постоянно зараженые флешки

[JusT]

доброгов ремени суток.
проблема в следующем - есть две флешки - они постоянно заражены
там содержится авторан.инф и скрытый файлик nzxnkz.exe
который появляется на всех сетевых дисках в последствии. на всех машинах, куда была тыкнута флешка.

Time Module Object Name Threat Action User Information
26.03.2009 12:11 AMON file F:\Autorun.inf Win32/Tifaut.C
worm deleted NT AUTHORITY\SYSTEM Event occurred at an attempt to access the file by the application: C:\WINDOWS\System32\svchost.exe.

нод видит это - и трёт авторан. но хотелось бы найти саму проблему.
где же оно сидит - чтобы рраз - и навсегда

и - ещё проблема - на рабочей машине (с которой сейчас пишу, и с которой логи) - часто пропадает вайфай соединение (используется под инет) - но восстанавливается. и значки под часами перемигиваются с интервалом в 2-5 минут.

[PavelA]

1. В "Чаво" есть тема об отключении Автозапуска. Жить будет спокойнее.
2. Профиксить:

F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe

Выполнить:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);

 DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
 DeleteFile('C:\Documents and Settings\Admin\DoctorWeb\Quarantine\lsass.exe');
RenameFile('C:\WINDOWS\System32\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.bak');
 CopyFile('C:\WINDOWS\System32\dllcache\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Сделать новые логи.
Загрузить карантин по Правилам через http://virusinfo.info/upload_virus.php?tid=42572

[JusT]

скрипт выполнил, карантин загружен (2009-03-26_v2.zip)
просьба файл 2009-03-26.zip не открывать - он без пароля (простите не уследил)
логи прилагаю.
сейчас вышлю логи с другой машины, с которой подозрение на распространение этой заразы. она первая это показала, просто до неё доступ ограничен.

[JusT]

вот и логи со 2й машины. с пометкой 2.

[PavelA]

Вторую машину в другую тему.
Если карантин делали через AVZ, то пароль ставиться автоматически.

[JusT]

Если карантин делали через AVZ, то пароль ставиться автоматически.

карантин создан авз в папку карантин по дате - загнал папку раром в зип - и в 1й раз забыл пароль поставить.

как назвать тему со 2й машиной ? чтобы было понятно что это к ней же

Добавлено через 1 час 50 минут

скажите, в логах уже чисто ? или искать что-то дальше ?

[PavelA]

Я плохого в логах не увидел.

[JusT]

спасибо.вечером протестирую домашнюю машину. ктото же должен их заражать??

[PavelA]

Самое главное: не забыть "Автозапуск" отключить.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\admin\doctorweb\quarantine\lsass.exe - Trojan.Win32.Midgare.uik ( DrWEB: archive: Win32.HLLW.Autoruner.based, BitDefender: Trojan.Generic.1228810 )