nervy Posted September 27, 2007 Report Share Posted September 27, 2007 На днях обнаружил, что стали слишком медленно грузиться страницы в инете. Грешил на провайдера ибо у них грабли часто появляются, но решил глянуть в логи файрвола. И в http-логе ВинРоута вижу я примерно следуйщее: 192.168.164.2 - nervy [27/Sep/2007:09:49:38 +0300] "GET http://svoboda.lg.ua/ HTTP/0.0" 0 527 192.168.164.2 - nervy [27/Sep/2007:09:49:38 +0300] "GET http://svoboda.lg.ua/ HTTP/1.1" 200 269 192.168.164.2 - nervy [27/Sep/2007:09:49:38 +0300] "GET http://svoboda.lg.ua/ HTTP/1.1" 200 269 192.168.164.2 - nervy [27/Sep/2007:09:49:39 +0300] "GET http://svoboda.lg.ua/ HTTP/1.1" 200 269 192.168.164.2 - nervy [27/Sep/2007:09:49:39 +0300] "GET http://svoboda.lg.ua/ HTTP/0.0" 0 527 192.168.164.2 - nervy [27/Sep/2007:09:49:39 +0300] "GET http://svoboda.lg.ua/ HTTP/0.0" 0 527 192.168.164.2 - nervy [27/Sep/2007:09:49:39 +0300] "GET http://svoboda.lg.ua/ HTTP/0.0" 0 527 Всякие танцы с бубном и AVZ быстро показали скрытый процесс svchost.exe (именно так, не какой-то там svcchost.exe или подобное), которым было запущено много модулей (подробнее - в прикрепленном файле avz_modules.htm). PID этого процесса небыло в Task Manager'е, увидел я его только в диспетчере процессов в AVZ, этот процесс был выделен красным шрифтом. И правда, убиение этого процесса прекратило долбежку. Кто знает что это за дурь и как с ней бороться? Прошу помощи у знающих. Заранее благодарен! ЗЫ. Прикрепляю логи согласно правилам, плюс список модулей того скрытого процесса. avz_modules.htm avz_sysinfo.htm hijackthis.log avz_modules.htm avz_sysinfo.htm hijackthis.log Link to comment Share on other sites More sharing options...
ursus Posted October 24, 2007 Report Share Posted October 24, 2007 На днях обнаружил, что стали слишком медленно грузиться страницы в инете. Грешил на провайдера ибо у них грабли часто появляются, но решил глянуть в логи файрвола. И в http-логе ВинРоута вижу я примерно следуйщее: 192.168.164.2 - nervy [27/Sep/2007:09:49:38 +0300] "GET http://svoboda.lg.ua/ HTTP/0.0" 0 527 192.168.164.2 - nervy [27/Sep/2007:09:49:38 +0300] "GET http://svoboda.lg.ua/ HTTP/1.1" 200 269 192.168.164.2 - nervy [27/Sep/2007:09:49:38 +0300] "GET http://svoboda.lg.ua/ HTTP/1.1" 200 269 192.168.164.2 - nervy [27/Sep/2007:09:49:39 +0300] "GET http://svoboda.lg.ua/ HTTP/1.1" 200 269 192.168.164.2 - nervy [27/Sep/2007:09:49:39 +0300] "GET http://svoboda.lg.ua/ HTTP/0.0" 0 527 192.168.164.2 - nervy [27/Sep/2007:09:49:39 +0300] "GET http://svoboda.lg.ua/ HTTP/0.0" 0 527 192.168.164.2 - nervy [27/Sep/2007:09:49:39 +0300] "GET http://svoboda.lg.ua/ HTTP/0.0" 0 527 Всякие танцы с бубном и AVZ быстро показали скрытый процесс svchost.exe (именно так, не какой-то там svcchost.exe или подобное), которым было запущено много модулей (подробнее - в прикрепленном файле avz_modules.htm). PID этого процесса небыло в Task Manager'е, увидел я его только в диспетчере процессов в AVZ, этот процесс был выделен красным шрифтом. И правда, убиение этого процесса прекратило долбежку. Кто знает что это за дурь и как с ней бороться? Прошу помощи у знающих. Заранее благодарен! ЗЫ. Прикрепляю логи согласно правилам, плюс список модулей того скрытого процесса. Здравствуйте. Я - администратор сайта svoboda.lg.ua. Раз уж затронули мое детище, то считаю нужным сообщить - не знаю, что там у вас тормозило и не работало, но в указанное время сайт подвергался мощной DDoS атаке, с которой мы боролись всевозможными методами. Возможно это как-то на вас повлияло :) Link to comment Share on other sites More sharing options...
ser208 Posted October 24, 2007 Report Share Posted October 24, 2007 (edited) У тебя заражено большинство исполняемых файлов. Прежде чем начинать лечение, скачай Cureit , и проверь системный диск в безопасном режиме, предварительно записав ее на болванку и запускай ее оттуда. После лечения этой утилитой сделай новые логи Hijack, АVZ и еще сделай сканирование утилитой OSAM. Ее лог тоже нужен. Для этого после запуска и загрузки нажми кнопку Export. Дай информацию насчет прокси, испльзуешь ли ты их? Radmin ты сам устанавливал? Я - администратор сайта svoboda.lg.ua. Ну его машина является звеном зараженных машин, с которых ведутся атаки. Edited October 24, 2007 by ser208 Link to comment Share on other sites More sharing options...
ursus Posted October 25, 2007 Report Share Posted October 25, 2007 Ну его машина является звеном зараженных машин, с которых ведутся атаки. хм, как-то сразу не сообразил :molot3: Link to comment Share on other sites More sharing options...
ser208 Posted October 25, 2007 Report Share Posted October 25, 2007 (edited) А на форум не один ты заходишь. Неясно только, зачем хаксонам понадобилось ресурсы тратить на ту лабуду. Edited November 2, 2007 by ser208 Link to comment Share on other sites More sharing options...
Costas Posted November 12, 2007 Report Share Posted November 12, 2007 А на форум не один ты заходишь. Неясно только, зачем хаксонам понадобилось ресурсы тратить на ту лабуду. Вот и я не понимаю а точьно такие танцы с бубном начались на моем комп. Убыл AVZ а что за вражына была непонятно. Link to comment Share on other sites More sharing options...
Recommended Posts
Create an account or sign in to comment
You need to be a member in order to leave a comment
Create an account
Sign up for a new account in our community. It's easy!
Register a new accountSign in
Already have an account? Sign in here.
Sign In Now