Описание вирусов: Email-Worm.Win32.Rays

Вирус Email-Worm.Win32.Rays представляет собой исполняемый файл размером 49152 байта. Написан на Basic, ничем не сжат и не зашифрован. В теле вируса виден ряд строк в формате Unicode.
Вирус размножается двумя путями - по почте и через расшаренные ресурсы. Иконка файла внешне очень похожа на иконку папки (судя по всему это она и есть), что может ввести пользователя в заблужение и он щелкнет по файлу, желая зайти в эту "папку"
В момент запуска выдает на экран сообщение "This file has been damage!" и завершает работу. Но перед выдачей сообщения он копирует исполняемый файл в папку Windows под именем Mstray.exe. В случае запуска под именем Windows\Mstray.exe он стартует без всяких сообщений и висит в памяти, никак не выдавая своего присутствия. Маскировки процесса не применяет.
После запуска вирус создает в корне диска C файлы comment.htt и desktop.ini. desktop.ini ссылается на comment.htt, а comment.htt содержит скрипт, запускающий вирус. Кроме того, вирус меняет настроки explorer -
Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden := 0
Microsoft\Windows\CurrentVersion\Explorer\Advanced\HideFileExt := 1
Microsoft\Windows\CurrentVersion\Explorer\CabinetState\fullpath := 1
параметр HideFileExt ему важен, чтобы быть похожим на папку (этот папаметр приводит к отключению отображения расширения файлов), а Hidden = 0 запрещает показ скрытых файлов.
Затем вирус создает ключ автозапуска Run\RavTimXP = C:\WINDOWS\FONTS\BYY.exe, копирует себя в файл BYY.exe и самоуничтожается на старом месте. Через какое-то время он копирует себя в C:\WINDOWS\HELP\DBBXY.exe, C:\WINDOWS\TEMP\WUUR.exe ... (фрагменты путей прошиты в exe файле, при каждом старте он проводит данную процедуру, причем имя все время меняется) - т.е. такие "исчезновения" и появления на новом месте под новым именем явно призваны запутать пользователя и замаскировать файл. Правда, ключ автозапуска неизменный - Run\RavTimXP, так что смысл от этого шаманства остался туманным.
Как почтовый вирус он размножается типовым образом, через почтового клиента - это я уже проверять не стал.

Я купила новый компьютер,а фотографии со старого загрузила на диск.Когда хотела их просмотреть обнаружилось что они заражены вирусом Email Worm.Win32.Rays.Как мне просмотреть или распечатать фотографии чтобы не заразить компьютер?

@Inna
Все просьбы о лечении компьютеров только [URL="http://virusinfo.info/forumdisplay.php?f=46"]тут[/URL]. Обязательно выполните [URL="http://virusinfo.info/announcement.php?f=46&a=3"]правила[/URL].

[quote=Inna;134252]Я купила новый компьютер,а фотографии со старого загрузила на диск.Когда хотела их просмотреть обнаружилось что они заражены вирусом Email Worm.Win32.Rays.Как мне просмотреть или распечатать фотографии чтобы не заразить компьютер?[/quote]
Инна, просканируйте диски на компьютере любым антивирусом - с rays сейчас они все прекрасно справляются.

Ну не все антивирусы зачищают файлы comment.htt и desktop.ini .
Коллеги можно своё описание (дополнение) по этой гадости выложить.

Выкладывай. Посмотрим, может покритикуем.

Сами инфицированые файлы AVZ 4.27 обнаруживает ,но VBscript их создающий
нет.
Функционирование (заражение присходит как при автозапуске со сменных носителей, использование Проводника в качестве файлового менеджера)
На локальных дисках образуется (изменяется) файл "desktop.ini"
содержащий строку "file:\\comment.htt" или http:\\comment.htt"(забыл какую точно).
А тот содержит в своём коде фрагмент "winfile" создающий exeшник с
именем изменяющимся в зависимости имени папки в которой comment.htt находится .
[QUOTE]Иконка файла внешне очень похожа[/QUOTE] да таже самая.
И похоже имеется возможность внедрения в картинку формата jpg (или так джойнером склеивают).Так тоже ловил.
В классификации drweb это Wukill
P .S. winfile на VBscript что значит.?(не добавление расширения exe)
P .P .S. а где про backdoor.monsh (в классификации Drweb) можно написать?(W32.Xema.A на странице [url]http://83.149.99.14/forums/index.php?showtopic=20628&pid=286986&st=0&#entry286986[/url])

[QUOTE='stopka2top;136314']а где про backdoor.monsh[/QUOTE]
В этом разделе в новой теме.

У меня стоит антивирус касперского но он не может вылечить вирус.Подскажите что нибудь еще.

Аккуратно и вдумчиво выполните [URL="http://virusinfo.info/showthread.php?t=1235"]правила (ссылка)[/URL] и откройте тему в разделе "Помогите". Профессионалы вам помогут.