W32.Rontokbro@mm или win32/brontok

У меня возникла проблемка!
Подключил к новому компу старый хард на него тут же залетел вирис, у меня стоят 2 антивируса NOD32 b NAV! оба антивируса пишут что вирус сидит в c:\\windows\temp папке! смотрю туда там сидит файл tmp36.tmp, только цифры в этом файле меняются каждую секунду..... я с дуру вообще удалил папку TEMP, теперь папки воббще нету а антивирусы все равно пишут что в ней вирус.... я полазил по инету у всех этот вирус проявляет себя по свойму...
помогите его победить, а то мои антивирусы верещат о том что комп заражен, а сделать нечего не могут...

[URL="http://virusinfo.info/showthread.php?t=1235"]Правила[/URL] еще никто не отменял :rtfm:

извините что вчера не сделал логи и без них отписался...
значит так, еще раз попорядку!
антивирусы говорят что в папке TEMP сидит одноименный вирус W32.Rontokbro@mm или win32/brontok!
Потом, они оба пишут, что зараженный файл удален и тут же выскакивает окно, что появился новый вирус, но с немного измененным названием!
я залез в папку TEMP, зажал F5, этот файл меняет название каждую секунду по нарастающей от tmpAB.tmp до какокого-нибудь tmp99BW.tmp использую все буквы и цифры! думаю что он себя переписывает так как NAV автоматически удаляет этот файл.
я удалил папку TEMP воощше, но это не помогло, изменилось только то что теперь я ее не вижу, но комп пишет что она все еще есть!
сделал по вашему описанию правил все как написанно!
Dr.WEB нашел несколько вирусов с одинаковым названием Win32HLLM.Generic.400 (на сколько понимаю это тот же вирус), по ондному в карантине каждого антивируса и 6 в папке TEMP.
еще такая штука в процезах появился такая штука как taskmgr.exe по смотрел в инете пишет что это как раз этот червь и есть, если попробовать завершить этот процес, то диспетчер сам закрывается, а когда вызываешь его сново, то этот процес уже запущен снова!
если отключить антивирусы то все работает все вроде путем, но если их включить се начинает ужасно лагать...а комп нужен позарез у меня на нем курсовая которую нужно сдать в течении 4 дней, а там еще работать и работь....
буду ужасно благодарен за любую помощь!
система у меня WIN XP
антивирусы NOD32 и Norton AntiVirus 2004

1. В логах криминала не обнаружено
2. 2 Антивируса - это через чур. Зачастую они видят вирус в соседствующем антивирусе.
3. Папок ТЕМП в Виндовс много :). Очистите их все: [url]http://virusinfo.info/showthread.php?t=10025[/url]

сделал что вы сказали!
судя по антивирусу он в директории c:\\windows\temp хотя я ее вообще не вижу.
посоветуйте плз, какой из антивирусов оставить, или поставить какой-то другой.

[QUOTE=padlio;224640]посоветуйте плз, какой из антивирусов оставить, или поставить какой-то другой.[/QUOTE]Какой меньше систему грузит - тот и оставьте :)

предложенная вами процедура не помогла...(
этот червь никуда не делся...(
еще такая интересная вещь, что видят они червя только когда включен NAV, если же его отключить, то NOD32 ничего не находит...
посоветуйте пожалуста еще какой-нибудь метод или заплатку! я готов пойти почти на любые меры!

[QUOTE=padlio;224745] видят они червя [/QUOTE]Кто "они"?
Вы меня наверное недопоняли (или я - Вас) :): Вы должны не пользоваться антивирусами вперемежку, а один из них [B]полностью удалить[/B] :), оставшимся проверить ПК в безопасном режиме.

сделал как вы сказали! удалил NOD32...
как только запускается комп сразу высвечивается предупреждение от NAV что в выше упомянутой папке TEMP сидит этот файл и что он был успешно удален,нажимаю ОК тут же вылетает окно с тем же самым уведомлением только у файла другой номер! и так можно жать ОК до бесконечности....(

давайте новые логи. Не забудьте на время выполнения логов:
- отключить Нортона
- отключить системное восстановление

все сделал!

таже самая история.. как только включил нортона, он сразу увидил червя...

[QUOTE=padlio;224806]таже самая история.. как только включил нортона, он сразу увидил червя...[/QUOTE]Логи завидно чисты :)
Давайте на этот файл посмотрим
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Владелец\Главное меню\Программы\Автозагрузка\r6.cmd','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После ребута закачайте карантин по правилам.
Если Вам этот файл лично известен, то можете скрипт не выполнять, просто отпишитесь тут.
И еще вопрос: Эта петрушка началсь после установки СП3 или еще до того?

Этот файл мне известен, ито маршрутизатор в моей локальной сети...
Эта пертушка начилась, после того как я на новый ПК решил подсоединить хард от староко ПК, чтоб перелить информацию...


У меня началась полная ахинея, NAV перестал автоматически как раньше находить вирус и теперь молчит, зато теперь в процессах прописался WINWORD.EXE который жрет 24 400 кб памяти, и когда я работаю в текстовых редакторах, общается со мной.... правдва пишет всякую чушь типа "зря я вчера сморкалась" или "праздники кончились"...
Я вообще в шоке!:(

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

ещ такая штука! у меня начал трафик в инете сам по себе жратся, даже когда ничего не делаю....:O

полная паранойя: Сделайте АВЗ-лог syscheck (стандартный скрипт 2) с запущенным Вордом. М.б. АВЗ там сточку типа testtesttest... напишет - это нормально, не пугайтесь :) Лог закачайте.

все сделал, как вы и сказали в ворде написало много раз test.
перед этим еще раз проверил в безопасном режиме систему Dr.Webом и он удалил из карантита NAV 1540 файлов определив их как Win32.HLLM.Generic.440

когда делал первый скрипт забыл выключить NAV...
вот второй с выключенным.

[quote=padlio]Dr.WEB нашел несколько вирусов с одинаковым названием Win32HLLM.Generic.400 [/quote]
Ничего похожего в классификации DrWeb нет.

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

Ошибочка. Есть Win32.HLLM.Generic.400, это его тут:
[url]http://info.drweb.com/search/?q=Win32.HLLM.Generic.400&searchin=virlib[/url]
почему-то нет.

теперь он мне даже на форуме писать не дает... гадит весь текс...
причем даже в безопасном режиме не дает писать...

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=AndreyKa;225095]Ничего похожего в классификации DrWeb нет.

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

Ошибочка. Есть Win32.HLLM.Generic.400, это его тут:
[url]http://info.drweb.com/search/?q=Win32.HLLM.Generic.400&searchin=virlib[/url]
почему-то нет.[/QUOTE]

потому что не 400 а 440

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

теперь он взял под свой контроль и мыш!))

[QUOTE]теперь он взял под свой контроль и мыш!))[/QUOTE]
Сорри, но логи никаких аномалий не показывают. :?
[QUOTE=padlio;224358]Подключил к новому компу старый хард .... оба антивируса пишут что вирус сидит в c:\\windows\temp папке! [/QUOTE]Вопрос по теме: C: - это системный раздел нового компа?