Интернет-черви AutoIT:Balero-C[Wrm] нескольких модификаций-обнаруживаются, но не удаляются

[Шапельский Александр]

Если архив распакуется- сканировать в безопасном режиме Виндовса?

Если не получится сканировать в обычном, тогда в безопасном.

[Владимир2911]

Сейчас сканирую в обычном- уже третья попытка. При первых двух программа в какой-то момент зависала, да так что ничего нельзя было посмотреть (на каком этапе) - только перегрузить комп.

[Владимир2911]

Опять вирусяки поналазили, я заархивировал созданные ими файлы, высылаю- но один из архивов не загрузился:

[Владимир2911]

СПАСАЙТЕ!!! Эта гадость уже попёрла с расстановкой в 5-10 секунд, Аваст её уже ловит на всех дисках...

[Шапельский Александр]

Воспользуйтесь Kaspersky Rescue Disk 10--http://support.kaspersky.ru/viruses/rescuedisk

[Владимир2911]

ОК. сейчас закачяю- но там 200 Мб. займёт час-полтора, и потом проверка ещё пол-дня как минимум- ответ будет не скоро. Касперский AVP Tool ещё проверку не закончил- пишет что ещё 8 часов будет "чехвостить". Что Вы скажете по поводу тех "вирусных" файлов- что я в архиве прислал?

Добавлено через 6 минут

Эти вирусные файлы я везде после создания архива после Аваста подчистил- но они повылазили вновь (комп не перезагружался)- но теперь они уже ни проводником ни Тотал Коммандером не удаляются- при попытке это сделать "виснет" и перезапускается и проводник и Тотал

Добавлено через 1 минуту

Теперь их удалить получится только после перезагрузки системы в безопасном режиме... И так каждый день- до сотни раз. Если ничего не делать- эти файлы обседают все "расшаренные" папки и комп жестоко начинает тормозить.

[Шапельский Александр]

Что Вы скажете по поводу тех "вирусных" файлов- что я в архиве прислал?

К сожалению, я их посмотреть сейчас не смогу. Вечером. Закачайте этот архив по ссылке Прислать запрошенный карантин в шапке Вашей темы

Добавлено через 1 минуту

Если ничего не делать- эти файлы обседают все "расшаренные" папки и комп жестоко начинает тормозить.

Вы второй ПК отключили от локалки?

[Владимир2911]

ДА, второй комп отключён от локалки ещё вчера- кабель вынут. Да и не включаю его пока с ноутом не разберусь. Архивы должен буду создать заново- я их удалил сразу после закачки- а то на них поминутно Аваст ругался. Аваст их типа удалял- но архивы оставались, пока я их вручную не удалил и из корзины тоже. Но файлы такого же плана продолжают появлятся- Аваст их ловит- а я вручную удаляю...

Добавлено через 9 часов 53 минуты

Скачал Kaspersky Rescue disk'10, загрузился с него, выбрал русский язык, запустил графический режим- пошла загрузка каких-то файлов, позже появилась экранная заставка Kaspersky Rescue disk'10 - и на этом проверка закончилась, по крайней мере- ничего не происходило, индикатор винта не загорался и не мигал- тоесть и в фоново режиме проверка не происходила. Последняя проверка с Kaspersky AVPToll'11-поставил настройки по максимуму и запустил- происходила проверка, нашол несколько уязвимостей системы- и при прогрессе 49% программа "зависла"- проверка остановилась, да так что закрыть программу не удавалось- пришлось перегружатся. Что же это такое? Ноутбук новый, на гарантии (5 месяцев) HP Probook 4720s - только модуль памяти сразу после покупки ему добавил (up to 8GB)

[Шапельский Александр]

Выполните следующее:
Скачайте Windows Worms Doors Cleaner--http://2ip.ru/download/wwdc.exe Запустите ее от имени администратора.
Вы увидите следующее окно
closeport_shot.jpg
Выбирайте и нажимайте кнопки с надписью Disable и Close.
Перезагрузите компьютер. В итоге все индикаторы должны быть зеленого цвета. Это будет означать, что порты 135-139, 445 и 5000 закрыты.
Включите файрволл Windows, если он отключен.

[Владимир2911]

Понял, сейчас сделаю. Файрволл Windows - это Защитник Виндовс? Он у меня вроде бы всегда включён и регулярно обновляется...

Добавлено через 37 минут

Ещё раз проверил настройки ЗАщитника Виндовс- там всё в норме, и настройки довольно жосткие (всё подозрительное удалять), все опции включены, исключённых из проверки папок и фалов нет. По 5-му заходу работает АВП Тул- уже 73% прошол успешно- но ничего опасного не нашол пока. Пишет- ещё два часа будет пилить

[Шапельский Александр]

Файрволл Windows - это Защитник Виндовс?

Нет.

[Владимир2911]

Вы вчера архив с вирусными файлами успели посмотреть? Я их потом поудалял- но они с утра опять успели поналазить: при включённном Авасте и во время проверки АВП Тул-она сейчас закончится и я перегружу комп (Windows Worm Door Cleaner я скачал и задействовал- но ещё не перегружался). Удалять эти файлы- или сначала заархивировать их?

[Шапельский Александр]

Удалять эти файлы- или сначала заархивировать их?

Заархивируйте и закачайте по ссылке Прислать запрошенный карантин в шапке Вашей темы

[Владимир2911]

Всё, архивирую, отключаюсь и перезагружаюсь- АВП Тул с пятой попытки выполнил полное сканирование но ничего нового не нашол- даже не обратил внимание на созданные вирусами файлы...

Добавлено через 21 минуту

Всё, отправил в запрошенный карантин два созданных вирусом файла. ещё два вида типичных вайлов которые создаяёт вирус- типа Cold_Games.exe и типа hky, khy без расширения - в этот раз отловить и заархивировать не удалось. Кроме того- в Windows Worm Door Cleaner cтали зелёными только первая и четвёртая позиции- остальные жёлтые, и само окно этой утилиты при открытии почему то моргает. Всё- опять надо перегружатся- потому что для создания архива я отключал Аваст- и теперь опять завал- пошло тотальное заражение.

Добавлено через 15 минут

Поудалял вирусные файлы в безопасном режиме и перегрузился- всё равно в Windows Worm Door Cleaner остаётся зелёными только первая и четвёртая кнопкию На второй и третье сейчас светится Enable- тоесть можно включить если нажать, а на последней - пятой- Close messenger так и остаётся- и сколько раз я не нажимал- выпадает окошко- что оно чего-то там не может сделать- потому что мешает что-то. И само окно этого Cleanera дёргается как в нервном тике.

[Шапельский Александр]

У Вас Worm.Win32.Autoit.xl--http://www.securelist.com/ru/descrip...in32.Autoit.xl
Аваст его не распознает--KIS 2011=Зловред Worm.Win32.AutoIt.xl; DrWEB 6.0=Зловред archive: archive: Win32.HLLW.Autoruner.based; VBA32=Зловред Trojan.Autoit.F; BitDefender=Зловред Gen:Trojan.Heur.AutoIT.3; NOD32=Файл чистый; Avast4=Файл чистый (на 24.09.2011 14:52:34)
Сейчас напишу скрипт удаления вируса.

Добавлено через 41 минуту

Отключите восстановление системы, если включено!

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
 SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('%System32%\csrcs.exe');
QuarantineFile('%System32%\csrcs.exe','');
QuarantineFile('%System32%\autorun.inf','');
QuarantineFile('%System32%\autorun.in','');
QuarantineFile('%System32%\autorun.i','');
QuarantineFile('%System32%\autorun.i','');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunServices','csrcs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\policies\explorer\run','csrcs');
RegKeyDel('HKEY_LOCAL_MACHINE','Software\Microsoft\DRM\amty');
DeleteFile('%System32%\csrcs.exe');
DeleteFile('%System32%\autorun.inf');
DeleteFile('%System32%\autorun.in');
DeleteFile('%System32%\autorun.i');
DeleteFile('%System32%\307866.exe');
RegKeyParamWrite('HKLM','Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden','CheckedValue','reg_dword','2');
RegKeyParamWrite('HKLM','Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden','CheckedValue','reg_dword','0');
RegKeyParamWrite('HKLM','Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\ShowSuperHidden','CheckedValue','reg_dword','0');
RegKeyParamWrite('HKLM','Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\Showall','CheckedValue','reg_dword','1');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('PRT', 2, 2, true);
Executerepair(16);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

[Владимир2911]

Сейчас выполню- но пока перезагрузился и прочитал Ваше сообщение- опять этих файлов поналазила толпа.

Добавлено через 13 минут

Я не смог выполнить Ваш скрипт! Сначала отключил восстановление системы- оно отключилось, но как-то коряво -выдавало по два окна с ошибкой на каждый диск: "Невозможно создать запланированную задачю по следующей причине: такой запрос не поддерживается, ошибка 0х80070032" и следующее окно "Произошла ошибка на странице свойств: такой запрос не поддерживается, ошибка 0х80070032. Закройте страницу свойств и повторите попытку"- но после закрытия окон напротив каждого диска стоит "отключено". Когда я как обычно "от администратора " запустил АВЗ и вставил туда Ваш скрип- он начал выполнятся- в окне АВЗ побежали строчки- последние штук семь- красным шрифтом- и всё!- система прекратила работу программы АВЗ- с сообщением типа "прекращена работа, закрыть програму и поискать причины в Интернете?"... Что делать? Я трижды повторил попытку выполнить скрипт до конца- то же самое происходит.

Добавлено через 14 минут

И я так понял- что вирус этот пролез потому что у меня диски расшаренные? Если я диск C на каждом из компов закрою для общего доступа (что весьма не удобно)-то второй раз подобное заражение не повторится?

Добавлено через 6 минут

По поводу этого: "Аваст его не распознает--KIS 2011=Зловред Worm.Win32.AutoIt.xl; DrWEB 6.0=Зловред archive: archive: Win32.HLLW.Autoruner.based; VBA32=Зловред Trojan.Autoit.F; BitDefender=Зловред Gen:Trojan.Heur.AutoIT.3; NOD32=Файл чистый; Avast4=Файл чистый (на 24.09.2011 14:52:34)"-
по первому появлению Аваст распознаёт вирус в каждом типе вышеназванных файлов- и по моему выбору "удалить"- якобы удаляет. Но при открытии диска проводником видно что файлы остаются на месте, если на них повторно "навести" Аваст- то тогда уже говорит что "файл чистый"- и удаляются потом эти файлы мною вручную- иногда после перезагрузки в безопасный режим.
Каждый раз после чистки первым появляется файл autorun.inf, потом- без расширения файл khv, khy и одновременно- exe-файлы с названием из шести латинских букв, расположенных в случайном порядке.

[Шапельский Александр]

Подправил скрип, еще раз пробуйте выполнить.

[Владимир2911]

Пробую...

Добавлено через 3 минуты

Не выходит: теперь уже сразу после первой строчки выполнения скрипта "delete..." выскакивает сообщение системы "работа программы прекращена и бла-бла-бла..."

Добавлено через 2 минуты

может опять перегрузится в безопасном режиме и вручную удалить хотя бы некоторые из файлов- указанные в скрипте?

[Шапельский Александр]

Надо просканировать ПК LiveCD, иначе толку не будет. Kaspersky Rescue Disk 10 запускали?
Если не получается, тогда просканируйте систему Dr.Web LiveCD--http://www.freedrweb.com/livecd/

[Владимир2911]

Да, Касперский Рескуе диск уже пробовал- две болванки записал на скоростях 24 и 10-х- без толку: запускаюсь с СД- выбираю русский язык- потом графический режим- идёт загрузка файлов- потом появляется заставка Касперский Рескуе диск- и всё, минуты две ещё работает сд-привод, потом всё замирает, ни индикатор Сд ни индикатор винта не мигают, ничего не происходит- по часу и два ждал...
Ещё попробую ДР.Веб Сд.

Добавлено через 12 минут

Одного не пойму- если это известный вирус- очему его ни CureIt ни AVp Tool последних модификаций не видят и не нейтрализуют? Я же и тем и вторым полностью прогнал все диски с максимальными настройками чувствительности? Я уже молчу про Аваст- он хотя бы видит и делает попытки перехватить- но реально не чистит, а по второму разу- и не видит... Что ж это за гадость такая крутая и откуда она у меня взялась?

Добавлено через 5 минут

Полтора года назад тоже у меня "заболел" комп, полторы недели с помощью Virus.info провозились- а проблема решилась просто- когда посоветовали PC tools IS скачать и установить, после установки понаходило кучю гадости и почистило - но это сложная и капризная в работе программа, позже я её удалил. Неужели опять придётся- вариантов нету?

Добавлено через 3 минуты

Ваш скрипт после перезагрузки системы всё равно не выполняется- с тем же результатом. Качаю Др.Веб. ЛивСд.

Добавлено через 30 минут

Не получается! Вместо положенных 176 мб ДрВеб ЛивСД загружается файл ISO размером 41 мб- дважды пробовал перезагрузить после удаления предыдущей загрузки и перезагрузки компа, и нормально не пишется- уже две болванки испортил.