вирус Win32.HLLW.Autoruner.6526

доктор веб постоянно обнаруживает и вылечивает на дискетах вирус Win32.HLLW.Autoruner.6526, я как понимаю если он постоянно создается на дискетах, то где то в системе засело тело этого вируса, но при сканировании антивирус ничего не обнаруживает, а на дискетах постоянно обнаруживает и лечит. что и где еще можно посмотреть?

[QUOTE=white.ru;393961] я как понимаю если он постоянно создается на дискетах, то где то в системе засело тело этого вируса[/QUOTE]
Правильно понимаете.
Нужно сделать логи по [URL="http://virusinfo.info/showthread.php?t=1235"]правилам[/URL], и мы с вами его найдем.

???????

[b]Отключите восстановление системы![/b]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Microsoft Common\svchost.exe','');
QuarantineFile('D:\Run.exe','');
QuarantineFile('C:\WINDOWS\system32\avpo.exe','');
DeleteFile('C:\WINDOWS\system32\avpo.exe');
DeleteFile('D:\Run.exe');
DeleteFile('C:\Program Files\Microsoft Common\svchost.exe');
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(9);
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=44682[/url]).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

ВЫСЫЛАЮ НОВЫЕ ЛОГИ, КАРАНТИН ТОЖЕ ОТОСЛАЛ

Выполните скрипт:
[CODE]begin
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('D:\autorun.exe','');
DeleteFile('D:\autorun.inf');
DeleteFile('D:\autorun.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки еще раз карантин и лог syscheck.

НОВЫЕ ЛОГ И КАРАНТИН

Опять подхватили его откуда-то!
Подключите флэшку и оставьте подключенной до конца лечения.
Выполните скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('D:\autorun.inf');
DeleteFile('D:\autorun.exe');
DeleteFile('C:\Program Files\Microsoft Common\svchost.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
RebootWindows(true);
end.[/CODE]
После перезагрузки сделайте новый лог syscheck.

А ГДЕ ТЕЛО ВИРУСА ТО?

Теперь чисто.
Тело было тут: [I]C:\Program Files\Microsoft Common\svchost.exe[/I].

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Рекомендуется установить SP3 и последующие обновления.
И антивирус обновлять не забывайте.

А ЭТОТ ФАЙЛ [I]svchost.exe - ПРОСТО ТЕЛО ВИРУСА?
ИЛИ ОН МОДИФИЦИРОВАН?
МОЖНО НЕМНОГО ПОДРОБНЕЙ?
ПРОСТО ЭТОТ КОМП В СЕТИ ОРГАНИЗАЦИИ, ПОХОЖЕ ГДЕ ТО ОН -ВИРУС- ЕЩЕ ЕСТЬ. КАК МНЕ ЕГО НАЙТИ И НЕЙТРАЛИЗОВАТЬ НА ДРУГИХ КОМПАХ?
МОЖНО ЖЕ КАК ТО УЗНАТЬ ОТ КУДА ОН ПОЯВЛЯТСЯ?
[/I]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

СТОИТ ДОКТОР ВЕБ, ОН ПОСТОЯННО ОБНОВЛЯЕТСЯ, НО ТЕЛО САМО НЕ НАХОДИТ, ТОЛЬКО ВЫЯВЛЯЕТ ЕГО ПРОДУКТ

[QUOTE]А ЭТОТ ФАЙЛ svchost.exe - ПРОСТО ТЕЛО ВИРУСА?
ИЛИ ОН МОДИФИЦИРОВАН?[/QUOTE]
Да, просто тело. Он не имеет ничего общего с системным [B]svchost.exe[/B].


[QUOTE]КАК МНЕ ЕГО НАЙТИ И НЕЙТРАЛИЗОВАТЬ НА ДРУГИХ КОМПАХ?[/QUOTE]
Делайте логи, поможем. Только каждому ПК - отдельная тема.


[QUOTE]МОЖНО ЖЕ КАК ТО УЗНАТЬ ОТ КУДА ОН ПОЯВЛЯТСЯ?[/QUOTE]
Через съемные и возможно сетевые диски посредством autorun.


[QUOTE]СТОИТ ДОКТОР ВЕБ, ОН ПОСТОЯННО ОБНОВЛЯЕТСЯ, НО ТЕЛО САМО НЕ НАХОДИТ, ТОЛЬКО ВЫЯВЛЯЕТ ЕГО ПРОДУКТ [/QUOTE]
Вопрос времени. Когда в базы добавят, тогда и "тело" будет находить.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\autorun.exe - [B]Worm.Win32.AutoRun.fel[/B] ( BitDefender: DeepScan:Generic.Malware.SYddld.94B5434E )[/LIST][/LIST]