Windows server 2003. Блокировка диспетчера задач, редактора реестра, вирус создающий дубликаты файлов с расширением *.lnk и ярлыки-ссылки.

[tretalek]

Недавно завелась такая зараза. В каждой папке будь то системная или нет появляется дубликат файлов с расширением *.lnk, причем после удаления создаетсчя заново через некоторое время. Диспетчер заблокирован, доступа к реестру нет.

Сервер работает круглосуточно в организации, надолго останавливать нельзя. Также не запускаются неколторые exe и bat файлы.

[tretalek]

Люди помогите, незнаю что делать уже. Работа стоит!!!!

[Rene-gad]

Здравствуйте,

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.

-Выполните скрипт:

begin
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\autorun.inf','');
 QuarantineFile('C:\narwpi.pif','');
 QuarantineFile('D:\autorun.inf','');
 QuarantineFile('D:\medub.exe','');
 QuarantineFile('F:\autorun.inf','');
 QuarantineFile('F:\tuyqt.pif','');
 QuarantineFile('C:\1','');
 DeleteFile('C:\1');
 DeleteFile('F:\tuyqt.pif');
 DeleteFile('F:\autorun.inf');
 DeleteFile('D:\medub.exe');
 DeleteFile('D:\autorun.inf');
 DeleteFile('C:\narwpi.pif');
 DeleteFile('C:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.

Если у Вас после перезагрузки появится неизвестное устройство - удалите его через диспетчер устройств.

После перезагрузки:
- Закачайте файл ..\avz\quarantine.zip для анализа.
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

[tretalek]

Диспетчер задач и редактор реестра все еще заблокированы.
Касперский 6 для сервера не обновляется и не проводит сканирование.

[tretalek]

Что же делать дальше?

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 10
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\narwpi.pif - Trojan.Win32.Inject.attk ( DrWEB: Win32.Sector.22, BitDefender: Trojan.Sality.B.Dam, NOD32: Win32/Sality.STB.Gen trojan, AVAST4: Win32:StubOfSality [Trj] )
  2. d:\\medub.exe - Trojan.Win32.Inject.attk ( DrWEB: Win32.Sector.22, BitDefender: Trojan.Sality.B.Dam, NOD32: Win32/Sality.STB.Gen trojan, AVAST4: Win32:StubOfSality [Trj] )
  3. f:\\tuyqt.pif - Trojan.Win32.Inject.attk ( DrWEB: Win32.Sector.22, BitDefender: Trojan.Sality.B.Dam, NOD32: Win32/Sality.STB.Gen trojan, AVAST4: Win32:StubOfSality [Trj] )