Worm.Win32.AutoRun.cbm

[Wiper76]

Ситуация следующая:
1. На одном из компьютеров в компании пропал рабочий стол. В безопасном режиме CureIt! обнаружил два файла (c:\windows\userinit.exe и c:\windows\system32\system.exe) с червем Win32.Autoruner.10830. При полной проверки - синий экран.
2. Стали выяснять - источник скорее всего на флешке. ESS nod32 ver. 4 beta детектирует на флешке autorun.PD (secret.exe в корне и в подкатологе файл с набором английских букв и расширенем .exe)
Файлы обнаружены на двух флешка с одинаковым названием, только разный подкаталог у второго.
3. На ноутбуке CureIt! обнаружил теже два файла.
4. Занялся ноутбуком: AVZ и HJT - логи пролагаются.

[Bratez]

база от 23.11.2008 18:37

Обновите базы AVZ перед выполнением скрипта!

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\wmosf.dll','');
 QuarantineFile('C:\WINDOWS\userinit.exe','');
 QuarantineFile('C:\WINDOWS\system32\system.exe','');
 DeleteFile('C:\WINDOWS\system32\system.exe');
 DeleteFile('C:\WINDOWS\userinit.exe');
 DeleteFile('C:\WINDOWS\system32\wmosf.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=35055).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[Wiper76]

Понял. СПАСИБО!
Обновляюсь.
Результаты будут завтра вечером.

[Wiper76]

Выкладываю логи с ноутбука
Логи с компьютера будут в новой теме

Карантин загрузил по ссылке над темой

[Гриша]

В логах чисто...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения вредоносные программы в карантинах не обнаружены