Printable View
Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('F:\SystemRestt.exe','');
QuarantineFile('F:\autorun.inf','');
DeleteFile('F:\autorun.inf');
DeleteFile('F:\SystemRestt.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(9);
ExecuteRepair(11);
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
К сожалению созданный карантин тут же куда то унес NOD 32 :( А повторный запуск данного скрипта не создал карантина. Xcopy в system32 так и сидит :( как же вывести эту гадость?
[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]
Вроде нашел куда его NOD унес, посмотрите пожалуйста то ли это? Вроде как в соответствующем каталоге AVZ файлик был, но сам AVZ из файл-просмотр карантина ничего не показывает, сделал архив вручную и отправил.
windows\system32\xcopy.exe - это законный файл.
он и выполняет копирование с флэшки, это ж вы так настроили.
Очевидно, флэшка теперь очищена от заразы. Проверьте, не осталось ли копий на D:, где у вас дублировалось ее содержание.
Нет, нет! Это не мое!
Я сделал D:\1C_Back\save_flash.bat который содержит:
IF EXIST F:\Эксперт xcopy D:\1C_Back\Expert.zip F:\Эксперт /D /R /Y /Q
IF EXIST D:\1C-EXP_Flash xcopy F:\*.* D:\1C-EXP_Flash /D /EXCLUDE:Исключения.txt /E /H /R /Y /Q
А C:\WINDOWS\system32\xcopy.exe - это не мое!! И этот файл чудесным образом восстанавливается если его удалить! И именно на него ругается NOD32 когда в каталоге D:\1C-EXP_Flash в очередной раз появляется SystemRestt.exe...
А! Я кажется понял и тут же проверил на соседнем компе. Xcopy - это собственно и есть файл который выполняет команду xcopy в bat файле! и восстанавливается чудесным образом он самой виндой! Просто SystemRestt.exe также закидывался этой командой, поэтому на него NOD32 и ругался!
Значит все в порядке. Спасибо огромное!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \\avz00001.dta - [B]IRC-Worm.Win32.Delf.z[/B] (DrWEB: Trojan.DownLoader.46389)[/LIST][/LIST]