После получаса работы без файрволла компьютер обрёл скверную привычку - через каждые три минуты просит соединения с какими-то электронными магазинами. Соединения просят такие программы: explorer.exe, csrs.exe. Иногда комп еще пытается загрузить нечто по tfp. Можно, конечно, поставить какую-нибудь противопакостную прогу и вычистить... Но чисто из спортивного интереса, как именно эта штука заставила explorer.exe периодически просить соединения? И что такое csrs.exe? Заранее благодарен.

Что зверюга могла пропатчить экзешник или какую-нибудь библиотеку - это я понимаю... Интересно, есть ли у нее другие варианты. В реестре адреса этих магазинов я поискал - нету их там.

поставь WinPatrol и посмотри, что у тебя в надстройках IE
http://www.winpatrol.com/download.html

или сам зайди в меню Сервис-Свойства обозревателя, закладка "Программы", внизу, кнопка надстройки

или поставь
Killer_IEHIJACKER_HOTOFFERS
или
Outpost_tauscan
или
Ad-Aware SE
или всё сразу

С дерьмом ПОЛНОСТЬЮ позволяет справиться вот такой набор:

Антивирус (KAV)
Ad-Aware
SpywareBlaster
AutoRuns

Брехня с ним только format c: могёт справится и то не факт А эта связка не покроет и 50% вирусов. Просто последенее время по настоящему талантливые вирусы куда запропали (написать вирус под Винду слишком просто) - поэтому наметился некоторое улучшение на этом фронте, а на самом деле всё очень плачевно.

ToshaCh,

обоснуй

Вас не затруднит указать конкретный вирус (достаточно одного!), который не может быть удален этим набором программ?

Akina, Хе, не вирусолог. Названий не знаю.
Мне просто до офигения понравилось слово: "ПОЛНОСТЬЮ". Так не бывает - вы батенька фантазёр.

oleg1973, Легко. Любой антивирусник и т.д. выполняется на прикладном уровне и имеет ограничения в правах, а вот всякие системные процессы висят на системном уровне, чем и пользуются хорошие вирусы (точнее в данном случае черви) - просто юзают дырки в системе. В винде их более 500 - все файрволами и антивирями не закроешь.

ToshaCh,
бред батенька
тот КАВ работает на уровне ядра (драйверок стоит) и ограничений вовсе не имеют
другой вопрос в качестве эвристика и количестве сигнатур в базе )

Toshach, я тебе один, умный вещь скажу, только ты не обижайся:
даже Макафей как системный сервис бежит... это я вам как редкий пользователь виндовс говорю.

ятакдУмаю..

bilbobagginz,
да даже в таком загадочном система как линюх КАВ в виде lkm грузится ) (правда тормазит не подеццки)

А можно еще проше без уничтожения ВиНДЫ...

В настройках фейрвола, полностью запретить этим файлам, запрашивать, прыгать, бегать...

Т.е вообще заблокировать... их доступ в инет...

ВОт эта прога хорошо отлавливает всякое г...
ad_aware_personal_v1_06

А тамже еще внизу тоже проги типо Касперыча и антихакера...

Это сообщение отредактировал(а) termik - 18.2.2006, 02:13

Ребята, всем спасибо, хотя я имел в виду немножко другое. Поставить можно всё, что угодно (особенно в России ), а меня интересовало, КАК ИМЕННО эта хрень может работать. Вот куда именно и чего именно она записывает, чтоб нагадить. Просто из юзерского любопытства. Согласитесь, приятно ведь ВРУЧНУЮ найти в реестре угнездившегося червя, а?

Если говорить о связках, то последние полгода пользуюсь NOD32 и Sygate Personal Firewall Pro. Активно лазаю по самым разным местам, и не знал никаких проблем.

(А всякие звери пришли ко мне в тот момент, когда моя сестренка решила ускорить работу компа и поотключала все лишние на ее взгляд проги... )

Руки отрывать за такие советы.



Где лазить в реестре? Много мест может быть
- автозагрузка
- плагины с IE
- избранное(тоже не очень приятно )
- больше навскидку не скажу

Я предпочитаю юзать Ad-Aware. Пусть компьютер работает, он железный, а я нет

msconfig покажет стандартные места
но еще есть загрузка через ActiveX компонент а их там мильен )

Не знал, не знал, что оно на систмном уровне работает. Рассуждения не верны.
Сорри.

Еще лезет в windows и в sistem 32 + в твои документы...

Хех, пиплы! Победа!!

Я согласен с DeadSoul - проще и надежнее юзать ad-ware, "каспера" или "нортон секьюрити". Когда речь идет о компах на работе или жалко что-то терять на винте. Но самому прикольнее!

Про автозагрузку, надстройки IE в реестре и прочее я и сам знал. (Хотя всё равно спасибо ). Автозагрузку я посмотрел в первую очередь. Но я плохо знал, какие службы должны загружаться. Слабо сходу вспомнить, что должно грузиться: csrs.exe или csrss.exe? Мне было слабо. Я вообще-то ламер, так что если сейчас глупость какую-то скажу, поправьте.

В общем оказалось, что гнусная тварь заменила у меня в System32 несколько файлов: csrss.exe, spoolsv.exe, lsass.exe и еще кое-что на файлы, отличающиеся одной буквой в названии. Всё это файло не имело подписи издателя. Оригинальные файлы находились там же, но были помечены как скрытые и были на несколько десятков байт меньше, но имели подпись микрософта. В реестре автозагружались подправленные версии файлов, которые и просили постоянно соединения с электронными магазинами. Когда я восстановил справедливость (прописал в реестре пути к нормальным версиям файлов), потуги вызвать магазин прекратились. Правда, tftp.exe всё еще пробует что-то скачать, но с ним, очевидно, такая же бяка... Принцип ясен, дальше уже дело техники.

Есть еще такой фокус. Создается файл в правильным виндовым названием и кладется не совсем в ту папку. Напрмер, ты сходу вспомнишь где должен лежать explorer.exe в System32 или Windows?

Да, такая бяка тоже была. Именно с explorer.exe. Вообще, я нарыл штук восемь поиметых файлов. А самое интересное, что в процессе искоренения после перезагрузок появлялись новые файлы-"клоны".

При загрузке комп выдавал сообщение - что-то типа "файл c:\windows\temp\какой-то.tmp не является страницей Windows NT", но грузился без проблем.

И вот только когда я стёр всё, что было в c:\window\Temp, проблемы ушли окончательно.

То бишь, насколько я представляю, генератор этих клонов находился в виде tmp-файла... что-то уж совсем заумно получается. У винды случайно нет особенности при загрузке забивать в память нашедшиеся tmp-файлы в виде исполняемого кода?

Еще вызывает недоумение какая-то папка C:\Windows\PrewTech и там куча файлов с расширением pf. В названиях этих Pf видны имена системных сервисов и программ. Что-то типа explorer-345623.pf. Никто не знает, что это такое?
Добавлено @ 16:29
Всё. С pf - ясно.

http://forum.vingrad.ru/index.php?showtopic=84455

я бы добавил ещё RootkitRevealer.


PS: Недавно научился практически в ручную находить любой руткит
Эх каким же я раньше был нубом.