Перейти к содержанию

Отключили инет из за спама


105523

Рекомендуемые сообщения

Есть сервер и 4 компьютера (на всех каспер лиценз) подключенных к нему.

Провайдер отключил интернет из-за огромного исходящего трафика.

Перебрал все антивирусы чтобы выловить, поставил фаервол, посмотрел TCPView ером....

Много непонятного

Что это за рассылка на IP 87.236.186.4 и 87.236.185.130 непонятно :good:

Помимо логов прилагаю скрины фаервола и тспвьювера

 

Ищу помощи

virusinfo_syscure.zip

hijackthis.log

post-9785-1264503855_thumb.jpg

post-9785-1264503879_thumb.jpg

Ссылка на комментарий
Поделиться на другие сайты

Скачайте ComboFix здесь, здесь, и сохраните на рабочий стол.

 

1.Внимание!Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.

Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe

Ссылка на комментарий
Поделиться на другие сайты

Что это за рассылка на IP 87.236.186.4 и 87.236.185.130 непонятно :good:

Помимо логов прилагаю скрины фаервола и тспвьювера

 

O17 - HKLM\System\CCS\Services\Tcpip\..\{03485771-61AD-497C-969A-3DE153B88DEB}: NameServer = 87.236.186.4,87.236.185.130

DNS сервера это ваши... нормальные это или поддельные - сами смотрите

и трафик соответственно - скорее всего DNS UDP.

если бы в сниффере был виден remote port - сразу бы это было видно...

 

где вы все это смотрели? на сервере? или на станциях?

смысл делать логи и пытаться лечить чистый сервер, если заражены 1 или несколько рабочих станций?

 

какой "Каспер лицензия" на рабочих станциях?

Изменено пользователем hinote
Ссылка на комментарий
Поделиться на другие сайты

Да айпи это провайдера... тут интереснее другое, что слишком много пакетов в еденицу времени, и в сумме 900 Мб в сутки.

 

Каспер лицензия - это 9.0.0.459

Ссылка на комментарий
Поделиться на другие сайты

нормальным сниффером (wireshark) соберите пакеты - и будет понятно, что так часто пытаются отрезолвить...

и с какого компа, кстати - чтобы было кого лечить и где уже смотреть на логи лечащих утилит

 

на самом деле имхо 2-10 DNS запросов в секунду от 4х компьютеров - не так и много, вполне может софтинка какая криво написанная ломится, а ей вон не дают на файрволле... ночью то такая же ситуация, когда компы не используются пользователями?

Ссылка на комментарий
Поделиться на другие сайты

Вот логи нескольких компьютеров сети

 

Надеюсь на Вашу помощь

hijackthisгендир.log

hijackthisГН.log

hijackthisЛеди.log

virusinfo_syscureГенДир.zip

virusinfo_syscureГН.zip

virusinfo_syscureЛеди.zip

Изменено пользователем 105523
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • initial77
      От initial77
      Добрый день,
       
      Как это отключить раз и навсегда?
      Я не могу даже попасть на собственный роутер, меня это выбешивает уже.
      Если это нельзя отключить я просто удалю ваш продукт.
      Я не хочу ковыряться с исключениями - как просто взять и отключить этот кусок функционала??
    • KL FC Bot
      От KL FC Bot
      «Здравствуйте, это ваш дальний родственник из Нигерии. Дело в том, что я болен смертельной болезнью, другой родни у меня нет, поэтому хочу еще при жизни перечислить вам свое наследство в размере $100 млн», — сообщения с подобным посылом приходили на почту, наверное, каждому пользователю Интернета. Эти письма прозвали «нигерийскими», потому что мошенники представлялись богатыми и состоятельными людьми из Нигерии. Сейчас на смену «богатым нигерийским четвероюродным дядям по маминой линии» приходят фейковые представители банков, онлайн-магазинов, служб доставок и даже президенты.
      Сегодня расскажем про самые популярные виды спама и ответим на вопрос, что делать, если на почту пришел спам.
      Письма от инвесторов, меценатов и прочих богачей
      Это, пожалуй, самый древний и вместе с тем популярный сценарий спама. Даже в 2025 году в почту стучатся всевозможные благодетели, жаждущие отдать свои кровные именно вам. Подобные письма выглядят как под копирку: якобы невероятно богатый человек рассказывает про источник своего богатства, описывает свою проблему и предлагает ее решение. Обо всем по порядку:
      Источником богатства может быть что угодно: наследство, невероятно прибыльный бизнес в далекой стране или даже внезапно обнаруженный криптокошелек с миллионами денег. Проблема тоже вариативна: от смертельной болезни до желания пожертвовать все свои деньги на благотворительность — и сделать это нужно обязательно с вашей помощью. Решение всегда одно — нужно как можно скорее перевести деньги на ваш счет. Конечно, если в ответ на такое письмо вы отправите свои глубочайшие соболезнования и номер банковской карты, то никто не перечислит вам ни миллионы, ни даже тысячи денег. Наоборот, мошенники будут всеми правдами и неправдами вынуждать вас перевести им свои средства. Как вариант, оплатить несуществующую комиссию на перевод их миллионов денег.
      Не стоит верить письму, даже если оно отправлено якобы президентом США. Сейчас спамеры на волне популярности Дональда Трампа запустили новую-старую мошенническую схему: рассылают потенциальным жертвам письма, в которых представляются Дональдом Трампом, почему-то решившим отправить по $15 млн нескольким десяткам счастливчиков по всему миру. Получить миллионы можно, лишь отправив ответное письмо, где фейковый мистер Дональд Трамп попросит перейти по ссылочке и ввести свои банковские данные либо оплатить комиссию за перевод средств на ваш счет.
       
      View the full article
    • Денис Н
      От Денис Н
      Добрый день!
      В организации используется KSC 14 + KES 12.
      Как отключить сбор и отправку телеметрии самих продуктов Касперского?
    • Max132
      От Max132
      Добрый день! Не могу найти функцию добавления нежелательного почтового ящика, с которого осуществляется спам-рассылка, в ksc 13.2
      Есть ли там функция спам-фильтра не только для файлов, но и для почтовых адресов?
      По сути нужно просто заблокировать почту , но я не вижу подходящего раздела
    • KL FC Bot
      От KL FC Bot
      В мае 2024 года Microsoft представила новую функцию для Windows 11 под названием Recall. Она позволяет «вспоминать» все, что делал пользователь на компьютере за последние месяцы. Можно задавать в поисковой строке самые общие вопросы вроде «фото красного авто, которое мне присылали» или «какой корейский ресторан советовали» — и получать ответы в виде ссылок на приложение, сайт, документ в паре с картинкой-миниатюрой, на которой запечатлен… экран компьютера в момент, когда пользователь смотрел на предмет запроса!
      Recall позволяет вспомнить все, что вы делали за компьютером в последние месяцы. Возможно, даже то, что вы предпочли бы не вспоминать. Источник
      Чтобы реализовать чудо-поиск, новый сервис Microsoft будет делать скриншоты всего экрана каждые несколько секунд и сохранять их в папке на компьютере. Затем все эти изображения анализируются искусственным интеллектом в фоновом режиме, из скриншотов извлекается вся информация и помещается в базу данных, по которой при помощи ИИ-ассистента ведется умный поиск.
      Несмотря на то что все операции проводятся локально, на компьютере пользователя, Recall сразу после анонса вызвал тревогу у многих специалистов по информационной безопасности — эта функция создает слишком много рисков. Начальная реализация Recall была практически не зашифрована и доступна любому пользователю компьютера. Под давлением ИБ-сообщества Microsoft объявила о внесении доработок в Recall еще до выпуска публичной версии, который отложили с 18 июня ориентировочно до конца осени 2024 года. Тем не менее даже с обещанными улучшениями функция остается неоднозначной.
       
      Посмотреть статью полностью
×
×
  • Создать...