В автозагрузке неудаляемый файл.

Question

В автозагрузке неудаляемый файл.

Имеем файл-kduur.exe,в реестре он прописан тут:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run_Hidden]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
из реестра он удаляется, но потом опять появляется.
Самое интересное: все дороги ведут в System32,но в папке его нет! (ситемные видно), через Тотал Ком -тоже!
Раньше его небыло. Система работает стабильно, но эта неизвестность мне ненравится.. .
(антивирусы (3разных) его не видят или не определяют как опасный)
Буду ждать помощи!

ВЩ

Владимир Щелоков

3 163

08.10.2008

Похожие вопросы

Answer 1 · 2008-10-07 22:58:07

1. Системно автозагрузку можно посмотреть, набрав msconfig в командной стоке.
2. Аваст может чистить комп до реальной загрузки (год назад сталкивались с необходимостью, гадил один вирус)

Дормидонт ***

32 932

Лучший ответ

07.10.2008

Владимир Щелоков Во!!!Че-то из головы вылетело,
И провда,ДО загрузки системы...
Спасибо,буду пробывать.

Владимир Щелоков А через msconfig-выключаю этот ехе,перегружаю комп и ,опля,как в цирке,все на своих местах...
:-(

Answer 2 · 2008-10-07 22:05:24

Где пасутся троянские кони?
Началась эта история, когда один знакомый привез мне ноутбук Toshiba Tecra M2. Традиционно, знакомство с ним я начала с удаления всех ненужных мне автоматически запускаемых программ. Первыми отправились в корзину содержимое папки ‛Автозагрузка‛. Затем туда же последовало большинство программ, прописанных в закладке ‛Автозагрузка‛, которую показывает утилита msconfig. Далее я поотключала надстройки Интернет-эксплорера и пробежалась по содержимому реестра в разделах
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run_Hidden
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx,
а также проверила аналогичные разделы в HKEY_CURRENT_USER.
Список запущенных процессов уменьшился раза в полтора-два, операционка стала работать заметно быстрее.
Спустя примерно месяц, мое внимание привлекла излишняя активность сетевого интерфейса в то время, когда, казалось бы, никаких сетевых подключений быть не должно. Анализатор Ethereal отловил подключения в направлении домена чего-то-там. toshiba.jp, визуально содержащие какой-то зашифрованный трафик.
Расследование показало, что трафик принадлежал программе, находящейся в каталоге утилит от производителя, в числе прочих драйверов для модема, сетевых и видео-карт.
Программа запускалась в разделе
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Стойте! Этот раздел я вычищала. Никаких программ от Toshiba с тех пор я не устанавливала. Дата и время файла такое же, как и файлов рядом - дата и время установки операционки.
Удаляю запуск из реестра, делаю поиск этого имени по реестру и файлам на диске – чисто. Через некоторое время опять вижу пару ‛лишних‛ запущенных процессов и прописанный автозапуск в реестре…

Владислав Бочарников

67 151

07.10.2008

Владислав Бочарников http://www.adinf.ru/russian/adinf/download.htm
FTP Одновременно с выпуском коммерческих версий ADinf и ADinf32 выпускаются свободно распространяемые некоммерческие и ознакомительные версии программ. Эти версии полностью функциональны с точки зрения обнаружения вирусов.

Владимир Щелоков Спасибо,хотелось бы мораль сказки..
:-)))

Answer 3 · 2008-10-07 22:06:32

В диспетчере процецессов отображается?
Если да, то сначала удалить все процессы, связанные с ним (лучше не стандартным виндовым, чтобы показывалось полное дерево процессов) , а потом убирать из автозагрузки (есть прикольная программка Starter)

АП

Александр Пашков

6 419

07.10.2008

Владимир Щелоков Его там нет.

Владимир Щелоков Короче,ничего не получается.Через любую прогу чистка реестра не получается,все опять становится на свои места.

Answer 4 · 2008-10-07 22:04:23

Сносиш антивирус, загружаеш тестовый каспер и базы отключаешся от инета ставиш и проверяеш.
подозрительных отправь сюда http://www.z-oleg.com/secur/avz/uploadu.php
можно онлайн проверится http://www.kaspersky.ru/virusscanner

ВБ

Виктор Буньков

2 854

07.10.2008

Владимир Щелоков Сейчас попробую...

Владимир Щелоков Онлайном не смог,выбираю файл он не может его загрузить,пишет,что файл используется другой программой.

Answer 5 · 2008-10-08 00:42:45

WINLOGON.EXE - процесс, ответственный за начало ( logon) сеанса и завершение сеанса ( logoff) пользователя. Процесс активируется только после пользователем кнопок CTRL+ALT+DEL и демонстрирует диалоговое окно для ввода пароля.

Файл WINLOGON.EXE всегда расположен в C:\Windows\System32. В случае обнаружения этого файла в любом другом каталоге он должен быть незамедлительно удален. В настоящее время известно более сотни вирусов (например W32.Neveg.A@mm, Spyware.CMKeyLogger, W32/Netsky-D и множество других) , использующих имя WINLOGON.EXE для сокрытия своего присутствия в системе.

Константин Северинов

1 447

08.10.2008

Константин Северинов И еще (оригинал на английском)
http://www.neuber.com/taskmanager/process/winlogon.exe.html
Процесс "winlogon.exe" запускается в фоновом режиме. Это часть Windows Логин подсистемы. Winlogon является необходимым для авторизации пользователя и проверяет Windows XP код активации.
Примечание: winlogon.exe файл находится в папке C: \ Windows \ System32. В других случаях, winlogon.exe является вирусом, программ-шпионов, троянских или червь!

P.S. У Вас лицензионка? Вы, наверное, для возможности получать обновления проходили "процедуру" подтверждения подлинности установленной версии ОС. Я раньше тоже не видела у себя этого процесса и долго гадала откуда он взялся. Возможно, он был и раньше, но в процессах я его не видела (а в реестр не заглядывала - тут я пас)