Printable View
Вирус Worm.Win32.Autorun.byt овладел компом на работе. Суть в том что при вставке флэшки на ней всегда появляются 2 файла : 1) autorun.inf 2) (меняющееся имя).dll. Почему я написал название- потому что так его определил Касперский 7.0, когда я принес флешку домой и просканировал ее. Что можно сделать, как излечиться от вируса, помогите пожалуйста! Логи прилагаю!
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('G:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\oinnls.dll','');
DeleteFile('G:\autorun.inf');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=18277[/url]
2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O20 - Winlogon Notify: sysfldr - sysfldr.dll (file missing) [/CODE]
Флешку до окончания лечения лучше не вставлять и запускать AVZ прямо с жесткого диска.
Спасибо большое, все это проделал в указанной последовательности, но флешку забыл вытащить, и в конце процедуры решил посмотреть что получилось- оказалось то же самое: два файла на флеше. Теперь флешку вытащил, проделал все еще раз ( не знаю поможет во-второй раз или нет), карантин высылать не стал, думаю что то же самое. Во-второй раз при фиксаньи данной строки уже не было, но может была какая другая, про которую я не знаю? И вообще, помогут ли данные действия во-второй раз?
Могут помочь. Но действенный алгоритм такой: [b]Отключить автозапуск для флешек.[/b] Выполняешь скрипт из сообщения 2.
Либо второй вариант:
вставляешь флешку и запускаешь AVZ. станд. скрипт №2, поиск файлов на диске, ищем autorun.inf, удаляем его.
Сейчас посмотрю, что он пытался запускать и напишу имя файла, которого надо найти и удалить с флешки.
Скрипт для отключения флешки во вложении.
Вообщем ничего не получилось. Действовал так:
1) как отключить автозапуск не сообразил, или он опять включился.
2) при вставленной флешке(огнек горит) выполнил в AVZ скрипт на отключение флешек во вложении (не знаю что это такое). При этом файлы с флешки не удалял (их всего 2, оба -файлы вируса)
3) Далее выполнил скрипт 1 (самый первый в этой теме)
4) комп перезагрузился, строки не фиксил (не знаю какие)
5) на флешке 1 файл с расш. .dll- удалил его
6) вынул флешку, вставил- опять 2 файла.
Что я сделал не так, какие логи прислать еще, и как отключить авторан?
Когда вставляешь флешку высвечивается окно с выбором действий? Если нет, то автозапуск отключен.
Из вложения надо было вставить весь текст, как скрипт в AVZ и запустить. Можно повторить это дело еще раз.
На "С" autorun.inf есть? Если да, то его надо удалить.
Ничего не получается. На этот раз действовал так:
1) вставил флешку, при вставке никаких действий запрошено не было, ничего само не открывалось.
2) из вложения выполнил скрипт на отключение флешки- скрипт выполнился без ошибок
3) открыл флешку( наверное не надо было) удалил 2 файла- autirun.inf и ().dll
4) выполнил самый первый скрипт, комп перезагрузился, флешка торчала, лампочка в ней горела.
5) после перезагруза на флешке 1 файл ().dll
6) вынул- вставил- опять 2 файла.
Что делать? На "С" autorun.inf не нашел в корне, может где еще?
[size="1"][color="#666686"][B][I]Добавлено через 30 минут[/I][/B][/color][/size]
Кстати, возможно это один из симптомов, возможно -нет, но не выключается служба удаленного реестра.
[size="1"][color="#666686"][B][I]Добавлено через 17 минут[/I][/B][/color][/size]
Нет, прошу прощения, кажется выключается.
А зачем открывал флешку (п.3)? На это добра не давали. Если уж очень хочется, то можно было открыть с нажатым Shift.
Просто вставляешь флешку и [b]НЕ ОТКРЫВАЯ ЕЕ[/b] через AVZ удаляешь эти два файла, предварительно выполнив станд. скрипт №1
НОД 32 в принципе может его поймать?
скорее нод его не знает ...
А он вообще-сетевой. Т.е. нужно при лечении отключать сеть, закрывать все общедоступные папки?
Да, если есть папки на других с доступом на "запись".
Спокойнее, когда отключившись от всего лечишься. Вторым этапом можно лечиться со включенной сетью.
Его ловит Доктор 4.44 с последними базами.
Ну, вроде вылечился! Спасибо! Можно ли прислать последний карантин? Не понятно что в Windows Installere там такое? Все другие файлы данных я удалил, а эти не знаю стоит трогать или нет? Еще раз спасибо!
каранти можно прислать .... Windows Installer скорее чистый ... бывает авз излишне подозрителен ;)
Выручите, пожалуйста, еще раз. Вылеченный комп опять заразил, вставив чужую флэшку, и не проверив ее перед этим. Все те же два файла, но мне кажется что скрипт для поиска файла oinnls.dll уже не работает, т.к. такого файла в System32 уже нет. Пытался проделать те же действия и не имел успеха. Теперь на будущее постараюсь проверять каждую флешку.
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
Кстати, отправить карантин почему-то не получилось. Говорит что превышен размер отправляемого файла 470(?) КБ.
сделайте комплект логов ...
[QUOTE=Mix_;193880]Кстати, отправить карантин почему-то не получилось. Говорит что превышен размер отправляемого файла 470(?) КБ.[/QUOTE]
Через "мой кабинет" [url]http://virusinfo.info/usercp.php[/url]
можно удалить лишние логи.
Логи послал.
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\mrrt.dll','');
QuarantineFile('Norton Ghost.sys','');
BC_deleteSvc('Norton Ghost');
DeleteFile('C:\WINDOWS\system32\mrrt.dll');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Прислать карантин.
ОФФ: Дошел до 4000 сообщений.
Я прислал логи.
куда ?
Что такое "ОФФ: Дошел до 4000 сообщений"- это для меня информация?
нет не для вас ...
PavelA - поздравляю :)
Нет карантин еще не послал, прошу прощения, не сориентировался в кнопках.
так , логи сюда ... карантин по ссылке над темой ....
Высылаю последний карантин, после выполнения скрипта из сообщения 21. Кстати, я увидел что скрипт этот- на поиск и удаление некоего "Norton Ghost".Так вот, этот NortGhost реально мешает, т.е. при кликаньи правой кнопкой на свойства любого из логических дисков выскакивает сообщение "Wait whail windows configures Norton Ghost 9.0" и пока его 3 раза не закроешь, не выдает следующее окно. Это проявление вируса? Все того же, или какого-то другого?
[[color=#CC0000]moderated: карантин присылается в соответствии с приложением 3 правил[/color]]
НУ!!! А зачем его сюда. Читай внимательно №27 [url]http://virusinfo.info/showpost.php?p=194429&postcount=27[/url]
Извиняюсь, поторопился. Теперь закачал.
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
Не судите строго- первый раз на вашем форуме! :-)
Да, я так любя ;)
[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]
'C:\WINDOWS\system32\mrrt.dll'
Win32.HLLW.Autoruner.1219 - по Доктору
Worm.Win32.AutoRun.byt - по Касперскому.
Флешки надо проверять все и автозапуск с них желательно отключить.
Ждем логов после лечения.
Последние логи после лечения. Кстати "Norton Ghost" так и не пропал. Видимо его надо как-то по-другому убирать.
На флэшке вирус не появляется пока, но есть одно "но". Я увидел в скрипте 21 поиск файла mrrt.dll, в system32. Вообщем я залез туда, упорядочил файлы по размеру, скопировал на флэшку все файлы размером 112КБ, (их оказалось 9шт., включая два с расш.exe, и один с расш.ocx. Файл mrrt.dll тоже попал туда, и еще один "бледный" файл, который называется imm3b.dll. Проверил флешку лицензионным Касперским, с обновленными базами, и он показал, что эти 2 файла -вирус. Что делать теперь- после лечения mrrt.dll исчез а imm3b.dll -то остался?
А что Касперский imm3b.dll не удалил?
Тогда можно через поиск в AVZ засунуть его в карантин и загрузить сюда (по Правилам), а потом оттуда же, из AVZ его и удалить.
Касперский с флешки удалил, но он же у меня на рабочем, в system32. Сейчас попробую через AVZ из sys32 удалить.
[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]
Послал карантин.
Это оно же. Worm.Win32.AutoRun.byt
Надо рабочую проверить либо триалом Касперского, либо CureIt.
Скорее всего еще хвосты остались незадействованные.
Ну этот файл можно удалять?
Естественно. Без откладывания дел в долгий ящик.
Удалил, проверили Доктором последним, вроде ничего. Ну спасибо. До следующего вируса! :-)
Советуем прочитать [URL="http://security-advisory.virusinfo.info/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов[/URL]. Мы будем Вам очень благодарны!
Удачи!