Троян - поиск

[FireKiller]

Троян - поиск

Короче, тут такое дело: бродил по и-нету, вдруг Nod сообщает, что обнаружен вирус: файл C:\WINDOWS\System32\drivers\Winnn33.sys, Win32/Wigon.CK троян, юзер NT AUTHORITY\SYSTEM, Событие в новом файле, созданном приложением C:\WINDOWS\TEMP\BN7.tmp. (я его не нашёл!).
Сразу за этим сообщением последовало другое: файл ..., вероятно модифицированный Win32/Statik приложение, юзер NT AUTHORITY\SYSTEM.
Затем он начал с большой скоростью качать и отдавать что-то в и-нет.
Я выключил и-нет, включил опять - он начинает что-то качать и отправлять. Прошерстил процессы в диспетчере задач, службы просмотрел, глубокой проверкой просканировал диски (антивирь NOD 32 2.7 база данных 3444 (самая новая)). Нашёл парочку вирусов и троянов и всё.
Перезагрузил комп, включил и-нет - работает нормально. Через пять минут Нод опять нашёл троян, и что-то начало качать/отправлять. Отключил два подозрительных процесса, и вроде всё работает нормально, но мне неспокойно (вирус не найден, да и плата за и-нет по траффику).
Что посоветуете?

 

[FireKiller]

Вот что пишут на http://myceck.com/:
domain MYCECK.com has been disable

 

[FireKiller]

Скажите прогу, которая отслеживает все процессы, подключающиеся к и-нету - может быть так его можно выявить...

 

[Артём]

Дима, да.. хапанул ты гадость какую-то. Качай Dr.Web, сканируйся в безопасном режиме. При этом отключи восстановление системы и действующий Nod.
Проверь автозагрузку программ.
>C:\WINDOWS\TEMP\BN7.tmp. (я его не нашёл!).
Отключи в свойствах папки скрытие папок и файлов, может найдешь и грохнешь вручную. Пока так, пиши что дальше будет

 

[Артём]

2IP NetMonitor кажется такая прожка есть. Отслеживает открытые порты и все сетевые соединения по ним (исх., вход.) Да, и почисть карантины Нода и Веба (в безопасном тоже).

 

[FireKiller]

Деньги кончаются! Эта гадина на пару секунд качает около 2-3 мегов!
Лицензионного Доктора мне негде достать. Все тэмпы проверил - пустые (даже по свойствам они пустые). В автозагрузке ничего лишнего нет.
Сейчас буду искать этот NetMonitor.

 

[FireKiller]

Методом проб и ошибок я его вычислил. До включения и-нета у меня было 49 процессов в диспетчере задач (их я сфоткал). После обнаружения вируса их стало 50! И он снова начал качать. Процесс я вычислил - это был один из svchost.exe. Выключил его и скачивание прекратилось!
Глубокий анализ по дискам Нодом в безопасном режиме вновь ничего не выдал.

 

[FireKiller]

2IP NetMonitor подтвердил мою догадку (правда там этих svchost.exe нескольно, но ESTABLISHED только один). Пока схожу положу денюжку на и-нет, потом продолжу поиски трояна более тщательно.

 

[saturn721]

А нельзя т.с. "искать троян выдернув сетевой шнур"?
Я эту фигню по ссылке скачал, чего с ней делать?

 

[FireKiller]

Какую фигню?! Это троян! Я же сказал по ссылке не проходить!!!!

 

[FireKiller]

А нельзя т.с. "искать троян выдернув сетевой шнур"?

Что ты имеешь ввиду? Я троян искал всеми способами! Антивирь его не видит!
Я думаю, что пора опять винду переустанавливать...

 

[FireKiller]

Почитал я тут эти странички:
http://virusinfo.info/showthread.php?t=25215
http://ru.wikipedia.org/wiki/Троянские_программы
http://forum.xakep.ru/m_1179416/tm.htm
И решил - ну его на фиг высь этот гемор! Саму прогу вредоносную я выключил, докачаю кое-какие файлы с и-нета и переустановлю винду (она итак уже глючит!).
А эти ссылки вам к сведению!
http://go.mail.ru/search?q=Win32/Wigon.CK

 

[AlexZir]

Дима, AVZ не юзал? Попробуй просканируй им, с включенным мониторингом и отключенным инетом, возможно найдет.

 

[FireKiller]

Поздно!
Винда новая!
Отлично! Ни одного глюка!

 

[Max]

После долгих и мучительных поисков решения пришел к кардинальной мере - а может оно и к лучшему..

 

[Артём]

Лицензионного Доктора мне негде достать.

Это коммерческая версия программы, инсталлируемая, а есть же бесплатная утилитка.

 

[Holiday]

Стандартными методами папка временных файлов интернета не очищается полностью, этим пользуются прогрессивные создатели червей и троянов.
От большинства таких проблем можно избавиться простейшим способом.
Удалите содержимое папки Temporary Internet Files в директории Local Settings /. С помощью WinRARа, в безопасном режиме.

 

[AlexZir]

Поздно!
Винда новая!

Жаль, у меня было еще много идей

 

[FireKiller]

Ладно, рассмотрение проблемы закончено.