[Blast]

Похоже на SdBot который позволяет управлять компьютером-жертвой удалённо, посылая команды через каналы IRC
Если он, то создает в папке Windows файл LSRV.EXE и прописывается в
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
параметром Microsoft Services = "LSRV.EXE"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Microsoft Services = "LSRV.EXE"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
Microsoft Services = "LSRV.EXE"
Использует брешь в защите описанную в боллетене:
http://www.microsoft.com/technet/sec.../MS03-026.mspx
http://www.microsoft.com/technet/sec.../MS02-061.mspx
http://www.microsoft.com/technet/sec.../MS03-007.mspx
Использует порт 6667 (порт mIRC) и выходит на определенный канал ожидая команд типа:
загрузить свою же модификацию
загрузить и запустить файл
вход на какой-либо сайт и т.д.
Собственно если это он, то должен быть в процессах, останавливаем процесс, удаляем файл, чистим реестр (и в службах смотрим), закрываем порт 6667

Ветки из реестра прибил:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
Кстати, подобная запись ещё была в HKEY_USERS. Её тоже снёс.
Файл lsrv.exe удалить не смог - нет его на диске. Чертовщина какая-то!

Проверил, чем смог:
-Онлайн (ActiveX) антивирусами от Symantec & TrendMicro
-Локально AVP, NOD32 и Stinger'ом от McCafee
-Прогнал прграммамим Tauscan, Ad-Aware и SpyBot
Ничего не нашли они - только кривые кукии всё.

Несанкционированные исходящие соединения прекратились. по порту 6667 активности нет.
Но TaskManager остался в "кривом" виде - не показывает акаунт под которым процесс запущен.
Outpost продолжает ловить ВХОДЯЩИЕ соединения к SVCHOST.EXE по TCP порту 1025 с кучи разных неповторяющихся IP'ишников.
Может этот TCP 1025 закрыть нафиг и не мучаться?

Вообщем, не понял я ничего. Таки заражён я или нет? Предпринимать какие-либо ещё усилия или нет? Подскажите, пожалуйста.

[UZER]

iShvedsky
Входящих соединений не должно быть однозначно. У меня svchost'у разрешено только ИСХОДЯЩЕЕ с time-сервером windows для синхронизации часов. Больше я его никуда не пускаю.