virus

[ilgiz]

Данный вирус переимевывает оригинальные exe файлы добавляя пробел перед расширением, и создает свою копию вирусного файла.
После чего запуская какую либо программу запускается вирус и потом программа, как я понимаю.
При заражении создает файл Winxp.scr в system32 и еxplorer.exe в папке windows, причем буквы e,x,p написаны русками буквами.
касперский , drweb и avz его невидят.

тест данного файла на Virustotal
http://www.virustotal.com/ru/analisi...37ccd3e310e7e2

Из ходя из теста поставил trial-nod32 и все вылечил, пришлось удалить с компов касперский и drweb(

Добавте его плиз в avz и есть какая либо возможность переименованные файлы вернуть в нормальное состояние, а то вручную муторно(

Файл сохранён как 081121_062848_besthost_4926a98037146.zip

[AndreyKa]

Файл теперь детектируется так:
Trojan-Downloader.Win32.Agent.aqbj (Касперский)
Win32.HLLW.Netbot.7 (Dr.Web)

[AndreyKa]

Вот скрипт, который заменит у файлов расширения " EXE" на "EXE" на диске C.

Procedure ScanDir(ADirName : string;);
var
 FS : TFileSearch;
 S : string;
 len : Integer;
 p : integer;

begin
 ADirName := NormalDir(ADirName);
 FS := TFileSearch.Create(nil);
 FS.FindFirst(ADirName + '*.*');
 while FS.Found do begin
  if FS.IsDir and (FS.FileName <> '.') 
    and (FS.FileName <> '..') then 
     ScanDir(ADirName + FS.FileName)
  else
  begin
   S := FS.FileName;
   p := Pos('. exe', S);
   if p > 0 then
    RenameFile(ADirName + FS.FileName, ADirName + StringReplace(S, '. exe', '.exe'))
   else
    begin
     p := Pos('. EXE', S);
     if p > 0 then
     RenameFile(ADirName + FS.FileName, ADirName + StringReplace(S, '. EXE', '.EXE'));
    end;
  end;
  FS.FindNext;
 end;
 FS.Free;
end;

begin
 ScanDir('C:\');
end.

Если хотите сделать это и с файлами на другом диске, то впишите его в вместо С в строке:

 ScanDir('C:\');

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. \\besthost.exe - Trojan-Downloader.Win32.Agent.aqbj (DrWEB: Win32.HLLW.Netbot.7)