Разное - произвольное создание пользователя SUPPORT_388945a0

[Ronald]

Имеем Windows 7 в которой произвольно создаётся юзер SUPPORT_388945a0. Я читал статьи по поводу взлома через telnet, но порты закрыты и даже если я удаляю/переименовываю этого юзера, то он снова появляется, добавляет себе роли админа и пользователя удалённого рабочего стола.

Я проверил все папки в профилях, а также самой ОС, проверил реестр и т.д. Вроде ничего не осталось, но что-то или кто-то запускает скрипт. Все юзеры с правами юзеров, только 1 учётка админа и пароль сменил, гость под паролем тоже и отключён.

У кого какие идеи??

[zai]

http://support.microsoft.com/kb/947296/ru

[Ronald]

Я это видел, но перекопав все батники понял, что возможен запуск в виде VBскрипта.. не могу отловить эту гадость. Порты закрыты, но постоянное создание такого юзера достало.

[Ronald]

Ronald,



В реестре попробуйте запустить по поиску 388945a0, возможно удастся отследить путь к скрипту.

Ищите во локальных папках:

C:\ProgramData

C:\Users\имяпользователя\AppData



Возможно здесь помогут:

сначала сюда

Вам нужна помощь? Нам нужны ваши логи! Если их не будет, мы отправим вас в эту тему.

Затем, с результатами создать тему здесь

Лечение систем от вредоносных программ

[Ronald]

Тут либо скрип не срабатывает полностью либо... ну папка юзера SUPPORT_388945a0 не создаётся.

В реестре по цифрам всё убивал, но создаётся опять

мне бы скрипт сам поймать.. антивирусы ничего не дают, а переставить ОСь почти анриал, там сколько всего висит, просто аллес капут



ЗЫ: Сейчас поищу ещё...

[Ronald]

Цитата Ronald:



В реестре по цифрам всё убивал, но создаётся опять

Разное - произвольное создание пользователя SUPPORT_388945a0

Да сейчас не так главное убить, как отследить возможный путь. Проанализируйте записи в реестре.

[Ronald]

Только что опять сработала сия дрянь. Антивирус молчит (KIS). Создало "правильного" юзера SUPPORT_388945a0 с русским описанием и добавило его в ветку UserList чтобы скрыть на входе. Данный юзер добавлен в группу Администраторы и Пользователи удалённого рабочего стола.

Ничего лишнего в памяти не висит... вроде.



ЗЫ: На вирусы проверялся жёсткий диск подключенный к другому ПК несколькими антивирусами.

[Ronald]

Только что опять сработала сия дрянь. Антивирус молчит (KIS). Создало "правильного" юзера SUPPORT_388945a0 с русским описанием и добавило его в ветку UserList чтобы скрыть на входе. Данный юзер добавлен в группу Администраторы и Пользователи удалённого рабочего стола.

Ничего лишнего в памяти не висит... вроде.



ЗЫ: На вирусы проверялся жёсткий диск подключенный к другому ПК несколькими антивирусами.

[Iska]

Process Monitor. Если это пакетный файл — фильтр на cmd.exe. Если скрипт WSH — фильтр на cscript.exe и wscript.exe.

[Iska]

Включил фильтры на скрипты, будем ждать...



Добавил фильтр на cscript.exe и wscript.exe а также на regedit, он когда юзера создаёт, то прячет его на странице логина...