składnik winsc.exe w winxp

[gaga1144]

Mam prośbę czy ktoś jest w stanie mi powiedzieć co to jest za składnik w WIN
XP i do czego służy. Stara się cały czas uzyskać dostęp do internetu port
zdalny 8641. Gdzie jest w systemie. Będę bardzo wdzięczny za informację.

[sendto]

Skasuj ten plik jak najszybciej i dobrze przeskanuj system antywirusem

[gaga1144]

Dziękuje Przemek
Pliku takiego nie ma (ja nie mogę go znaleźć). Tworzony jest plik WINSC.EXE-
3504E249.pf (skasowałem go ale on powraca) w katalogu c:\windows\prefetch.
Winsc.exe jest blokowany przez Outpost Firewall, ale uparcie stara się połączyć
z internetem. Program wirusowy go nie widzi.Jeżeli wiesz jak się tego pozbyć
podaj. Z góry dziękuję

[sendto]

Poszukałem trochę w sieci na temat tego pliku i już sam nie wiem.
Gdzieś piszą ,że usuneli to bo to trojan a gdziś,ze to zwykły nieszkodliwy
program o nazwie Short/Cut www.fundcraft.com/screg.htm

Może mówi Ci ta nazwa coś, może go gdzieś zciągnołeś ?
W jaki sposób szukałeś tego pliku, poprzez Menu Start/Wyszukaj/pliki lub
foldery ?
Ten plik musi gdzieś być na dysku.
Folderem c:\windows\prefetch i plikami w nich się nie przejmuj to folder który
zbiera dane o uruchamianych programach po to by mógł przyspieszyć ich
otwieranie.

Napisz czy potrafisz posługiwać się Regedit'em

[gaga1144]

Tak szukałem go poprzez Menu Start/Wyszukaj/pliki lub foldery. Niestety nie
został znaleziony. Regedit znalazł wpisy w rejestrach z tym plikiem:
1)HKEY_CURRENT_USER\Software\Microsoft\Search Assistant\ACMru\5603 (nazwa-
ab001), (Typ-REG_SZ);
2) HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run (nazwa-
abWindows Secure Connection), (Typ-REG_SZ);
3) HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache (nazwa-
C:\windows\system32\winsc.exe), Typ-REG_SZ);
4) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run (nazwa-
abWindows Secure Connection), (Typ-REG_SZ);
5) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
nazwa-abWindows Secure Connection), (Typ-REG_SZ);
6) HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001
\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedAppli
cations\List (nazwa- C:\windows\system32\winsc.exe), Typ-REG_SZ);
7) HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003
\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedAppli
cations\List (nazwa- C:\windows\system32\winsc.exe), Typ-REG_SZ);
8)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\Fir
ewallPolicy\StandardProfile\AuthorizedApplications\List (nazwa-
C:\windows\system32\winsc.exe), Typ-REG_SZ);
9) HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run (nazwa-
abWindows Secure Connection), (Typ-REG_SZ);
10) HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\ShellNoRoam\MUICache (nazwa-
C:\windows\system32\winsc.exe), Typ-REG_SZ);
11)HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run (nazwa-
abWindows Secure Connection), (Typ-REG_SZ);
12) HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\ShellNoRoam\MUICache (nazwa-
C:\windows\system32\winsc.exe), Typ-REG_SZ);
13)HKEY_USERS\S-1-5-21-1844237615-1343024091-725345543-1003
\Software\Microsoft\Search Assistant\ACMru\5603 (nazwa- ab001), (Typ-REG_SZ);
14) HKEY_USERS\S-1-5-21-1844237615-1343024091-725345543-1003
\Software\Microsoft\Windows\CurrentVersion\Run (nazwa-abWindows Secure
Connection), (Typ-REG_SZ);
15) HKEY_USERS\S-1-5-21-1844237615-1343024091-725345543-1003
\Software\Microsoft\Windows\ShellNoRoam\MUICache (nazwa- C:\windows\system32
\winsc.exe), Typ-REG_SZ);
Przemek dziękuję za zainteresowanie tym problemem. Jeżeli Ci to cokolwiek mówi
i wyjaśnia i jesteś w stanie coś doradzić będę bardzo wdzięczny. Jeżeli program
ten odblokuje w Outpost Firewall internet jest blokowany.
winsc.exe stara się połączyć: adres zdalny-irllet.dynup.net, port zdalny- 8641.
Z wyrazami szacunku ROMEK

[sendto]

Przyszła mi jedna rzecz do głowy, system wyszukiwania Windows jest ślepy i nie
widzi pliku gdy ten ma nadany atrybut ukryty lub systemowy.
Być może to jest powód jego "niewidzialności"
W Opcjach folderów zakładka widok odznacz pozycję Ukryj chronione pliki systemu
i zaznacz opcję Pokazuj ukryte pliki i foldery.
Przeszukaj jeszcze raz system i daj znać czy coś znalazł.
Według wpisów w rejestrze plik powinien znajdować się w C:\windows\system32
\winsc.exe

[gaga1144]

Widok ukrytych miałem cały czas aktywny
Romek

[gaga1144]

AVG Fre Edition widzi plik winsc.exe w katalogu tak jak pisałeś i go skanuje.
Wykazuje że jest OK. W katalogu System32 system go nie widzi. Nie wiem co jest
grane.
Dzięki za zainteresowanie
Romek

[sendto]

W Menu Start/Uruchom wpisz msconfig
Gdy uruchomi się program przejdź do zakładki Uruchamianie i zobacz czy na
liście jest winsc.exe, jeśli będzie to go po prostu odznacz i uruchom k0ompter
ponownie.

Plik pozostanie na dysku ale nie będzie się już uruchamiał przy starcie systemu.

[gaga1144]

Przemek.
Wyłączałem ale on się cały czas włącza i tylko zmienia adres zdalnego portu z
którym się chce połączyć numer portu pozostaje ten sam. Uruchamia się z trzech
rejestrów
1) HCKU\...\run
2) HKML\...\run
3) Software\....\run (można wyłączyć)

Pozdrawiam Romek

[sendto]

> 1) HCKU\...\run
> 2) HKML\...\run

A tych dwóch pierwszysch nie da się wyłączyć ?

[gaga1144]

Tak tych dwóch nie można wyłączyć. Po przeładowaniu systemu uaktywniają się
samoczynnie
Pozdrawiam Romek

[dakow1]

usuń go w trybie awaryjnym !!!!

[gaga1144]

Wykasował bym go gdyby był widoczny. Maskuje się dość skutecznie łobuz jeden.
Pozdrawiam Romek
Jeszcze raz dziękuję wszystkim za zainteresowanie. Jeżeli wam coś wpadnie do
głowy piszcie. Dzięki !!!!!

[dakow1]

do głowy przyszło mi jeszcze żebyś dał log z Hijacka

[gaga1144]

Sprawdziłem system activescan pandasoftware znalazł:
1) Virus:W32/Sdbot.CSU.worm - System operacyjny

2) Virus:Exploit/LoadImage - lokalizacja: C:\Documents and Settings\ krzyś\
Ustawienia lokalne\Temporary Internet Files\Content.IE5\5GGRX58H\sploit[1].anr

3) Virus:W32/Sdbot.ftp - Lokalizacja: C:\WINDOWS\system32\o

Obecnie nie ładuje się winsc.exe.
Mam nadzieję żet to już koniec z tym wirusem.
Dziękuję wszystkim za zainteresowanie i pomoc.Jeżeli wiecie co to jest to
piszcie
Może te nasze rozważania się przydadzą i temat zostanie gdzię rozwinięty.
Romek

[gaga1144]

Zainteresowany podaję link do scanera:
www.pandasoftware.com/activescan/pol/
Jeszcze raz dziękuję Sendo i Dakow1 za zaineresowanie i pomoc
pozdrawiam wszystkich
Romek

[sendto]

Cieszę się,że udało CI się wreszcie uporać z tym problemem.

[wielandf]

[gaga1144]

wielandf
nie rozumię czego szukałeś
Romek

[wielandf]

gaga1144 napisał:

> wielandf
> nie rozumię czego szukałeś
> Romek

[gaga1144]

Sprawdz w zakładce procesy - Menedżr zadań Windows (alt+ctrl+del) czy jest
załadowany i w rejestrach. Jeżleli go nie ma to chyba jest OK.
Romek