Замучал червь Win32/AutoRun.IRCBot.BJ

**gingerboy** · 31.08.2009, 11:54

Добрый день!

При каждой загрузке ноутбука NOD32 очищает удалением - изолирует некий файл C:\x.bat Антивирус распознает его как Win32/AutoRun.IRCBot.BJ червь. Вдобавок, при запуске флешки загружается файл Autorun/INF, который NOD32 убивает, но флешкой после этого нельзя пользоваться - приходится перезагружать ноут... После перезагрузки иногда флешка нормально открывается, а иногда - нет... :-((( Помогите пожалуйста.
Вот логи

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**AndreyKa** · 31.08.2009, 12:21

Поставьте надежный пароль на учетные записи с правами Администратора.
Установите обновления безопасности на Windows.

Закройте все программы. Запустите AVZ.
Выполните скрипт через меню Файл:

Код:

begin
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\usbmngr.exe','');
 QuarantineFile('C:\WINDOWS\usb_drv.exe','');
 ExecuteRepair(1);
 ExecuteRepair(13);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин через ссылку Прислать запрошенный карантин вверху темы, как написано в приложении 3 Правил.
Сделайте новый лог по пункту 2 Диагностики и приложите к этой теме.

**gingerboy** · 31.08.2009, 12:57

Скрипт выполнил, винда еще не обновилась.... после перезагрузки NOD32 опять завел старую песню про Win32/AutoRun.IRCBot.BJ.... карантин выслал, вот новый лог:

**Белый Сокол** · 31.08.2009, 13:17

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DelBHO('{A55F9C95-2BB1-4EA2-BC77-DFAAB78832CE}');
 TerminateProcessByName('c:\windows\usbmngr.exe');
 TerminateProcessByName('c:\windows\usb_drv.exe');
 DeleteFile('c:\windows\usb_drv.exe');
 DeleteFile('c:\windows\usbmngr.exe');
 DeleteFile('C:\Documents and Settings\Артём\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll');
 BC_ImportDeletedList;
 ExecuteSysclean;
 Executerepair(13);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Повторите лог.

**gingerboy** · 31.08.2009, 13:56

Большое спасибо, NOD32 больше не ругается :-) Вот новый лог:

**Белый Сокол** · 31.08.2009, 14:00

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DelBHO('{A55F9C95-2BB1-4EA2-BC77-DFAAB78832CE}');
 DeleteFile('C:\Documents and Settings\Артём\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll');
 DeleteFileMask('%Tmp%', '*.*', true);
 BC_ImportDeletedList;
 ExecuteSysclean;
 ExecuteRepair(13);
 BC_Activate;
 SetAVZPMStatus(true);
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Повторите лог.

**gingerboy** · 31.08.2009, 14:19

Скрипт выполнил, после перезагрузки винда якобы нашла новое оборудование... наверное надо его удалить в диспетчере устройств? вот новый лог:

**Белый Сокол** · 31.08.2009, 14:24

Выполните это.

**gingerboy** · 31.08.2009, 14:28

Выполнил вариант Олега Зайцева (скрипт в AVZ)

**Белый Сокол** · 31.08.2009, 14:38

Сделайте новый лог.

**gingerboy** · 31.08.2009, 14:46

Сделал, вот новый лог:

**Белый Сокол** · 31.08.2009, 15:14

Попробуйте этот метод.

**gingerboy** · 31.08.2009, 15:24

вроде сделал, написанный вариант скопировал в "блокнот" в windows XP и сохранил без расширения. когда винда спросила "заменить имеющийся файл", нажал "да"

**Белый Сокол** · 31.08.2009, 15:26

Удалите все файлы из папки LOG в директории AVZ и сделайте новый лог virusinfo_syscheck.zip.

**gingerboy** · 31.08.2009, 15:34

Файлы удалил, вот новый лог:

virusinfo_syscheck.zip

**Rene-gad** · 31.08.2009, 16:02

Удалите Spybot Search and Destroy - он переписывает hosts файл на основе активированной иммунизации.
Потом повторите: http://virusinfo.info/showpost.php?p=454125&postcount=2

**gingerboy** · 31.08.2009, 16:16

Spybot удалил, код выполнил

**Rene-gad** · 31.08.2009, 18:20

Лог по п.2 Диагностики повторите, плыыз

**gingerboy** · 31.08.2009, 18:28

Сделал, вот новый лог:

virusinfo_syscheck.zip

**Rene-gad** · 31.08.2009, 18:34

Сообщение от gingerboy

код выполнил

какой код? Нужно ЗАМЕНИТЬ файл c:\windows\system32\drivers\etc\hosts по образцу отсюда: http://virusinfo.info/showpost.php?p=454125&postcount=2

Добавлено через 29 секунд

Потом повторите лог по п.2 Диагностики.