Помогите убить Sality.Nau

Доброго вечера. Вчера нод32 начал кричать что заражены экзешники вирусом от Sality.Nau один файл за другим но вроде остановился, и соответственно немного было заражено. Событие вызвано процессом NMIndexStoreSvr.exe, этот процесс впоследствии я убрал из автозагрузки. Затем в корне дисков С и D начали создаваться какие-то странные файлы с расширеним .exe и без него, причем название файлов это просто набор букв, и также начали создаваться autorun.inf. Я удаляю а они заново появляются. Когда процесс NMIndexStoreSvr.exe не работает то вроде бы эти файлы больше не создаются. Хочу убедиться что больше нет этой заразы, меня напрягает еще keylogger который может забрать мои данные. Заранее спасибо.

Лечимся сначал так - [URL="http://virusinfo.info/showthread.php?t=15927"]http://virusinfo.info/showthread.php?t=15927[/URL]

Потом готовим новые логи

Опять началось, NOD32 обнаружил угрозу
Объект: C:\ggowsr.exe
Угроза: Win32/Packed.autofit.E.Gen приложение
Комментарий: Событие произошло в новом файле, созданном следующим приложением: C:\Program Files\uTorrent\uTorrent.exe

Началось это когда я подключился к инету. Помогите.

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

[B]Olejah[/B], Я сегодня уже лечился только не с диска а с компа, часов 12 заняла полная проверка, и после этого отправил логи. 3 файла было удалено после проверки. Так не подойдет? Просто если опять запустить полную проверку в безопасном а потом в обычном режиме это почти сутки займет. Просто тогда может лучше переустановить винду? Нужно ваше мнение

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('D:\Games\Ну погоди\FileCopier.exe','')
QuarantineFile('F:\autorun.inf','');
BC_ImportAll;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

[QUOTE='dimonbk;733297']Когда процесс NMIndexStoreSvr.exe не работает то вроде бы эти файлы больше не создаются.[/QUOTE] Я так полагаю, что этот процесс не был запущен при сборе логов. Поэтому ничего особо интересного в них нет. Попробуйте повторить логи с запущенным процесом - мы посмотрим чего он творит.

Действительно процесс NMIndexStoreSvr.exe не был запущен, но чудеса уже продолжились и без него. На всякий случай я его включил. Карантин отправил.
А скрипты надо выполнять при включенном интернете или нет? Чудеса происходят когда комп подключен к сети, целый день был отключен вроде бы ничего не происходило.
К сожалению файл F:\autorun.inf я удалил еще до вашего сообщения.(

[QUOTE='dimonbk;733344']А скрипты надо выполнять при включенном интернете или нет?[/QUOTE] Да, это очень желательно, тем более, что проблема связана с этим.

Значит я все правильно делал, а вы получили файл карантина?

Карантин получили, но авторан не попал туда, причину Вы назвали выше, а этот - D:\Games\Ну погоди\FileCopier.exe - принят на обработку, но я думаю, Вы знаете что это за файл.

Дополнительно к логам АВЗ, сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/URL]

[QUOTE]D:\Games\Ну погоди\FileCopier.exe[/QUOTE]
Если честно то я не знаю что это за файл. Провел полное сканирование MBAM

Ничего подозрительного. Странности продолжаются?

MBAM сказал мне что у меня где то 10 вирусов. Я не стал их удалять. Есть пока что одна странность. У меня ноутбук достаточно шустрый. Но в эти дни лампочка работы харда потихоньку включается и выключается как будто я что то записываю туда, хотя ничего не пишу. А самовольное появление файлов пока что не наблюдается. Я думаю в течении дня посмотрю и отпишусь.
Кстати а запускать скрипты в АВЗ нужно выключив антивирус и экран? А браузер должен быть включен в этот момент?
А системное восстановление я могу обратно включить или не нужно?

Смотря о каких скриптах идёт речь. Если стандартных, для сбора логов, то да.

Я имею ввиду не стандартные скрипты, которые вы пишите. А системное восстановление я могу обратно включить или не нужно?

Когда я пишу скрипт, я сразу даю рекомендации, что нужно сделать перед его выполнением. Восстановление можно включить.

Спасибо, в течение дня посмотрю и отпишусь

Ну вот, опять началось. Прикладываю скрин
И авторан появился и еще несколько неизвестных файлов

1. Сделайте полную проверку [URL="http://www.freedrweb.com/cureit"]CureIt[/URL]

2. Если не поможет, найдите этот файл(C:\что-то там.exe), запакуйте в zip-архив с паролем [B]virus[/B] и пришлите по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

Вчера были те же самые чудеса и я делал полную проверку CureIt, он просто нашел эти файлы и сказал что инфекция и я их удалил соответственно. Поэтому сразу отправляю Вам. Еще там соданы файлы авторан и какой то khy без расширения. Их не надо отправлять? Архив сделал но не пойму запаролился он или нет, в winrar устанавливал пароль.
А с этими странными файлами что делать, удалять или пока не надо?

Это [B][COLOR="Red"]Worm.Win32.AutoIt.xl[/COLOR][/B], который уже детектируется, а соответственно должен вычищаться. C:\Program Files\uTorrent\uTorrent.exe - вот это деисталлируйте и посмотрите за событиями. Естественно сначала удалив вредоносный файл.

Только вопрос, а что является вредоносным файлом? Вы имеете ввиду, удалить эти созданные автораны и другие непонятные файлы со всех дисков, а потом удалить uTorrent, я правильно понял?

Смотря насколько они непонятные. Имел ввиду файл в корне системного диска, который детектируется. Проверьте, будут ли они опять появляться после деинсталляции uTorrent

Удалил, пока жду. На ряду с детектируемым файлом были еще соданы автораны там же в корне всех дисков. Их пока не трогал

Не помогло, только что появился опять экзешник с непонятным названием, только теперь причина не uTorrent, а Firefox. Все эти приложения были запущены, может это что то значит.

Так, нужно отследить причину, по которой возникают файлы. Если дело не в процессе, значит может быть в библиотеке. Ещё бы не мешало [url=http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru]заплатки[/url] на систему поставить + [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]IE 8[/url]. Сделаем так - в то время, когда файлы будут появляться, запустите 3-ий стандартный скрипт. Пусть снимет лог, а мы посмотрим. При этом должен быть запущен "процесс-родитель" этих файлов, в данном случае FireFox.

Дополнительно, сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"]ComboFix [/URL]

После ComboBox по умолчанию стал IE а был Firefox и в трее появился значок щита, я его когда то отключал. Это нормально?
А заплатки и IE 8 когда ставить, сейчас или после лечения? Сделал логи без заплаток и IE 8.

Кстати на втором компе который был в одной сетке с ноутбуком, в свойствах расшаренного диска на вкладке Безопасность появилась странная запись и разрешен там полный доступ. Может это как то связано, я отключил 2 дня назад от сетки комп, вроде бы таких чудес не наблюдается, но отключил я все таки позже чем чудеса стали появляться. Выделено красным на картинке

Скопируйте текст ниже в блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на рабочий стол.

[CODE]KillAll::

File::
C:\tcncto.exe

Driver::

NetSvc::

Folder::


Registry::



FileLook::

DirLook::[/CODE]

После сохранения переместите [B]CFScript.txt[/B] на пиктограмму [B]ComboFix.exe[/B].

[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]

Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

[QUOTE='dimonbk;733556']в свойствах расшаренного диска на вкладке Безопасность появилась странная запись и разрешен там полный доступ.[/QUOTE] Да, этого быть не должно.

Сделал. А что делать с этой записью на вкладке Безопасность на втором компе? Ведь я так понял что этот вирус через данную запись и пробирается на все компы? Кстати эта запись почти совпадает с названием папки которая хранится в папке RECYCLER

Запретите доступ этой записи и понаблюдайте. Конечно это вполне логично, что в расшаренный диск подкидывают что-то.

Я удалил но комп к ноуту пока не подключаю. А что мне дальше делать с этим вирусом. Нужна Ваша помощь....)))

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('F:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('C:\autorun.inf');
DeleteFile('C:\tcncto.exe');
DeleteFile('F:\tcncto.exe');
DeleteFile('D:\tcncto.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

[QUOTE]tcncto.exe[/QUOTE]
Этот файл есть не только на С но и на D и F дисках, оттуда не надо удалять?

Добавил команды в скрипт, так как этот файл вообще не виден в логах АВЗ, бьём вслепую практически.

на ряду с tcncto.exe этот вирус создал на всех этих дисках еще файлы без расширения "xerfoj7" и "khy". Их тоже убивать?

Именно так. Я отказываюсь верить в то, что их не может вычистить CureIt, когда детект на него уже есть. Пролечитесь так - [URL="http://virusinfo.info/showpost.php?p=306441&postcount=2"]http://virusinfo.info/showpost.php?p=306441&postcount=2[/URL]

Наконец то проверил. Нашел только в кэше фаерфокса что то и combofix.exe. Я просто удалил и все. Пока не знаю что и как. Что то надо дальше делать? Заранее спасибо

Что сейчас - продолжают появляться?

Начали опять появляться. Что никак от этой заразы не получается избавится. А такой вопрос на крайний случай. У меня два логических диска на винте (С и D). Где вирус обычно прописывается, т.е. если форматнуть диск С и поставить заново систему а диск D не трогать, то вирус останется или ему уже конец будет? Ради интереса. А так интересно продолжить что с этим делать?

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 7 минут[/I][/B][/color][/size]

Что мне делать?

При сканировании с помощью Live CD флэшки свои подключали?

Флешки не подключал, вообще ничего не трогал. Не дождался. Переустановил систему. Теперь на должен появиться?

Проверьте ваши флэшки на предмет заражения.