Очередной подозрительный процесс с именем AcSvc.exe. Приложение не видно пользователю и это не системный файл Windows.

По информации из интернеров это не вирус а системный файл который чаще всего появляется на ноутах фирмы Lenovo и IBM. Встроенный Fingerprint Reader для ThinkPad.

Название процесса: Access Connections Main Service
Приложение, использующее этот процесс: ThinkPad Access Connections suite
Автор: Lenovo

На одной из юзерских машин я столкнулся с новым для меня зверем по имени aadrive32.exe, нагрузка процессора, имя пользователя и объем ОЗУ сразу намекнули, что парень не добрый и нам совсем не нужный.

Так и оказалось, это был мерзкий вирусеныш.

На досуге провели сканирование сети и обнаружилось огромное количество рабочих станций с простыми паролями или без пароля на Radmin, что оказалось причиной заражения вирусом IPZ. Поэтому до необходимо везде, где стоит Radmin установить на него ПАРОЛЬ.

После удаления Radmin, необходимо просканировать РМ утилитой AVZ, а потом в командной строке выполнить скрипты:

Читать полностью →

Программа отвечает  за обработку COM+ процессов в Internet Information Services (IIS) и других программах. Например, ее использует .NET Runtime. В системе может быть загружено несколько процессов с именем DLLhost.exe.

Если на вашей машине появился чудо файлик digiwet.dll, то это верный признак того, что компьютер ваш заражен очередным вирусом.

Находится файл в системной папке, и на данный момент детектируется всеми антивирусами.

C:\WINDOWS\system32\digiwet.dll - Backdoor.Win32.Zdoogu.du

Однако удвлив файл, радоваться рано, кроме этого файла в системе сидит еще пара-тройка кусков, схваченного вами вируса. Рекомендуется пройтись по машине всеми любимым CureIT. В моём случае сам файл уже убил антивирус и я лишь вычищал за ним кишки.

 

Столкнулся с одной проблемой на компе юзера. Сообщение на экране: Windows заблокирован / Пополните номер абонента 8-(910)-711-86-11 на сумму 500 рублей. По опыту работу с подобным злом код разблокировки даже не искал, так как проще удалить гада руками.

Запустив один сайт в любимом браузере Internet Explorer 6, тут же отгреб порнобанер. Загрузился с загрузочной флешки, спалил три незнакомых файла в папке documents and settings/username.

Проснувшись однажды утром ипробежавшись по своим проектам я заметил, что посещаемость немного упала, позиции снизились, а 1 сайт вообще не загружался. Полез на ФТП, в админку и в базу. Иобнаружил непонятный файд license.txt в корне всех моих проектов, на одном из хостинг аккаунтов. А затем я увидел это файл в корне всех своих сайтов. Закрались странные подозрения.

В самом файле был какой-то код или хеш, разбираться я не стал. Как выяснилось позже заражены были все сайты, кроме 3 на wordpress, и то я думаю потому что там лежат файлы license.txt от самого движка. Либо у хакера не хватило ума заражать файлы в UTF кодировке. Но суть не в этом.

Я начал открывать все файлы PHP и о чудо! Обнаружил в начале ВСЕХ PHP файлов неизвестнымй мне доселе код.

<?php

$md5 = "1e9619967fab8ca00c9073a6e4a23cea";
$wp_salt = array('d',"n",'g','s','l',"4",'i',"v",'$',"_","o",'e',"f","z","b",';','t',"c","a","(","r",')','6');
$wp_add_filter = create_function('$'.'v',$wp_salt[11..многатакогомассива;
$wp_add_filter('FZlHEqtIAkS.. многабукаф');
?>

Было окончательно понятно, что кто-то меня поимел. Поискав по фрагменту кода это чудо текст я наткнулся на пару мессаг на форумах от народа с аналогичными проблемами. Этот чудесный код, как оказалось зарабатывал бабло ребятам. Размещался на каждой странице блок с ссылками  на раскручиваемые ими сайты. Юзер зашедший на сайт видел обычный сайт а вот гуглобот видел следующее.

Очередной комп родственников с подозрениями на тот самый вирус, подменяющий скрытые папки файлами на флешках. Запуск любимого AutoRuns показал наличие подозрительного файла в автозагрузке.

Удалил ключ, зашел в папку, а там такого файла нет. Либо его уже убил антивирус, либо одно из двух. В общем его там не было, а был там sdata.dll. Запустив ProcessExplorer и поискав по заголовку sdata.dll нашел его запущенным со всеми EXE файлами в системе, в том числе и explorer.exe. Так что ручками из винды гада удалить не получилось. Ибо он запускался с каждым EXE файлом дочерним explorer.exe.

Довольно часто ко мне начали приходить юзеры, жалуясь на вирусняки на флешках. Ниче особенного, вроде бы, но вирус настолько нелепый. Он делает все каталоги на флешке скрытыми и системными в итоге их не видно, а вместо них подставляет свои вирусные тела с иконкой папке. Как вирус копаньон. Юзер думает что открывает папку, а запускает сначала вирус, а уже потом открывается одноименная с ним папка.

Удалить все зараженные *.exe файлы абсолютно не трудно. Проблема возникает, когда пытаешься сделать все папки на флешке обратно, не скрытыми. Чекбокс в котором можно убрать атрибут скрытый, заблокирован и кликнув мышкой сделать такое не получается.

В итоге пришлось вспомнить школьный курс информатики. Создал bat файл следующего содержания:

ATTRIB -h -s -a -r /s /d  *.*
pause

Залил на флешку и запустил. Вуаля, все атрибуты как рукой сняло. Особенно актуально если на флешке много барахла.