J-Pro,
Цитата:
J-Pro,
1. Наблюдаю 2 коннекта соответственно(см. скрин), запретил. Их только два и каждый раз после логона.
|
Могу сказать, а зачем запретили shchost.exe выход в сеть -> а как у вас например mozila в интернет выходит или как ipsec будет работать. 1900 порту(UDP) сидит служба обнаружения SSDP (SSDP Discovery) -> лучше вообще данные службы отключить SSDP Discovery и UPnP (универсальная система Plug & Play). Просто надо быть повнимательней и наверное на Jetico есть готовые правила.
Цитата:
J-Pro,
2. Через минут 10 после загрузки чё-то заметил мигающий HDD-диод. Ничего не запускал. Решил проверить процмоном. Результат поразил... Как видите, в различных директориях процессом svchost.exe зачем-то создаются одинаковые батники с названием quasf.dll.bat.
|
Не доконца может дочистили, поищите описание данных Trojan.Fakealert в интернете, что они делают.
И поищите еще через autoruns.exe на подозрительные вещи.
Цитата:
J-Pro,
3. Решил проверить файрвол, происходят ли ещё коннекты на 137 порт? Проверил... всё осталось. Скрин можете видеть тут. Зачем эти процессы туда лезут - не понятно...
|
Отключите NetBios
Цитата:
J-Pro,
9. Открыл из эксплорера xls-файл(от microsoft excel). 4 раза открывался без проблем, но на пятый опять сабж. Но на сей раз по TID'у я его вычислил в процесс иксплорере. Скрин тут. Кому-то это о чём-то говорит?
|
На пятый раз заразились заразой.
Я же не спроста сказал включить TID, по номерам данных потоков (Threads) в ProcessExplorer нужно было посмотреть согласно скринам PID 1384 (svchost.exe) -> TID 4616, 3832, 4628 и т.д. что это за потоки, и для чтения файла одного так много потоков не создается. И обратите внимание на смещения при чтении.
Для п. 3-8 из всего сказанного остаюсь при своем ПК заражен вирусом или трояном (вылечен не доконца)
Выход загрузка с чего нибудь, проверка на вирусы и трояны двумя антивирусниками, очистка всех TEMP каталогов, и кэший броузеров, проверка на запуск всего через autoruns и так же обратить внимание на закладку драйверов, все что будет найдено проверить на удаление ссылок в реестре.
