Printable View
Доброго времени суток всем.
Есть проблема
Принес сегодня на флешке с другого компа информацию,
подключил , проверил от доктора Веба утилитой cureit. Утилита нашлы файлы инфицированные VBS.Igidak .
Удалил .
Теперь из проводника флешку нельзя открыть
пишет, выдает ошибку " Не удается найти файл сценария " путь флешки\autorun.vbs""
Описание в Интернете почти нет,
На форуме Веба, вот что [URL]http://forum.drweb.com/viewtopic.php?t=4514[/URL]
Насколько я понят это если вирус уже в системе.
Вот логи
На этом форуме уже пару раз встречался.
Пока смотрю логи, в AVZ поискать autorun.* на всех доступных дисках. Найдется, удалять нещадно.
Затем в AVZ выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\cpadvai.dll','');
BC_ImportQuarantineList;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки прислать карантин через форму для загрузки файлов,
а лог boot_clr загрузить сюда.
На форуме смотрю но пока не нашел эту тему
autorun.* ищу
Тема с subj: [url]http://virusinfo.info/showthread.php?t=8481[/url]
Кроме того, есть описание по-моему на viruslist.com
Алгоритм устранения последствий лечения данного типа вредоносов:
1. Запускаем проводник, включаем показ скрытых и системных файлов.
2. Просматриваем корневые каталоги всех разделов на жестких дисках и всех имеющихся съемных дисков (вплоть до фотоаппаратов и мп3-плееров) и удаляем там все файлы autorun.*.
3. Запускаем редактор реестра и делаем две вещи:
а) Находим параметр HKLM/Software/Microsoft/Windows NT/Current Version/Winlogon/Userinit. Если в нем присутствует autorun.bat - убираем оттуда autorun.bat (должно быть C:\WINDOWS\system32\userinit.exe и ничего более).
б) Удаляем целиком ключ HKCU/Software/Microsoft/Windows/Current Version/Explorer/MountPoints2.
Пункт 3-б повторяем для всех юзеров системы.
Вуаля ;)
[QUOTE]Код:
begin
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\cpadvai.dll','');
BC_ImportQuarantineList;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end[/QUOTE] Сделал
Карантин за сегодняшнее число послал
только без пароля
[QUOTE]) Находим параметр HKLM/Software/Microsoft/Windows NT/Current Version/Winlogon/Userinit[/QUOTE]
Такой строчки в реестре не нашел
[QUOTE]б) Удаляем целиком ключ HKCU/Software/Microsoft/Windows/Current Version/Explorer/MountPoints2.
Пункт 3-б повторяем для всех юзеров системы.
[/QUOTE]
Юзвер я один и то доменный
[QUOTE]Такой строчки в реестре не нашел[/QUOTE]
Плохо искали, его не может не быть :) Обратите внимание - Userinit это не подраздел в Winlogon, а [B][I]параметр[/I][/B], т.е. слева выделяем Winlogon, а справа ищем в списке Userinit.
Понятно буду искать
Да кстати на флешку могу заходить из под проводника
нормально, т.е. флешка открывается, ошибку при открытии
не выдает
В карантин 'C:\WINDOWS\system32\cpadvai.dll' не попал.
Похоже, что он от Crypto Pro.
Теперь про aurorun (выписка с форума Dr.Web):
>В корневых каталогах всех дисков и в папке Win\System32 грохнуть 13 файлов autorun с расширениями: ~ex, bat, bin, exe, ico, inf, ini, reg, srm, txt, vbs, wsh, inf_?????, причем последний из-под Win не удаляется, надо из Dos или ERD Commander.
>Далее в реестре:
>1. [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] в параметре "Userinit"="userinit.exe,autorun.bat" убрать все, что за запятой (запятую оставить!)
>2. [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced] удалить параметр "ShowSuperHidden"=dword:000000
Вероятнее всего понадобиться только последний совет.
[QUOTE]inf_?????, причем последний из-под Win не удаляется[/QUOTE]
Странно, у меня удалялся без проблем.
@Bratez
В вашем районе Винда запросто поддерживает корейский/японский язык
[QUOTE]Далее в реестре:
>1. [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] в параметре "Userinit"="userinit.exe,autorun.bat" убрать все, что за запятой (запятую оставить!)
[/QUOTE]
После запятой ничего нет
[QUOTE]>2. [HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced] удалить параметр "ShowSuperHidden"=dword:000000[/QUOTE]
Удалил параметр
Да Крипто_Про стоит на компе
При глобальном поике файлов autorun у меня вызывает подозрение вот этот
AUTORUN.EXE-055703AF.pf Путь C\WindowPrefetch
[QUOTE]>В корневых каталогах всех дисков и в папке Win\System32 грохнуть 13 файлов autorun с расширениями: ~ex, bat, bin, exe, ico, inf, ini, reg, srm, txt, vbs, wsh, inf_?????, причем последний из-под Win не удаляется, надо из Dos или ERD Commander.[/QUOTE]
На всех дисках нет таких файлов нет
Я флешку воткнул и сразу проверил на вирусы бесплатной утилитой от Веба
или может быть еще не успел распространиться?????
PavelA СПАСИБО ЗА помощь!!!!!!!!!!!!
Завтра проверю постараюсь комп
Еще вопрос
А Как быть с тем компом откуда пошла это зараза?????
Комп не мой, а работать то надо.
Лечить точно таким же методом????????
Создать новую тему, приложить логи, а там как фишка ляжет.
Из Prefetch можно грохнуть этот файл. Это не повредит.
Самое главное - флешка нормально теперь открывается?
И еще ключик реестра из п.б совета Bratez нашелся?
[quote]3. Запускаем редактор реестра и делаем две вещи:
а) Находим параметр HKLM/Software/Microsoft/Windows NT/Current Version/Winlogon/Userinit. Если в нем присутствует autorun.bat - убираем оттуда autorun.bat (должно быть C:\WINDOWS\system32\userinit.exe и ничего более).
[/quote]
Вот что у меня
[quote]C:\WINDOWS\system32\userinit.exe,[/quote]
Получается у меня все нормально
Идем дальше
[quote]б) Удаляем целиком ключ HKCU/Software/Microsoft/Windows/Current Version/Explorer/MountPoints2.
Пункт 3-б повторяем для всех юзеров системы.
[/quote]
Такого ключа нет
[quote]Создать новую тему, приложить логи, а там как фишка ляжет.
[/quote]
Комп не мой будет необходимо так и сделаем
Всем кто принимал участие ОГРОМНОЕ СПАСИБО
ВСЕ ВЫЛЕЧИЛ
[U][B]Отдельное СПАСИБО PavelA и Bratez :P :good: [/B][/U]
Такое событие необходимо отметить :beer: выздоровление
бедного компьютера