Не знал, не знал, что оно на систмном уровне работает. Рассуждения не верны.
Сорри.

Еще лезет в windows и в sistem 32 + в твои документы...

Хех, пиплы! Победа!!

Я согласен с DeadSoul - проще и надежнее юзать ad-ware, "каспера" или "нортон секьюрити". Когда речь идет о компах на работе или жалко что-то терять на винте. Но самому прикольнее!

Про автозагрузку, надстройки IE в реестре и прочее я и сам знал. (Хотя всё равно спасибо ). Автозагрузку я посмотрел в первую очередь. Но я плохо знал, какие службы должны загружаться. Слабо сходу вспомнить, что должно грузиться: csrs.exe или csrss.exe? Мне было слабо. Я вообще-то ламер, так что если сейчас глупость какую-то скажу, поправьте.

В общем оказалось, что гнусная тварь заменила у меня в System32 несколько файлов: csrss.exe, spoolsv.exe, lsass.exe и еще кое-что на файлы, отличающиеся одной буквой в названии. Всё это файло не имело подписи издателя. Оригинальные файлы находились там же, но были помечены как скрытые и были на несколько десятков байт меньше, но имели подпись микрософта. В реестре автозагружались подправленные версии файлов, которые и просили постоянно соединения с электронными магазинами. Когда я восстановил справедливость (прописал в реестре пути к нормальным версиям файлов), потуги вызвать магазин прекратились. Правда, tftp.exe всё еще пробует что-то скачать, но с ним, очевидно, такая же бяка... Принцип ясен, дальше уже дело техники.

Есть еще такой фокус. Создается файл в правильным виндовым названием и кладется не совсем в ту папку. Напрмер, ты сходу вспомнишь где должен лежать explorer.exe в System32 или Windows?

Да, такая бяка тоже была. Именно с explorer.exe. Вообще, я нарыл штук восемь поиметых файлов. А самое интересное, что в процессе искоренения после перезагрузок появлялись новые файлы-"клоны".

При загрузке комп выдавал сообщение - что-то типа "файл c:\windows\temp\какой-то.tmp не является страницей Windows NT", но грузился без проблем.

И вот только когда я стёр всё, что было в c:\window\Temp, проблемы ушли окончательно.

То бишь, насколько я представляю, генератор этих клонов находился в виде tmp-файла... что-то уж совсем заумно получается. У винды случайно нет особенности при загрузке забивать в память нашедшиеся tmp-файлы в виде исполняемого кода?

Еще вызывает недоумение какая-то папка C:\Windows\PrewTech и там куча файлов с расширением pf. В названиях этих Pf видны имена системных сервисов и программ. Что-то типа explorer-345623.pf. Никто не знает, что это такое?
Добавлено @ 16:29
Всё. С pf - ясно.

http://forum.vingrad.ru/index.php?showtopic=84455

я бы добавил ещё RootkitRevealer.


PS: Недавно научился практически в ручную находить любой руткит
Эх каким же я раньше был нубом.