W32.Rontokbro@mm или win32/brontok

У меня возникла проблемка!
Подключил к новому компу старый хард на него тут же залетел вирис, у меня стоят 2 антивируса NOD32 b NAV! оба антивируса пишут что вирус сидит в c:\\windows\temp папке! смотрю туда там сидит файл tmp36.tmp, только цифры в этом файле меняются каждую секунду..... я с дуру вообще удалил папку TEMP, теперь папки воббще нету а антивирусы все равно пишут что в ней вирус.... я полазил по инету у всех этот вирус проявляет себя по свойму...
помогите его победить, а то мои антивирусы верещат о том что комп заражен, а сделать нечего не могут...

[URL="http://virusinfo.info/showthread.php?t=1235"]Правила[/URL] еще никто не отменял :rtfm:

извините что вчера не сделал логи и без них отписался...
значит так, еще раз попорядку!
антивирусы говорят что в папке TEMP сидит одноименный вирус W32.Rontokbro@mm или win32/brontok!
Потом, они оба пишут, что зараженный файл удален и тут же выскакивает окно, что появился новый вирус, но с немного измененным названием!
я залез в папку TEMP, зажал F5, этот файл меняет название каждую секунду по нарастающей от tmpAB.tmp до какокого-нибудь tmp99BW.tmp использую все буквы и цифры! думаю что он себя переписывает так как NAV автоматически удаляет этот файл.
я удалил папку TEMP воощше, но это не помогло, изменилось только то что теперь я ее не вижу, но комп пишет что она все еще есть!
сделал по вашему описанию правил все как написанно!
Dr.WEB нашел несколько вирусов с одинаковым названием Win32HLLM.Generic.400 (на сколько понимаю это тот же вирус), по ондному в карантине каждого антивируса и 6 в папке TEMP.
еще такая штука в процезах появился такая штука как taskmgr.exe по смотрел в инете пишет что это как раз этот червь и есть, если попробовать завершить этот процес, то диспетчер сам закрывается, а когда вызываешь его сново, то этот процес уже запущен снова!
если отключить антивирусы то все работает все вроде путем, но если их включить се начинает ужасно лагать...а комп нужен позарез у меня на нем курсовая которую нужно сдать в течении 4 дней, а там еще работать и работь....
буду ужасно благодарен за любую помощь!
система у меня WIN XP
антивирусы NOD32 и Norton AntiVirus 2004

1. В логах криминала не обнаружено
2. 2 Антивируса - это через чур. Зачастую они видят вирус в соседствующем антивирусе.
3. Папок ТЕМП в Виндовс много :). Очистите их все: [url]http://virusinfo.info/showthread.php?t=10025[/url]

сделал что вы сказали!
судя по антивирусу он в директории c:\\windows\temp хотя я ее вообще не вижу.
посоветуйте плз, какой из антивирусов оставить, или поставить какой-то другой.

[QUOTE=padlio;224640]посоветуйте плз, какой из антивирусов оставить, или поставить какой-то другой.[/QUOTE]Какой меньше систему грузит - тот и оставьте :)

предложенная вами процедура не помогла...(
этот червь никуда не делся...(
еще такая интересная вещь, что видят они червя только когда включен NAV, если же его отключить, то NOD32 ничего не находит...
посоветуйте пожалуста еще какой-нибудь метод или заплатку! я готов пойти почти на любые меры!

[QUOTE=padlio;224745] видят они червя [/QUOTE]Кто "они"?
Вы меня наверное недопоняли (или я - Вас) :): Вы должны не пользоваться антивирусами вперемежку, а один из них [B]полностью удалить[/B] :), оставшимся проверить ПК в безопасном режиме.

сделал как вы сказали! удалил NOD32...
как только запускается комп сразу высвечивается предупреждение от NAV что в выше упомянутой папке TEMP сидит этот файл и что он был успешно удален,нажимаю ОК тут же вылетает окно с тем же самым уведомлением только у файла другой номер! и так можно жать ОК до бесконечности....(

давайте новые логи. Не забудьте на время выполнения логов:
- отключить Нортона
- отключить системное восстановление

все сделал!

таже самая история.. как только включил нортона, он сразу увидил червя...

[QUOTE=padlio;224806]таже самая история.. как только включил нортона, он сразу увидил червя...[/QUOTE]Логи завидно чисты :)
Давайте на этот файл посмотрим
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Владелец\Главное меню\Программы\Автозагрузка\r6.cmd','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После ребута закачайте карантин по правилам.
Если Вам этот файл лично известен, то можете скрипт не выполнять, просто отпишитесь тут.
И еще вопрос: Эта петрушка началсь после установки СП3 или еще до того?

Этот файл мне известен, ито маршрутизатор в моей локальной сети...
Эта пертушка начилась, после того как я на новый ПК решил подсоединить хард от староко ПК, чтоб перелить информацию...


У меня началась полная ахинея, NAV перестал автоматически как раньше находить вирус и теперь молчит, зато теперь в процессах прописался WINWORD.EXE который жрет 24 400 кб памяти, и когда я работаю в текстовых редакторах, общается со мной.... правдва пишет всякую чушь типа "зря я вчера сморкалась" или "праздники кончились"...
Я вообще в шоке!:(

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

ещ такая штука! у меня начал трафик в инете сам по себе жратся, даже когда ничего не делаю....:O

полная паранойя: Сделайте АВЗ-лог syscheck (стандартный скрипт 2) с запущенным Вордом. М.б. АВЗ там сточку типа testtesttest... напишет - это нормально, не пугайтесь :) Лог закачайте.

все сделал, как вы и сказали в ворде написало много раз test.
перед этим еще раз проверил в безопасном режиме систему Dr.Webом и он удалил из карантита NAV 1540 файлов определив их как Win32.HLLM.Generic.440

когда делал первый скрипт забыл выключить NAV...
вот второй с выключенным.

[quote=padlio]Dr.WEB нашел несколько вирусов с одинаковым названием Win32HLLM.Generic.400 [/quote]
Ничего похожего в классификации DrWeb нет.

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

Ошибочка. Есть Win32.HLLM.Generic.400, это его тут:
[url]http://info.drweb.com/search/?q=Win32.HLLM.Generic.400&searchin=virlib[/url]
почему-то нет.

теперь он мне даже на форуме писать не дает... гадит весь текс...
причем даже в безопасном режиме не дает писать...

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=AndreyKa;225095]Ничего похожего в классификации DrWeb нет.

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

Ошибочка. Есть Win32.HLLM.Generic.400, это его тут:
[url]http://info.drweb.com/search/?q=Win32.HLLM.Generic.400&searchin=virlib[/url]
почему-то нет.[/QUOTE]

потому что не 400 а 440

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

теперь он взял под свой контроль и мыш!))

[QUOTE]теперь он взял под свой контроль и мыш!))[/QUOTE]
Сорри, но логи никаких аномалий не показывают. :?
[QUOTE=padlio;224358]Подключил к новому компу старый хард .... оба антивируса пишут что вирус сидит в c:\\windows\temp папке! [/QUOTE]Вопрос по теме: C: - это системный раздел нового компа?

да системный.... на нем только винда и program files....
как ни странно сейчас вирус призноков жизни не подает... он какими-то нападками проявляется.....

[QUOTE=padlio;225117]
как ни странно сейчас вирус призноков жизни не подает... он какими-то нападками проявляется.....[/QUOTE]Ничто в этой жизни не происходит само по себе - просто причина не всегда и не всеми видна ;). Вы fullscan в безопасном режиме проводили. При этом должен был бы Нортон все нехорошее удалить. Просканьте еще старый хард в безопасном режиме. Может там где-то какой-то файловый вирус сидит и при запуске какого-то старого документа работать начинает.

старый хард, я подсоединил на пол часа перекинул всю нужную инфу и отсоединил его.... мой система выглядит так диск C: - гдето 50Гигов (на нем винда и програм файл) и диск D: 940 гигов ( на нем 35 гигов инфы слитой со старого харда)...
но дело в том что по железу у меня 2 гига по 500 гигов включенные в рейд, и как на них пишется информация я не знаю...
но во время всех проверок ни разу про диск D: ничего не упоминалось.....
не знаю что стало с нортоном, но он ни в безопасном режиме ни при нормальном запуске, вообще вирусов не находит... толи, он тугой, толи его червь добил....

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Почитал в инете, говорят что NOD32 должен давить этого червя! сейчас скачиваю NOD32, попробую удалитьть Норто и проверить систему новым НОДом....

[size="1"][color="#666686"][B][I]Добавлено через 1 час 14 минут[/I][/B][/color][/size]

ничего не помогает.....

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

если переустановит систему, есть шанс что это поможет?? или нужно чистить всю инфу подчистую с обоих логических дисков?

Я вынес Ваш топик на внутреннее обсуждение. Посмотрим, что скажут коллеги.

я сделаю такое замечание, может быть и не нужное...
Первоночально кроме того что Нортон определял червя ничего в операциооннной системой не происходило...Все самое плохое началось, тогда, когда антивирус перестал видеть червя...по очередно попробовал установить и проверить несколько антивирусов! Ни Dr.Web ни NOD32 smart security ни NAV вообще не видят никаких вирусов! Получается что червь вроде как испарился, но теперь такое ощушение что моей клавой кто-то управляет! когда пишу в любом текстовом редакторе, ICQ или даже отписываюсь к вам на форум мне как будто мешают, в хаотическом порядку бегает курсор, добавляются пробелы, удаляются символы, выделяется текст, так же прокручивание страницы вверх и вниз....
Если выбрать ярлык на рабочем столе, то видно как выделенный курсор, хаотично перепрыгивает с ярлыка на ярлык...
тоесть клава полностью подчинена вирусу не зависимо от приложения и программы с которой я работаю...
пока пишу это сообщение вирус бездействует, это странно так как обычно у него передышки около 1 мин, а сейчас уже 10 мин не подает признаков жизни, хотя я никаких попыток его прижучить уже не совершаю...

Попробуйте отключиться от локальной сети и поработать. Может, это кто-то из Ваших соседей шалит.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Дополнительно, выполните:
[CODE]begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('RemoteRegistry', 4);
end.[/CODE]

Выполнил код и все прекратилось!)
спасибо огромноое!
а что этот код сделал?

[QUOTE=padlio;225951]а что этот код сделал?[/QUOTE]Это наш know-how 8)