Упал RDP. Служба Shell Software Detection.

[AleckNW]

День добрый.

Есть Server 2012 Standard. На нем RDP, web и mail сервера.
Практически подошли к концу 120 дней, ждем лицензии.
Ночью остановил сервер лицензий, потом поставил последние обновления и перегрузился.
С тех пор RDP и mail не работают. Остался только Teamviewer.
Ругается на службу "Shell Software Detection". Что это?

UPD. Брандмауэр включал-выключал, роли и компоненты удалял-ставил, обновления сносил-ставил - результат нулевой.

[Petya V4sechkin]

AleckNW, не должно быть такой зависимости, по идее.
Выложите содержимое (в Regedit -> меню Файл -> Экспорт) раздела реестра
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RDPDR

[AleckNW]

Оно там есть. А должно быть?

[iluffka]

windows classic shell давно стоит?

ну или как вариант http://www.bleepingcomputer.com/startups/shellsw.exe-16331.html

[AleckNW]

windows classic shell давно стоит? »
С самого начала.

shellsd.exe
Касперский молчит. На вирустотале екзешник не палится.

[iluffka]

а какая ошибка при попытке подключения по рдп?

все службы стартовали нормально (которые автоматически должны запускаться)?

ну кроме этой Shell Software Detection

[Petya V4sechkin]

AleckNW, параметр DependOnService по умолчанию должен быть равен RDBSS.
А у вас почему-то shellsd.
Исправьте.

[AleckNW]

Petya V4sechkin, огромное человеческое спасибо. Удаленка заработала.
Зато пропал рабстол у админа и не стартует вебсервер.

Что это было? Откуда подцепилось? Оно все так же висит в службах, но не стартует.

[Petya V4sechkin]

Что это было?
shellsd.exe
Касперский молчит. На вирустотале екзешник не палится.
Но таки похоже на вирус.

Удаленка заработала.
Зато пропал рабстол у админа и не стартует вебсервер.
Смотрите, что нового в журналах событий.

[AleckNW]

Petya V4sechkin, плиз, посмотрите еще пару веток, в которых эта шняга прописалась.

[Petya V4sechkin]

AleckNW, точно вирус.
Удалите параметр DependOnService в ветках:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mssmbios
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\swenum

А эту ветку удалите целиком:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\shellsd

Советую создать тему в разделе форума Лечение систем от вредоносных программ (http://forum.oszone.net/forum-87.html), выполнив эти инструкции (http://forum.oszone.net/thread-98169.html).

[iluffka]

вывод: касперский - шляпа.

[Petya V4sechkin]

iluffka, Касперский тут ни при чем, если даже VirusTotal (https://www.virustotal.com/) его не определяет.
Потому что вирус свежий (вчера/сегодня скомпилирован и выпущен "в свободное плавание").
А как, вы думаете, пополняются антивирусные базы? Так и пополняются: пользователи сообщают о проблеме в тех. поддержку, например в Лабораторию Касперского, там анализируют код и добавляют сигнатуру в базу.

[AleckNW]

Оно вернулось. Создал тему про вирус http://forum.oszone.net/showthread.php?p=2293579
На голом сервере такого файла и службы нет.

[mwz]

Создал тему про вирус »
Вчера появилось опять. shellSD.exe. Касперский молчит »

Я такие вещи отсылаю или через Личный кабинет на сайте Касперского, или на newvirus[собака]kaspersky.com -- упаковав в архив с паролем virus (в сопроводиловке указать только признаки вирусной активности, либо вообще почему файл заинтересовал; при этом пароле файл сначала проходит автоматическую обработку; вроде бы желательно чтобы в теме письма упоминалось слово "троян").

Они принимают образчики подозрительных программ и от пользователей, не являющихся пользователями продуктов Касперского -- но если у вас есть там есть личный кабинет, тем более от фирмы, то обработка происходит быстрее (из практики: при отправке через личный кабинет бывает что уже через час зловред попадает в антивирусные базы -- при анонимной же отправке до суток не считая выходных).

Как-то раз отправил им анонимно дюжину подозрительных файлов, предположительно частей одного трояна -- оставив эти образцы у себя в отдельном каталоге. Половина файлов из этого каталога была почикана на следующий же день -- а остальные в итоге тоже были почиканы, но через месяц: периодически по одному-два. Возможно что при отправке через кабинет отнеслись бы повнимательней сразу. :)

[AleckNW]

mwz, отправил на newvirus еще 18 января. Пришел автоответ These files are in process и все.
Личного кабинета нет, сервак не мой, я помогаю людям разобраться с ситуацией.

[mwz]

Как правило, по результатам анализа приходит ответ: да или нет.
Ну а пока подождём, что скажут в теме по лечению.