Залезла вирусня. Или троян. Или руткит.

[DukeSS]

Файл wuauclt.exe записывается в каталог C:\Program Files\Microsoft Common\ со скрытыми атрибутами. Размер - 27136 байт.
Вешается в качестве отладчика на процесс explorer.exe
При подключении съёмных носителей (флэшек, дискет) пишет на них два файла: autorun.inf, system.exe.

Откуда пришёл - не знаю.

Убит путём снятия задачи explorer.exe через диспетчер задач, вдумчивой чистки реестра на предмет наличия строки wuauclt.exe, удаления файла C:\Program Files\Microsoft Common\wuauclt.exe

@темы: Информационные технологии, информационная безопасность

Comments

[Анамезонный крыс]

Вариант лечения «снести винду» не рассматривался?

[Gonzzza]

Windows Update AutoUpdate Client это по идее. только он в систем32 по дефолту гнездится
на предмет автораннеров могу посоветовать Anti-autorun 2.0

[DukeSS]

Анамезонный крыс, а зачем? Дело заняло пару минут. Правда, сначала пришлось пройтись по системе программкой AVZ.
Gonzzza, дык, вот именно :-) Настоящий исполняемый файл там и лежит.

[Шаркань]

Неделю или две назад та же фигня была. Вылечилось сносом "авторанов" на всех съемных носителях, чисткой реестра и прогоном на вирусы. Сутки убила, но пока всё тьфу-тьфу-тьфу... было. До прочтения.)
Еще советовали на предмет файлов с именем "amvo" пошукать.

Про wuauclt.exe не знала, пошла сносить, уже нашелся.)
Спасибо!

[Шаркань]

Прислали тут:
"Хм.. wuauclt.exe был найден даже несколько (так же процесс с таким же названием виден через диспетчер задач).
Найден был в:
WUAUCLT.EXE-399A8E72.pf в C:\WINDOWS\Prefetch - 114 КБ
wuauclt.exe в C:\WINDOWS\system32 - 53 КБ
wuauclt.exe в C:\WINDOWS\ServicePackFiles\i386 - 109 КБ
wuauclt.exe в C:\WINDOWS\system32\dllcache - 53 КБ
wuauclt.exe.mui в C:\WINDOWS\mui\FALLBACK419 - 19 КБ

Это тоже самое (т.е. убить надо) или что-то другое?"

Как быть?) Судя по ряду ссылок в сети wuauclt.exe, находящийся в директории C:\Windows\System32 отвечает за обновления винды, а все, что мимо этой папки - вирус... Короче я запуталась. Тенько, спасай мой (и не только) мозг! :0)

[DukeSS]

Нет.
WUAUCLT.EXE-399A8E72.pf в C:\WINDOWS\Prefetch - 114 КБ - это настройки для более быстрого запуска приложения
wuauclt.exe в C:\WINDOWS\system32 - 53 КБ - это клиент Windows Update
wuauclt.exe в C:\WINDOWS\ServicePackFiles\i386 - 109 КБ - вот это можно удалить, у меня в системе этого нет.
wuauclt.exe в C:\WINDOWS\system32\dllcache - 53 КБ - копия клиента WU
wuauclt.exe.mui в C:\WINDOWS\mui\FALLBACK419 - 19 КБ - это файл перевода на русский язык в изначально англоязычной системе с наложенным пакетом MUI (Многоязычный пользовательский интерфейс)

[Шаркань]

Тенька, какой же ты все-таки умница... спасибо.:0)