Найден Trojan.Gen, подозрение на заражение сети.

**itch** · 19.01.2011, 09:07

Здравствуйте!
Вчера вечером обнаружил сработку Symantec Endpoint Protection:

Security Risk Found!Trojan.Gen in File: C:\TEMP\DWHCCE9.tmp by: Auto-Protect scan. Action: Quarantine succeeded : Access denied. Action Description: The file was quarantined successfully.

Просканировал AVZ и HiJackThis - ничего не увидел подозрительного.
Подобные сработки недавно наблюдал на паре машин в сети (мне приходят отчеты). Но там товарищи лазают по всякой фигне, качают дрянь всякую (дождутся, отберу права локальных админов). Обычно такие вещи заканчивались лечением заразы после обновления баз.
С удивлением обнаружил у себя такую сработку.

Аптайм машины к тому моменту составил 3 месяца, а тут такой облом!

Пожалуйста, помогите.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**olejah** · 19.01.2011, 09:33

Здравствуйте!

Чтобы машина проанализировала подозрительные файлы, выполните пожалуйста процедуру, описанную в первом сообщении этой темы - http://virusinfo.info/showthread.php?t=3519

- Ссылку на результат приложите сюда.

**itch** · 19.01.2011, 10:16

Olejah, там ссылка не дается, имя файла -
110119_100917_virusinfo_files_22IVC08_4d368e1dec67 1.zip

в имени файла пробела нет, почему он отображается не знаю

**light59** · 19.01.2011, 11:19

Сообщение от itch

в имени файла пробела нет, почему он отображается не знаю

Не обращайте внимания, это у форума юмор такой...

Trojan.Gen - это подозрение, но не детект.
L:\autorun.inf - ваше?
Ничего плохого не вижу

**itch** · 19.01.2011, 11:37

light59, забыл про него спросить
L:\autorun.inf - не могу удалить файл. (в системе автозапуск с носителей кроме CD-ROM отключен)
как удалить?

вообще по системе: все хорошо и беспокоиться не о чем?
а то я тут как-бы админ домена и страшновато

**olejah** · 19.01.2011, 11:57

Сообщение от itch

как удалить?

-

Выполните скрипт в АВЗ -

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 DeleteFile('L:\autorun.inf');  
 BC_ImportAll;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

**itch** · 19.01.2011, 12:04

я уже через поиск файлов его нашел и нажал "удалить"
в протоколе появилась запись
>>>Для удаления файла L:\autorun.inf необходима перезагрузка

это то же самое?