Вирусы, трояны, руткиты, черви, адварь, малварь, спайварь, спамварь и пр.

Материал из IksWiki

(Перенаправлено с Virii)
Перейти к: навигация, поиск

Содержание

Общая информация

Семейство Windows

Для того, чтобы ваш компьютер не не подвергался многочисленным угрозам заражения, необходимо выполнение следующих требований к программному обеспечению, установленному на нём:

  1. Обязательно должны быть включены обновления самой системы (системных программ и библиотек) и программного обеспечения, запускаемого автоматически при запуске (серверные программы, различные клиенты для обмена сообщениями и проч.) или ежедневно используемого (обозреватели/браузеры, сетевые программы). Сама система сможет обновляться без проблем только в случае, если она куплена, а не скачана или установлена с пиратского диска всё-в-одном;
  2. Обязательно должно быть установлено антивирусное программное обеспечение;
  3. Обязательно дожен быть установлен и настроен сетевой экран (брандмауер, файервол);
  4. Желательно создать различные учётные записи для различных пользователей компьютера и наделить их достаточными, а не избыточными правами (то есть пользоваться учётной записью Administrator-а только в крайних случаях, типа установки драйверов);

Также необходимо осознавать, что открывая для просмотра двоичные файлы из непроверенных источников уязвимым программным обеспечением (Internet Explorer, Microsoft Office, Adobe Reader, Adobe Flash, Oracle Java и др.) вы подвергаете опасности заражения всю систему, а также превращаете ваш компьютер в источник рассылки этих вирусных двоичных файлов.

Семейство Apple

Аналогично семейству Windows, за исключением того, что программное обеспечение для Mac OS X гораздо сложнее найти и купить, а компания Apple обычно не торопится с обновлениями системы.

Семейство Linux

Не секрет, что Linux в настоящее время присутствует практически везде, начиная с бытовых маршрутизаторов (роутеров), телефонов и планшетов (Android), и заканчивая высокопроизводительными серверами (top500.org). Основную опасность для вторжения представляет программное обеспечение, которое нацелено на совместимость с семейством Windows и сопутствующими технологиями (Samba, Wine, VMware и проч.), закрытое несвободное программное обеспечение (Adobe Flash, Oracle Java, драйвера для видеокарт) и проекты с малым количеством разработчиков и низкой активностью (различные проекты на PHP/Ruby/Python/Perl).

Ботнеты

WIN32.Sality

Последние несколько месяцев в сети гуляет вирус, который Kaspersky определяет как VIRUS.WIN32.Sality.z, а Dr. Web - win32.sector.5, win32.sector.7. Даже у опытных пользователей его уничтожение вызывает трудности.

Симптомы

  • Большинство программ перестают работать и "вылетают" с критической ошибкой
  • Загрузка в безопасном режиме невозможна - вирус портит ветки реестра
  • Сайты kaspersky.ru, drweb.ru, viruslist.ru и пр. не загружаются
  • Значительно снижается производительность компьютера
  • Вирус Sality и его модификации производят сетевой шторм, в попытках заразить остальные компьютеры в сети, используя уязвимости операционной системы. Устаревшие антивирусные базы на компьютерах не опознают угрозу и позволяют заразить компьютер клиента. Коммутаторы, используя защитные механизмы блокируют порты, с которых идет сетевой шторм. Следствием этого является невозможность подключения к интернету с ошибкой 734.

Лечение

  • Лечим компьютер от вирусов при помощи например Dr.Web CureIt! и проводим полную проверку компьютера. Перезагружаемся в обычном режиме. Вновь проводим полную проверку. Устанавливаем нормальный антивирус со свежими базами.
  • Во избежания заражения вирусами ОБЯЗАТЕЛЬНО обновляйте свою операционную систему, а также антивирусные базы.

Downadup/Kido/Conficker

Распространение

Наиболее распространённый и представляющий опасность в последнее время (2009 год) вирус. Распространяется несколькими различными способами:

  • Эксплуатация неисправности в Windows без свежих заплаток(MS08-038, MS08-063, MS08-067, MS08-068), подключённой к сети без брандмауэра (Service Pack 3 не спасает!!!)
  • Подбор пароля администратора с помощью атаки по словарю
  • Инфицированный флэш-диск
  • Используя "Автозапуск" и "Назначенные задания" для перезаражения компьютеров

Во время написания этого раздела во всём мире насчитывалось примерно 15 миллионов компьютеров, заражённых этим типом вируса.

Image:Downadup0.png

Вот самые распространённые пути распространения вируса при помощи пользователей:

Image:Downadup1.png

Image:Downadup2.png

Image:Downadup3.png

Image:Downadup4.png

Рекомендации по защите

  • Установите все нужные обновления для Windows
  • Установите, включите и настройте брандмауэр и ни в коем случае его не отключайте, даже на несколько секунд
  • Остановите и отключите "Server service" ("Службу сервера") и "Workstation service" ("Службу рабочей станции"), а также отключите все привязки Windows Network к TCP/IP
  • Установите сильный пароль на учётную запись всех администраторов компьютера и как можно реже ими пользуйтесь для запуска неизвестных программ (тем более случайного)
  • Установите антивирус, который сможет проверить вставляемые в компьютер флэш-диски до того, как с них будут автоматически запущены вирусы
  • Проверяйте реестр, "Автозапуск" и "Назначенные задания" на наличие подозрительных записей. Если вы не сможете их удалить или отключить, то это однозначно говорит о наличии активного вируса на вашем компьютере
  • Отключите все функции "Автозапуска" и "Автопроигрывания" со всех возможных сменных носителей. Пользуйтесь переключателем защиты от записи, когда приносите свои флэш-диски и подключаете их в подозрительные компьютеры
  • Последние модификации вируса успешно противостоят самым различным антивирусам (KAV, NOD32 и др.). Если ваш антивирус не может обновлять свои базы по непонятной причине или функционирует со сбоями, то скорее всего ваш компьютер уже заражён. Единственным выходом из этой ситуации является полная переустановка Windows с установкой последних исправлений для уязвимостей, брандмауэра и антивируса сразу после установки и до физического подключения к сети.

Более подробная информация

Заражение

При выполнении червь Downadup (Kido, Conflicker) создаёт свои копии в:

  •  %System%\[Random].dll
  •  %Program Files%\Internet Explorer\[Random].dll
  •  %Program Files%\Movie Maker\[Random].dll
  •  %All Users Application Data%\[Random].dll
  •  %Temp%\[Random].dll
  •  %System%\[Random].tmp
  •  %Temp%\[Random].tmp

Примечание: [Random] означает случайно сформированное имя.

Даты файлов устанавливаются как у файла %System%\kernel32.dll. Червь затем создаёт записи в автозагрузке через реестр, что позволяет ему загружаться при каждой перезагрузке системы.

Червь также может создавать следующие файлы на флешках и замапленных дисках:

  •  %БукваДиска%\RECYCLER\S-%d-%d-%d-%d%d%d-%d%d%d-%d%d%d-%d\[...].[3 random characters]
  •  %БукваДиска%\autorun.inf

Также он присоединяет себя к следующим процессам:

  • svchost.exe
  • explorer.exe
  • services.exe

Червь отключает некоторое количество системных возможностей для того, чтобы облегчить свою активность. Он отключает следующие службы:

  • Windows Automatic Update Service (wuauserv)
  • Background Intelligent Transfer Service (BITS)
  • Windows Security Center Service (wscsvc)
  • Windows Defender Service (WinDefend)
  • Windows Error Reporting Service (ERSvc)
  • Windows Error Reporting Service (WerSvc)

Также он проверяет, работает ли он под Windows Vista; если это так, то он также запускает следующую команду для отключения авто-тюнинга TCP/IP:

  • netsh interface tcp set global autotuning=disabled

Червь также цепляется к следующим функциям API для того, чтобы заблокировать доступ пользователя к длинному списку доменов:

  • DNS_Query_A
  • DNS_Query_UTF8
  • DNS_Query_W
  • Query_Main
  • sendto

Если пользователь пытается получить доступ к следующим, в-основном связанным с безопасностью и антивирусами доменам, то его доступ блокируется:

  • virus
  • spyware
  • malware
  • rootkit
  • defender
  • microsoft
  • symantec
  • norton
  • mcafee
  • trendmicro
  • sophos
  • panda
  • etrust
  • networkassociates
  • computerassociates
  • f-secure
  • kaspersky
  • jotti
  • f-prot
  • nod32
  • eset
  • grisoft
  • drweb
  • centralcommand
  • ahnlab
  • esafe
  • avast
  • avira
  • quickheal
  • comodo
  • clamav
  • ewido
  • fortinet
  • gdata
  • hacksoft
  • hauri
  • ikarus
  • k7computing
  • norman
  • pctools
  • prevx
  • rising
  • securecomputing
  • sunbelt
  • emsisoft
  • arcabit
  • cpsecure
  • spamhaus
  • castlecops
  • threatexpert
  • wilderssecurity
  • windowsupdate
  • nai
  • ca
  • avp
  • avg
  • vet
  • bit9
  • sans
  • cert

Распространение

Для того, чтобы облегчить своё распространение, червь сначала модифицирует запись в реестре и таким образом может распространяться гораздо быстрее по сети:

  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters "TcpNumConnections" = dword:0x00FFFFFE

Червь использует драйвер %System%\drivers\tcpip.sys для ускорения своего распространения, изменяя количество полуоткрытых соединений на 0x10000000(268435456) в памяти.

Он проверяет подходящие компьютеры в локальной сети, используя функцию API NetServerEnum, а затем пытается зайти на любой найденный компьютер с помощью одного из следующих логинов:

  1. Используя существующий логин пользовательской учётной записи; если эта учётная запись не имеет административного доступа на целевом компьютере, то она не используется.
  2. Получая список имён пользователей на целевом компьютере, используя NetUserEnum API, а затем пытаясь войти на него с помощью существующих пользовательских учётных записей и следующих паролей:
  • [username]
  • [username][username]
  • [reverse_of_username]
  • 00000
  • 0000000
  • 00000000
  • 0987654321
  • 11111
  • 111111
  • 1111111
  • 11111111
  • 123123
  • 12321
  • 123321
  • 12345
  • 123456
  • 1234567
  • 12345678
  • 123456789
  • 1234567890
  • 1234abcd
  • 1234qwer
  • 123abc
  • 123asd
  • 123qwe
  • 1q2w3e
  • 22222
  • 222222
  • 2222222
  • 22222222
  • 33333
  • 333333
  • 3333333
  • 33333333
  • 44444
  • 444444
  • 4444444
  • 44444444
  • 54321
  • 55555
  • 555555
  • 5555555
  • 55555555
  • 654321
  • 66666
  • 666666
  • 6666666
  • 66666666
  • 7654321
  • 77777
  • 777777
  • 7777777
  • 77777777
  • 87654321
  • 88888
  • 888888
  • 8888888
  • 88888888
  • 987654321
  • 99999
  • 999999
  • 9999999
  • 99999999
  • a1b2c3
  • aaaaa
  • abc123
  • academia
  • access
  • account
  • Admin
  • admin
  • admin1
  • admin12
  • admin123
  • adminadmin
  • administrator
  • anything
  • asddsa
  • asdfgh
  • asdsa
  • asdzxc
  • backup
  • boss123
  • business
  • campus
  • changeme
  • cluster
  • codename
  • codeword
  • coffee
  • computer
  • controller
  • cookie
  • customer
  • database
  • default
  • desktop
  • domain
  • example
  • exchange
  • explorer
  • files
  • foobar
  • foofoo
  • forever
  • freedom
  • games
  • home123
  • ihavenopass
  • Internet
  • internet
  • intranet
  • killer
  • letitbe
  • letmein
  • Login
  • login
  • lotus
  • love123
  • manager
  • market
  • money
  • monitor
  • mypass
  • mypassword
  • mypc123
  • nimda
  • nobody
  • nopass
  • nopassword
  • nothing
  • office
  • oracle
  • owner
  • pass1
  • pass12
  • pass123
  • passwd
  • Password
  • password
  • password1
  • password12
  • password123
  • private
  • public
  • pw123
  • q1w2e3
  • qazwsx
  • qazwsxedc
  • qqqqq
  • qwe123
  • qweasd
  • qweasdzxc
  • qweewq
  • qwerty
  • qwewq
  • root123
  • rootroot
  • sample
  • secret
  • secure
  • security
  • server
  • shadow
  • share
  • student
  • super
  • superuser
  • supervisor
  • system
  • temp123
  • temporary
  • temptemp
  • test123
  • testtest
  • unknown
  • windows
  • work123
  • xxxxx
  • zxccxz
  • zxcvb
  • zxcvbn
  • zxcxz
  • zzzzz

Остальные известные ботнеты

  • Akbot - макс. размер 1.3 миллиона компьютеров (2007-2008)
  • Asprox/Badsrc/Aseljo - 15 тысяч компьютеров в мае 2008 года, Известен тем, что инфицировал вебсайты Sony Playstation, Adobe's Serious Magic и многие другие.
  • Bagle/Beagle/Mitglieder/Lodeight - 150-230 тысяч компьютеров. 10% всего спам-трафика в мире. (2004-2010)
  • Bredolab/Oficla - армянский ботнет. 30 миллионов зомби (2009-2010)
  • Cutwail/Pushdo/Pandex - 1.5-2 миллиона заражённых (2007-2010). Атаковал сайты ЦРУ, ФБР, Твиттера и Пейпала.
  • Donbot/Buzus/Bachsoy - 125 тысяч компьютеров. 1-4% мирового спам-трафика.
  • Grum/Tedroo/Reddyb - 500-900 тысяч компьютеров. 18% мирового спам трафика (ликвидирован 19 июля 2012 года)
  • Gumblar/JSRedir-R
  • Kelihos/Hlux - 70 тысяч компьютеров (2010-...)
  • Koobface - червь из С-Петербурга (2008-2012)
  • Kraken - 500 тысяч компьютеров. Крупнейший в апреле 2008 года.
  • Lethic - 200-300 тысяч компьютеров. 8-10% мирового спам-трафика (2008-...)
  • Mariposa - 8-12 миллионов компьютеров (2008-2009)
  • Mega-D/Ozdok - 17-32% мирового спама (...-2009)
  • Metulji - 12 миллионов зомби (06.2011-...)
  • Rustock - размер от 150 тысяч до 2.5 миллионов зомби (2006-2011)
  • Slenfbot - скрытный, рассылает себя через сообщения Skype/ICQ/MSN/AIM, заражённые флешки и сетевые каталоги и принтеры (2007-...)
  • Srizbi/Cbeplay/Exchanger - 450 тысяч компьютеров. 60% мирового спама (2007-2008)
  • Storm - 1-50 миллионов компьютеров (2007-2008)
  • TDL-4 - 4.5 миллиона компьютеров (2011-...)
  • Torpig/Sinowal/Anserin - около миллиона компьютеров, ворует данные о банковских счетах и картах (2008-...)
  • Waledac/Waled/Waledpak - 70-90 тысяч компьютеров. 1% мирового спама (...-2010)
  • Zeus - несколько миллионов компьютеров (2009-...)

HostsBlocker

Симптомы

  • При заходе на некоторые сайты (vkontakte, yandex) появляется надпись "ваш браузер заблокирован отправьте смс"
    • Или все браузеры просто перестают открывать все нижеперечисленные сайты
  • Содержимое файла windows/system32/drivers/etc/hosts:
127.0.0.1       localhost
82.146.44.61 mail.ru
82.146.44.61 www.mail.ru
82.146.44.61 www.yandex.ru
82.146.44.61 yandex.ru
82.146.44.61 www.vkontakte.ru
82.146.44.61 vkontakte.ru
82.146.44.61 www.odnoklasniki.ru
82.146.44.61 odnoklasniki.ru
82.146.44.61 www.google.ru
82.146.44.61 google.ru
82.146.44.61 www.rambler.ru
82.146.44.61 rambler.ru
82.146.44.61 www.ya.ru
82.146.44.61 ya.ru
82.146.44.61 www.google.com
82.146.44.61 google.com
82.146.44.61 www.pochta.ru
82.146.44.61 pochta.ru
82.146.44.61 www.bigmir.net
82.146.44.61 bigmir.net
82.146.44.61 www.liveinternet.ru
82.146.44.61 liveinternet.ru
82.146.44.61 www.zaycev.net
82.146.44.61 zaycev.net
82.146.44.61 www.wikipedia.org
82.146.44.61 wikipedia.org
82.146.44.61 www.dating.ru
82.146.44.61 dating.ru
82.146.44.61 www.24open.ru
82.146.44.61 24open.ru
82.146.44.61 www.mirtesen.ru
82.146.44.61 mirtesen.ru
82.146.44.61 www.qip.ru
82.146.44.61 qip.ru
82.146.44.61 www.start.qip.ru
82.146.44.61 start.qip.ru
82.146.44.61 www.torrents.ru
82.146.44.61 torrents.ru
82.146.44.61 www.rutube.ru
82.146.44.61 rutube.ru
82.146.44.61 www.smotri.com
82.146.44.61 smotri.com
82.146.44.61 www.mylivepage.ru
82.146.44.61 mylivepage.ru
82.146.44.61 www.ucoz.ru
82.146.44.61 ucoz.ru
82.146.44.61 www.intv.ru
82.146.44.61 intv.ru
82.146.44.61 www.dwar.ru
82.146.44.61 dwar.ru
82.146.44.61 www.6008help.ru
82.146.44.61 6008help.ru
82.146.44.61 www.nevosoft.ru
82.146.44.61 nevosoft.ru
82.146.44.61 www.championat.ru
82.146.44.61 championat.ru
82.146.44.61 www.sms911.ru
82.146.44.61 sms911.ru
82.146.44.61 www.eurosport.ru
82.146.44.61 eurosport.ru
82.146.44.61 www.kinopoisk.ru
82.146.44.61 kinopoisk.ru
82.146.44.61 www.kinozal.tv
82.146.44.61 kinozal.tv
82.146.44.61 www.musicmp3.spb.ru
82.146.44.61 musicmp3.spb.ru
82.146.44.61 www.hh.ru
82.146.44.61 hh.ru
82.146.44.61 www.depositfiles.com
82.146.44.61 depositfiles.com
82.146.44.61 www.dom2.ru
82.146.44.61 dom2.ru
82.146.44.61 www.help-cmc.ru
82.146.44.61 help-cmc.ru
82.146.44.61 www.nigma.ru
82.146.44.61 nigma.ru
82.146.44.61 www.aport.ru
82.146.44.61 aport.ru
82.146.44.61 www.gogo.ru
82.146.44.61 gogo.ru
82.146.44.61 www.go.mail.ru
82.146.44.61 go.mail.ru
82.146.44.61 www.pooisk.com
82.146.44.61 pooisk.com
82.146.44.61 www.ru.yahoo.com
82.146.44.61 ru.yahoo.com
82.146.44.61 www.sms.mts.ru
82.146.44.61 sms.mts.ru
82.146.44.61 www.a1agregator.ru
82.146.44.61 a1agregator.ru
82.146.44.61 www.narod.ru
82.146.44.61 narod.ru
82.146.44.61 www.smsrent.ru
82.146.44.61 smsrent.ru
82.146.44.61 www.smshelps.ru
82.146.44.61 smshelps.ru
82.146.44.61 www.a1help.ru
82.146.44.61 a1help.ru
82.146.44.61 login.oscar.aol.com
82.146.44.61 www.login.oscar.aol.com
82.146.44.61 login.oscar.aol.com:5190
82.146.44.61 login.icq.com
82.146.44.61 www.login.icq.com
82.146.44.61 login.login.icq.com:5190
82.146.44.61 www.glebber.info
82.146.44.61 glebber.info
82.146.44.61 www.xqa.ru
82.146.44.61 xqa.ru
82.146.44.61 www.iqonline.ru
82.146.44.61 iqonline.ru
82.146.44.61 www.sup-fd.ru
82.146.44.61 sup-fd.ru
82.146.44.61 www.nwhelps.ru
82.146.44.61 nwhelps.ru
82.146.44.61 www.sup24.ru
82.146.44.61 sup24.ru
82.146.44.61 www.smssupport.su
82.146.44.61 smssupport.su
82.146.44.61 www.antichat.ru
82.146.44.61 antichat.ru
82.146.44.61 www.qp.dp.ua
82.146.44.61 qp.dp.ua
82.146.44.61 www.connect.ua
82.146.44.61 connect.ua
82.146.44.61 www.uaportal.com
82.146.44.61 uaportal.com
82.146.44.61 www.ria.ua
82.146.44.61 ria.ua
82.146.44.61 www.mail.i.ua
82.146.44.61 mail.i.ua
82.146.44.61 www.from-ua.com
82.146.44.61 from-ua.com
82.146.44.61 www.futro.ua
82.146.44.61 utro.ua
82.146.44.61 www.lenta.ru
82.146.44.61 lenta.ru
82.146.44.61 www.newsru.ua
82.146.44.61 newsru.ua
82.146.44.61 www.ru
82.146.44.61 www.vesti.ru
82.146.44.61 vesti.ru
82.146.44.61 www.kaspersky.ru
82.146.44.61 kaspersky.ru
82.146.44.61 www.moikrug.ru
82.146.44.61 moikrug.ru
82.146.44.61 www.m.vkontakte.ru
82.146.44.61 m.vkontakte.ru
82.146.44.61 www.securitylab.ru
82.146.44.61 securitylab.ru
82.146.44.61 www.irr.ru
82.146.44.61 irr.ru
  • Или такое:
127.0.0.1 localhost
127.0.0.1 vkontakte.ru
127.0.0.1 yandex.ru
127.0.0.1 mail.ru
127.0.0.1 www.vkontakte.ru
127.0.0.1 www.yandex.ru
127.0.0.1 www.mail.ru
127.0.0.1 icq.com
127.0.0.1 login.icq.com

Лечение

Надо удалить файл hosts и создать новый с одной единственной строчкой:

127.0.0.1 localhost

Winlocker

Способы проникновения

  • Предложили обновить flash player, после подтверждения на экране появилась непристойная картинка, и надпись о том, что требуется послать платное SMS и ввести его в поле, чтобы эта картинка исчезла.

Способы устранения

Internet Explorer

В строке меню браузера Сервис - Управление надстройками. В открывшемся окне Управления надстройками под заголовком Файл найдите файл с именем ***lib.dll (вместо звездочек могут быть любые буквы, важно, что имя файла оканчивается на lib). Кликните на имени надстройки, которая ссылается на такой файл и нажмите радиокнопку Отключить - ОК. Перезапустите эксплорер. В папке C:\Windows\System32\ найдите и удалите файл ***lib.dll. Желательно также почистить реестр (эксплорер перед этим нужно закрыть), для этого Пуск - Выполнить. В командной строке введите regedit. В открывшемся окне редактора реестра Правка - Найти. В строке поиска введите Имя надстройки. Все, что найдётся - удалите. Перезагрузите компьютер. И всё... Не вздумайте ничего отправлять - не отвяжутся! Удалите эту ссылку из окна браузера, посмотрите не попала ли она в избраное, тоже удалите и перезагрузите компьютер.

Opera

Открываем Оперу. В верхнем меню (там где Файл, Правка) ищем кнопку Tools (Инструменты), далее жмём на самую нижнюю кнопку Preferences (Настройки), или просто жмем CTRL + F12. В открывшемся окне ищем кнопку Javascript options (Настройки Javascript), в новом окне ищем внизу блок User Javascript files (папка пользовательских файлов Javascript) и СТИРАЕМ ВСЕ ЧТО ТАМ НАПИСАНО! Скорее всего там написано C:\WINDOWS\uscripts, но вполне возможно у всех будет по разному.

SMS-троян

Проникать может различными способами, в-основном с помощью локального пользователя с правами администратора. Проявляет себя в виде баннера с требованием отправить платную SMS сразу после загрузки Windows.

Способы устранения

Загружаем LiveCD Linux или специальную версию Windows и редактируем реестр:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell explorer.exe тип REG_SZ 

Также он может быть в (если оболочка отличается от стандартного explorer.exe для данного пользователя):

HKEY_Current_User\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell тип REG_SZ

Профилактика

Пользуйтесь только свежими версиями правильных обозревателей (Firefox, Chrome). Работайте под пользователем без административных прав (для запуска программ, требующих повышенных привилегий, используйте "Запустить от ..."). Не ставьте всё подряд из Internet. Используйте дополнения, такие как AdBlock и NoScript для обозревателя.

snail.pc.cz

По всей видимости, этот вирус заражает Strong DC++.

sc.arrancar.org

Какой-то троян

MSNMNGRLOL.EXE

Ещё один червяк

Восстановление стека TCP/IP (TCP/IP repair)

Для восстановления разрушенного вирусами стека TCP/IP в Windows XP надо скачать и запустить программку под названием XP TCP/IP Repair, а под Vista достаточно запустить одну команду:

netsh int ip reset resetlog.txt
Личные инструменты