Win7.
Чем определить, вирус ли это, что за вирус, как лечить?
Периодически запускается сабж, путь указан к C:\Windows\System32\svchost.exe, а командная строка: C:\$Recycle.Bin\S-1-5-21-1278966055-3978468128-563704884-1000\$07253ac83559049e67e2e3701be6b60c\U, запускается процесс дочерний либо для explorer.exe (от которого запускаются все программы юзера), либо дочерний для постоянно запущенного тотал командера, при убиении последнего родитель у сабжа меняется на explorer.exe, процесс создаёт соединение с какими-то хостами, иногда при его работе слышно, как разговаривают люди (пытаюсь понять, что это и зачем оно, IP телефония что ли?). Оно создаёт потоки, в которых запускается что-то из DX, а так же флэш, подозреваю, что если снести флэш, то оно не сможет работать, но хочется без сноса флэша обойтись.
Бесплатный Dr Web ничего не находит. А в корзину зайти, чтобы скопировать эту хрень, которая указана в командной строке, не знаю как, система не пускает даже с правами администратора.

А если в защищенном режиме загрузиться? Поменять owner-а?
Что говорят Gmer и RootRepeal?

svchost как следует из названия только для утилита для запуска различных ДЛЛ.
а эти длл могут находиться где угодно и называться как угодно,
т.е. как я понимаю где -то в системе сидит троян который тольок и делает, что запускает строку
svchost C:\$Recycle.Bin\S-1-5-21-1278966055-3978468128-563704884-1000\$07253ac83559049e67e2e3701be6b60c\U
чтобы заглянуть в корзину нужно добавить актуального пользователя , или просто пользователя Jeder на вкладке
Sicherheit в свойствах папки.
ну и следует искать зловреда который всё это запускает

В защищённом режиме и под другим пользователем этого нет.

Gmer ничего не показывает, RootRepeal не запускается на 64 битной ОС.

Эксплорер показывает вот что:

Внутри корзины чисто, в её свойствах нет настройки доступа, а в TC:

у указанной директории, если вызвать свойства, то тоже нет настроек доступа. У директории уровнем выше тоже нет настроек общего доступа. На самом верхнем уровне у папки $Recycle.Bin добавил себе полный доступ, но это не помогает.

руткит у тебя скорее всего, загружайся с цд или флешки и чисть

Скачал TDSS KIller касперского, оно нашло изменённый system32\DRIVERS\e1q60x64.sys, удалил, перегрузился в сейф-мод, смог из корзины убрать ту директорию. Больше svchost тот не вижу, вероятно, всё.
Оно оказалось Backdoor.Win64.ZAccess.bt.

Однозначно, руткит. Надо в защищенном режиме проверить все, что загружается в обычном режиме - регистри, автостарт и т.д. Я пользуюсь по привычке autoruns, хотя, наверное, есть варианты. Странно, что Gmer ничего не показал - обычно он выдает какой-нибудь hidden service, если наличствует руткит, при запуске в обычном режиме.

btw, очень показательный случай. Я знаю, когда оно проинсталировалось в систему, всего лишь в гугле поискал "CSS text emboss", зашёл на какой-то блог прочитать статью и вуаля: какое-то говно у меня "ищет и находит вирусы". Файрфокс, в виндовсе свежие апдейты, никакие дефолтные защиты не отключены. Решето. Без антивируса постоянно запущенного, пользоваться вредно для здоровья.

А в корзину зайти, чтобы скопировать эту хрень, которая указана в командной строке, не знаю как, система не пускает даже с правами администратора.
-----
Убить процесс и откатить систему.
Кроме этого есть RootKit remover'ы. Ну тут уж как получится...

Не было точки отката.

Угу...
Я все больше хочу иметь простую проверялку списка фаилов и их ЦРЦ...
Он все имевшиеся на момент последней проверки обламывались на моих дисках...

Не знаю, насчет показательности. У меня, например, NoScript всегда включен. Антивирус - вещь довольно бесполезная, на мой взгляд.
Нужно знать детали - что и как в твоем случае произошло. А то у меня есть тут один коллега, который раз в месяц прибегает по аналогичной проблеме со словами "я же ничего не делал, только в инете посурфил". А потом выясняется, что он как минимум дважды нажимал бездумно на "ок". Чтобы вот так без предупреждения что-то проинсталлировалось - хммм... сам не сталкивался пока.
Какая винда, к слову?

win7 ultimate. Ничего не устанавливал, после захода на страницу сама запустилась программа, которая якобы находит кучу вирусов. Никаких "ок" нажимать не нужно было. Когда и как произошло я хорошо запомнил.

В данном случае сканер, после того как вытащил из корзины файлы нашёл знакомую сигнатуру, плюс антируткит нашёл модифицированный файл, антивирус как раз сработал бы.

У меня есть отрицательный опыт - антивири (с актуализированными базами сигнатур) руткиты в большинстве случаев успешно не замечали.

эксплоиты рулят, а лучше всего рулят ява-эксплоиты. не обратил внимание, ява в трее не появилась, как при загрузке апплетов? было дело с одним клиентом когда-то, tdss так проскочил, при активном майкрософт секьюрити притом

В описании этого руткита стоит, что лезет через дыры явы или адоб пдф ридера. Последнего у меня не было, значит через жабу пролез. Её я тоже снёс потом.

логично. у меня тоже ява отключена перманентно. не помню когда в последний раз видел на сайтах апплеты

неделю назад у нас на работе все сотрудники получили е-мейл от админа, чтобы в firefox'e и в chrome отключили java plugin. Типа, дырко и мировая опасносте :-)

и на каком языке?