Запрос отправил, спасибо.

В нашей компании используется внешний почтовый сервер на Postfix+внутренний на Exchange 2003 Standart + Eset Mail Security (EAV-29105716), на клинетских машинах Outlook+NOD. Примерно в конце прошлой недели пользователи начали жаловаться, что до них не доходят письма от внешних отправителей. Проверка логов показала, что письма отсекаются Exchange с ошибкой:
554 5.6.0 Invalid content (in reply to end of DATA command)

Поиск в интернете привел на тему с похожей проблемой:
http://social.technet.microsoft.com/Forums/pl-PL/exchangesvrtransport/thread/74c774d6-a382-4c4f-ae4f-15148cc8020d [^]

root cause is the security program “Eset”

Отключение Eset Mail Security решило проблему, дальнейшая проверка показала, что достаточно отключить eset antispam - mail server protection.

Таких писем, которые стали отсекаться стало много, скорее всего после одного из обновлений. Есть ли какое-то другое решение проблемы, кроме отключения антиспам защиты?

Фрагмент лога почтового сервера (имена и ip изменены).
Jul 9 14:58:29 postfixserver postfix/smtpd[16878]: 673FBD9E: client=localhost.localdomain[127.0.0.1]
Jul 9 14:58:29 postfixserver postfix/cleanup[16870]: 673FBD9E: message-id=<[email protected]>
Jul 9 14:58:29 postfixserver postfix/qmgr[2621]: 673FBD9E: from=<[email protected]>, size=47428, nrcpt=1 (queue active)
Jul 9 14:58:29 postfixserver amavis[16624]: (16624-17) Passed CLEAN, [1.2.3.4] [1.2.3.4] <[email protected]> -> <[email protected]>, mail_id: YUob6LJ9FNyU, Hits: -8.713, size: 47319, queued_as: 673FBD9E, 4125 ms
Jul 9 14:58:29 postfixserver postfix/smtp[16872]: BA8D5D9A: to=<[email protected]>, relay=127.0.0.1[127.0.0.1]:10024, delay=5.9, delays=1.7/0/0/4.1, dsn=2.0.0, status=sent (250 2.0.0 Ok, id=16624-17, from MTA([127.0.0.1]:10025): 250 2.0.0 Ok: queued as 673FBD9E)
Jul 9 14:58:30 postfixserver postfix/smtp[16745]: 673FBD9E: to=<[email protected]>, relay=192.168.1.100[192.168.1.100]:25, delay=0.82, delays=0.05/0/0/0.76, dsn=5.6.0, status=bounced (host 192.168.1.100[192.168.1.100] said: 554 5.6.0 Invalid content (in reply to end of DATA command))
Jul 9 14:58:30 postfixserver postfix/bounce[16885]: 673FBD9E: sender non-delivery notification: 3E4FBD9F
Jul 9 14:58:30 postfixserver postfix/qmgr[2621]: 673FBD9E: removed

C:\DOCUMENTS AND SETTINGS\ALL USERS\РАБОЧИЙ СТОЛ\БИК.PIF - ярлык на досовскую программу, с которой работают
C:\DOCUMENTS AND SETTINGS\N.ANTSUPOVA\LOCAL SETTINGS\TEMP\RAR$EX00.875\CHRISTMAS.EXE - приложение "Новогодняя елочка", которую пользователи притаскивают разными способами на НГ. Данный пользователь не работает с 2008 года (и соответственно под дпнной учетной записью тоже никто на заходил с тех пор). Файл удалил.
C:\TEMP\CONVERT.EXE - часть спец ПО, которое также хранит кучу файлов в темпе и при удалении которых, работать перестает

Остался только вопрос, откуда мог взяться этот вирус. Пользователь работает под ограниченной учетной записью.

Прикладываю лог после перезагрузки.

Пароль скинул Арвиду в личку. Данный лог содержет список установленного ПО с версиями, версии некоторых системных библиотек, имя компьютера. Эти данные могут позволить злоумышленнику облегчить проникновение в систему (я понимаю что вероятность мала и ему для начала нужно получить доступ в локальную сеть компании).

На остальных ПК загрузочный сектор тревогу антивируса после обновлени баз не вызывал. В конце рабочего дня запустил скрипт на зараженной машине:
;;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

fixvbr C: 5
restart

После перезагрузки загрузочный сектор чист.

Спасибо.

Лог и загрузчики с другой машины с другого города. Вирустотал не ругается на загрузчик в данном случае. Пароль от архива высылаю Арвиду личным сообщением.

Проблематично. Если выполнить только первую часть скрипта (fixvbr C: 5), а компьютер выключат в конце рабочего дня, это поможет?

Пароль выслал Арвиду личным сообщением.

В компании установлена корпоративная версия NOD 4 (EAV-55126573). Сегодня утром на почту пришло уведомления об угрозе на 5 машинах, находящихся в разных городах.

27.02.2012 21:07:07 - Модуль Модуль сканирования файлов, исполняемых при запуске системы - Предупреждение об угрозе на ******:  Активный загрузочный сектор физического диска 0 заражен вероятно неизвестный TSR.BOOT вирус.

MMDRV.DLL, TIMER.DRV, NTDETECT.COM, NTLDR имеют цифровые подписи. (Действительна, подписано Microsoft Windows Publisher).

https://www.virustotal.com/file/dad1bdd0cef7a17db91fd6f251cd8862eaee2253b501871cebc­7df24a4f92a00/analysis/1330384710/

Удаленно подключился UVSом, сохранил загрузчики в файл. Прикладываю их.

Полный образ не хотелось бы прикладывать из соображений безопасности.

На ipl_NTFS.bin ругаются 3 антивируса с вирустотала.
BitDefender Rootkit.MBR.Mayachok.B 20120228
F-Secure Rootkit.MBR.Mayachok.B 20120227
GData Rootkit.MBR.Mayachok.B 20120227

https://www.virustotal.com/file/42fb6fcc534341fbf7d0a58e5c5dca1d7fac6af31048b0bacf7­a4057c7529c36/analysis/1330385363/