Вирусы даже на сайте life.ru (((

Даже если Ваш антивирус орёт, что он всех победил, то не верьте ему. Как говорится: доверяй, но проверяй.

Вот моё развитие сегодняшних событий... Хоть NOD32 и заорал, что он крутой и у него ни один вирусняка не пройдёт не замеченным... да вот только чуток оплошал похоже. Вирус он заметил, сделал вид что блокировал, но это только "вид". Я же, будучи уверенный, что угроза заблокированна, продолжил работу.

Потом обратил внимание, что даже когда я ничего не делаю, постоянно данные в инет посылаются. Причём не только посылаются, но еще и загружаются. Идет в меру активный обмен пакетами, примерно 1кб в секунду в обе стороны. Я понял, что это что-то неладное... Решил, что мой комп просто начали использовать как проксисервер. Видать вредоносная программа просочилась.

Запустил проверку НОДом, бедняжка ничего так и не нашёл.

Решил, проверить трафф с помощью Wireshark... Оказалось, что через меня идет отсылка писем... Кем и как я докопаться не смог, ума маловато. Но в основном на адреcа в зоне .com (помолился, чтобы пароли не ушли))

Затем, перезагрузил комп, и при загрузке винды нод опять засек активность... троянчика.

Вот что выдал:

Событие в файле ...\Temp\winlogon.exe

Файл C:\windows\system32\DefLib.sys

Вирус: Win32/Rootkit.Agent.NCR троян

Сказал, что заблокировал угрозу, но я что-то ему уже перестал верить... Пошёл по указанному пути, нашёл файло \Temp\winlogon.exe (прозьба не путать с аналогичным файлом winlogon.exe в папке с виндой). Попробовал его удалить, не вышло. Понятно, что хад висит в автозагрузке.

Набрал, msconfig в коммандной строке, и действительно, он уже там!! ну снял с него автозагрузку. И на всякий случай еще и подчистил реестр с помощью regedit и поиска winlogon.exe (чистил аккуратно, ибо чтобы не удалить ничего от виндового winlogon.exe). Ну думал, усё. Перезагружаюсь... и что? проверяю опять он прописан в автозагрузке. Вот зараза. Ну далее, пришлось перезагрузиться уже в безопасном режиме (F8), удалить этот злобный файло из автозагрузки и самое главное навсегда его уничтожить удалением с диска. В безопасном режиме это получилось. Перезагружаюсь, проверяю: файл winlogon.exe не появился, в автозагрузке его тоже не прописало... Ни и ладушки.

Проверил, C:\windows\system32\DefLib.sys этого файла нет, я не удалял, похоже только его НОД и удалил.

Вот терь я опять с вами... Если надолго (значит, молился не зря)!

Будьте бдительны, Господа.

KIS7 определяет этот вирус как Trojan.Win32.Agent.asu. Не пропустил, прибил сразу. (Не реклама :))

DyaDya Поставьте себе фаервол любой, и всё будет в порядке и ничего без Вашего ведома не будет делаться на Вашем компьютере.

Ага, эт я поставлю... Т.е. один уже стоял... работал себе хорошо, а потом решил у меня не спрашивая больше не фильтровать подключения.

Называется: McAfee Personal Firewall Plus

Терь когда по нему кликаю по значку в трее, чтобы разобраться что он хочет, так фигню спрашивает на английском (Verify Subcription) и чтобы я не выбрал - отключается. Поэтому я его пока не трогую, он висит себе в трее, делает вид, что есть, а сам ничего не делает.)

Буду переустанавливать его, либо другой какой поставлю. Спасибки.

LEOnidUKG, +1 за огненную стенку

kxk добавил 25.04.2008 в 21:15

DyaDya, Доверия к продуктам McAfee - 0 ибо видел как обыкновенный пинч обманывал и отключал в корпоративной сети (мне тогда там довелось админом поработать).

А какой Firewall порекомендуете? Как оцениваете например Outpost Agnitum?

Так у них вроде сейчас более продвинутая моделька есть, название запамятовал...

Security Suite? Дело в том что стоит Касперский, а в Security Suite тоже имеется встроенный антивирус :(

Ну да, вроде так.

Я в своё время пользовал связку Outpost4 + DrWeb. Всё было хорошо до определённого момента, когда стенка заглючила и вышибла систему в синий экран. И никакими настройками нормально заработать файер заставить с того момента так и не удалось.

Особенно порадовал ответ саппорта Agnitum - "конфигурация Вашей системы не совместима с нашим продуктом" 😂 типа меняй систему...

После чего снёс всё нафиг и поставил KIS7. Пока ничего вроде ;)

Понятно, спасибо большое, будем тогда пробовать с KIS7. 🚬