autorun.inf csrcs и svchost.

[qoma]

Об этом уже писалось. Выполнял типичное лечение csrcs под номеро 16. Так же ручками пролечивал много раз. Чистил все что можно. Носится это все флешками. АВ видят, но только авторан удаляют. Иногда видят svchost из С:\Windows\Offline Webpages. Вирусняк упорно гуляет ни смотря ни на что. Вот сейчас опять явился на одной из машин.

[PavelA]

Автозапуск флешек отключен?

Добавлено через 5 минут

Профиксить:

F2 - REG:system.ini: Shell=Explorer.exe csrcs.exe

Выполнить:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\csrcs.exe','');
 DeleteFile('E:\autorun.inf');
 DeleteFile('E:\recycled\sys.exe');
 DeleteFile('C:\WINDOWS\system32\csrcs.exe');
BC_ImportDeletedList;
ExecuteRepair(16);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Сделать заново логи.
Загрузить карантин по Правилам через http://virusinfo.info/upload_virus.php?tid=42132

Прочитай тему в "Чаво" про отключение автозапуска.

[qoma]

То есть до тех пора включен автозапуск с этим вирусом ничего не поделать?

[qoma]

После выполнения скрипта файл C:\Windows\Offline Webpages\svchost.exe продолжал работу. В системе он прописан как служба System Sheduler. Вычищал комп до этого вручную - правил все значения реестра, содержащие csrcs и C:\Windows\Offline Webpages\svchost.exe. Не помогало.

[PavelA]

Я написал на тот случай, если вдруг придется снова вставлять флешку в комп.
Дело просто в том, что AVZ этот сервис удаляет.
Отключим автозапуск - исключим его(сервиса) возникновения через флешку.

Второй вариант: гуляние малваре по сетке. Крепкий пароль на Администратора тоже необходим.

[qoma]

Авз его удаляет. Я его тоже удаляю, но он появляется снова.

То есть даже при выключенном автозапуске, но при открытых сетевых папках вирус все равно будет гулять по сети используя уязвимости в виндовсе? Проникает он используя пустые пароли админской учетки и разрешенных анонимных или гостевых пользователей?

Поможет ли установка пароля (а почему крепкий нужен? он что по словарю пароли перебирает к админке?) и запрещение учетной записи гостя?

Спасибо.

[pig]

он что по словарю пароли перебирает к админке?

Да.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\csrcs.exe - Packed.Win32.Klone.bj ( BitDefender: Trojan.Heur.AutoIT.1 )
  2. e:\autorun.inf - Worm.Win32.VB.fi ( DrWEB: Win32.HLLW.Autoruner, BitDefender: Trojan.ATR )
  3. e:\recycled\sys.exe - Worm.Win32.AutoRun.rr ( DrWEB: Win32.HLLW.Autoruner.239 )