VBS:Malware-gen

[Alex Kit]

Доброго времени суток!

Помогите, пожалуйста!

После запуска Avast находит вирус VBS:Malware-gen в файле file.bat, который находится в корневом каталоге Windows. Файл удаляется, но после перезагрузки все повторяется. Другие вирусы Avast не находит. Проверил при помощи Dr Web, затем провел проверку, как описано в Ваших правилах.

При выполнении проверки я Avast просто отключал, потому что он не выгружается...

Спасибо!

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\windows\services.exe','');
 DeleteFile('c:\windows\services.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ...

[Alex Kit]

Карантин выслал через "Прислать запрошенный карантин"

Новые логи прилагаю.

К слову, после перемещения services.exe в карантин сообщение о вирусе перестало появляться в Avast'е. Это действительно вирус или глюк Avast'a?

[V_Bond]

в логах чисто ...

[Alex Kit]

А каратнтин вы получили? Это вирус? Я могу его удалять? После того, как этот файл переместили в карантин, Avast ругаться перестал.

[Rene-gad]

Я могу его удалять?

а его уже быть не должно:

DeleteFile('c:\windows\services.exe');

А что, Вы его видите в проводнике?

[Alex Kit]

Вообще-то я имел в виду удалить его из карантина, ведь он еще там, не так ли? Однако вы мне подсказали идею с поиском, и я пустил поиск по диску и нашел еще три файла с таким же названием в следующих каталогах:

windows\system32
windows\ServicePackFiles\i386
windows\system32\dllcache

Кроме того, поиск выдал файлы
SERVICES.EXE-2B0DDD57.pf
SERVICES.EXE-2F433351.pf

в каталоге
windows\prefetch

Avast на них не ругается, но он и на тот файл, что в карантине, не ругался, так что это, наверное, не показатель…

[V_Bond]

тут системные ...
windows\system32
windows\ServicePackFiles\i386
windows\system32\dllcache

это зловреды нужно убивать ....
SERVICES.EXE-2B0DDD57.pf
SERVICES.EXE-2F433351.pf

[Alex Kit]

Удалил. Спасибо!!!

[Rene-gad]

это зловреды нужно убивать ....
SERVICES.EXE-2B0DDD57.pf
SERVICES.EXE-2F433351.pf

Это не зловреды, а следы их вызова в папке ..\windows\prefetch. В этой папке винда откладывает копии запущенных программ, чтобы ускорить их повторный запуск.
Управляется эта функция ключом реестра
HKLM\System\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters\EnablePrefetcher
Возможные установки параметра DWORD:
0 - префетч выключен
1 - префетч только для приложений
2 - префетч только для бута системы
3 - префетч для приложений и для бута системы.

[Alex Kit]

К слову, сегодня опять возникла та же проблема. Снова появился этот system.exe в корне Windows, снова стал создавать VBS:Malware-gen в файле file.bat. Тупо удалить себя он не дал. Проблема решена запуском того же скрипта, но настораживат, что я второй раз ловлю один и тот же вирус, причем при посещении сайтов, на которых раньше точно никогда не был. И Avast этот system.exe в упор не видит. Возможно, недостаток антивируса?

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\services.exe - Email-Worm.Win32.Joleee.c (DrWEB: Trojan.Packed.573)