Хитро спрятан Win32.Sector.12 (Sality.*)

Printable View

26.09.2008, 13:34
Shalimov

Вложений: 2

Хитро спрятан Win32.Sector.12 (Sality.*)

Вообщем стандартная картина: вылетевший антивирус, невозможность запуска антивирусных утилит(CureIt, AVZ), блокированные средства администрирования ОС, "левые" файлы на флешке.

Модифицированная AVZ aka evrika.pif осилила только "[I]Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info[/I]".

При выполнении скрипта "[I]Скрипт сбора информации для раздела "Помогите!" virusinfo.info[/I]" утилита зависает на этапе "[I]Эвристическая проверка системы[/I]" со статусом "[I]Поиск Проверка префикса DefaultPrefix[/I]" в статусной строке.

Проверка CureIt c LiveCD WinXP выявила Win32.Sector.12. После "полного" излечения ситуация повторяется вновь.
26.09.2008, 13:48
kps

AVZ не лечит от файловых вирусов (в логах видны симптомы активного файлового вируса).
Будем делать так:
1) Вам нужно выполнить пункт 1 отсюда: [url]http://virusinfo.info/showthread.php?t=15927[/url]
Чтобы восстановить безопасный режим и еще собрать кое-какие файлы для исследования выполните такой скрипт в эврике:
[code]begin
ClearQuarantine;
SetAVZGuardStatus(True);
QuarantineFile('K:\autorun.inf','');
QuarantineFile('c:\program files\google\googletoolbar.dll','');
BC_DeleteSvc('abp470n5');
BC_Activate;
ExecuteRepair(10);
ExecuteRepair(17);
ExecuteRepair(11);
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин, как написано в правилах.

Если CureIt! не все вылечивает (например он не знает какую-нибудь модификацию вируса), то проверьте компьютер еще с помощью [url=http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/]AVPTool[/url] в безопасном режиме (после выполнения скрипта если сразу после перезагрузки попробуете загрузиться в безопасный режим, то должно получиться).

Утилиты CureIt! и AVPTool нужно скачивать на здоровом компьютере.

Еще вариант лечения - Kasperky Rescue CD.
26.09.2008, 14:17
Shalimov

Схожу, проведу указанные манипуляции, потом отчитаюсь о результатах

Хочу тока отметить что касперский похоже не "знает" моего "клиента": [url]http://www.virustotal.com/ru/analisis/85d20d834e206fec8c717a8133b2666e[/url]