dr-web обнаружил вирус BackDoor.Generic.1138!

[sergio75]

SpIDer Guard переодически выдает сообщение о вирусе BackDoor.Generic.1138!

[Geser]

begin
 QuarantineFile('C:\Documents and Settings\I_AM\Local Settings\Application Data\smss.exe','');
 DeleteFile('C:\Documents and Settings\I_AM\Local Settings\Application Data\smss.exe');
end.

Выполните скрипт, пришлите содержимое карантина

[sergio75]

Извините, какой скрипт выполнить?

[Geser]

http://virusinfo.info/showthread.php?t=7239

[sergio75]

Содержимое карантина

[sergio75]

Не могу отправить содержимое карантина, не коректный файл.

[sergio75]

Если только так. Но в карантине результат месячной давности.

[anton_dr]

1. в правилах написано, как отправлять файлы.
2. То, что Вы прикрепили, никто на просил. просили выполнить скрипт, и прислать карантин. http://virusinfo.info/showpost.php?p=95322&postcount=2

[sergio75]

Имено так я и сделал! В карантине было только это. Перезагрузился и снова попер вирус.

[sergio75]

А если так?

[sergio75]

Выполнил скрипт. Написало что выполнен без ошибок.Затем - автокарантин. Полностью содержимое превышает ограничения на отправку, поэтому выслал в таком виде.

[anton_dr]

Еще раз. Где Вас просили делать автокарантин?
После выполнения скрипта в карантине должен был оказаться ОДИН файлик. Его и надо было прислать по правилам, а именно - по ссылке http://virusinfo.info/upload_virus.php?tid=7878 Прикреплять что-либо, кроме логов к сообщениям не нужно!

Так как фик сейчас разберешься, что у вас наудалялось и что в карантине. Начнем сначала. Сделайте логи.

[sergio75]

После выполнения скрипта в карантине ничего не оказалось!!! Что теперь прикажете делать?

[Geser]

После выполнения скрипта в карантине ничего не оказалось!!! Что теперь прикажете делать?

Не оказалось так не оказалось. Повторите логи. И скорее всего вы получаете своего бекдора снаружи через какую-то дыру. Где конкретно на диске обнаруживаются зараженные файлы?

[sergio75]

10-02-2007 19:37:13 [CL] C:\Documents and Settings\All Users\Документы\SharedDocs.exe - инфицирован BackDoor.Generic.1138
10-02-2007 19:37:14 [CL] C:\Documents and Settings\All Users\Документы\Мои видеозаписи\Мои видеозаписи.exe - инфицирован BackDoor.Generic.1138
10-02-2007 19:37:14 [CL] C:\Documents and Settings\All Users\Документы\Моя музыка\Моя музыка.exe - инфицирован BackDoor.Generic.1138
10-02-2007 19:37:15 [CL] C:\Documents and Settings\All Users\Документы\Моя музыка\Sample Playlists\Sample Playlists.exe - инфицирован BackDoor.Generic.1138
10-02-2007 19:37:15 [CL] C:\Documents and Settings\All Users\Документы\Моя музыка\Образцы музыки\Образцы музыки.exe - инфицирован BackDoor.Generic.1138
10-02-2007 19:37:16 [CL] C:\Documents and Settings\All Users\Документы\Моя музыка\Образцы музыки\Образцы музыки.exe - удален
10-02-2007 19:37:16 [CL] C:\Documents and Settings\All Users\Документы\Моя музыка\Образцы музыки\Образцы музыки.exe - инфицирован BackDoor.Generic.1138
10-02-2007 19:37:17 [CL] C:\Documents and Settings\All Users\Документы\Моя музыка\Образцы музыки\Образцы музыки.exe - инфицирован BackDoor.Generic.1138
10-02-2007 19:37:17 [CL] C:\Documents and Settings\All Users\Документы\Моя музыка\Sync Playlists\Sync Playlists.exe - инфицирован BackDoor.Generic.1138
10-02-2007 19:37:18 [CL] C:\Documents and Settings\All Users\Документы\Мои рисунки\Мои рисунки.exe - инфицирован BackDoor.Generic.1138
10-02-2007 19:37:19 [CL] C:\Documents and Settings\All Users\Документы\Мои рисунки\Образцы рисунков\Образцы рисунков.exe - инфицирован BackDoor.Generic.1138
10-02-2007 19:37:19 [CL] C:\Documents and Settings\All Users\Документы\Мои рисунки\Образцы рисунков\Образцы рисунков.exe - инфицирован BackDoor.Generic.1138
10-02-2007 19:37:20 [CL] C:\Documents and Settings\All Users\Документы\Мои рисунки\Образцы рисунков\Образцы рисунков.exe - инфицирован BackDoor.Generic.1138
10-02-2007 19:37:20 [CL] C:\Documents and Settings\All Users\Документы\Мои рисунки\Образцы рисунков\Образцы рисунков.exe - инфицирован BackDoor.Generic.1138
10-02-2007 19:37:21 [CL] C:\Documents and Settings\All Users\Документы\Мои рисунки\Образцы рисунков\Образцы рисунков.exe - инфицирован BackDoor.Generic.1138
10-02-2007 19:37:22 [CL] C:\Documents and Settings\All Users\Документы\Мои рисунки\Образцы рисунков\Образцы рисунков.exe - инфицирован BackDoor.Generic.1138
10-02-2007 19:37:23 [CL] C:\Documents and Settings\All Users\Документы\Мои рисунки\Образцы рисунков\Образцы рисунков.exe - инфицирован BackDoor.Generic.1138

[sergio75]

Прошу прощения!

[sergio75]

Забыл.

[RiC]

AVZ - "Файл"=>"Выполнить скрипт"

begin
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\I_AM\Local Settings\Application Data\smss.exe','');
 QuarantineFile('C:\WINDOWS\system32\CMMON32.EXE','');
 DeleteFile('C:\Documents and Settings\I_AM\Local Settings\Application Data\smss.exe');
 DeleteFile('C:\WINDOWS\system32\CMMON32.EXE');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_LogFile(GetAVZDirectory + 'boot_clr.log'); 
 BC_Activate;  
 RebootWindows(true);
end.

Пофиксите в Hijack строку

O4 - HKCU\..\Run: [Tok-Cirrhatus] "C:\Documents and Settings\I_AM\Local Settings\Application Data\smss.exe"

После перезагрузки пришлите нам карантин, повторите логи и добавьте к ним boot_clr.log из каталога AVZ.

[sergio75]

При выполнении скрипта комп так повис, что пришлось выключать кнопкой. Без CMMON32.EXE не могу подключиться к инету. Пришлось делать откат системы.

[Geser]

А, видел такое. Этот троян распространяется через Desktop.ini посмотрите, у Вас должно быть полно таких файлов в разных директориях. НАйдите один Desktop.ini и прикрипите к посту