Помогите убить Win32/Medbot.HF

В системе в двух папках регулярно создаются файлы setup.exe, которые NOD32 определяет как Win32/Medbot.HF. Полный скан системы при загрузке с чистого диска ничего не выявил.

P.S. Я знаю, что тема про MedBot.HF есть, но мне почему-то неудалось написать сообщение в той ветке.

AVZ - Файл - Выполнить скрипт:
[code]begin
QuarantineFile('c:\windows\system32\taskswitch.exe','');
CreateQurantineArchive(GetAVZDirectory+'8273_quarantine.zip');
end.[/code]
Пришлите файл [B]8273_quarantine.zip[/B] из каталога AVZ по ссылке [url=http://virusinfo.info/upload_virus.php?tid=8273]Прислать запрошенные файлы[/url].

Упомянутые две папки случайно не открыты для доступа по сети?

Файл отослал.
Да, папки открыты в сеть. На компе две сетевухи, на одной висит ноутбук, но на нём нортон под последними апдейтами и он молчит. На второй АДСЛ модем, и для этой сетевой карты отключена служба доступа к файлам.

[quote=Ieronim;98431]Файл отослал.
но на нём нортон под последними апдейтами и он молчит. [/quote]
Это его сильный конёк, я к тому что не помешает посмотреть логи от туда :)
A зачем папки открыты в сеть ? По сети полно странствующих ботов, которые сначала сканируют на расшаренные ресурсы, а потом загружают туда всякую живность. Хотябы пароль на них стоит ?

Нет, молчит - это совсем молчит, и в логах тоже. Сегодня уже и логи смотрел и тест по полной прогонял.
Что значит "зачем открыты"? Чтобы между десктопом и ноутом не надо было с флешкой бегать.
Папки расшарены, но в свойствах подключения к интернету отключена служба доступа к файлам. Правильно ли я понимаю, что папки снаружи нашей маленькой локалки должны быть вообще не видны?

[QUOTE=Ieronim]В системе в двух папках регулярно создаются файлы setup.exe[/QUOTE]
А в каких папках: системных или же пользовательских?
[QUOTE=Ieronim]но на нём нортон под последними апдейтами и он молчит[/QUOTE]
Нортон Антивирус не стоит упоминать в разговоре о защитных програмах ;)
[QUOTE=pig;98422]
c:\windows\system32\taskswitch.exe
[/QUOTE]
хм, а за что ж вы его так невзлюбили :? [url]http://www.liutilities.com/products/wintaskspro/processlibrary/taskswitch/[/url]
а вот этот файл прислать было бы неплохо.
[QUOTE]O20 - Winlogon Notify: sunotify - C:\WINDOWS\SYSTEM32\sunotify.dll[/QUOTE]

sunotify отправил.
файл создаётся всегда в одних и тех же папках:
05.03.2007 18:28:51 C:\Documents and Settings\All Users\Äîêóìåíòû\setup.exe Win32/Medbot.HF
05.03.2007 17:55:50 D:\PICTURES\setup.exe Win32/Medbot.HF
Свежая нарезка из логов NOD32.

А проверьте этого Медбота на [url]http://online.drweb.com/[/url]. Если опознаётся - качайте CureIt и проверяйте обе машины. Хуже не будет.

Ieronim
а именно эти папки расшарены?

Выковырил вирус из карантина, CureIt определяет его как Trojan.Downloader.18885. Вирус приходит и когда ноутбук выключен, так что тот не виноват. Сделал полную проверку CureIt - чисто.

[B]@Ego1st[/B]
Действительно, открыты на запись только эти две папки, остальные только на чтение. Похоже вирус приходит по сети, и ведь я читал об этом в соседнем топике! Посыпаю голову пеплом и иду учить мат часть (= настаривать файрволл). Пока же закрыл всё для записи, надеюсь больше никто не проползет.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]