помогите выевить трояна.
 

вот скачал я прогу Spybot-Search&Destroy 1.2 и просканел на трояны, и вывел он мне вот такой спислк:
*первая картинка это начало а вторая это продолжения

http://www.mnbvc8.by.ru/Pictures/Other/q/spy.JPG
http://www.mnbvc8.by.ru/Pictures/Other/q/spy2.JPG

помогите узнать что стирать а что нет, и обяснити вашу точку зрения, так как я незнаю что надо стирать а что нет.

по моему усматрению не нужно стирать мелкософт... но можит я и не прав, ведь есть "умные трояны" которые прячутся под именно такими названиями...

Благодарю.

C:\Windows\web\related.htm удали!

C:\Windows\System32\cd_clint.dll вот с этим я немного не уверин!

Покажи мне свою автозагрузку.... напиши в команде выполнить msconfig и кажи что там...!

Добавлено через 1 минуту:
alexey85 можешь еще куки почистеть! это не страшно! :)

вот:
http://www.mnbvc8.by.ru/Pictures/Other/q/spy3.JPG
http://www.mnbvc8.by.ru/Pictures/Other/q/spy4.JPG

а как ты узнал что именно вот это C:\Windows\web\related.htm надо стерать??
просто хочу сам научится эти трояны распознавать... не буду жи я вас спрашивать каждый раз...

Ну помоему что htm может быть заражен это довно известно!

мне вот очень интересно что у тебя в автозагрузке за bootconf ???

-

А вообще ето просто ты сматри что ты ставил а что нет, ну а что ты не ставил но это появилось значит что-то не хорошое.... вот только винду не посерь.....

у меня такое было :rolleyes: (по началу) может еще и осталось :biggrin:

Ты посмотрел что такое троян, и как он работает! и все наверно поймешь...

Могу сказать не много но это факт.

1. троян всегда висет в автозакрузке или загрузке задач, и приложений
2. Всегда нозвание файла как-то отличается.... (пример bootconf)
3. если я где-то ошибся поправте меня... давно я не убивал трояны...(нет у меня таких) :cool:

Троян можно вписать в explorer.exe or svchost.exe, а некоторые современные RAT вобще не видны в автозагрузки и на диски.

лучше всего, если не уверен в названии процесса - зайтьи на avp.ru и давай поиск по имени процесса - авось повезет и ты его там не найдешь...
у тебя стоит Kazaa?

Добавлено через 2 минуты:
забыл
cd_clint.dll - это крутильщик баннеров, так что реж его нах!

Добавлено через 2 минуты:
перед такими вещами делай снимок реестра на всякий случай

Ребята я вам скажу одну вещь, я в сетки новенький, и строяноми дело некогда в жизни не имел мало того я узнал что такое троян только 3 дня тому назад(дажи меньши) за это время нашол выши указыную прогу, и просканировал... но беда та вся в том что комп летел у меня уже несколько раз, и в соответствии незнания и без наличия виндоуса, я оказывался в ....***:( я не против всё испытать..:) но карман и знания не позваляют... как вы называети таких как я? а ну да, ламёр...:) так вот, кто можит сказать НАВЕРНИКА что стереть? и если нельзя однакратно сказать что стереть, то хоть скажите как провереть дажи тот самый bootconf, тоесть как узнать троян это или нет???:confused:

там млин у него ХР не уже трудно нажать Ctrl+Alt+Delete и посмотреть что загружено! если два explorer.exe один можно выгрузить и удалить! (ну тот что меньше весит и меньши памети жрет)

На сколько я помню не один троян не заменяет explorer.exe а создает новый! т.е. в проццсе загрузке их будет две ШТУКА... :)

Добавлено через 3 минуты:

А еще фаром можно все проюзать!

alexey85
Посмотрел скриншотики... Всё понятно. Сам такую прогу юзал!!! Но перешёл на Ad-Aware! Да и с троянами дело имел... в смысле, сам их впариваю :)

Вот что я скажу:
Походу, у тебя IE? Через что ещё можно получить эксплоиты и Alexa!

Alexa Related удаляй к... В оющем, ты понял:) Эта штука следит какие ты сайты посещаешь (может, и что ты там вводишь!)
Всё, что связано с кукисами (aka cookie) - удаляй. Тоже ничего хорошего: собирают о тебе инфу: твоя ОСь, твой пров, твой браузер, какие сайты посещаешь и, возможно, твой ящик!
И вообще я рекомендую тебе в настройках браузера убрать использование кукисов (или удаление при выходе из браузера)

Cydoor - вроде бэкдор (такая хрень, которяа даёт возможность подключаться к твоему компу и тырить инфу)

DSO Exploit - удаляй на***!!! IE то непропатченный! По ходу, тебя обработали эксплоитом (такая хрень, которая использует дыры в прогах и делает что-то нехорошее)

Заключение:
Удаляй ВСЁ!!!

И мой тебе совет - не используй IE вместо этого рекомендую Оперу! И поставь файерволл!

какую прогу?

Добавлено через 2 минуты:
у него стоит.. ;)

ёёёёё прости - не заметил скринов!....
ого..
ну конечно cd_clint.dll - ее точно стирай.. это как я уже говорил рекламу загружает, а остальное теб е рассказали выше...

alexey85
Если хочешь найти трояна - используй антивирусы, смотри автостарт... и поставь файерволл!

Demin
А он и не заменяет. Просто если в реестре прописано какую ему dll'ку запускать - он её запустит... А библиотека запустит самого троя!
При этом через Ctrl+Alt+Delete видно не будет!

Demin
Я ничего не писал о дублировании ехплорера. Так причем же тут 2 ехплорера в процесах? Фаром тут кстати тоже делать нечего. Что ты фаром то делать будешь? Реестр смотреть? Весь диск лопатить при этом даже не зная, что ты ищешь? А как ты вобще узнаешь, что у тебя трой? Фаервол? Дык трой либо выгрузит твой фаер вместе с антивирям, либо при невозможности этого сделать самоудалится и ничего слать не будет, а еще есть трои шлющии через другие приложения (через bat, opera, ie, msn ...) которые твой фаер пропускает.

Shanker
WestFOX

Хех ну я пошел за трояном буду смотреть окуда чего видать и как ето удалять! :)

ага есть у меня подозрительная байда в svchost чето хочет на 5678-м порту (очень подозрительно), и главное недавно заметил, просто я прогнал, svchost в доверенных приложениях стоял, тобишь файр все с него пропускал

На 5678 известные халявные трои не ломятся. Значит либо очень качественный трой со случайным выбором портов, либо новый, не общедоступный, трой, висящий на 5678 и видемо качественно сделанный. Возможно это прокси трой, т.к. восновном им необходима функция случайного порта. Но может и инфу ворует :) За ... короче уже эти троянописцы.

R!xon
svchost - системный процесс. Возможно, это проверка заплаток...

WestFOX
Это ещё почему?

если это трой, то он имеет функции червя, пролез как-то на мой комп, встроился в доверенный процесс (svchost.exe Generic Host Process), и мог отсылать и принимать чо угодно :eek:
исходящий трафик на 5678-м порту, какая проверка? ;) или lYl$ просто внедряют в виндоз чтоб проверять на заплаты своих клиентов? так просто никто не имеет права проверять мой комп на заплатки (все равно что проверять сайт на уязвимости) так и засудить можно

R!xon
Я имею в виду, что это может быть Windows Autoupdate. Хотя... там файл по-другому называется...:confused:

Kto-to obmolwilsya, chto troyan doljen bit w awtozapuske. Tak wot. Eshe para wozmojnostei:
1. Kak servis.
2. Kak draiwer failowoi sistemi (oni gruzyatsya w perwuju ochered).
3. Kak draiwer nositelya.

Только если это WinNT

А ещё трой может загружаться используя dll, которую будет при загрузке грузить explorer.exe
ИМХО: грузится быстрее, чем из сервисов, драйверов и автозагрузки!

наскольлко я понал ИЕ не пропаченый
заиди на windows update и поставь критические обнавления

А как нащет троянов под никсы, встраиваются в ядро системы, никакой порт не открывают,
токо ждут определенного icmp пакета со стороны клиента, чтоб активизироваться,
и уже потом начинают свою активность, скачивать обновленную версию и т.д. :devil:

ЗДравствуйте уважаемые
А может систематизируем про троянчики.
Например интересно знать
На какие порты должны и могут долбиться svhost, system, lsass
А на какие под подозрением.
Еще конкретно интересует может кто знает MY IE2RU какой порт ему только предоставлять. А то OP Регулярно просит обновлять и че то прописывает.
Спасибо

Добавлено через 16 минут:
А кто нибудь знает зверя PeopleOnPage.Apropos.Media
Spybot-Search&Destroy регулярно его находит, типа лечит. При перезагрузке снова живой.
похелпайте.

Bryanya
Мой тебе совет: избавься от этой привычки постить сразу в несколько тем одно и тоже! А то не миновать тебе полосочек!!!

Есть же очень простые правила: Svchost дальше локальной сетки не пускать (или вообще пусть внутри живет) - не потому, что вредный, а потому, что самый дырявый;
Все браузеры могут ходить только на 80 и 443 порты и т.д.
Для контроля кто куда лезет очень советую sysinernal'овскую маленькую программку - tcpview.
Для тех, кому в лом искать - прилагаю.

Aga. A tak-je wihod na porti 21 i 20 browseram. Ibo inogda linki wedut i na ftp.