Помогите убить Sality.Nau

[olejah]

Смотря насколько они непонятные. Имел ввиду файл в корне системного диска, который детектируется. Проверьте, будут ли они опять появляться после деинсталляции uTorrent

[dimonbk]

Удалил, пока жду. На ряду с детектируемым файлом были еще соданы автораны там же в корне всех дисков. Их пока не трогал

Не помогло, только что появился опять экзешник с непонятным названием, только теперь причина не uTorrent, а Firefox. Все эти приложения были запущены, может это что то значит.

[olejah]

Так, нужно отследить причину, по которой возникают файлы. Если дело не в процессе, значит может быть в библиотеке. Ещё бы не мешало заплатки на систему поставить + IE 8. Сделаем так - в то время, когда файлы будут появляться, запустите 3-ий стандартный скрипт. Пусть снимет лог, а мы посмотрим. При этом должен быть запущен "процесс-родитель" этих файлов, в данном случае FireFox.

Дополнительно, сделайте лог ComboFix

[dimonbk]

После ComboBox по умолчанию стал IE а был Firefox и в трее появился значок щита, я его когда то отключал. Это нормально?
А заплатки и IE 8 когда ставить, сейчас или после лечения? Сделал логи без заплаток и IE 8.

[dimonbk]

Кстати на втором компе который был в одной сетке с ноутбуком, в свойствах расшаренного диска на вкладке Безопасность появилась странная запись и разрешен там полный доступ. Может это как то связано, я отключил 2 дня назад от сетки комп, вроде бы таких чудес не наблюдается, но отключил я все таки позже чем чудеса стали появляться. Выделено красным на картинке

[olejah]

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::
C:\tcncto.exe

Driver::

NetSvc::

Folder::


Registry::



FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.



Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

в свойствах расшаренного диска на вкладке Безопасность появилась странная запись и разрешен там полный доступ.

Да, этого быть не должно.

[dimonbk]

Сделал. А что делать с этой записью на вкладке Безопасность на втором компе? Ведь я так понял что этот вирус через данную запись и пробирается на все компы? Кстати эта запись почти совпадает с названием папки которая хранится в папке RECYCLER

[olejah]

Запретите доступ этой записи и понаблюдайте. Конечно это вполне логично, что в расшаренный диск подкидывают что-то.

[dimonbk]

Я удалил но комп к ноуту пока не подключаю. А что мне дальше делать с этим вирусом. Нужна Ваша помощь....)))

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 DeleteFile('F:\autorun.inf');
 DeleteFile('D:\autorun.inf');
 DeleteFile('C:\autorun.inf');
 DeleteFile('C:\tcncto.exe');    
 DeleteFile('F:\tcncto.exe');  
 DeleteFile('D:\tcncto.exe');  
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

[dimonbk]

tcncto.exe

Этот файл есть не только на С но и на D и F дисках, оттуда не надо удалять?

[olejah]

Добавил команды в скрипт, так как этот файл вообще не виден в логах АВЗ, бьём вслепую практически.

[dimonbk]

на ряду с tcncto.exe этот вирус создал на всех этих дисках еще файлы без расширения "xerfoj7" и "khy". Их тоже убивать?

[olejah]

Именно так. Я отказываюсь верить в то, что их не может вычистить CureIt, когда детект на него уже есть. Пролечитесь так - http://virusinfo.info/showpost.php?p=306441&postcount=2

[dimonbk]

Наконец то проверил. Нашел только в кэше фаерфокса что то и combofix.exe. Я просто удалил и все. Пока не знаю что и как. Что то надо дальше делать? Заранее спасибо

[olejah]

Что сейчас - продолжают появляться?

[dimonbk]

Начали опять появляться. Что никак от этой заразы не получается избавится. А такой вопрос на крайний случай. У меня два логических диска на винте (С и D). Где вирус обычно прописывается, т.е. если форматнуть диск С и поставить заново систему а диск D не трогать, то вирус останется или ему уже конец будет? Ради интереса. А так интересно продолжить что с этим делать?

Добавлено через 2 часа 7 минут

Что мне делать?

[миднайт]

При сканировании с помощью Live CD флэшки свои подключали?

[dimonbk]

Флешки не подключал, вообще ничего не трогал. Не дождался. Переустановил систему. Теперь на должен появиться?

[миднайт]

Проверьте ваши флэшки на предмет заражения.