Скорее всего вирь. Куда копнуть?

[disconnect]

Win2003
Недавно заметил в аудите событий (безопасность) аномалии.
В секунду попыток 15 подключений исходящих по порту 139 на разные компы в локальной сети
К примеру:
Попытка входа с явным указанием учетных данных:
Вошедший пользователь:
Пользователь: user1
Домен: MASTER1
Код входа: (0x0,0x707AF)
Код GUID: -
Были использованы учетные данные пользоваиеля:
Целевой пользователь: user2
Целевой домен: MASTER1
Целевой код GUID: -

Имя целевого сервера: comp-03
Данные целевого сервера: comp-03
Код процесса вызывающего: 4
Адрес сети источника: -
Порт источника: -
---
Почему подозрение по порту 139 - потому что огромное кол-во(по netstat тыщи полторы) TIME_WAIT на локальный адрес(периодически он меняется).
AVZ по списку процессов показал все зеленое.
Что посоветуете?

[Gobzavr]

1. Скачать AVZ
2. Открыть
3. Файл -> Исследование системы -> Пуск -> Сохранить файл -> Куда то сохраняем, что бы потом нашли только
4. На выходе получим два файла, нам интересен только htm
5. Разместите его в интернете на любой из датахостингов, например http://slil.ru/
6. Ссылку на скачку с датахостинга в студию


Давайте сюда все свое зеленое. Будем смотреть

[disconnect]

Давайте сюда все свое зеленое. Будем смотреть

тыц

[Gobzavr]

Да как бе да...
У вас симантек не стоит?

[disconnect]

Да как бе да...
У вас симантек не стоит?

Неа

[exses]

PROCEXP151.SYS вызывает сомнения.
при гуглении он всё время идет в паре со словом malware

А если отключить сервер терминалов количество соединений по netstat остаётся?
В терминале никакая dbf 1С не поднимается с открытием 1000 файлов по сети?
или DFS?
Terminal Server Redirected Drive - настораживает

[disconnect]

PROCEXP151.SYS вызывает сомнения.
при гуглении он всё время идет в паре со словом malware

А если отключить сервер терминалов количество соединений по netstat остаётся?
В терминале никакая dbf 1С не поднимается с открытием 1000 файлов по сети?
или DFS?
Terminal Server Redirected Drive - настораживает

Кстати да, PROCEXP151.SYS и Terminal Server Redirected Drive на рядом стоящей винде подобного нет.
Народ по домам разбежится - буду шаманить

На счет 1С и DFS нет, такое добро не установлено.

Спасибо.

[Gobzavr]

Неа

О, так это уже другой вопрос

C:\WINDOWS\System32\ntmsevt
C:\WINDOWS\System32\Drivers\wd.sys

Это вот еще странные товарищи

[suslik99]

http://www.virustotal.com/ сдох.
Пичалько.
Куда теперь вд-сисы слать?

[Gobzavr]

C лайвсд удалить. Проверить
Если чо - назад вернуть

[exses]

http://www.virustotal.com/ сдох.

Куда сдох? Зачем паника?
У меня наверно в кеше остался И работает.

[disconnect]

В общем отловил заразу
https://www.virustotal.com/file/aab0...c936/analysis/
Спасибо всем откликнувшимся!

[Gobzavr]

Думал конфикера уже все поубивали давно, ан-нет: партизанит