Userinit.exe, services.exe, svchost.exe
[SIZE=3][FONT=Times New Roman]Здравствуйте уважаемые хелперы,[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]неделю назад получил подозрительное сообщение –[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]всплывший в трее желтый щиток-значок похожий на обновления Windows заявил что, "обновления для Windows готовы". В инфе о контенте обновлений говорилось, что это якобы какой-то tool для удаления вредного ПО. Значок просил кликнуть и начать установку. При клике – все было очень похоже на Windows, но внешний вид не смахивал на ХР. [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]При выключении и перезагрузке компьютера автоматической установки такого обновления не происходило.[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Все таки кликнул "установить", уповая на самантек – сейчас жалею.[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Результат – все программы, кроме самых необходимых или ненужных, были удалены из автозагрузки, включая самантек. Вместо этого там прописались userinit.exe и services.exe. Они также облюбовали стандартные папки [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]c:\Documents and settings\Administrator [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]c:\Documents and settings\user, [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]c:\Documents and settings\user\local settings\temp[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]и некоторые другие.[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Со всех известных мест их (кажется) удалось выкурить только после удаления (fix) подозрительного файла, обнаруженного HJ. Он был прописан как "C:/WINDOWS/system32/userinit.exe,..." - после запятой имя файла (не помню). Как описывают некоторые люди здесь (случайно нашел яндексом)[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman][URL="http://www.cracklab.ru/f/forprint.php?topic_id=6500"][COLOR=#800080]http://www.cracklab.ru/f/forprint.php?topic_id=6500[/COLOR][/URL][/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]цитата с сайта: "C:/WINDOWS/system32/userinit.exe, так вот после запятой прописываем путь где находится трой..."[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]После удаления файла, userinit в автозагрузку больше не лез. Сейчас там о нем "сидит" запись (в отключенном состоянии). Но интернетом по прежнему пользоваться чрезвычайно сложно - самантек постоянно сообщает, что svchost требует доступа в интрернет используя не опознанные модули. Тоже самое он сообщает если другие программы просятся в интренет, в том числе iexplorer.exe. Жаловался даже на собственный файл апдейта[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]C:\Program Files\Symantec\LiveUpdate\LuComServer_2_5[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]После обновления (вручную) баз, update который и без того expired, вообще накрылся и просит переустановки.[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Неоднократно заменял userinit.exe, services.exe, svchost.exe копируя со здоровой машины. Svchost по прежнему рвется в инет, а самантек предлагает не пускать. Если не пускать веб- страницы не загружаются. [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Вот тут нашел списки левых служб svchost [URL="http://www.softboard.ru/index.php?showtopic=51976"][COLOR=#800080]http://www.softboard.ru/index.php?showtopic=51976[/COLOR][/URL][/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]При помощи Reanimator (от Greatis) у себя нашел 3:[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Browser[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]LmHosts[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]W32Time[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Самантек и доктор ничего не находят.[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Присоединяю логи.[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Заранее премного благодарен за помощь.[/FONT][/SIZE]
