Virus.Win32.Sality.bh по классификации Касперсокого. [Virus.Win32.Sality.v ]

[Nokami]

В каждой папке создаётся такая же папка с расширением .exe Антивирус нод 32 версии 5,2,9,12 с последними базами сразу же удаляет вновь созданные файлы, но безрезультатно. Использовал программу SalityKiller.exe и вот этот мануал по лечению > http://support.kaspersky.ru/viruses/...&qid=208636131 , но не помогло. Надеюсь на вашу помощь.

[Info_bot]

Уважаемый(ая) Nokami, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[regist]

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Windows\Cursors\services.exe','');
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)


- Сделайте лог полного сканирования МВАМ.

- Проведите процедуру, которая описана в первом сообщении тут. Результат загрузки напишите в сообщении здесь.

[Nokami]

Первые 2 скрипта выполнились без ошибок, но не удалось загрузить файл quarantine.zip :

Результат загрузки
Ошибка загрузки. Данный файл уже был загружен

Последняя процедура:

Результат загрузкиФайл сохранён как 120914_152325_virusinfo_files_NOKDEL_50534bedcfd37 .zip
Размер файла 10342566
MD5 7263fb05a4aec24625921b6917969682

Файл закачан, спасибо!

[regist]

В каждой папке создаётся такая же папка с расширением .exe

запакуйте пару этих файлов в zip архив с паролем virus и загрузите по ссылке Прислать запрошенный карантин вверху темы.

- - - Добавлено - - -

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin 
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFileF('C:\Windows\Cursors\','*', true,'',0 ,0);
DeleteFile('C:\Windows\Cursors\services.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Service');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[Nokami]

запакуйте пару этих файлов в zip архив с паролем virus и загрузите по ссылке Прислать запрошенный карантин вверху темы.

Готово:

Результат загрузки Файл сохранён как 120915_183750_Virus.Win32.Sality.bh_5054cafe0aaed. zip
Размер файла 462210
MD5 c8ced544cf776a1b4e3883a198a75401

Файл закачан, спасибо!

Файл quarantine.zip :

Результат загрузкиФайл сохранён как 120915_184912_quarantine_5054cda8ad743.zip
Размер файла 10342566
MD5 94e4dd1a9dbb6e2c5ba8680b55294ab0

Файл закачан, спасибо!

Логи так же прикрепил.

[regist]

пролечитесь как указано в этой теме: Как лечить файловый вирус?, потом сделайте новые логи.

- - - Добавлено - - -

после live cd ещё раз навсякий случай прогоните SalityKiller

[Nokami]

Успел проверить пока только CureIT'ом вроде бы он удалял какие то вирусы из тех папок, которые вы просили меня прислать в архиве. Вот логи:

[regist]

Успел проверить пока только CureIT'ом

это бесполезно, лечить надо именно с Live CD (либо снимать винчестер подключать к другой машине и т.д. ...)

так что просканируйте с Live CD и только после этого жду новые логи.

[Nokami]

Увы и ах.. Владелец компьютера не выдержал такого накала страстей не дождался меня и переустановил операционную систему (поверх старой). Но лайв сиди сколько то успел просканировать. На новой системе вирус мучать уже не будет? Вот на всякий случай логи:

[Techno]

На новой системе вирус мучать уже не будет?

Если поставили просто поверх без форматирования, то всего скорее все вернется.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 19
• В ходе лечения обнаружены вредоносные программы:
  
  1. \\новая папка\\l.a. noire - the complete edition.exe - Virus.Win32.Sality.v ( DrWEB: Win32.HLLW.Amorale, AVAST4: Win32:Delf-ETA [Wrm] )
  2. \\новая папка\\mass effect 2 arrival.exe - Virus.Win32.Sality.v ( DrWEB: Win32.HLLW.Amorale, AVAST4: Win32:Delf-ETA [Wrm] )
  3. \\новая папка\\max payne 3.exe - Virus.Win32.Sality.v ( DrWEB: Win32.HLLW.Amorale, AVAST4: Win32:Delf-ETA [Wrm] )
  4. \\новая папка\\mechwarrior online.exe - Virus.Win32.Sality.v ( DrWEB: Win32.HLLW.Amorale, AVAST4: Win32:Delf-ETA [Wrm] )
  5. \\новая папка\\warface.exe - Virus.Win32.Sality.v ( DrWEB: Win32.HLLW.Amorale, AVAST4: Win32:Delf-ETA [Wrm] )