Вирус 106ll8t_12lls176.tmp

Вообщем распечатывал курсовой в типографии. Когда пришел домой, то обнаружил, что на флешке появился скрытый файл 106ll8t_12lls176.tmp (они у меня отображаются) На самом деле - это приложение. Virustotal показал что это криптованный троян, НОД проглотил :(. Так же файл появился на всех дисках, удалить не получается, тут же создается вновь. При переименовывании, создается новый и остается переименованный. Так же хотелось бы узнать, что делать с флешкой, там же он остался. Подозреваю, что логи надо было делать со вставленной флешкой :O, но сделал без? Помогите, пожалуйста.

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\lsass.exe','');
QuarantineFile('c:\windows\csrss.exe','');
DeleteFile('c:\windows\csrss.exe');
DeleteFile('C:\WINDOWS\lsass.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи с флешкой (когда будете вставлять дежите нажатым shift , автозапуск не сработает )

Сделал повторные логи. Скрытые файлы все еще остались :O. Вот логи.

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('G:\autorun.inf','');
QuarantineFile('G:\locust.exe','');
DeleteFile('G:\locust.exe');
DeleteFile('G:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

Пардон, не заметил в посте V_Bond просьбу прислать карантин. Скрытые файлы до сих пор на месте :(. На virustotal показало 27 антивирей, что эти файлы - криптованный трой. Карантин выслал. прикрепляю логи.

В логах плохого не видно,выполните пункт 2 правил...

[quote=Гриша;282694]В логах плохого не видно,выполните пункт 2 правил...[/quote]
У меня установлен NOD 32. Они разве не будут конфликтовать? Достаточно ли просто отключить антивирус в его меню или надо через службы? Кстати файл во 2-ом пункте правил весит 10.7 Mb, а не 5, как указано. Что делать с НОДОМ?

В безопасном режиме монитор установленного АВ не запускается :)

[quote=Rene-gad;282716]В безопасном режиме монитор установленного АВ не запускается :)[/quote]
Ааа... Щас скачаю, жаль не помогло без этого :(.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\csrss.exe - [B]Worm.Win32.AutoRun.dhp[/B] (DrWEB: Win32.HLLW.Autoruner.2122)[*] c:\\windows\\lsass.exe - [B]Worm.Win32.AutoRun.dhp[/B] (DrWEB: Win32.HLLW.Autoruner.2122)[*] g:\\locust.exe - [B]Worm.Win32.AutoRun.dhp[/B] (DrWEB: Win32.HLLW.Autoruner.2122)[/LIST][/LIST]