ситуевина

[horen.livejournal.com]

в процессах висят сразу 2 iexplore.exe, один поменьше, другой - побольше. этот браузер не запущен! процессы висят фоном.
process explorer определил, что родитель этого "браузера" - svchost.exe, родителем которого является services.exe, а уже его родителем - wininit.exe.
убить процессы можно только удалив маленький, удалив большой ничего не изменить.
антивирусники говорят что все ок.

Comments

[oshiawase.livejournal.com]

Попробуйте покопать с помощью Anvir Task Manager или procexp

[horen.livejournal.com]

procexp=process explorer :).
anvir попробую, спасибо

[alex-djk1.livejournal.com]

Посмотрите, откуда запускается этот иекплоре и какие библиотеки подгружены у этого процесса.
Может он вполне легальный, а только зловещие библиотеки чего-то там.
Смотреть process explorer-ом.

[horen.livejournal.com]

в посте написано, кто запустил iexplore. а где смотреть библиотеки? procexp показывает только exe-шники (или я плохо искал).

[alex-djk1.livejournal.com]

Не только "кто", но и ГДЕ оба иексплоре лежат. Два раза кликаете на процессе и смотрите имадж пач.

Про библиотеки - я что-то туплю, счас поищу, где их смотреть.

[alex-djk1.livejournal.com]

Библиотеки - view-show lower pane4, потом view-lower pane view-dlls.
Среди них тоже поищите подозрительные.

[horen.livejournal.com]

спасибо, дома все проверю.

[horen.livejournal.com]

есть такие библиотеки, на мой взгляд, странные:
C_1250.NLS
C_1252.NLS
C_1253.NLS
C_1255.NLS
C_1256.NLS
C_932.NLS
C_949.NLS
C_950.NLS
лежат в system32

еще есть:
C:\ProgramData\Microsoft\Windows\Caches\{6AF0698E-D558-4F6E-9B3C-3716689AF493}.2.ver0x000000000000000b.db
C:\Users\horen\AppData\Local\Microsoft\Windows\Caches\{AFBF9F1A-8EE8-4C77-AF34-C647E37CA0D9}.1.ver0x0000000000000009.db
C:\ProgramData\Microsoft\Windows\Caches\{DDF571F2-BE98-426D-8288-1A9A39C3FDA2}.2.ver0x0000000000000002.db

C:\ProgramData\Microsoft\Windows\Caches\cversions.2.db в двух экземплярах

C:\Users\horen\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat
C:\Users\horen\AppData\Roaming\Microsoft\Windows\Cookies\index.dat
C:\Users\horen\AppData\Local\Microsoft\Windows\History\History.IE5\index.dat
C:\Users\horen\AppData\Roaming\Microsoft\Windows\IECompatCache\index.dat

C:\Windows\System32\oleaut32.dll

C:\Windows\Globalization\Sorting\SortDefault.nls

C:\Windows\Fonts\StaticCache.dat

все эти незнакомцы - в списке view-lower pane view-dlls верхнего иэксплорера (который поменьше памяти отъедает и рождает следующего).
ума не приложу, что это такое :(.

[alex-djk1.livejournal.com]

Среди NLS-файлов странно, что нету 1251 :) - типо обычный язык.
Все остальное тоже типо нормальное.
Вы пробовали скачать ченить типо autoruns и посмотреть что и кто запускает?

[horen.livejournal.com]

не пробовал.
меня задобало все это и я просто заблокировал этот чертов браузер через брандмауэр.
обновление все равно стоит на автомате.

[horen.livejournal.com]

цепочка "родитель - ребенок" выглядит так:
wininit.exe -> services.exe -> svchost.exe -> iexplore.exe -> iexplore.exe.
убивать нужно первый iexplore.exe, иначе второй возродится.

[alex-djk1.livejournal.com]

Да в общем-то понятно, что один поддерживает второго. Но это явно нехарактерно для иексплорера.