Проблема с Вынь ХП

Dmitry Sidorov написал(а) к All в Dec 04 02:36:28 по местному времени:

Нello everybody.

Может кто знает в чём косяк:
Стоит система - Вынь ХП СП1.
Периодически процесс svchost ломиться куда-то (предположительно в Элекс) во время сидения в Интернете. И нехило накручивает траффик. Также этот-же процесс заграбастывает 100% процессора.
Куда копать?
Проверка dr. Web`ом ничего не дала. AdWare тоже молчит.

Dmitry

--- Тирлайн для писем ломало писать

Mike Yurlov написал(а) к Dmitry Sidorov в Dec 04 01:00:26 по местному времени:


(18 Дек 04 в 02:36) Dmitry Sidorov wrote to All:
DS> Может кто знает в чём косяк:
DS> Стоит система - Вынь ХП СП1.
DS> Периодически процесс svchost ломиться куда-то (предположительно в
DS> Элекс) во время сидения в Интернете. И нехило накручивает траффик.
DS> Также этот-же процесс заграбастывает 100% процессора. Куда
DS> копать? Проверка dr. Web`ом ничего не дала. AdWare тоже молчит.
каспером проверь раз. В подключении оставь только TCP|IP а всякие MS локалки долой два.
А вообще ставишь фаервол, всё нафиг закрываешь кроме чего надо и будет тебе щастя. Очень рекомендую. Такие вопросы сразу отпадут.

Если еще больше хочется счастя - баннерорезалку.

WBR, UMike

--- GoldED/W32 3.0.1-asa9 SR1

Alex 8elov написал(а) к Mike Yurlov в Dec 04 22:47:04 по местному времени:

19 Дек 04, Mike Yurlov -> Dmitry Sidorov:

MY> локалки долой два. А вообще ставишь фаервол, всё нафиг закрываешь
MY> кроме чего надо и будет тебе щастя. Очень рекомендую. Такие вопросы
MY> сразу отпадут.
MY> Если еще больше хочется счастя - баннерорезалку.
Agnitum - два в одном.


... Чт0 с чел0век0м Ни делай-0Н уп0рН0 п0лзет На кладбище...
--- http://udav-st.pisem.net.·∙udAV-STAT...v-st.pisem.net ---

Dmitry Sidorov написал(а) к Mike Yurlov в Dec 04 02:31:16 по местному времени:

Нello Mike.

19 Дек 04 01:00, you wrote to me:

DS>> Периодически процесс svchost ломиться куда-то (предположительно в
DS>> Элекс) во время сидения в Интернете. И нехило накручивает траффик.
DS>> Также этот-же процесс заграбастывает 100% процессора. Куда
DS>> копать? Проверка dr. Web`ом ничего не дала. AdWare тоже молчит.
MY> каспером проверь раз.
Да это не вируся по ходу дела...
MY> В подключении оставь только TCP|IP а всякие MS локалки долой два.
MY> А вообще ставишь фаервол, всё нафиг закрываешь кроме чего надо и будет
MY> тебе щастя. Очень рекомендую. Такие вопросы сразу отпадут.
Стоит. Outpost Firewall. Вот он мне и говорит, что этот процесс Generetic НOST.Processor(или что-то вроде того) изредка ломиться по адресам 62.148... При попытке его блокирования - инет ваще не грузиться.

MY> Если еще больше хочется счастя - баннерорезалку.
Outpost это делает. Вот только баннеры на Flash не рубит...

Dmitry

--- Тирлайн для писем ломало писать

Andrey Butenko написал(а) к Dmitry Sidorov в Dec 04 15:07:24 по местному времени:

Нello Dmitry!

18 Dec 04 02:36, Dmitry Sidorov wrote to All:

DS> Может кто знает в чём косяк:
DS> Стоит система - Вынь ХП СП1.
DS> Периодически процесс svchost ломиться куда-то (предположительно в Элекс)
DS> во время сидения в Интернете. И нехило накручивает траффик. Также этот-же
DS> процесс заграбастывает 100% процессора. Куда копать? Проверка dr.
DS> Web`ом ничего не дала. AdWare тоже молчит.

Имхо всё просто. Сначала посмотри в системном каталоге windows файлик такой svchost.exe он скрытым должен быть, если есть то значит червячка цепанул, надо бы прибить, процесс етот рубиш, файл стираеш и там ещё несколько есть файлов попутно созданных, а именно upa.exe и supa.exe находятся в system32. Виручняк не страшный, файлы не заражает, только сканирует оутлуковые базы, контакты типа icq и подобные, потом всё что насканировал начинает передовать кудато в инет, в описании написано таким образом может передать управление твоим компом удалённо хакеру запустившему етого червя :)
Лечится либо как я те описал ручками, либо касперским какимто последним, но с базами уже новыми, потому как етот червь недаёт касперскому обновления через инет делать. Ну и попутно не нада запускать всякие ехешники типа shrek_2.exe, icq40crack.exe и типа таких же подозрительных, ето они тогоже червя активируют заново, как такие у себя найдёш сразу прибей. Живут обычно в расшаренных ресурсах. На будующее - поставь какойнить фаирвол, оутпост например, он будет показывать тебе все несанкционированные попытки куда то ломануться.
Удачи :))

--- GoldED+/W32 1.1.4.3

Alex 8elov написал(а) к Andrey Butenko в Dec 04 06:55:52 по местному времени:

19 Дек 04, Andrey Butenko -> Dmitry Sidorov:

AB> Имхо всё просто. Сначала посмотри в системном каталоге windows файлик
AB> такой svchost.exe он скрытым должен быть, если есть то значит червячка
AB> цепанул, надо бы прибить, процесс етот рубиш, файл стираеш и там ещё
AB> несколько есть файлов попутно созданных,
:-)
svchost.exe - Generic Нost Process from Microsoft Corp - совершенно ненужный
файл


... Чт0 люди делают с б**ми, т0 память делает с людьми.
--- http://udav-st.pisem.net.·∙udAV-STAT...v-st.pisem.net ---

Mike Yurlov написал(а) к Dmitry Sidorov в Dec 04 01:01:58 по местному времени:


(20 Дек 04 в 02:31) Dmitry Sidorov wrote to Mike Yurlov:

MY>> В подключении оставь только TCP|IP а всякие MS локалки долой два.
MY>> А вообще ставишь фаервол, всё нафиг закрываешь кроме чего надо и
MY>> будет тебе щастя. Очень рекомендую. Такие вопросы сразу отпадут.
DS> Стоит. Outpost Firewall.
я его вообще не понимаю...

DS> Вот он мне и говорит, что этот процесс
DS> Generetic НOST.Processor(или что-то вроде того) изредка ломиться по
DS> адресам 62.148... При попытке его блокирования - инет ваще не
DS> грузиться.
очень странно. Либо через тут ходят dns-запросы (очень сомневаюсь) либо еще
где-то рядом с этим процессом тусуется расшаренное соединение. Еще есть WindowsUpdate но он вряд ли сканит соседние ipшники. Еще есть служба времени синхронизирующая часы но она тоже...

MY>> Если еще больше хочется счастя - баннерорезалку.
DS> Outpost это делает. Вот только баннеры на Flash не рубит...
AdsCleaner 30 дней trial потом за $. Кряков нет.

И всё таки уверен что это не вирус? Изучи файл %SystemRoot%\System32\drivers\etc\hosts от начала до конца. Вирусяки имеют обыкновение вписывыать строк 100 пустых, а потом блокировки на апдейты антивирусников.

Изучи реестр на предмет запускаемого при загрузке... Лишнее ф топку. Уж очень странно что жрёт 100% проца. Явно что-то неродное. Попробуй посканиться в безопасном режиме.

WBR, UMike

--- GoldED/W32 3.0.1-asa9 SR1

Dmitriy Kozyrev написал(а) к Alex 8elov в Dec 04 17:25:24 по местному времени:

Мы где-то виделись, Alex?

20 Dec 04 06:55:53 в KLG.SOFTНARD Alex 8elov -> Andrey Butenko:

AB>> Имхо всё просто. Сначала посмотри в системном каталоге windows файлик
AB>> такой svchost.exe он скрытым должен быть, если есть то значит червячка
AB>> цепанул, надо бы прибить, процесс етот рубиш, файл стираеш и там ещё
AB>> несколько есть файлов попутно созданных,
Ae> :-)
Ae> svchost.exe - Generic Нost Process from Microsoft Corp - совершенно
Ae> ненужный файл

Прогресс :)) Раньше, помнится, win.com стирали.

Всего хорошего!
Дмитрий Козырев aka Master

--- Microsoft Outlook Express 6.0 + Fidolook НL .92

Sergey Bardin написал(а) к Dmitriy Kozyrev в Dec 04 20:46:12 по местному времени:

Пpиветствую, Dmitriy!
Однажды, 21 декабpя 04, я услышал pазговоp по поводу: Re: Пpоблема с Вынь ХП
AB>>> файлик такой svchost.exe он скpытым должен быть, если есть то
AB>>> значит чеpвячка цепанул, надо бы пpибить, пpоцесс етот pубиш, файл
AB>>> стиpаеш и там ещё несколько есть файлов попутно созданных,

Ae>> svchost.exe - Generic Нost Process from Microsoft Corp - совеpшенно
Ae>> ненужный файл

DK> Пpогpесс :)) Раньше, помнится, win.com стиpали.

Кpякеp Интеpнета в действии...

ЗЫ. Босс на собpании - "Так, завтpа всей контоpой дpужно вешаемся."
Робкий голос из толпы - "А веpевку выдадут или с собой пpиносить? "

WBR, Sergey
--- FIPS/Phoenix <build 01.12> + binkd/0.9.5a

Dmitriy Kozyrev написал(а) к Sergey Bardin в Dec 04 22:28:12 по местному времени:

Мы где-то виделись, Sergey?

21 Dec 04 20:46:12 в KLG.SOFTНARD Sergey Bardin -> мне:

Ae>>> svchost.exe - Generic Нost Process from Microsoft Corp - совеpшенно
Ae>>> ненужный файл
DK>> Пpогpесс :)) Раньше, помнится, win.com стиpали.
SB> Кpякеp Интеpнета в действии...

Брейн-вирус. ;)

============================== Смотри ниже ===============================
Здравствуйте !
Я новый полиморфный вирус-троян и распространяюсь по интернету.
Поскольку мой автор не умеет писать вирусов приносящих вред, Вы должны мне
помочь.
Сделайте пожалуйста следующее:
1. Сотрите у себя на диске каталог c:\windows и C:\Program files
2. Отправьте это сообшение всем своим знакомым
Заранее благодарен
============================== Смотри выше ===============================

Всего хорошего!
Дмитрий Козырев aka Master

--- Microsoft Outlook Express 6.0 + Fidolook НL .92