Trojan-Downloader.Win32.INService.gen

[anton_dr]

По XP буду думать, в принципе есть HOME Edition лицензионная, но не знаю насколько она урезана по сравнению с Prof.

В XP Home не поддерживаются следующие функции:

Remote Desktop – позволяет удалённую работу на компьютере.
Offline Files and Folders – позволяет иметь доступ к сетевым ресурсам когда вы отключены от сервера.
Scalable processor support – поддержка многопроцессорных систем.
Encrypting File System – шифрование файлов на средствами файловой системы.
Access Control – ограничение доступа к файлам, программам и другим ресурсам.
Centralized administration – централизованое администрирование системы в рамках домена.
Group Policy – облегчает администрирование групп пользователей на компьютере.
Software Installation and Maintenance – автоматически инсталлирует, конфигурирует, ремонтирует и удаляет программное обеспечение.
Roaming User Profiles – доступ к Вашим документам и настройкам из любого места, где Вы подсоединились в домен.
Remote Installation Service (RIS) – поддержка удалённой инсталляции операционной системы по сети.
Multi-lingual User Interface (MUI) add-on – поддержка изменения языков интерфейса различных пользователей.

Кроме этого, есть незначительная разница в интерфейсах, например в XP Home нельзя выключить Simple File Sharing и включить нормальный.

Взято здесь http://www.3dnews.ru/reviews/softwar...aq/index01.htm

Оно вам нужно на домашней машине?

[ALEX(XX)]

Сообщение от kDanil
По XP буду думать, в принципе есть HOME Edition лицензионная, но не знаю насколько она урезана по сравнению с Prof.

Из собственного опыта: Win XP Home хватает с головой для нормальной комфортной работы. У меня эта система (лиц.) стоит уже почти 1,5 года без переустановки и за всё это время я только 3 раза видел BSOD, да и то, уж очень я извращался над системой тогда. Win XP Pro нужна: 1) для работы в сетях организаций (предоставляет широкие возможности для администрирования) 2) Если Ваша машина сервер БД или что-нибудь в этом роде (в Win XP Home ограничение на количество одновременных подключений к машине)

[kDanil]

Спасибо за коментарии относительно HOme XP.

Появились первые проявления вирусов.
Причем сейчас система работает с фаерволом и все непонятные коннекты я заблокировал, оставил только вполне мне известные и прозрачные соединения. Но что-то внутри запускает ftp.exe на внешний коннект (я блокирую на фаерволе) и порождает файлы и записи в реестре. Хочется выяснить что это.

А именно появился файл mysvcc.exe в system32 папке.
Пока не запустился как сервис, но раньше видел его и запущенным в виде сервиса. Думаю он не запускаается, так как я блокирую ftp.


В реестре расположен:

[HKEY_CLASSES_ROOT\00000148file\DefaultIcon]
@="C:\\WINDOWS\\System32\\mysvcc.exe,0"

[HKEY_CLASSES_ROOT\000003F4file\DefaultIcon]
@="C:\\WINDOWS\\System32\\mysvcc.exe,0"

... и так далее меняется только номер перед file
и соответстенно в

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\00000148file\D efaultIcon]
@="C:\\WINDOWS\\System32\\mysvcc.exe,0"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\000003F4file\D efaultIcon]
@="C:\\WINDOWS\\System32\\mysvcc.exe,0"

...тоже меняется только номер, номера совпадают.
Таких записей где-то 5-7 пар в реестре.

Еше в реестре появляется запись о другом файле, которые тоже иногда возрождается в систем32 (пока нет так как до написания этой ветки я его удалил):

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run]
"msvcc25"="svcchost.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\RunServices]
"msvcc25"="svcchost.exe"

самого файла как я уже сказал нет, но поиском по C: нашел в папке Windows\Prefetch что-то близкое к этому файлу - SVCCHOST.EXE-1D0FE820.pf.


Файлы:
SVCCHOST.EXE-1D0FE820.pf
mysvcc.exe
MYSVCC.EXE-2E215581.pf

Закачал как написано в приложении2 с указанием этой ветки форума.
Нужно их еще сюда прикрепить ?

Все удаления в реестре найденный записей + удаление самих файлов не приносит результата.

Жду комментариев.
С уважением.

[MOCT]

файлы получены. сюда никаких файлов прикреплять не нужно!
файл C:\WINDOWS\System32\mysvcc.exe является вредоносной программой, его нужно удалить отложенным удалением в AVZ.

то, что запускается ftp.exe говорит об уязвимости в системе (например, стоят не все критические заплатки). чтобы эта программа больше не запускалась, переименуйте ftp.exe в ftp_.exe, а также tftp.exe в tftp_.exe

[kDanil]

В чем разница обычного удаления и отложенного удаления с использованием AVZ ?

ftp.exe удается переименовать, но файл ftp.exe появляется мгновенно снова. С tftp такая же фигня. Как быть ?

[pig]

Ставить заплатки и закручивать гайки на файрволе.

Отложенным удалением (при перезагрузке системы) можно вынести файлы, которые обычно заняты и недоступны для удаления "здесь и сейчас".