Левый пользователь.

[exboos]

Добрый день.
На компе с WIN7 появился пользователь "Иван". Удалить можно, но потом появляется опять. Не подскажите, где искать?
Да, антивирусники ничего не находят.

[ispolin]

exboos, попробуйте в реестре
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\ProfileList
удалить папку пользователя

[exboos]

Нету его там :-)
И вообще. Пользователь есть, а его папки нет, и в реестре его тоже нигде нет.

[ispolin]

Цитата: Сообщение от exboos его папки нет

может вы смотрели имя папки, а нужно чуть в другом месте

[exboos]

Гм.... Спасибо. Обнаружил у себя такое:

[ispolin]

ну судя по картинке, это единственный пользователь вы - User
если хотите можно ваш комп пощупать другими утилитами, на предмет всякого хлама

[exboos]

В том-то и дело, что этот пользователь появился сам и не удаляется. Меня это сильно настораживает. Хочу, естественно, с ним разобраться.
NOD32 и утилита WEB ничего не видит.

[ispolin]

Скачайте Farbar Recovery Scan Tool http://www.bleepingcomputer.com/down...ery-scan-tool/
и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа.
Запакуйте и загрузите отчёты на обменник http://sderni.ru/

[exboos]

антивирусник ругается на этот файлообменник.
http://sderni.ru/290659

[ispolin]

exboos, http://rghost.ru/

[exboos]

http://rghost.net/8rNJrJzlW

Добавлено через 3 минуты
прошу прощения, не тот файл в архив загнал. Сейчас перезалью

Добавлено через 5 минут
http://rghost.net/7kq7GGVb6

[ispolin]

Создайте текстовый файл с именем fixlist в папке с Farbar Recovery Scan Tool, скопируйте в него текст приведённый ниже и сохраните.
start
CreateRestorePoint:
CloseProcesses:
ShellIconOverlayIdentifiers-x32: [ MailRuCloudIconOverlay0] -> {64A9418A-B6B1-4112-B75C-E61633C9A31F} => C:\WINDOWS\Temp\mcse32_00.dll No File
ShellIconOverlayIdentifiers-x32: [ MailRuCloudIconOverlay1] -> {6A2E142B-EA63-433A-AC05-5223CBD26E65} => C:\WINDOWS\Temp\mcse32_00.dll No File
ShellIconOverlayIdentifiers-x32: [ MailRuCloudIconOverlay2] -> {6AFCC535-2F12-4F50-9F0A-1CF856CFC95D} => C:\WINDOWS\Temp\mcse32_00.dll No File
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
Toolbar: HKU\S-1-5-21-4263054941-3653010451-2400790254-1000 -> No Name - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - No File
Toolbar: HKU\S-1-5-21-4263054941-3653010451-2400790254-1000 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No File
Toolbar: HKU\S-1-5-21-4263054941-3653010451-2400790254-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File
CHR Plugin: (Widevine Content Decryption Module) - C:\Users\User\AppData\Local\Google\Chrome\User Data\WidevineCDM\1.4.1.377\_platform_specific\win_ x86\widevinecdmadapter.dll => No File
CHR Plugin: (Native Client) - C:\Program Files (x86)\Google\Chrome\Application\46.0.2490.80\ppGoo gleNaClPluginChrome.dll => No File
CHR Plugin: (Chrome PDF Viewer) - C:\Program Files (x86)\Google\Chrome\Application\46.0.2490.80\pdf.d ll => No File
CHR Plugin: (Google Update) - C:\Program Files (x86)\Google\Update\1.3.22.3\npGoogleUpdate3.dll => No File
CHR Plugin: (Silverlight Plug-In) - C:\Program Files (x86)\Microsoft Silverlight\5.1.20913.0\npctrl.dll => No File
CHR Plugin: (Shockwave Flash) - C:\Windows\SysWOW64\Macromed\Flash\NPSWF32_12_0_0_ 44.dll => No File
EmptyTemp:
Reboot:
end

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt).
Запакуйте и загрузите отчёт на обменник http://rghost.ru/
Компьютер будет перезагружен автоматически.

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
http://general-changelog-team.fr/en/...e/2-adwcleaner
Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
Запакуйте и загрузите лог на обменник http://rghost.ru/

Скачайте утилиту MiniToolBox http://download.bleepingcomputer.com...iniToolBox.exe и сохраните на рабочем столе.

Запустите при подключённом интернете, отметьте следующие пункты:

•Report IE Proxy Settings
•Report FF Proxy Settings
•List content of Hosts
•List IP Configuration
•List Winsock Entries
•List last 10 Event Viewer Errors
•List Installed Programs
•List Devices Only Problems
•List Users, Partitions and Memory size
•List Minidump Files
•List Restore Points

и нажмите Старт.

После завершения откроется отчет MTB.txt
Запакуйте и загрузите отчёт на обменник http://rghost.ru/
Если вы закрыли отчет утилиты, он будет находиться в той же папке, откуда была запущена утилита.

Добавлено через 7 минут
почему то я не увидел файла Addition.txt от FRST

Добавлено через 18 минут

Цитата: Иван (S-1-5-21-4263054941-3653010451-2400790254-1014 - Limited - Enabled)

значит и в реестре это есть, ищите
пробуйте
http://www.it-article.ru/windows/%D1...0%B2-windows-7

и почитайте сообщения в теме
http://forum.oszone.net/thread-279465.html
возможно некоторые советы помогут

[exboos]

Цитата: почему то я не увидел файла Addition.txt от FRST

он был во втором варианте загрузки

[ispolin]

да я увидел

[exboos]

fixlog http://rghost.net/7vhNDYHs4

Добавлено через 7 минут
AdwCleaner http://rghost.net/88QYXYQf7

Добавлено через 12 минут
MBT http://rghost.net/6ph8fFJTG