RE: Kártevő?

[Kunstár László]

Szia!

Találkoztam ilyen rasnyaságga, ma hajnali 3-ig szenvedtem vele.

Jelenség:
-xpsp2 kb 2 hónapja volt up to date
-windows tűzfal bekapcsolva
-NAV-ot hatástalanította
-pár trójait az általam telepített, s frissített Panda Internet Security 2007, NOD, Clam talált, de nem mindet
-spyware terminator, spybot, ad-aware nem talált semmit
-rendszervisszaállítás kikapcsolását GPO-ból tiltotta
-C: gyökerébe, d: gyökerébe, a profilokban, tmp-ben is találtam egy halom 10 k alatti, de nam azonos méretű exe-t (kicsit fáradt vagyok/voltam pontos nevekre nem emlékszem) Ezeket a vizsgálat után találtam, tegnap éjszakai dátummal
-volt egy exe melynek a neve 8 szám volt
-Feladatkezelőben nem látszik
-routeren keresztül nem volt hajlandó kommunikálni, csak a a PPOE tárcsázót elindítottam (eddig enélkül ment, s a hálózaton a többi gépnél nem volt szükség a tárcsázóra, a nevezett gép ki/bekapcsolt állapotától függetlenül)
Ha a forgalmat megnéztem a hálóüzati kártyán a ki s bejövő aránya kb 1:1 volt, a ppoe kapcsolaton ennél lényegesebben nagyobb, s a kimenő kb 10x volt a bejövő forgalomnak.
-nevezett gép hálózatra csatlakozásakor a többi gép kacsolata is jelentősen lassult a generált kimenő forgalom miatt
-frisssítő telepítés -net nélkül kezdve- egyes állományoikat nem engedett felülírni. Valóban csökkentett üzemmódban indítva felment, még nem fejeztem be , végeredményt még nem tudok mondani
-system restore könyvtár tartalma törölve ezidő alatt, s a tevékenységem alatt többször is
-a telepítés utáni windows frissítés végét már nem bírtam hajnalban kivárni, annyira lassú volt
-frissítést csak több menetben lehetett felrakni, sok volt a sikertelen
-Panda internet security IE, vagy Firefox indításakor külső támadást jelzett, melyet nem engedett be, logban sok különböző ip címről érkező támadások voltak, ha nem tévedek azonos ip-t nem láttam 86.XXX.YYY.ZZZ-vel kezdődő tarttományra emlélszem több volt
-a HKCU, HKLM run, runonce, runservices... Szekciókban oda nem való bejegyzést nem találtam
-a gép elviselhetetlenül lassú lett
-bizonyos esetekben (video driver, lz32.dll, a panda tűzfala, s a negyedikre már nem emlékszem)memória dump, rendszerújraindítás, de csak normál módban, csökkentett módban nem fordult elő
-az esetek 80%-ban a ping működött bármely általam megadott címre, 20% időtúllépés
-lapok brutál lassan jönnek be, vagy nem, ha hely ip címét írtam a böngésző abalkába, ugyanaz a helyzet, nem gyorsult

Kb. eddig jutottam az éjjel.
Az újratelepítés lett volna a legegyszerűbb, de engem az ok, s a megoldás érdekel.
Folyt köv.

Kunstár László
-----Original Message-----
Hello!
Érdekes fertőzött gépet kaptam néhány napja (XPsp1). Némi matatás után egy tucatnyi kórokozót leszedtem.
Trójaiak főleg a c:\ +  a System Volume Inf helyekre bástyázta be magát.
Az sp2 telepítésekor leállt az ftp.exe-nél, mert a rendszer használja. 
Csökkentett módban felment hiba nélkül.
Víruskereső már nem talált semmit.
Látszólag rendben lévő gépnél nstat egy fura hálózati kapcsolatot jelzett.
A windows defender szerint az explorer.exe akar valami IP címmel kommunikálni. A cím változó.
Tűzfal mögül ez nem volt sikeres.
Névfeloldás jó, mégis weblapok hol bejönnek hol nem (?).
A kolléga hazavitte, felcsatlakozott a netre és ahogy megjósoltam a vírusokat szépen lehúzta a gépére.

Gyanítom, hogy teljes újratelepítés lesz belőle, csak előbb megkérdezem: 
találkozott már valamelyikőtök ilyen rusnyasággal?

--
Üdvözlettel: Kelemen Mihály