Не могу избавиться от W32.Sality.NAO (win32.sector5)

Выполнить инструкцию по запуску CureIt в безопасном режиме не смог, т.к.данный вирус первым делом трет из реестра ветку, позволяющую это сделать. Запустил CureIt, загрузившись с CD ERD-Commander-a. Было обнаружено и вылечено множество .EXE файлов. После перезагрузки в нормальном режиме - сразу видны следы вирусной активности, а чуть позже - появляются зараженные .EXE файлы. virusinfo_syscure.zip получить не смог, т.к. AVZ (чистый, незараженный, запущенный с защищенного от записи носителя, кроме папки LOG, конечно) - не закончив работу - вылетает. Симптомы заражения похожи на те, что описаны в Сети для вируса w32.Sality.AB (win32.sector.4). Помогите локализовать вирус, я не могу найти, где он прячется.

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('WMI_MFC_TPSHOKER_80');
DeleteService('WMI_MFC_TPSHOKER_80');
QuarantineFile('D:\WINNT\system32\drivers\ohpihn.sys','');
QuarantineFile('D:\WINNT\System','');
DeleteFile('D:\WINNT\System');
DeleteFile('D:\WINNT\system32\drivers\ohpihn.sys');
BC_Activate;
BC_ImportDeletedList;
RebootWindows(true);
end.[/CODE]
После ребута закачайте карантин и повторите логи.

Скрипт выполнил, загрузился под ERD Commander и опять пролечил все с помощью CureIt. При обычной загрузке - вирусная активность. Не помогло... Карантин высылаю, повторные логи - прилагаю. Могу так же, если это поможет, прислать лог Sysinternals Autoruns и Proccess Explorer.
При работе вируса - Proccess Explorer отмечает бешенную активность в работе процесса ati2evxx.exe

В логах проблем не нашел. Зато нашел ошибку (не критическую) в моем вчерашнем скрипте ;).
На какой файл ругается НОД/Доктор? Системное восстановление отключали? Временные папки чистили? Созываю консилиум.

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
DeleteFile('D:\WINNT\system32\drivers\ohpihn.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('WMI_MFC_TPSHOKER_80');
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Т.к. у Вас файловый вирус, он может быть запущен любым зараженным файлом, т.е. логи AVZ здесь много нам не скажут.

Сделайте следующее:
1) [url]http://virusinfo.info/showthread.php?t=15927[/url] пункт 1 (запишите CureIt! на CD на здоровом компьютере!).

2) Для восстановления безопасного режима [url=http://virusinfo.info/showthread.php?t=7239]выполните скрипт в AVZ[/url]:
[code]begin
SetAVZGuardStatus(True);
ExecuteRepair(10);
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.
Попробуйте зайти в безопасный режим, если получится, пролечите больной компьютер оттуда с CD с помощью CureIt!, затем в нормальном режиме, как написано здесь: [url]http://virusinfo.info/showthread.php?t=15927[/url]

Затем скачайте самый свежий AVPTool [url]http://ftp.kaspersky.com/devbuilds/AVPTool/[/url] и пролечите компьютер им.

Снова я. Нод, как таковой, умирает одним из первых. Служба его ядра - останавливается вирусом. Если насильно, после временного пролечивания (см. предыдущие посты) Нод все же запустить - методом ручного восстанавливания веток реестра, где Нодовская служба стартует, то на один сеанс Нод оживает и работает до перезагрузки. Причем с максимальными настройками Нод ругается только на .EXE, при запуске зараженного приложения. При проверке Нодом диска - картина точно такая же как и при проверке CureIt-ом - куча найденых и вылеченных EXEшников, только раз в 100 медленнее CureIt-а. Из ньюансов, не указанных ранее - я запретил запись в d:\winnt\system32\drivers\.... Временные папки - TEMP винды, TEMP пользователя и temp-папка IE - очищены, восстановление системы - под Win2K - что такое? Это ж вроде для XP?

[QUOTE=chem;217643] восстановление системы - под Win2K - что такое? Это ж вроде для XP?[/QUOTE]
сорри, Вы правы ;).
А что у Вас на разделе C: установлено?

[quote=Rene-gad;217645]сорри, Вы правы ;).
А что у Вас на разделе C: установлено?[/quote]

Да вроде ничего там нет, лежит дистрибудив Win2K Pro, и загрузочные файлы винды... С: раздел FAT16. Сама винда - на D: NTFS, конечно...

Кстати - вирусной активности пока не наблюдаю, причем я вторую порцию ваших скриптов еще не выполнял. Значит запрещение записи в SYSDIR\drivers сработало? Вирус не может родиться? Кстати - я открыл эту тему на примере одной конкретной машины, а у меня их десятки, зараженных я имею в виду. Нет ли каких-либо более универсальных рекомендаций по удалению Sality.NAO? Если мне придется собирать логи с каждой машины - это не на одну неделю <img>

Вы инструкции из поста номер 5 выполнили?
Для лечения остальных машин - если там только этот файловый вирус, то для начала можно обойтись без логов AVZ, а пробовать выполнить инструкции из поста номер 5, начиная со строки "Сделайте следующее:" и дальше.

[QUOTE=chem;217649]Нет ли каких-либо более универсальных рекомендаций по удалению Sality.NAO? [/QUOTE]Лучший способ очистки системы - [B]to flatten and re-build[/B] ;) Посмотрите рекомендации тут : [url]http://www.scanspyware.net/info/Sality.htm[/url]

[quote=kps;217650]Вы инструкции из поста номер 5 выполнили?
Для лечения остальных машин - если там только этот файловый вирус, то для начала можно обойтись без логов AVZ, а пробовать выполнить инструкции из поста номер 5, начиная со строки "Сделайте следующее:" и дальше.[/quote]

Это сейчас делается, в безопасном режиме УЖЕ удалось загрузиться, идет проверка. Кстати, после выполнения скрипта 1 из поста 5 - самостоятельно перегрузиться комп не смог, пришлось через reset...

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]