Проблема с вирусом локализована - как его теперь изловить?

[ch-olga.livejournal.com]

http://community.livejournal.com/useful_faq/4606873.html?view=42596505#t42596505

Итак, методом научного тыка вредоносный процесс выявлен, номер его засечен, название вполне безобидное, поиск по названию левых файлов в неположенном месте не нашел. Как теперь изловить источник данного процесса, если известны его название, номер в диспетчере задач, то, что он нацелен на Интернет, и то, что запускается автоматом при включении.

Конкретно в какие папки идти и смотреть, где он наследить мог еще?

АПД: Проблема решена, злоумышленник вычислен, звался он C:\WINDOWS\system32\1041t.exe

Comments

[ch-olga.livejournal.com]

Нашли вроде бы.

[guest-o.livejournal.com]

Огласите тогда результаты расследования, pls :-)

[ch-olga.livejournal.com]

Троян вроде бы. ЗАпускался в автозапуске по адресу C:\WINDOWS\system32\1041t.exe.
Исключила этот процесс из автозапуска - и он куды-то пропал. Загадочно немного, но сейчас все работает нормально.

[romx.livejournal.com]

Рекомендую гОвна чистить с помощью spybot.com и DrWeb CureIt. Сперва один, потом другой, CureIt запускать в Safe Mode.
Подозреваю одним вы не отделались.

Сегодня собственноручно чистил свою рабочую машину, которая оказывается два дня как минимум DDoS-ила fishki.net и какой-то хост на "Караване"

[guest-o.livejournal.com]

А svchost какую роль в этом деле играл?

[ch-olga.livejournal.com]

Не поняла, честно говоря. Его выловили через протокол процессов, смотрите выше. По неизвестному пользователю :).

O23 - Service: Веб-клиент WebClientaswUpdSv (WebClientaswUpdSv) - Unknown owner - C:\WINDOWS\system32\1041t.exe

[ch-olga.livejournal.com]

Точнее, неизвестному производителю. Но после чистки неприятный эффект исчез.
Я не очень внутреннюю механику понимаю, просто удаление C:\WINDOWS\system32\svchost.exe давало нужный эффект. Может этот вирус его особым образом запускал, у меня этих svchost много висит.