Аномальная сетевая активность

[RomonS]

Добрый день, прошу Вашей помощи, на рабочей станции регистрируется аномальная сетевая активность, а именно происходят запросы по 445 порту. В системе установлен Kaspersky Endpoint Security 11.0.1.90, присутствует патч MS17-010. С исходного IP адреса 192.168.1.15 идут запросы на 185.5.137.177, 5.61.23.11, 217.20.155.13, 217.20.147.1, 217.69.141.142 и другие (более подробно в логах Wireshark, при необходимости могу прикрепить). Дополнительные проверки средствами Kaspersky Virus Removal Tool, Dr.Web CureIt! и Malwarebytes AdwCleaner результатов не показали. Найти что-либо в системе не получается, но Fortigate регистрирует периодические вспышки активности. Окажите содействие в решении данной проблемы.

CollectionLog-2020.02.13-09.40.zip

Изменено 13 февраля, 2020 пользователем RomonS

[Sandor]

Здравствуйте!

 

Видны следы антивируса Emsisoft. Очистите по соотв. инструкции:

Чистка системы после некорректного удаления антивируса.

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[RomonS]

Следы почищены, прикрепляю отчеты Farbar.

Addition.txt

FRST.txt

[Sandor]

Эти тоже почистите:

C:\ProgramData\Norton

C:\ProgramData\Doctor Web

соответствующими утилитами.

 

Больше ничего плохого (вирусоподобного) не видно.

 

Проверьте уязвимые места:

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[RomonS]

Отчет SecurityCheck.

SecurityCheck.txt

Изменено 13 февраля, 2020 пользователем RomonS

[Sandor]

------------------------------- [ Windows ] -------------------------------

Расширенная поддержка закончилась 14.01.2020, Ваша операционная система может быть уязвима к новым типам угроз

Internet Explorer 11.0.9600.19236 Внимание! Скачать обновления

Контроль учётных записей пользователя отключен (Уровень 1)

^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^

------------------------------- [ HotFix ] --------------------------------

HotFix KB3177467 Внимание! Скачать обновления

HotFix KB3125574 Внимание! Скачать обновления

HotFix KB4499175 Внимание! Скачать обновления

HotFix KB4474419 Внимание! Скачать обновления

HotFix KB4490628 Внимание! Скачать обновления

HotFix KB4512486 Внимание! Скачать обновления

HotFix KB4474419 Внимание! Скачать обновления

HotFix KB4539602 Внимание! Скачать обновления

---------------------- [ AntiVirusFirewallInstall ] -----------------------

Kaspersky Endpoint Security для Windows v.11.0.1.90 Внимание! Скачать обновления

--------------------------- [ OtherUtilities ] ----------------------------

K-Lite Codec Pack 14.7.0 Full v.14.7.0 Внимание! Скачать обновления

Microsoft Office профессиональный плюс 2010 v.14.0.7015.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice

Microsoft .NET Framework 4.7.2 v.4.7.03062 Внимание! Скачать обновления

Microsoft Office Professional Plus 2010 v.14.0.7015.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice

-------------------------------- [ Arch ] ---------------------------------

WinRAR 4.01 (32-bit) v.4.01.0 Внимание! Скачать обновления

 

 

Хотфиксы постарайтесь установить все. Остальное по возможности тоже исправьте/обновите.

Результат сообщите.

[RomonS]

Доброе утро, хотфиксы установил, программы по возможности обновил, буду дальше наблюдать за системой.

 

------------------------------- [ Windows ] -------------------------------
Расширенная поддержка закончилась 14.01.2020, Ваша операционная система может быть уязвима к новым типам угроз
Internet Explorer 11.0.9600.19596
Контроль учётных записей пользователя отключен (Уровень 1)
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
Загружать автоматически обновления и устанавливать по заданному расписанию
Дата установки обновлений: 2020-02-14 00:12:52
Центр обновления Windows (wuauserv) - Служба работает
Центр обеспечения безопасности (wscsvc) - Служба работает
Удаленный реестр (RemoteRegistry) - Служба остановлена
Обнаружение SSDP (SSDPSRV) - Служба работает
Службы удаленных рабочих столов (TermService) - Служба остановлена
Служба удаленного управления Windows (WS-Management) (WinRM) - Служба остановлена
------------------------------ [ MS Office ] ------------------------------
Microsoft Office 2013 x86 v.15.0.4569.1506
---------------------------- [ Antivirus_WMI ] ----------------------------
Kaspersky Endpoint Security для Windows (включен и обновлен)
---------------------------- [ Firewall_WMI ] -----------------------------
Kaspersky Endpoint Security для Windows (включен)
--------------------------- [ AntiSpyware_WMI ] ---------------------------
Kaspersky Endpoint Security для Windows (включен и обновлен)
Windows Defender (выключен и устарел)
---------------------- [ AntiVirusFirewallInstall ] -----------------------
Kaspersky Endpoint Security для Windows v.11.0.1.90 Внимание! Скачать обновления
--------------------------- [ OtherUtilities ] ----------------------------
K-Lite Codec Pack 15.3.5 Standard v.15.3.5
Microsoft .NET Framework 4.8 v.4.8.03761
-------------------------------- [ Arch ] ---------------------------------
WinRAR 5.80 (32-разрядная) v.5.80.0

SecurityCheck.txt

Изменено 14 февраля, 2020 пользователем RomonS

[Sandor]

Контроль учетных записей почему не включаете?