Нужна информация по исполн. файлу, кот. мне прислали по почте, в виде, типа, скриншота [not-a-virus:RemoteAdmin.Win32.RMS.r ]

Цель, соб-сно, выяснить ктО и чего хотел, послав мне этот файл. Сам файл в архиве 7z. При распаковке получается .scr
Что он делает. Создает на локальном диске папку, помещает туда картинку, открывает ее. Картинка уже становится нормальной .jpg Но...
Вот результат проверки доктор вебом он лайн этого файла: [URL]http://online1.drweb.com/cache/?i=bf820e00a3ba1a26594d9d3b39276084[/URL]
В C:\Windows\SysWOW64 так же появляется файл ripcserver.dll. CureIt его опознает как Program.RemoteAdmin.569,
[ATTACH=CONFIG]410573[/ATTACH]

что гуглится, вроде, как файл Радмина.
Может он еще чего создает, чего я не нашел с пом. Dr. Weba и NIS2010, последний, кстати ничего не находит.
На моем компе наблюдалось самостоятельное движение мыши, кто-то нажимал Пуск-Мой компьютер-Панель управления и т.д. и, со слов ребенка, чего-то там отключил.
Сам файл могу прислать, я его еще не удалил, все равно систему сносить, хотелось бы разобраться с этими "товарищами".
Логи ниже будут. Только один. AVZ не делал, так как Win x64
[ATTACH]410574[/ATTACH]

Уважаемый(ая) [B]rprman[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

1) запакуйте сам файл (не архив 7z) а сам .scr в в zip архив с паролем [COLOR="Red"]virus[/COLOR] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.
2) Радмин - это утилита для удалённого управления, в гугле есть полная информация о нём.

Посмотрел свой лог и нашел вот это:
TektonIT - R-Server (RManService).
[URL="http://virusinfo.info/showthread.php?t=108216"]Здесь же[/URL] на форуме что-то похожее описано. У себя эту службу остановил. Реестр почистил. Все ли на этом?

[b]rprman[/b], если хотите заниматься и дальше заниматься самолечением тема будет закрыта !
Хотите чтобы вам помогли сделайте логи по правилам раздела.

Ок, не буду лечить.
А лог один только, по правилам: "Если у Вас 64-разрядная или серверная операционная система, выполнять п.1 данного раздела не следует. Переходите сразу к п.2."

два: AVZ - virusinfo_syscheck.zip, HJT - hijackthis.log

[ATTACH]410638[/ATTACH]
[ATTACH]410639[/ATTACH]

Готово.

- Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]

[ATTACH]410797[/ATTACH]
Под конец MBAM блокировал и отправил в карантин
C:\Windows\SysWOW64\explolerte.exe (Trojan.Agent)

[CODE]C:\Windows\System32\explolerte.exe
C:\Windows\SysWOW64\explolerte.exe [/CODE]

Пришлите в карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Они удалились. Сначала один (32) затем другой. Пришлось заново запустить Реквизиты ЛК .scr. Файлов в AVZ не нашел. Поэтому скопировал один из них (64) в другую папку упаковал в zip с паролем virus. Заодно присылаю еще один файл folder.scr, который то же появляется при запуске Реквизиты ЛК .scr . Вот, еще скрины Нортона.
[ATTACH=CONFIG]411217[/ATTACH][ATTACH=CONFIG]411218[/ATTACH][ATTACH=CONFIG]411219[/ATTACH][ATTACH=CONFIG]411220[/ATTACH]

[quote="rprman;986297"]Пришлось заново запустить Реквизиты ЛК .scr[/quote]
сделайте заново логи
AVZ - virusinfo_syscheck.zip, HJT - hijackthis.log + MBAM чтобы видеть актуальную картину.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

explolerte.exe - детектируется как [COLOR="#FF0000"]not-a-virus:RemoteAdmin.Win32.RMS.r[/COLOR]
folder.scr - [color=Red]DrWEB 6.0=Зловред Trojan.Winlock.7879[/color]

Главное, что мне хотелось бы знать (далеко не безвозмездно) куда, кому это разрешено? Можно в личку.
[ATTACH=CONFIG]411231[/ATTACH]

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Ок. Давайте так. Я отключаю все антивирусы, активирую вирус и запускаю все выше перечисленные программы, так?

[quote="rprman;986315"]активирую вирус[/quote]
я не понял, какая у вас цель ? вылечиться или ? ... если вылечить всю заразу, то зачем вы хотите в очередной раз себя заразить.

[quote="rprman;986315"]куда, кому это разрешено?[/quote]
ни к кому-то конкретно, а просто что в системе есть такая возможность. Если вы этого не хотите, то могу отключить скриптом.

Цель - вычислить человека, отследить (ip или еще как), кому предоставляется доступ этим файлом. А систему я буду сносить, менять пароли и т. д. - это однозначно.

[quote="rprman;986397"]Цель - вычислить человека, отследить (ip или еще как)[/quote]
в этом я не могу вам помочь, а вычистить следы от этой заразы, чтобы не пришлось переставлять систему могу помочь. Но если вы уже приняли решение ... Единственное, что могу посоветовать если у вас достачно знаний это отснифить трафик, куда он идёт ... но это всё самостоятельно и к разделу лечения отношения не имеет.


[quote="rprman;986315"]Главное, что мне хотелось бы знать (далеко не безвозмездно) куда, кому это разрешено?[/quote]
чтобы изменить на запрещено (можете даже на новой системе после того как переставите ибо по умолчанию разрешено) выполните скрипт в AVZ

[CODE]begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RebootWindows(false);
end.[/CODE]

компьютер перезагрузится.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

+ для анализа активности файла, можете воспользоваться этим сервисом http://anubis.iseclab.org/

Знаний и времени действительно не достаточно. Тем не менее спасибо за участие, всегда полезно с вами общаться.
5$ отправил.

Черт, эта хрень не удалилась. Она создает свои файлы в других местах. Я полагаю, это руткит.
В общем, у меня две ОС, три винта: на первом стоит ХР, второй разбит на два раздела, на первом из которых стоит вторая ось Win7x64, третий диск целиком архивный, просто диск для хранения. Я снес Win7x64, ХР не трогал (мне его нельзя форматировать, так как у меня купленные некоторые технические программы привязаны к этому диску (MBR или еще к чему, но после форматирования авторизация слетает и приходиться обращаться вновь за паролями, а это не бесплатно).
Проверил комп Cure It - ом, и он опять мне все эти файлы нашел, но уже в других местах. Закрадывается мысль, а не проверить ли (перепрошить) мне еще и БИОС. Понимаю, что эта зараза пролазит во все загрузочные сектора всего, что к компу подключено, что переустановив только одну ось, я эту заразу не вывел. Но больно не хочется трогать ХР, диск допускается почистить, не форматировав его (правда, не знаю кАк, тупо все удалить через, например, ERD командер?)
Сейчас сканирую весь комп (с ХР) gmer-ом, затем прогоню доктором, нортон вообще ничего по этому вопросу не видит, а завтра...
Я прошу помощи с завтрашнего дня, комп этот больше трогать не буду, второй есть для интернета (чистый вроде), и, если вы согласитесь мне помочь, буду как солдат выполнять все ваши команды.

в биос она пролезть не может, а по остальному я уже писал выше если хотите, чтобы помогли вылечить сделайте логи согласно правилам (если что ещё успели самостоятельно позапускать тоже прикрепите логи). Если по ходу лечения будете повторно запускать вирус, то понятно и смысла в лечение нет ;).

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \\explolerte.exe - [B]not-a-virus:RemoteAdmin.Win32.RMS.r[/B][*] \\folder.scr - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.Winlock.7879, BitDefender: Gen:Variant.Symmi.10640, AVAST4: Win32:LockScreen-QH [Trj] )[*] \\реквизиты лк.scr - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Gen:Variant.Symmi.11247 )[/LIST][/LIST]