Win32/AutoRun.FakeAlert.M

[cruel_hedgehog]

Зашел на сайт quaket.net с выключеным аутпостом , нод32 ругнулся на вирус и что он удален, но мелькнуло окошко cmd и теперь при попытке открыть папку проводника из download master, или utorrent, или другой программы появляется подобное сообщение:

14.09.2009 23:33:50 Защита в режиме реального времени файл C:\temp\rdl1.tmp Win32/AutoRun.FakeAlert.M червь очищен удалением - изолирован GRIZUN\Ner1 Событие произошло в новом файле, созданном следующим приложением: C:\Program Files\Microsoft Common\svchost.exe.

Аутпост постоянно сообщает, что ымсрщые пытается запустить iexplore.exe.

Помогите пожалуйста, премного благодарен.

[Aleksandra]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
ClearQuarantine;
SetAVZGuardStatus(True);
 DelBHO('{B7FE5D70-9AA2-40F1-9C6B-12A255F085E1}');
 QuarantineFile('C:\Program Files\Microsoft Common\svchost.exe','');
 QuarantineFile('C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\KHUZ05UZ\11111111111[1].exe','');
 QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
 QuarantineFile('c:\windows\system32\msmgr.exe','');
 TerminateProcessByName('c:\windows\system32\msmgr.exe');
 DeleteFile('c:\windows\system32\msmgr.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','explore');
 DeleteFile('C:\WINDOWS\system32\sdra64.exe');
 DeleteFile('C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\KHUZ05UZ\11111111111[1].exe');
 DeleteFile('C:\Program Files\Microsoft Common\svchost.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(9);
ExecuteRepair(13);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно приложению 3 правил.
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=54764

3. Повторите логи.

[cruel_hedgehog]

Файл загрузил, логи повторить - имеется в виду повторить полностью диагностику согласно правилам? Повторил процедуру, выложил логи.

[Aleksandra]

Ничего зловредного в логах нет. Что с проблемами?

[cruel_hedgehog]

Вроде как проблема ушла. НОД 32 не ругается, открытие папок работает, аутпост молчит, пересоздам правила для svchost на всякий случай.

С какой вероятностью червь мог утащить пароли? Вроде nod32 блокировал все его действия. Аутпост почти сразу включил, в сеть никого не пускал.

БОЛЬШОЕ Вам человеческое спасибо!!!! Всех благ уважаемая Aleksandra!!!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files\microsoft common\svchost.exe - Worm.Win32.Bezopi.fn ( DrWEB: Win32.HLLW.Autoruner.6326, BitDefender: Trojan.Agent.ANOY, AVAST4: Win32:MalOb-M [Cryp] )
  2. c:\windows\system32\config\systemprofile\local settings\temporary internet files\content.ie5\khuz05uz\11111111111[1].exe - Trojan.BAT.VKhost.u
  3. c:\windows\system32\msmgr.exe - Backdoor.Win32.Knokk.p ( DrWEB: BackDoor.Siggen.785, AVAST4: Win32:Trojan-gen )