• Администрация SafeZone приветствует вас на нашем форуме!
    Если вы больше не желаете видеть рекламу при просмотре тем и сообщений - то достаточно просто зарегистрироваться. Для зарегистрированных пользователей реклама не отображается.

Решена *.*.*:ms-wbt-server SYN_SENT *

Статус
В этой теме нельзя размещать новые ответы.

Wazza

Активный пользователь
Сообщения
7
Симпатии
0
#1
Буду краток долго грузятся страницы , иногда вобьще не загружаются, вот кусок netstat -o
Код:
TCP    192.168.1.2:50962      122.228.207.68:http    SYN_SENT        1024
  TCP    192.168.1.2:50963      122.228.207.68:http    SYN_SENT        1024
  TCP    192.168.1.2:50964      122.228.207.68:http    SYN_SENT        1024
  TCP    192.168.1.2:50965      aurora:ms-wbt-server   SYN_SENT        1024
  TCP    192.168.1.2:50966      36.31.200.88:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:50967      119.71.45.177:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:50968      118.177.180.161:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:50969      118.24.8.48:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:50970      153.197.239.166:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:50971      KD124208195130:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:50972      115.221.149.29:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:50973      54.112.64.224:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:50974      8.62.79.141:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:50975      73.108.5.153:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:50976      160.151.171.187:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:50977      160.151.171.187:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:50979      196.184.206.167:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:50981      25.209.234.176:ms-wbt-server  SYN_SENT        1024
Если обрубить инет , видим это :
Код:
  TCP    192.168.1.2:49762      192.168.2.33:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:49763      192.168.2.34:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:49765      192.168.2.36:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:49767      192.168.2.38:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:49769      192.168.2.40:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:49770      192.168.2.41:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:49779      192.168.2.50:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:49780      192.168.2.51:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:49781      192.168.2.52:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:49783      192.168.2.54:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:49784      192.168.2.55:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:49785      192.168.2.56:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:49786      192.168.2.57:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:49787      192.168.2.58:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:49788      192.168.2.59:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:49789      192.168.2.60:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:49790      192.168.2.61:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:49791      192.168.2.62:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:49792      192.168.2.67:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:49793      192.168.2.68:ms-wbt-server  SYN_SENT        1024
  TCP    192.168.1.2:49794      192.168.2.69:ms-wbt-server  SYN_SENT        1024
По pid видно ,что инициатор этого всего svchost , что лежит в %windir%\system32 и пользуют который все службы из группы netsvcs ,
если завершить процесс , то рассылка пакетов на порт 3389 прекращается .Как побороть ума не приложу , никакие антивири ничего не видят , вот тема 1 в 1 как моя
 

Вложения

icotonev

Ассоциация VN
Сообщения
1,417
Симпатии
1,160
#2
Скачайте сканер OTL by oldtimer и сохраните файл на вашем рабочем столе.
Запустите программу сделав двойной щелчок мыши.
Сделайте настройки программы согласно изображения ниже:



В окно
с скопируйте следующую информацию:

Код:
:Services
 
:files
autorun.inf /alldrives
autorun.exe /alldrives
recycler /alldrives
ipconfig /flushdns /c
 
:Commands
[purity]
[emptytemp]
[resethosts]
[clearallrestorepoints]
[emptyflash]
[Reboot]
Нажмите на кнопку

После завершения проверки, будут созданы два файла - OTL fix log. Этот файл необходимо прикрепить к своему следующему посту в той теме, где вам оказывается помощь.


Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.
 

icotonev

Ассоциация VN
Сообщения
1,417
Симпатии
1,160
#6
Скачайте ComboFix здесь, здесь или здесь и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

Подробнее в "ComboFix. Руководство по применению."
 

Wazza

Активный пользователь
Сообщения
7
Симпатии
0
#8
походу combofix помог , а чем была вызвана данная сетевая активность ?
 

Severnyj

Команда форума
Супер-Модератор
Ассоциация VN/VIP
Сообщения
8,434
Симпатии
8,708
#9
Запакуйте папку C:\Qoobox\ в архив с паролем virus

Полученный архив отправьте с помощью этой формы или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.
 

Wazza

Активный пользователь
Сообщения
7
Симпатии
0
#10
Отправил через форму на oszone и на quarantine@safezone.cc
 
Последнее редактирование:

Severnyj

Команда форума
Супер-Модератор
Ассоциация VN/VIP
Сообщения
8,434
Симпатии
8,708
#11
Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall, нажмите кнопку "ОК"


Скачайте OTCleanIt или с зеркала, запустите, нажмите Clean up

походу combofix помог , а чем была вызвана данная сетевая активность ?
Комбо особо ничего не удалил, кроме мусорных файлов, и некоторых настроек в реестре - возможно дело было в них.
 

icotonev

Ассоциация VN
Сообщения
1,417
Симпатии
1,160
#12
+ Severnyj

то рассылка пакетов на порт 3389
Насколько я помню, на порту 3389 висит сервис удаленного управления.
Мs-wbt-server - MS WBT Server (MS: Средство управления удаленным рабочим столом NetMeeting (mnmsrvc), Службы терминалов (TermService)

Добавлено через 20 минут 27 секунд
Препоручительный скрипт - на ваше усмотрение..!

Код:
begin
SetServiceStart('TermService', 4);
SetServiceStart('mnmsrvc', 4);
RebootWindows(true);
end.
 

Wazza

Активный пользователь
Сообщения
7
Симпатии
0
#14
А если терминалка нужна ? Кроме как измение порта по умолчанию еще что-то сделать можно ?
 

Severnyj

Команда форума
Супер-Модератор
Ассоциация VN/VIP
Сообщения
8,434
Симпатии
8,708
#15
Статус
В этой теме нельзя размещать новые ответы.