Printable View
Вирус Worm.Win32.Autorun.byt овладел компом на работе. Суть в том что при вставке флэшки на ней всегда появляются 2 файла : 1) autorun.inf 2) (меняющееся имя).dll. Почему я написал название- потому что так его определил Касперский 7.0, когда я принес флешку домой и просканировал ее. Что можно сделать, как излечиться от вируса, помогите пожалуйста! Логи прилагаю!
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('G:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\oinnls.dll','');
DeleteFile('G:\autorun.inf');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=18277[/url]
2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O20 - Winlogon Notify: sysfldr - sysfldr.dll (file missing) [/CODE]
Флешку до окончания лечения лучше не вставлять и запускать AVZ прямо с жесткого диска.
Спасибо большое, все это проделал в указанной последовательности, но флешку забыл вытащить, и в конце процедуры решил посмотреть что получилось- оказалось то же самое: два файла на флеше. Теперь флешку вытащил, проделал все еще раз ( не знаю поможет во-второй раз или нет), карантин высылать не стал, думаю что то же самое. Во-второй раз при фиксаньи данной строки уже не было, но может была какая другая, про которую я не знаю? И вообще, помогут ли данные действия во-второй раз?
Могут помочь. Но действенный алгоритм такой: [b]Отключить автозапуск для флешек.[/b] Выполняешь скрипт из сообщения 2.
Либо второй вариант:
вставляешь флешку и запускаешь AVZ. станд. скрипт №2, поиск файлов на диске, ищем autorun.inf, удаляем его.
Сейчас посмотрю, что он пытался запускать и напишу имя файла, которого надо найти и удалить с флешки.
Скрипт для отключения флешки во вложении.
Вообщем ничего не получилось. Действовал так:
1) как отключить автозапуск не сообразил, или он опять включился.
2) при вставленной флешке(огнек горит) выполнил в AVZ скрипт на отключение флешек во вложении (не знаю что это такое). При этом файлы с флешки не удалял (их всего 2, оба -файлы вируса)
3) Далее выполнил скрипт 1 (самый первый в этой теме)
4) комп перезагрузился, строки не фиксил (не знаю какие)
5) на флешке 1 файл с расш. .dll- удалил его
6) вынул флешку, вставил- опять 2 файла.
Что я сделал не так, какие логи прислать еще, и как отключить авторан?
Когда вставляешь флешку высвечивается окно с выбором действий? Если нет, то автозапуск отключен.
Из вложения надо было вставить весь текст, как скрипт в AVZ и запустить. Можно повторить это дело еще раз.
На "С" autorun.inf есть? Если да, то его надо удалить.
Ничего не получается. На этот раз действовал так:
1) вставил флешку, при вставке никаких действий запрошено не было, ничего само не открывалось.
2) из вложения выполнил скрипт на отключение флешки- скрипт выполнился без ошибок
3) открыл флешку( наверное не надо было) удалил 2 файла- autirun.inf и ().dll
4) выполнил самый первый скрипт, комп перезагрузился, флешка торчала, лампочка в ней горела.
5) после перезагруза на флешке 1 файл ().dll
6) вынул- вставил- опять 2 файла.
Что делать? На "С" autorun.inf не нашел в корне, может где еще?
[size="1"][color="#666686"][B][I]Добавлено через 30 минут[/I][/B][/color][/size]
Кстати, возможно это один из симптомов, возможно -нет, но не выключается служба удаленного реестра.
[size="1"][color="#666686"][B][I]Добавлено через 17 минут[/I][/B][/color][/size]
Нет, прошу прощения, кажется выключается.
А зачем открывал флешку (п.3)? На это добра не давали. Если уж очень хочется, то можно было открыть с нажатым Shift.
Просто вставляешь флешку и [b]НЕ ОТКРЫВАЯ ЕЕ[/b] через AVZ удаляешь эти два файла, предварительно выполнив станд. скрипт №1
НОД 32 в принципе может его поймать?
скорее нод его не знает ...
А он вообще-сетевой. Т.е. нужно при лечении отключать сеть, закрывать все общедоступные папки?
Да, если есть папки на других с доступом на "запись".
Спокойнее, когда отключившись от всего лечишься. Вторым этапом можно лечиться со включенной сетью.
Его ловит Доктор 4.44 с последними базами.
Ну, вроде вылечился! Спасибо! Можно ли прислать последний карантин? Не понятно что в Windows Installere там такое? Все другие файлы данных я удалил, а эти не знаю стоит трогать или нет? Еще раз спасибо!
каранти можно прислать .... Windows Installer скорее чистый ... бывает авз излишне подозрителен ;)
Выручите, пожалуйста, еще раз. Вылеченный комп опять заразил, вставив чужую флэшку, и не проверив ее перед этим. Все те же два файла, но мне кажется что скрипт для поиска файла oinnls.dll уже не работает, т.к. такого файла в System32 уже нет. Пытался проделать те же действия и не имел успеха. Теперь на будущее постараюсь проверять каждую флешку.
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
Кстати, отправить карантин почему-то не получилось. Говорит что превышен размер отправляемого файла 470(?) КБ.
сделайте комплект логов ...
[QUOTE=Mix_;193880]Кстати, отправить карантин почему-то не получилось. Говорит что превышен размер отправляемого файла 470(?) КБ.[/QUOTE]
Через "мой кабинет" [url]http://virusinfo.info/usercp.php[/url]
можно удалить лишние логи.
Логи послал.