VBS Generic 575

[vsvob]

Зараза обнаружена на сервере и одной рабочей станции. CureIT определяет как VBS.Generic.575 На сервере пишет файлы Autorun.inf
и Main.vbs на сетевые диски, на станции в корень диска С. На станции проблема решилась простым удалением этих файлов, на сервере не решается ни чем. В реестре были обнаружены строки прописанные в Autorun.inf (daxianbiyeliunian, dinghui123.cn, wan.asp ) и удалены но ничего не изменилось

Autorun выглядит вот так;

daxian3.0
[AutoRun]
daxianbiyeliunian 2007.7.10
open=WScript.exe .\main.vbs
3.0
shell\open=ґтїЄ(&O)
disinfected
shell\open\Command=WScript.exe .\main.vbs
shell\open\Default=1
04.06.2009 10:10:15

[Rene-gad]

Logfile of HijackThis v1.99.1

???

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-Пофиксите

F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('C:\DOCUME~1\41E3~1.GOR\LOCALS~1\Temp\RarSFX0\kzptj.exe');
 QuarantineFile('C:\DOCUME~1\41E3~1.GOR\LOCALS~1\Temp\RarSFX0\kzptj.exe','');
 DeleteFile('C:\DOCUME~1\41E3~1.GOR\LOCALS~1\Temp\RarSFX0\kzptj.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:

- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[vsvob]

Все в наладилось
Спасибо

[vsvob]

Оказалось рано обрадовался. Все в порядке было пока была отключена локальная сеть, при подключении все вернулось, пришлось поискать на рабочей станции файлик kzptj.exe, нашел, удалил, вот теперь вроде на сегодня все Завтра будет ясно, окончательно все или еще на станциях искать придется

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения вредоносные программы в карантинах не обнаружены