\system32\reg.sys','');
 QuarantineFile('C:\WINDOWS\system32\wsys.dll','');
 QuarantineFile('c:\windows\system32\services.exe','');
 DeleteFile('C:\WINDOWS\system32\wsys.dll');
ExecuteSysClean;
RebootWindows(true);
end.

после перезагрузке файлы из папки AVZ - Quarantine - сегодняшнее число залейте по правилам приложения 2

пофиксите в HijackThis

O2 - BHO: iMeshBar BHO - {5345A7A1-805A-4923-B505-86B2FEBA3FE0} - C:\Program Files\iMeshBar\bar\1.bin\IMESHBAR.DLL (file missing)
O3 - Toolbar: iMeshBar - {5345A7A9-805A-4923-B505-86B2FEBA3FE0} - C:\Program Files\iMeshBar\bar\1.bin\IMESHBAR.DLL (file missing)

[Max_Novak]

Этот services.exe виден только в "Порты TCP/UDP"
Он конектился по 2554 и 25 порту... Однако больше ни где он не засветился... Хм. Сейчас Вам напишу скрипт карантина.

[Max_Novak]

AVZ - Файл - Выполнить скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\windows\system32\services.exe','');
RebootWindows(true);
end.

После перезагрузки отправте нам папку Quarantine - сегодняшнее число по правилам форума.
Логичнее исследовать сам services.exe

[Max_Novak]

Ну давайте перестрахуемся. Добавте в свой скрипт services.exe - тоже на карантин.

Блин, только сейчас дошло! Если он конектился по 25 порту, то лучше Вам, Гир, поменять все пароли!

[Гир]

Ego1st, выполнил Ваш скрипт и появилось чтото более серьёзное. При перезагрузке винда нормально не загрузилась! Викынуло сообщение на синем экране http://img112.imageshack.us/img112/3506/1bm6.jpg

P.S. В нет зашёл со второй винды, у меня 2 ОС...

Max_Novak, не знаю был ли 25-ый порт? А о каких паролях идёт речь?

[Ego1st]

второй раз не пробовали войти?
попробуйте в последнюю удачную конфигурацию зайти..
меня если честно удивляет такого не должно было быть, это точно..

[Max_Novak]

Возможно что services.exe передал Ваши пароли третьей стороне... Но я сказал что ВОЗМОЖНО. На 100% я не уверен.

[Гир]

Max_Novak, а какие пароли? Пользовательские при входе в ОС? Или сохранённые в "автозаполнении"??? Да и скорее всего это не так, ведь Outpost должен блокировать данное приложения...

Ego1st, не помогло!!! Чтож делать? Переставлять ОС?

[Ego1st]

или в безапасном режиме или из другой оси попробуйте востановить из карантина авз файл
C:\WINDOWS\system32\wsys.dll

[Max_Novak]

Outpost можно обойти, ну как разберетесь с ОС, то поменяйте на всякий случай все пароли.

[Гир]

Max_Novak, прошу прощения за то что туплю, но скажите какие конкретно пароли имеете в виду???

Ego1st, помогло! =) Теперь слать Вам файлы из карантина?

[Ego1st]

да..

[Max_Novak]

Да любые какие найдет Если Outpost допустил конект с 25 портом без Вашего разрешения, то это его характеризует не с лучшей стороны.

[Гир]

Max_Novak, сейчас наблюдается конект свыше 1032 порта (и 803-ий)

Ego1st, на карантин передалось только 3 файла! Тоесть, services.exe не передался. Попробовал ещё раз - никакого результата!!!
Появилось ещё два интересных запроса (естевственно я их заблокировал):

[Max_Novak]

На картинке Windows Update рвется в сеть...

[Max_Novak]

Разорвите конект и попытайтесь вручную выловить злополучный файл. Заархивируйте его под пароль и закачайте по правилам форума.

[Гир]

Итак... Не знаю на сколько правильно я сделал, но... Я скопировал файл из другой ОС, в левую папку. Попытался добавить его на карантин, но оно всё равно не добавилось. Тогда я поменял разрешение с exe на ex и отправил на карантин... На этот раз также вышло!!! В чём же дело? Может просто файл слишком большой для помещения в карантин(прошу прощение, если предположение сильно нелепо)?

[Alex Plutoff]

Итак... Не знаю на сколько правильно я сделал, но... Я скопировал файл из другой ОС, в левую папку. Попытался добавить его на карантин, но оно всё равно не добавилось. Тогда я поменял разрешение с exe на ex и отправил на карантин... На этот раз также вышло!!! В чём же дело? Может просто файл слишком большой для помещения в карантин(прошу прощение, если предположение сильно нелепо)?

-антивирусная утилита О. Зайцева в своей работе использует так называемую Базу безопасных объектов и если файл проходит идентификацию по этой базе то он в карантин не вносится...

На картинке Windows Update рвется в сеть...

-всё бы ничего, да вот только узлы какие-то явно не те... интересно, а что при этом сообщает Контроль компонентов от Outpost Firewall`а, вполне может оказаться, что некая левая dll`ка примазалась к Windows Update и ломится в сеть под его крышей...