Ищю тулзу которая сканирует процесс и говорит, что в нем похукано. Включая оконные хуки. В идеале было бы не плохо еслиб она говорила, какой процесс это сделал.

-----
have a nice day

| Сообщение посчитали полезным:

Nimnul
rkunhooker
www.SpiritST.narod.ru/RkUnhooker.rar

-----
iNTERNATiONAL CoDE CReW

| Сообщение посчитали полезным:

Nimnul
Посмотри Hook Explorer
Hook Explorer
-------------------------------------------------

This is a small application designed to scan a single
process looking for IAT or detours style hooks.

HookExplorer gives the user several scanning and
display options.

When first run, HookExplorer will enumerate all of
the loaded dlls in the process and scan their import
tables for hijacked function pointers in the import
address table (IAT). The first instruction for each
function pointer is then disassembled and examined
to try to detect standard detours style hooks which
may be in place.

If the "scan all exports" checkbox was selected, then
HookExplorer will also scan every function found in
the images export table for detours style hooks. For
dynamically loaded dlls, this may be the only test we
can perform on them. Note that this option can take some
extra time to perform, and cannot be added to an existing
scan on the fly. Once you check this option the current
scan will not be updated and you will have to rescan the
target process.

HookExplorer also supports 4 data display modes to help
you examine the data. These options can be applied on
the fly and will simply re-display the collected scan
data.

Internally hooks are stored in 3 collections. The first
collection saves references to all functions, the second
only cross module hooks, and finally the third which applies
a user defined filter list to the results.

The display options that relate to these collections are
termed:

1) Standard
- displays cross module and same module hooks

2) Use Ignore List
- displays filtered cross module hooks only

3) Hide hooks from same module
- displays cross module hooks (no filter)

4) Show All
- same as standard mode except also displays all entries
per dll, hooked or not

These options are represented by radio buttons and can
be applied on the fly once a scan has finished.

The IgnoreList is loaded from the file IgnoreList.txt found
in the applications home directory. This file lists the dlls
which you trust and do not want displayed in the results when
using the IgnoreList display option. It is recommended to use
the full dll path to your trusted dlls in this file.

The ignorelist can be edited in notepad and can be updated on
the fly to an existing scan. The edit button on the main interface
will launch notepad on the file allowing you to edit it. Once you
have made your updates, save your changes and hit the reload button
which will reload the file and apply the filter to the current
display results.

| Сообщение посчитали полезным:

iceworld, показывает что патчит, кто патчит и даже из дров, и даже скрытые процессы

| Сообщение посчитали полезным:

Av0id, IceSword вроде последний не китайский релиз 1.2.2, но rku покруче имхо

| Сообщение посчитали полезным:

да, icesword... это la2world

| Сообщение посчитали полезным:

www.saule-spb.ru/smell/rootkits.html

-----
z+Dw7uLu5+jqLCDq7vLu8PvpIPHs7uMh

| Сообщение посчитали полезным:

Кста, а офицальные версии rku новее 3.7 были? Проект уже закрыт...

| Сообщение посчитали полезным:

--> RkU 3.7.300.502 <-- http://dump.ru/file_catalog/356660.aspx , релиз от 22.07.2007, есть новее?

| Сообщение посчитали полезным:

Последний публичный билд - 3.7.300.509
Приватная версия - 4.0.400.600

Под вистой с первым сервис паком RkU не идет.

| Сообщение посчитали полезным:

Twister пишет:
Приватная версия - 4.0.400.600

4.2.470.812
(ps видел на скрине :s1

| Сообщение посчитали полезным:

btCode
RkU 3.7.300.509
rs17.rapidshare.com/files/60985996/RkU3.7.300.509.zip

-----
DREAMS CALL US

| Сообщение посчитали полезным:

Спасибо за помощь. Что то я про рку совсем забыл а про icesword не слышал.

pavka пишет:
Посмотри Hook Explorer

Немного смутило что он на бейсике написан.

PS: А оконные хуки хоть одна из этих программ показывает?

-----
have a nice day

| Сообщение посчитали полезным:

Похоже на то что я зверя поймал. Просто почему то исчезли все системные и скрытые файлы. Когда в настройки захожу их отображение выключено. Когда включаю их, и захожу заново в свойства, вижу там что опции все равно выключены. В аттаче отчет rku. Хотя может это просто винда глючит.

5530_16.05.2008_CRACKLAB.rU.tgz - 1.txt

-----
have a nice day

| Сообщение посчитали полезным:

=TS= Спасибо за сцыль

| Сообщение посчитали полезным:

Nimnul, wincab подозрительная фигня, кто использует этот дров?

| Сообщение посчитали полезным:

погугли по названию дровины, похожк у тебя hacktool.rootkit

| Сообщение посчитали полезным:

sER

4.2.470.812

Где видел, если не секрет?

| Сообщение посчитали полезным:

Twister, img395.imageshack.us/img395/8728/rustycxp3.jpg (from anti-malware.ru)

| Сообщение посчитали полезным:

4.2.470.812 это походу не тот rku, на скрине в названии окна "microsoft", а не рандомное имя. Либо мелкие его выкупили

| Сообщение посчитали полезным:

obfuskator тот , это авторский скрин(т.е. автор rku и делал этот скрин), почитай эту тему anti-malware.ru/forum/showtopic=4564

| Сообщение посчитали полезным:

sER пишет:
тот
Да ты прав. Вот нашел, кому интересно:
virusinfo.info/showthread.php?t=6287&page=3

EP_X0FF and Rootkit Unhooker уехали в Microsoft (с 4.1 версией). Мекрософт, скорее всего, бесплатно давать скачивать ее не будет). История повторяется, как некогда было и с Марком Руссиновичем.

| Сообщение посчитали полезным:

sER, русток? ;)

-----
HOW MUCH BLOOD WOULD YOU SHED TO STAY ALIVE

| Сообщение посчитали полезным:

obfuskator пишет:
Мекрософт, скорее всего, бесплатно давать скачивать ее не будет

Вот это как раз нестрашно. Если действительно выкупили, значит скоро станет доступно общественности

| Сообщение посчитали полезным:

ProTeuS, на скрине? - да, он и есть

| Сообщение посчитали полезным: