autoruner5555

[triano]

В сети появился autoruner5555. Если честно устал уже с этой заразой боротся. Вырубить все станции в сети не представляется возможным , а их 50 штук насчитывается.
На машинах стоит DrWEB 5.0 с обновлёнными базами.
Реакция у резидента такая - заходите гости дорогие.
На машинах сидят в корнях дисков по три гадости autorun.inf, khs, iuyecu.exe. Если их все удалить, то после перегруза они вновь появляются. Но заметил одну особенность, если на машинах остаётся нулевой khs, то остальные два файла не появляются, но это же не выход.
Возможно это свойство как то поможет в излечении и затягивании удавки.
Для примера приведу одну машину и что сделал.
1. Отрубил от сети
2. Отключил восстановление
3. Вырубил автозапуск
4. В безопасном режиме прогнал AVZ и свежим Cureit
5. Перезагрузил в нормальный, подключил в сеть, зараза опять появилась через некоторое время.
В логах HIJACKTHIS ничего подозрительного не заметил.
Ну вообщем выкладываю

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\svchost.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\svchost.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[triano]

Проделаю завтра на работе- отпишусь

[triano]

При выполнении скрипта в карантин не помещается ничего,
Папка карантина пуста, на диске C стоит FAT32 и вместо папки
RECYCLER стоит RECYCLED