Вирус на RDP сервере (не могу поймать)

[b7rracuda]

Добрый день форумчане. Нужна ваша помощь и подсказки. Ситуация сл.:

Имею сервер приложений на базе w2008r2 sp1.
Сервер не имеет доступа в интернет.
Захожу на сервер, с него по RDP лезу на соседний сервер, и как то странно начинает себя вести подключение, очень долго висит (около секунд 20-40) после подключается.
Сделал переподключение, все по прежнему, не сбой сети.
Запустил TCPVIEW и немного офигел. При инициализации подключения на какое либо сетевое устройство по RDP появляются сл записи:
mstsc.exe > 192.168.1.2 > 3389
Нормально, но помимо моей сессии открывается еще одна/две на внешние адреса:
mstsc.exe > куда то в интернет > 80

Пробивал адреса в интернете, один из 4х оказался в черном списке какого то зарубежного сайта, там народ жаловался на трояна. Все адреса USA.

Сколько я не ловил эту сволочь, так поймать не смог. Пересмотрел все папки, даты создания фалов, автозапуски, process explorer, avz тоже ничего не показали. В общем везде потыркал так ничего и не нашел. Эта гадина изолирована, в нет не попадает. Доступ в инет с сервера разрешен только на определенных хосты.

 

Куда копать господа подскажите.

[kmscom]

внимательно прочитайте и аккуратно выполните указания в теме «Порядок оформления запроса о помощи».

[b7rracuda]

Я конечно извиняюсь, я не хотел бы нарушать правила форума. Но так как сервер боевой, то установка антивирусного по при условии активности вируса - дело опасное.

Встречался как то с вирусом который при установки антивирусного по, начинал все заражать. По возможности просто хотел бы собрать советы, что бы при появлении возможности выключения сервера можно было не начинать с нуля, а быть несколько подготовленным.

В частности интересует способ поиска вот таких вот скрытых вирусов.

Изменено 27 ноября, 2018 пользователем b7rracuda

[regist]

@b7rracuda, вам никто пока не говорил, чтобы ставили антивирус (хотя после удаления вируса его поставить всё-таки стоит). А вот чтобы

 

собрать советы

надо сначала увидеть логи, на кофейной гуще не гадаем. А как собрать нужные логи как раз в правилах раздела написано.

Изменено 27 ноября, 2018 пользователем regist

[b7rracuda]

Привычка искать и удалять все в ручную
Логи выложу несколько позже, сори за оффтопик.