[решено] Как убить гаденыша, что душит трафик интернета

Ответить
Аватара пользователя
Barit

[решено] Как убить гаденыша, что душит трафик интернета

Сообщение Barit »

Один комп (myComp) грузит и-нет. Самым бессовестным образом. Проверял старым Касперским, потом удалил его. AntiVir, Ad-Aware SE Personal, все что было найдено, было вычещено, но безрезультатно. В ветках реестра RUN – мусора не обранужил. Трояна-прокси из соседней ветки также не обнаружил. Соединения инициализируются через SVCHOST.EXE Соединения постоянно инициализируются, недолго живут и удаляются.



TCP myComp:1042 196.221.36.72.reverse.layeredtech.com:http

TCP myComp:1043 reverse41.reserver.ru:8080

TCP myComp:1044 reverse41.reserver.ru:8080

TCP myComp:1045 reverse41.reserver.ru:8080

TCP myComp:1046 reverse41.reserver.ru:8080

TCP myComp:1048 reverse41.reserver.ru:8080

TCP myComp:1049 reverse41.reserver.ru:8080

TCP myComp:1050 reverse41.reserver.ru:8080

TCP myComp:1051 reverse41.reserver.ru:8080

TCP myComp:1052 reverse41.reserver.ru:8080

TCP myComp:1055 reverse41.reserver.ru:8080

TCP myComp:1056 reverse41.reserver.ru:8080

TCP myComp:1057 reverse41.reserver.ru:8080

TCP myComp:1058 reverse41.reserver.ru:8080

TCP myComp:1059 wnpgmb02-esmtp.mts.net:smtp

TCP myComp:1060 mta-v8.mail.vip.mud.yahoo.com:smtp

TCP myComp:1062 smtp.secureserver.net:smtp

TCP myComp:1064 ff-mx-vip2.prodigy.net:smtp

TCP myComp:1065 91.150.80.3:smtp

TCP myComp:1067 69.39.100.26:smtp

TCP myComp:1071 207.230.136.65:smtp

TCP myComp:1073 mta-v8.mail.vip.mud.yahoo.com:smtp

TCP myComp:1074 72.3.135.151:smtp

TCP myComp:1075 reverse41.reserver.ru:8080

TCP myComp:1076 reverse41.reserver.ru:8080

TCP myComp:1077 reverse41.reserver.ru:8080

TCP myComp:1078 reverse41.reserver.ru:8080

TCP myComp:1079 reverse41.reserver.ru:8080

TCP myComp:1080 reverse41.reserver.ru:8080

TCP myComp:1084 65.24.7.13:smtp

TCP myComp:1086 mta-v8.mail.vip.mud.yahoo.com:smtp

TCP myComp:1087 reverse41.reserver.ru:8080

TCP myComp:1088 reverse41.reserver.ru:8080

SVCHOST.EXE:980 TCP myComp:1041 213.200.109.26:http



как отловить подлеца?
Аватара пользователя
dmitryst

Re: [решено] Как убить гаденыша, что душит трафик интернета

Сообщение dmitryst »

Barit Файерволлом отсечь (запретить соединение с инетом)
Аватара пользователя
Barit

Re: [решено] Как убить гаденыша, что душит трафик интернета

Сообщение Barit »

Цитата:



Barit Файерволлом отсечь (запретить соединение с инетом)



Это не решение проблемы по существу.

Коннект инициализируется похоже с плавающего порта, а родительский процесс не выявил, он обозначается как "не существующий?"
Аватара пользователя
MadMaks

Re: [решено] Как убить гаденыша, что душит трафик интернета

Сообщение MadMaks »

Barit

А как насчёт антивирусов??

Тот же Касперский 6 может конкретно регулировать сетевую активность кадждого процеса.
Аватара пользователя
Barit

Re: [решено] Как убить гаденыша, что душит трафик интернета

Сообщение Barit »

Цитата:



А как насчёт антивирусов??

Тот же Касперский 6 может конкретно регулировать сетевую активность кадждого процеса.



и это борьба со следствием а не причиной. Вот apostle советует:



tasklist /fi "PID eq 236"

и так по всем pid'ам. что подозрительно - смотреть подробно:

tasklist /svc /fi "PID eq 236" & tasklist /m /fi "PID eq 236"

не поможет так - processexplorer от руссиновича.



Пойду этим путем, может и найду гаденыша, но это уже завтра.
Аватара пользователя
Greyman

Re: [решено] Как убить гаденыша, что душит трафик интернета

Сообщение Greyman »

Barit

А ты лог чего привел? И почему в нем не видно направления соединнения? И каким экраном ты смотре активность, что "процесс не существует"? Если исходить из логики и того, что экран ловит нормально, то это входящие соединения. А тогда надо просто их запретить. Зачем тебе входящие? Или ты что-нить в пиринговом клиенте расшарил, дык тогда он наверное и грузит. пока сложно что-то сказать без нормального лога сетевого экрана
Аватара пользователя
kim-aa

Re: [решено] Как убить гаденыша, что душит трафик интернета

Сообщение kim-aa »

Такие вещи легче предотвратить чем лечить.

Правило номер один: фаервол должен разрешать лишь необходимый минимум типов трафика

Правило номер два: хосты должны иметь минимум доступа в интернет минуя прокси.

Правило номер три: хост доступный извне (даже за NAT, даже по порту, даже по Port Mapping), должен быть максимально изолирован от основной сети (вне домена, win-службы отключены, лучший вариант - отдельный сегмент сети с фильтрацией трафика )



Была такая шикарная книжка в свое время: "Создание узлов бастионного типа на основе Windows 2000"
Аватара пользователя
Barit

Re: [решено] Как убить гаденыша, что душит трафик интернета

Сообщение Barit »

вот два netstat -no с интервалом в три минуты:



TCP 127.0.0.1:1026 127.0.0.1:18350 ESTABLISHED 1644

TCP 127.0.0.1:18350 127.0.0.1:1026 ESTABLISHED 1752

TCP 192.168.1.3:1032 72.36.221.196:80 ESTABLISHED 236

TCP 192.168.1.3:1309 192.168.1.4:139 TIME_WAIT 0

TCP 192.168.1.3:1343 192.168.1.7:139 TIME_WAIT 0

TCP 192.168.1.3:1398 66.36.243.91:8080 SYN_SENT 236

TCP 192.168.1.3:1399 66.36.243.91:8080 SYN_SENT 236

TCP 192.168.1.3:1400 66.36.243.91:8080 SYN_SENT 236

TCP 192.168.1.3:1401 66.36.243.91:8080 SYN_SENT 236

TCP 192.168.1.3:1402 66.36.243.91:8080 SYN_SENT 236

TCP 192.168.1.3:1403 66.36.243.91:8080 SYN_SENT 236



TCP 127.0.0.1:1026 127.0.0.1:18350 ESTABLISHED 1644

TCP 127.0.0.1:18350 127.0.0.1:1026 ESTABLISHED 1752

TCP 192.168.1.3:1032 72.36.221.196:80 ESTABLISHED 236

TCP 192.168.1.3:1684 192.168.1.7:139 TIME_WAIT 0

TCP 192.168.1.3:1960 66.36.243.91:8080 SYN_SENT 236

TCP 192.168.1.3:1961 66.36.243.91:8080 SYN_SENT 236

TCP 192.168.1.3:1962 66.36.243.91:8080 SYN_SENT 236

TCP 192.168.1.3:1963 66.36.243.91:8080 SYN_SENT 236

TCP 192.168.1.3:1964 66.36.243.91:8080 SYN_SENT 236

TCP 192.168.1.3:1965 66.36.243.91:8080 SYN_SENT 236

TCP 192.168.1.3:1966 66.36.243.91:8080 SYN_SENT 236

TCP 192.168.1.3:1967 66.36.243.91:8080 SYN_SENT 236



Да, легче было предотвратить.

В дополнение: ОС WinXP SP1, обновления были отключены, файрвола небыло, выходили под "администратором", сидящий за ним человек и с Вордом толком незнаком. Подключение через модем ADSL, в нем NAT, файвола нет. Прокси нет.

Вполне предсказуемый результат.

Переустановка до SP2 результата не дала. Чудес не бывает.
Аватара пользователя
Barit

Re: [решено] Как убить гаденыша, что душит трафик интернета

Сообщение Barit »

Прибил подлеца!!!



Но сначала мои слова благодарности
http://rku.xell.ru/
за их утилиту предназначенную для поиска руткитов
.

Большой им памятник шоколадный.



Итак с помощью вышеуказанной утилиты в закладке "Детектор скрытых процессов" снимаем Protector.exe, утилита выдает крутое предупреждение, что можем крахнуть систему. Смело продолжаем.

Следующим этапом в закладке "Детектор и снятие перехватов" снимаем все, что касается Ntio256.* Кстати они помечены как "перехватчики", что облегчает поиск.

С помощью утилиты сделана главная работа, она больше не нужна, дальше рутина.

Теперь становятся доступными в обычном поиске файлы: ntio256.sys и protector.exe Убиваем.

Запускаем редактор реестра, ищем ветки HKLM\System\ControlSet*\services\ntio256 * - потому как для каждого пользователя своя ветка, а в моем случае он прописался всем. УБИВАЕМ.



Перегружаем компьютер. Все.
Ответить

Вернуться в «Защита компьютерных систем»