постоянно зараженые флешки

доброгов ремени суток.
проблема в следующем - есть две флешки - они постоянно заражены
там содержится авторан.инф и скрытый файлик nzxnkz.exe
который появляется на всех сетевых дисках в последствии. на всех машинах, куда была тыкнута флешка.

Time Module Object Name Threat Action User Information
26.03.2009 12:11 AMON file F:\Autorun.inf Win32/Tifaut.C
worm deleted NT AUTHORITY\SYSTEM Event occurred at an attempt to access the file by the application: C:\WINDOWS\System32\svchost.exe.

нод видит это - и трёт авторан. но хотелось бы найти саму проблему.
где же оно сидит - чтобы рраз - и навсегда

и - ещё проблема - на рабочей машине (с которой сейчас пишу, и с которой логи) - часто пропадает вайфай соединение (используется под инет) - но восстанавливается. и значки под часами перемигиваются с интервалом в 2-5 минут.

1. В "Чаво" есть тема об отключении Автозапуска. Жить будет спокойнее.
2. Профиксить:
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe[/CODE]
Выполнить:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);

DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
DeleteFile('C:\Documents and Settings\Admin\DoctorWeb\Quarantine\lsass.exe');
RenameFile('C:\WINDOWS\System32\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.bak');
CopyFile('C:\WINDOWS\System32\dllcache\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Сделать новые логи.
Загрузить карантин по Правилам через [url]http://virusinfo.info/upload_virus.php?tid=42572[/url]

скрипт выполнил, карантин загружен (2009-03-26_v2.zip)
просьба файл 2009-03-26.zip не открывать - он без пароля (простите не уследил)
логи прилагаю.
сейчас вышлю логи с другой машины, с которой подозрение на распространение этой заразы. она первая это показала, просто до неё доступ ограничен.

вот и логи со 2й машины. с пометкой 2.

Вторую машину в другую тему.
Если карантин делали через AVZ, то пароль ставиться автоматически.

[quote=PavelA;378124]Если карантин делали через AVZ, то пароль ставиться автоматически.[/quote]

карантин создан авз в папку карантин по дате - загнал папку раром в зип - и в 1й раз забыл пароль поставить.

как назвать тему со 2й машиной ? чтобы было понятно что это к ней же

[size="1"][color="#666686"][B][I]Добавлено через 1 час 50 минут[/I][/B][/color][/size]

скажите, в логах уже чисто ? или искать что-то дальше ?

Я плохого в логах не увидел.

спасибо.вечером протестирую домашнюю машину. ктото же должен их заражать??

Самое главное: не забыть "Автозапуск" отключить.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\admin\doctorweb\quarantine\lsass.exe - [B]Trojan.Win32.Midgare.uik[/B] ( DrWEB: archive: Win32.HLLW.Autoruner.based, BitDefender: Trojan.Generic.1228810 )[/LIST][/LIST]