svchost разбушевался. Что делать то!

[suvorov]

Brox-y Картинок действительно сразу не было видно (?) но сегодня появились! Может потому что я их на свой сайт загнал?

На Saule я не наезжаю, но констатирую что последнее что у меня нормально встало это был SpywareBlaster. После него я пытался поставить ProcessExplorer и налетел на проблемы с распаковкой

Ser-y SIP это Software Industry Professionals. Но дело не в том. Я честно оговорился что в системе лох. А то что Винды чем дальше тем наглее и бесцеремоннее и неустойчивее это не только мое мнение. И оно конечно так и есть. Если бы не провайдер безрукий ни за что с 98 не ушел бы.

Что же касается моей истории то вынужден констатировать что пришлось последовать умному совету Brox-a и все эти игры с обеспечением безопасности окончились откатом на исходные позиции. Хорошо хоть локальное соединение удалось восстановить (тьфу.тьфу). Кстати любопытно что при восстановлении пропали экзеки и Blaster-a и ProcessExplorera !!!

[ser208]

А то что Винды чем дальше тем наглее и бесцеремоннее и неустойчивее это не только мое мнение. И оно конечно так и есть.

Я не знаю, чье еще такое же мнение, и не совсем понимаю, что такое наглее и бесцеремоннее, но насчет устойчивости, ИМХО, ты глубоко ошибаешься.

Ладно ты говорил бы про NT или 2000, но про линейку 95-98-Ме все вроде ясно уже давно.

[suvorov]

Ладно, ладно, ладно! Пусть я неправ насчет ХР!

Но все же кто скажет насчет прорвы исходящих с моего компа блокируемых файрволом?

Это нормально или как? Если нет, то что делать. Пробова сканировать встроенным антивирусом (ZoneAlarm) -за три часа просканировал 30000 файлов, а у меня их 150 000 ! Это бред! Да при том что там шпионы сканируются отдельно от вирусов!

Вставляю картинку части лога файрвола -вечером почитай каждую минуту что-то блокирует, работать невозможно!

[ser208]

Ладно, ладно, ладно! Пусть я неправ насчет ХР!

Но все же кто скажет насчет прорвы исходящих с моего компа блокируемых файрволом?

Это нормально или как? Если нет, то что делать. Пробова сканировать встроенным антивирусом (ZoneAlarm) -за три часа просканировал 30000 файлов, а у меня их 150 000 ! Это бред! Да при том что там шпионы сканируются отдельно от вирусов!

Вставляю картинку части лога файрвола -вечером почитай каждую минуту что-то блокирует, работать невозможно!

ftp://ftp.drweb.com/pub/drweb/cureit/cureit.exe

Просканируй вот этим.

А логи твой фаер тоже по ходу заблокировал Поглядеть не удается.

Изменено 25 апреля, 2007 пользователем ser208

[Brox]

Но все же кто скажет насчет прорвы исходящих с моего компа блокируемых файрволом?

Ты там брокируешь сам себя. Фаер настраивал как? По принципу блокировать всё?

[suvorov]

Чет! Почему картинок не видно! Вроде же были видны! Без картинок конечно ни черта не понять.

Ser-y -Ничего не понял! Что значит логи фаер заблокировал. Я имел в виду показать лог-файл самого файера. Но не выходит!

Brox-y Что значит "сам себя". Я вот щас сижу пишу этот текст а мне время от времени вылетает "The firewall has blocked Internet access to your computer (TCP Port 445) from 172.16.7.151 (TCP Port 3071)(TCP Flags:S)" или нечто подобное но уже исходящее с моего компа или с использованием NetBIOS. И при чем тут я !?

У меня включен только сам "файрвол" и "программный контроль". Все остальное отключено.

Сообщения идут не спрограммного контроля (с программного контроля он указывает какую программу блокировал).

В файрволе же блокированная зона пуста а интернет зона стоит на High как и рекомендовано. Больше там нечего настраивать.

Но вопрос в следующем -ладно входящие. Но кто делает исходящие? Там вирус не вирус, но почему фаер вообще ниченго не указывает?

Это же должна быть какая то прога или сервис! Или я чего то в принципе не понимаю!

[NickGolovko]

Но вопрос в следующем -ладно входящие. Но кто делает исходящие? Там вирус не вирус, но почему фаер вообще ниченго не указывает?

Это же должна быть какая то прога или сервис! Или я чего то в принципе не понимаю!

Скрин alerta можете сделать?

[ser208]

Ser-y -Ничего не понял! Что значит логи фаер заблокировал. Я имел в виду показать лог-файл самого файера. Но не выходит!

Ну шутка, там же смайлик вставлен. Просто картинки не видно, вот и припаял к твоей проблеме.

Ты службу NetBIOS через TCP\IP отключи. Она ни к чему.

Если не отключишь уведомления о скане или атаках на твой комп в файрволле, то без конца будешь видеть эти сообщения.

Изменено 27 апреля, 2007 пользователем ser208

[suvorov]

О! Нашел логи файрвола! Вот, например, лог за 25 апреля. Видно что кто-то долбится изнутри (FWOUT) с жуткой активностью причем на разные адреса.

Причем я смотрел более ранние логи -такого не было. Это стало либо с установкой ХР либо с подключением локалки (произошло практически одновременно)

И я, тки, не могу понять кого - если это не процесс, то кто! А если процесс то почему фаер его не идентифицирует?

Про отключить NetBios -отключить то я конечно могу, но хотелось бы отловить !

Про шутку -ну сорри, профшутки до ламеров не всегда сразу доходят!

ZoneAlarm Logging Client v7.0.337.000

Windows XP-5.1.2600-Service Pack 2-SP

type,date,time,source,destination,transport (Security)

type,date,time,virus name,file name,mode,e-mail id (Anti-Virus)

type,date,time,source,destination,action,service (IM Security)

type,date,time,source,destination,program,action (Malicious Code Protection)

type,date,time,action,product,file,event,subevent,class,data,data,... (OSFirewall)

type,date,time,name,type,mode (Anti-Spyware)

ZLUpdate,2007/04/25,12:25:46 +4:00 GMT,,,Auto

ZLUpdate,2007/04/25,12:25:50 +4:00 GMT,,,Auto

FWOUT,2007/04/25,12:25:54 +4:00 GMT,172.16.7.205:137,172.16.1.77:137,UDP

FWOUT,2007/04/25,12:26:06 +4:00 GMT,172.16.7.205:137,172.16.1.113:137,UDP

FWOUT,2007/04/25,12:28:42 +4:00 GMT,172.16.7.205:137,172.16.7.208:137,UDP

FWOUT,2007/04/25,12:42:34 +4:00 GMT,172.16.7.205:137,172.16.4.60:137,UDP

FWOUT,2007/04/25,12:46:32 +4:00 GMT,172.16.7.205:137,172.16.4.58:137,UDP

FWOUT,2007/04/25,12:50:20 +4:00 GMT,172.16.7.205:137,172.16.1.77:137,UDP

FWOUT,2007/04/25,12:50:32 +4:00 GMT,172.16.7.205:137,172.16.1.113:137,UDP

FWOUT,2007/04/25,15:53:32 +4:00 GMT,172.16.7.205:137,172.16.1.77:137,UDP

FWOUT,2007/04/25,15:53:42 +4:00 GMT,172.16.7.205:137,172.16.1.113:137,UDP

AV/treatment,2007/04/26,08:32:54 +4:00 GMT,,,,Auto

AV/treatment,2007/04/26,08:35:54 +4:00 GMT,,a:\,Scan Failed,Manual

AV/treatment,2007/04/26,08:35:56 +4:00 GMT,,d:\,Scan Failed,Manual

AV/treatment,2007/04/26,08:49:06 +4:00 GMT,,C:\WINDOWS\Application Data\Opera\OPERA7\zaasSetup_61_737_000_en.exe,Scan Failed,Manual

AV/treatment,2007/04/26,08:50:56 +4:00 GMT,,C:\WINDOWS\Temporary Internet Files\Content.IE5\W1YB0TUJ\swflash[1].cab,Scan Failed,Manual

AV/treatment,2007/04/26,08:51:00 +4:00 GMT,,C:\WINDOWS\Temporary Internet Files\Content.IE5\W1YB0TUJ\dplay_w9x[1].cab,Scan Failed,Manual

AV/treatment,2007/04/26,09:30:40 +4:00 GMT,,C:\Program Files\MRACK\defolt.zip,Scan Failed,Manual

AV/treatment,2007/04/26,09:30:42 +4:00 GMT,,C:\Program Files\MRACK\defolt.rar,Scan Failed,Manual

AV/treatment,2007/04/26,09:40:50 +4:00 GMT,not-a-virus:Client-IRC.Win32.mIRC.617,C:\Program Files\mIRC\mirc.exe.vzr,Infected,Manual

AV/treatment,2007/04/26,09:41:06 +4:00 GMT,,C:\Program Files\Opera7\UnInst\Backup\j2re-1_4_2_01-windows-i586.exe,Scan Failed,Manual

AV/treatment,2007/04/26,09:43:38 +4:00 GMT,,C:\Program Files\MAGIX\Media_Manager\hrpjna01.dat,Scan Failed,Manual

AV/scan,2007/04/26,10:16:18 +4:00 GMT,Multiple Files,Scan Cancelled,Manual

OSFW,2007/04/26,10:31:14 +4:00 GMT,UNKNOWN(0),Client Server Runtime Process,C:\WINXP\system32\csrss.exe,PROCESS,OPENTHREAD,DST,C:\WINXP\System32\svchost.exe

[suvorov]

Нарыл в логах фаера какие-то подозрительные вещи. Какой-то drwatson32, отладчик, пытается открыть svchost а потом еще какой-то ESWCLauncher из TrackMania которой у меня сроду не было и теперь нет!! И что бы это все значило ? Причем там (в system32) целых два этих drwatson-a -этот отладчик а другой доктор. Это оно так и надо ?

OSFW,2007/04/26,18:27:02 +4:00 GMT,UNKNOWN(0),Отладчик DrWatson,C:\WINXP\system32\drwtsn32.exe,PROCESS,OPENPROCESS,DST,C:\WINXP\system32\svchost.exe

OSFW,2007/04/26,18:27:08 +4:00 GMT,BLOCKED,Отладчик DrWatson,C:\WINXP\system32\drwtsn32.exe,PROCESS,OPENPROCESS,DST,C:\WINXP\system32\svchost.exe

OSFW,2007/04/26,18:27:08 +4:00 GMT,BLOCKED,Отладчик DrWatson,C:\WINXP\system32\drwtsn32.exe,PROCESS,OPENPROCESS,DST,C:\WINXP\System32\svchost.exe

OSFW,2007/04/26,18:27:08 +4:00 GMT,BLOCKED,Отладчик DrWatson,C:\WINXP\system32\drwtsn32.exe,PROCESS,OPENPROCESS,DST,C:\WINXP\system32\spoolsv.exe

OSFW,2007/04/26,18:27:08 +4:00 GMT,BLOCKED,Отладчик DrWatson,C:\WINXP\system32\drwtsn32.exe,PROCESS,OPENPROCESS,DST,C:\WINXP\Explorer.EXE

OSFW,2007/04/26,18:27:08 +4:00 GMT,BLOCKED,Отладчик DrWatson,C:\WINXP\system32\drwtsn32.exe,PROCESS,OPENPROCESS,DST,C:\Program Files\Punto Switcher\ps.exe

OSFW,2007/04/26,18:27:08 +4:00 GMT,BLOCKED,Отладчик DrWatson,C:\WINXP\system32\drwtsn32.exe,PROCESS,OPENPROCESS,DST,C:\Program Files\TrackMania Nations ESWC\TmNationsESWCLauncher.exe

OSFW,2007/04/26,18:27:08 +4:00 GMT,BLOCKED,Отладчик DrWatson,C:\WINXP\system32\drwtsn32.exe,PROCESS,OPENPROCESS,DST,C:\Program Files\TrackMania Nations ESWC\TmNationsESWCLauncher.exe

OSFW,2007/04/26,18:27:08 +4:00 GMT,BLOCKED,Отладчик DrWatson,C:\WINXP\system32\drwtsn32.exe,PROCESS,OPENPROCESS,DST,C:\Program Files\TrackMania Nations ESWC\TmNationsESWCLauncher.exe

OSFW,2007/04/26,18:27:08 +4:00 GMT,BLOCKED,Отладчик DrWatson,C:\WINXP\system32\drwtsn32.exe,PROCESS,OPENPROCESS,DST,C:\Program Files\TrackMania Nations ESWC\TmNationsESWCLauncher.exe

OSFW,2007/04/26,18:29:22 +4:00 GMT,UNKNOWN(0),Приложение служб и контроллеров,C:\WINXP\system32\services.exe,DRIVER,CREATE,SRC,SFVFS02

FWIN,2007/04/26,18:32:22 +4:00 GMT,172.16.1.200:137,172.16.7.205:137,UDP

OSFW,2007/04/26,18:35:52 +4:00 GMT,UNKNOWN(0),DVDIdle Application,C:\Program Files\DVDIdle\DVDIdle.exe,EXECUTION,GLOBALWINDOWSHOOK,SRC

OSFW,2007/04/26,18:35:54 +4:00 GMT,BLOCKED,DVDIdle Application,C:\Program Files\DVDIdle\DVDIdle.exe,PROCESS,OPENPROCESS,DST,C:\WINXP\Explorer.EXE

OSFW,2007/04/26,20:07:58 +4:00 GMT,UNKNOWN(0),Диспетчер задач Windows,C:\WINXP\system32\taskmgr.exe,PROCESS,TERMINATEPROCESS,DST,C:\WINXP\Explorer.EXE

[NickGolovko]

Смените брандмауэр. Вам еще рано работать с системами проактивной защиты, как в ZA Pro.