Странное, неудаляющееся, приложение
 

Здравствуйте. В "Программах и компонентах" обнаружилось следующее (см. Вложение 1.gif). При попытке удаления появляется окно, помещенное в вложении 2.gif, хотя удаление производится главным администратором. Антивирус молчит. Что это? Как это удалить? И что такое "Расположение: \"?

Да просто мусор, остатки от какой-нибудь программы.

Ну например CCleaner умеет удалять из списка программ такие "висяки". Можно и вручную через реестр поправить, но так удобнее.

Возможно что свежачка отловили, которого антивири не знают; но странное расположение -- корень диска, причём не указано какого.
Или ошибка в реестре.

Выполните на всякий случай группу команд (можно копируя строки отсюда):
повторяя вторую строку для каждого из остальных дисков (подставляя их буквы вместо D).

Общий результат будет на Рабочем столе пользователя, от имени которого запускались эти команды, в файле test.txt (в кодировке 866, т.е. в Кириллице (DOS)). Для его полной читаемости можно, открыв файл в Блокноте, переключить шрифт Блокнота (Формат -> Шрифт...) на Terminal, но не забыть по завершении вернуть тот шрифт, который стоял перед изменением.
Нет ли каких подозрительных файлов, особенно с датой 10 мая?

Спасибо за ответы!
Увы, вероятно, нет. Раскопки реестра показали, что в разделе, соответствующем данному приложению, в параметре InstallSource значится путь к CS 1.6. То есть прожка, наверняка, была скачана с одного из серверов. Это не нормально.

mwz, спасибо. Результат выполнения команды:
В Windows было изменено следующее:
1)inf\WmiApRgl была создана, не пустая
2)В System32 были изменены:
3) ntbtlog.txt
4) setupact.log
Сама контра, к сожалению, была удалена - посмотреть, что качалось невозможно.

KOTь, ничего подозрительного ни на скриншоте, ни по вашим объяснениям не вижу (ну кроме может позиции 4 снизу в каталоге С: -- но размер не соответствует вашему предыдущему скриншоту; дата файлов не всегда несёт информацию: ещё во времена DOS вирусописатели научились класть вирусы в папку DOS и давать им дату системных файлов, что затрудняло экспресс-поиск).

На всякий случай можно посмотреть в Блокноте файлы 3) и 4) -- ntbtlog.txt является протоколом загрузки системы, и по умолчанию появляться не должен бы (если не прописать вручную его создание при каждой загрузке).

Ну а дальше зависит от вашей цели. Если просто убрать эту запись из окна -- то можно сделать в реестре ручками (если же ключ "хитрый" и не даёт себя удалить даже при изменениях разрешений на него -- возможно что справиться с ним поможет утилита RegDelNull от Марка Руссиновича).

Хм. И как это обходилось/обходится?
Лирическое отступление. Положим, вирус новый, в базах его нет. Он прописывается среди системных файлов, ненавязчиво подкорректировав дату создания. Как в таком случае он находится? Просто анализируется подозрительная активность и находится ее источник (вручную или автоматически)? Существует ли в системе служба, "следящая" за файлами? Можно ли ее использовать?

Из "Программ и компонентов" уже удалено. Мне интересно, что это было за приложение и чего оно хотело. Или, быть может, хочет до сих пор. :ninja2:

Я вас умоляю. Был бы это вирус, он не стал бы прописывать себя в панели управления на самом видном месте, прекратите этот цирк.

Ваши предложения, что это?

Ну обходилось-то просмотром каталога: файлов не тысячи в нём были, и названия более-менее запоминались, а в каталог DOS ничего само не писалось; поэтому появление нового файла иногда замечалось (вылавливал пару-тройку раз).

Сейчас же... На NTFS у файлов кроме даты изменения (это та дата, которую мы видим в Проводнике в режиме "Таблица, в Total Commander в режиме "Вид: полный" и т.д.) есть ещё и дата создания, которая говорит, когда файл первый раз лёг на данное место. Найти файлы по дате создания можно с помощью инструмента поиска в Total Commander, указав поиск с плагинами и выбрав встроенный плагин "tc:Дата создания".

Но я согласен с мнением LehaMechanic, что в данном случае это был не троян; это могла быть либо рекламная программа, либо (судя по вашим исследованиям) защита от читерства, либо какое-то тихое обновление CS, которое из-за неаккуратности программеров плохо прибралось за собой, оставив свои следы.

Выяснилось. При заходе на определенный сервер, он подгружает вам некий "delta.exe" и запускает его. Экзешник изменяет некоторые файлы в папке с игрой и перезагружает ее клиент. После этого игра ищет уже совсем другие сервера - это такой способ увеличения их посещаемости.
P.S. Разумеется, в delta.exe можно было прописать и более опасный код. Зачем, правда, эта программа добавляется в список установленных приложений, непонятно. Здесь логика "есть в программах - значит не вирус" не работает.

На коленке писалось видать...