Отправлено 06 Январь 2010 - 23:10
Хочу рассказать как я победил эту заразу на компьютерах пары своих приятелей. Вот только ни логов, ни скринов, ни самих этих файлов не осталось, извиняйте. То есть с точки зрения улучшения детекции и лечения мой пост веса не имеет.
Вобщем проблема у них была такая: через несколько минут после загрузки компа (Windows XP) на рабочем столе по центру появлялась картинка с содержимым аналогичным описанному в первом посте. Ни свернуть, ни закрыть ее нельзя. Даже куреит проблематично запустить так как оно закрывало его окно. Поэтому надо было успевать запускать его сразу при появлении рабочего стола. Я честно говоря нашел способ видеть закрываемые окошки: нужно менять разрешение экрана с одного на другое, тогда окошки будут центрироваться на разные разрешения, и они будут вылазить краешками из под баннера, хватаешь окошко за краешек и тащишь его в сторону. Ну да бог с ним. Все равно Куреит оказывался бесполезен, т.к ничего не находил, даже при полной проверке. Пробовал определить с помощью ProcessExplorer что это за процесс и где находиться его файл. Фигушки, упорно показывает на explorer.exe. Если завершить процесс explorer.exe и запустить его вновь, то баннер исчезает и больше не появляется. Но делать это при каждом включении компа - это не решение.
Не без помощи подсказок из инета обратил внимание на одно задание в Назначенных заданиях (Пуск\Программы\Стандартные\Обслуживание\Назначенные задания) с названием, что-то вроде WindowCheck. Задание выполняло строку "C:\DOCUME~1\86A9~1\LOCALS~1\Temp\guhni.exe C:\DOCUME~1\86A9~1\LOCALS~1\Temp\epucx.dll" каждый раз при запуске компьютера. Достаточно было удалить это задание и эти файлы (guhni.exe и epucx.dll) из папок, и проблема исчезала. Думаю, достаточно было удалить только задание. Но сначала не мог найти этот адрес C:\DOCUME~1\86A9~1\, т.к. в проводнике папки с таким названием не просматривалось. Но в консоли или в проводнике скопированный и вставленный адрес успешно заводил в папку профиля пользователя. Которого звали к слову Андрей.
Чтобы не копасться и не искать эти папки, можно поступить еще проще:
1) запускаем очистку диска С системной утилитой (ПКМ на диске С - свойства - Очистка диска), убеждаемся что выставлена галочка на пункте "Временные файлы" и жмем Ок.
2) Затем удаляем задание WindowCheck в Назначенных заданиях.
3) На всякий случай перезагружаемся. Задание у меня отработало даже после того как я его удалил, видимо успело считаться при запуске системы.
Всё.
Глаза боятся, а руки... крюки!
drw_results.cab 117,72К
54 Скачано раз - последний скан
