Вы чего ребята???!!! Он распаковывается не в системную папку (\Windows\System32), где настоящий системный файл services.exe лежит, а просто в \Windows\. Просто возьми его и удали (но прежде отправь на проверку на вирусы, что бы в базу внесли)! Так же надо удалить с автозагрузки его, что бы не вылезало сообщение что ярлык не найден.

И еще перед удаление его надо выгрузить из памяти, через диспетчер задач -> процессы.

Или как другой вариант, удалить из автозагрузки, перезагрузиться и удалить файл.

Он может распаковаться куда угодно, но запускаться от SYSTEM не сможет, соответственно будет запускаться от другого юзера. Поэтому можно просто в диспетчере посмотреть от какого юзера он запущен

Вот

этот процесс services висит он просто в папке Windows скрин прилагаю



как видите значок в виде браузера експлорер весит 623кб

А вот настоящий файл



Сообщение отредактировал sov - 10.10.2012, 10:59

А в реестре в Run что?

можно ли этот не нужный services.exe удалить с помощью unloker я имею ввиду чтобы не удалил настоящий services.exe?

Сообщение отредактировал sov - 10.10.2012, 11:27

sov, Вот

Слушайте, а меняет кошельки только когда копировать напрямую через программу?
Или даже если прописать свой кошелек в блокноте и скопировать его оттуда?

Если второе, то подменивается в самом буфере обмена, да?

P.s. странно что его вмид чисто до сих пор.. ни одной жалобы.

topsmiling, Я написал абузу на этот вмид (у него был BL 7 сейчас уже 0) ну хоть как то наказали и за то спасибо. Да подменяется именно с буфера обмена (так что на будущее запоминайте (последние 3 цифры своего кошелька) так будет надежней для проверки.

БЛ просто так не понижать это не хоть как то наказали а заблокировали

Вот тот services.exe который выделен на скриншоте это и есть этот троян (это не настоящий виндосовский файл services.exe, это фэйк, на который поведутся обычные пользователи), автозагрузка трояна, при старте системы, происходит через реестр. Удалить это значение в реестре (Пуск - выполнить - команда regedit). А после перезагрузки и сам файл.

А так, я уже выше писал как от него избавиться, этот вариант то же самое.



Я писал то же ранее принцип этого троя. Он сидит в фоновом режиме, и смотрит все что в буфер обмена Винды (через Win API) приходит, если обнаружил (через регулярное выражение например) номера кошельков, то он подменяет их на свои. Ничего сложного нету.