Похоже меня юзают в качестве спамера

[de-signer]

Положение:
в локалке 3 компа: 1.2 под FC6 ведёт себя тихо; 1.1 под FreeBSD 4.11 сделан прозрачным прокси и тоже работает как часы; 1.3 под WinXP творит чудеса. Постоянно идёт передача во внешнюю сеть.
На прокси tcpdump даёт следующее:

Код: Выделить всё

04:19:08.167619 192.168.1.3.2684 > 66.232.98.112.http: S 3828327767:3828327767(0
) win 64240 <mss 1460,nop,nop,sackOK> (DF)
04:19:08.190710 66.232.98.112.http > 192.168.1.3.2684: S 2028822754:2028822754(0
) ack 3828327768 win 5840 <mss 1348,nop,nop,sackOK> (DF)
04:19:08.191151 192.168.1.3.2684 > 66.232.98.112.http: . ack 1 win 64704 (DF)
04:19:08.191300 192.168.1.3.2684 > 66.232.98.112.http: P 1:253(252) ack 1 win 64
704 (DF)
04:19:08.216940 66.232.98.112.http > 192.168.1.3.2684: . ack 253 win 6432 (DF) 
04:19:08.552365 66.232.98.112.http > 192.168.1.3.2684: P 1:210(209) ack 253 win
6432 (DF)
04:19:08.552851 192.168.1.3.2684 > 66.232.98.112.http: F 253:253(0) ack 210 win [code]

64495 (DF)
04:19:08.553752 66.232.98.112.http > 192.168.1.3.2684: F 210:210(0) ack 253 win
6432 (DF)
04:19:08.554146 192.168.1.3.2684 > 66.232.98.112.http: . ack 211 win 64495 (DF)
04:19:08.574102 66.232.98.112.http > 192.168.1.3.2684: . ack 254 win 6432 (DF)
04:19:08.995727 192.168.1.3.2685 > 66.232.98.112.http: S 3828547424:3828547424(0
) win 64240 <mss 1460,nop,nop,sackOK> (DF)
04:19:09.022718 66.232.98.112.http > 192.168.1.3.2685: S 2023127206:2023127206(0
) ack 3828547425 win 5840 <mss 1348,nop,nop,sackOK> (DF)
04:19:09.023091 192.168.1.3.2685 > 66.232.98.112.http: . ack 1 win 64704 (DF)
04:19:09.023219 192.168.1.3.2685 > 66.232.98.112.http: P 1:201(200) ack 1 win 64
704 (DF)[/code]
Жаль, но пока для меня это тёмный лес. Примерно предполагаю, что ACK - запрос на подключение (может не прав) вижу, что подключается по 80 порту (по логу - http)
далее, пообщавшись с этим 66.232.98.112, идёт следующее:

Код: Выделить всё

04:19:11.195772 192.168.1.3.2687 > 216.129.98.150.smtp: S 3829130883:3829130883(
0) win 64240 <mss 1460,nop,nop,sackOK> (DF)
04:19:11.197135 192.168.1.3.2688 > 216.129.98.150.smtp: S 3829190827:3829190827(
0) win 64240 <mss 1460,nop,nop,sackOK> (DF)
04:19:11.198425 192.168.1.3.2689 > 216.129.98.150.smtp: S 3829247919:3829247919(
0) win 64240 <mss 1460,nop,nop,sackOK> (DF)
04:19:11.199765 192.168.1.3.2690 > 216.129.98.150.smtp: S 3829315022:3829315022(
0) win 64240 <mss 1460,nop,nop,sackOK> (DF)
04:19:11.203405 192.168.1.3.2691 > 216.129.98.150.smtp: S 3829360912:3829360912(
0) win 64240 <mss 1460,nop,nop,sackOK> (DF)
04:19:11.745842 192.168.1.3.2685 > 66.232.98.112.http: F 201:201(0) ack 349 win
64357 (DF)

Т.е начинается отсылка (S в логе) по 25 порту = smtp
Виндовый netstat подтверждает наличие и попутную организацию одновременно около 5-15 подключений, попутно сообщая, что PID процесса = explorer.exe

Подскажите, как эту спамерскую падлу выловить (наверное это в форум по винде надо, но может кто сталкивался).
И как _правильно_ запретить smtp подключения (юзая ipfw), НЕ убив при этом почтовый клиент на WinXP машине?
Заранее благодарен за помощь.

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[schizoid]

ну для начала антивир стоит?

[de-signer]

На XP стоит KAV. Не фига не чует!

[Sova]

На XP стоит KAV. Не фига не чует!

KAV и обзывают Кашмаровским Поставь другой антивирус, а лучше два (например НОД и DrWeb current, с последними антивирусными сборками) и просканируй комп. А еще проверь на троянов и spyware и adware. Если они систему незавалят, то прогресс налицо

[f0s]

можно на тот комп поставить фаер и запретить 25 порт

зы. живность ищешь так:

ставишь nod32, avg antispyware, spybot search & destroy, cccleaner, hijackthis

апускаешь, обновляешь юазы всех прорамм через инет, далее грузишься в сейф мод БЕЗ поддержки сети. и далее запускаешь . ВНИМАНИЕ. важен порядок:

сначала ccleaner, там с параметрами по умолчанию чистишь, закрываешь
затем avg antispyware - полный скан
рестарт опять в сейф мод БЕЗ сети
далее spybot search & destroy
опять рестарт и опять в тот же сейф мод БЕЗ сети
далее пускаешь hijackthis и смотришь внимательно на какие файлы он ссылается и что запускает.. все левое отмечаешь галочкой и стираешь нафиг (тут поможет только опыт опознать что хороший процесс, а что плохой)
затем пускаешь нод32, затем рестарт в обычный режим, и запускаешь нод32 ГЛУБОКИЙ АНАЛИЗ. таким образом лечистя все, за исколючене неизлечимых и невидимых руткитов

[Sova]

f0s опередил меня с подробным описанием .
А если не помогло то остаеться одно: format c:

[de-signer]

Спасибо за советы. Попробую завтра.
Сегодня запустил старенький AVZ. Он сказал: "c:\windows\system32\svchost.exe:exe.exe >>> Возможна маскировка процесса" Не знаю что это, но из реестра поудалял всё, что связано с ним было. Ключ реестра где он сидел назывался "ICF".

[kotyara]

Я думаю вопрос уже решен - но на будующее если кто сюда заглянет - все значительно проще - это просто был подвешен зомбяк. Что такое зомби сети можно прочитать подробно в инете. В кратце програма висящая в памяти и занимающаяся своим собственным делом - как то например производящая DDOS атаку, или проще говоря заваливающая какието внешние сервера запросами. Нормальный сервер 1 машина не завалит, но когда таких машин много... Вот именно по этому они так популярны. Вы проводите рассылку таким ПО, оно вешаеться и переодически лазиет на какойто внешний хост за списком серверов которые необходимо забить запросами. Когда этот список появляеться прога начинает по заданному в списке хосту генерить подключения тобишь делать запрос на создание подключеня к нему не завершая запроса. В итоге образуется висящий запрос по которому сервер ожидает отклика от клиента чтобы создать таки соеденение. В это время хост генерит еще один запрос, потом еще один и тд. в итоге с одного хоста получаеться до нескольких тысяч соеденений. А теперь представьте что вашу рассылку получили полтора милиона пользователей, из них тыркнуло по файлику пусть даже 5% - получем 75 тысяч хостов генерящих по 1 тысяче соеденений - тобиш 75 милионов одномоментных подключений. Дальше я думаю объяснять не надо. Канал у сервера умер, а если не умер канал, то умер сам сервер просто пытаясь все ето обработать.
Теперь о методах лечения - ставим локальный фаир в режим чтобы он запрашивал можно ли процессу вылезти тудато. Банально в качестве фаира можно заюзать аутпост или чтото в етом роде. Потом смотрим кто куда лезит и таким образом вычисляем зомбяка.
Вот вобщемто и все.

[kotyara]

Ну до кучи забыл сказать кто собстно был тот зверь который упоминался выше.
Это спамовый руткит известный под названиями:

Антивирус Kaspersky AntiVirus:
файл %name%.exe (вредоносный winlogon.exe): Trojan.Win32.Agent.asu
файл DefLib.sys (руткит): Trojan.Win32.Agent.asu

Антивирус DrWeb:
файл %name%.exe (вредоносный winlogon.exe): Trojan.Packed.147
файл DefLib.sys (руткит): Trojan.NtRootKit.312

Антивирус BitDefender Professional:
файл %name%.exe (вредоносный winlogon.exe): Trojan.Agent.ASU
файл DefLib.sys (руткит): Trojan.Agent.ABGK