Вирус AUTORUN как бороться.

Не в сети

Сообщений: 4

Благодарностей: 0

Предупреждений:

Из:

Belarus

Род занятий:

Johny-electric, сделал как сказал Angel of Despair-базы обновились антивирь заработал. Запустил проверку. Как закончит дам знать))

#190525 | 10.03.10 10:31

Не в сети

Сообщений: 4

Благодарностей: 0

Предупреждений:

Из:

Belarus

Род занятий:

Вобщем отсканировал компьютер вот результат -

Rimecud!inf
Rimecud.B

file:\System Volume Information\_restore{222A878A-E8EA-4462-AB3F-8CA27011825C}\RP47\A0016556.exe

file:\System Volume Information\_restore{222A878A-E8EA-4462-AB3F-8CA27011825C}\RP46\A0015336.inf
file:\System Volume Information\_restore{222A878A-E8EA-4462-AB3F-8CA27011825C}\RP47\A0016558.inf
file:\System Volume Information\_restore{222A878A-E8EA-4462-AB3F-8CA27011825C}\RP56\A0020176.inf

Перезагруз. Вставляю флеш и опять на ней создется папка OSVETA со значком корзины в ней Desktop.ini и odsteta.exe
и файл autorun с содержанием:

[autorun
!jendodmADKLAfaskFLgsgfd
open=OSVETA///odsteta.exe
;dsadfsaфдклЧФсдкфОЕЧКЕЧкфчефњефњењљфњеф
icon=%SystemRoot%\system32\SHELL32.dll,4
!фсафаЋЧлфсдћфлдћфдепћфћлећечлфењ
action=Open folder to view files using Windows Explorer
#fLf?l?dsf?SDklfe?fko?fikeo?FkДэжаыфафыафыцаф
Shell\open\command=OSVETA///odsteta.exe
$аыфафыаЦДЖАЛЭЦЖфаацац
shell\open\command=OSVETA///odsteta.exe
%аыфафдцлацжлаэжфалдцзхпыэукпдУПдУЗХЭпдалЭУКП
USEAUTOPLAY=1
^аыфафыЛДАЭЖулдаУДАУЭадуЗХЭАу

Как с ним бится??? Кстати на компьютере, в котором переустановил винду с нуля и создав папки и файлы на дисках с защитой от удаления, вирь пройти несмог.

#190526 | 10.03.10 12:00

Не в сети

Сообщений: 841

Благодарностей: 51

Предупреждений:

Из:

Russia Москва

Род занятий: IT

rewuxiin,

1) Включите в Проводнике показ скрытых файлов, папок...
2) Включите показ системных файлов

Нижеприведённое работает при условии, что модификация червя сидит типа в "Корзине" (если где-то ещё - можно увидеть в следующих ветках)

#190529 | 10.03.10 13:29

Не в сети

Сообщений: 4

Благодарностей: 0

Предупреждений:

Из:

Belarus

Род занятий:

NMS, ничего из вышеуказанного нет. где же он падла прячется? начал в памяти убивать неизвестные мне приложения - снес Microsoft Security Essentials это чтож за такой антивирус который можно так легко вынести??

#190531 | 10.03.10 14:11

Johny-electric

Не в сети

Инсайдер

Сообщений: 3329

Благодарностей: 391

Предупреждений:

Из:

Russia Усть-Илимск

Род занятий: Электромонтёр

Johny_Electric

ничего из вышеуказанного нет. где же он падла прячется?

Worm:Win32/Rimecud

Microsoft Malware Protection Center писал:The worm then injects its main payload code into the "explorer.exe" process.

начал в памяти убивать неизвестные мне приложения - снес Microsoft Security Essentials это чтож за такой антивирус который можно так легко вынести??

Post #179613 и делее...

#190536 | 10.03.10 16:51

Не в сети

Сообщений: 841

Благодарностей: 51

Предупреждений:

Из:

Russia Москва

Род занятий: IT

rewuxiin :
NMS, ничего из вышеуказанного нет. где же он падла прячется?

А в "вышеуказанном" никакой конкретики и не было. Тогда уж делайте экспорт веток реестра в текстовом формате и представьте для ознакомления. Ветки:

#190542 | 10.03.10 18:27

Не в сети

Сообщений: 4

Благодарностей: 0

Предупреждений:

Из:

Belarus

Род занятий:

Как небыло??

Winlogon Taskman

Run Actualizacion

12CFG94-z641-2SF-N31P-5M1ER6H6L1

Winlogon Shell

у меня таких ключей нет.

Завтра выложу.

#190551 | 10.03.10 21:52

Не в сети

Сообщений: 841

Благодарностей: 51

Предупреждений:

Из:

Russia Москва

Род занятий: IT

rewuxiin, не надо строить и приписывать мне такие "словосочетания". Речь шла про области Winlogon, Run (всё это указано в предыдущем моём посте) откуда червяк может запросто стартовать при запуске системы крепиться к процессам explorer.exe, winlogon.exe...

Т.к. практический каждый вирус имеет модификацию - были приведены возможные варианты, но необязательно, что именно они должны присутствовать. Вот что я имею в виду, когда пишу, что "не было конкретики".

P.S. Словосочетаний типа Winlogon Shell - в реестре не бывает, и по Ctrl+F действительно их там не найти ( если Вы ищите именно так).

#190552 | 10.03.10 22:19

Johny-electric

Не в сети

Инсайдер

Сообщений: 3329

Благодарностей: 391

Предупреждений:

Из:

Russia Усть-Илимск

Род занятий: Электромонтёр

Johny_Electric

rewuxiin, я же привёл ссылку с Microsoft Malware Protection Center, где сказано, что он внедряется в процесс explorer.exe. Вот поэтому вы его и не можете удалить. Единственный вариант - чистить винт от вирусов на другом компе, либо загрузившись с лайв сд. Также, если вирус модифицировал системные файлы, можете запустить в коммандной строке от имени администратора команду

sfc /scannow

для обнаружения модифицированных системных файлов.

#190557 | 11.03.10 01:44

Не в сети

Сообщений: 4

Благодарностей: 0

Предупреждений:

Из:

Belarus

Род занятий:

HKCU_Software_Microsoft_Windows_CurrentVersion_Run

HKCU_SOFTWARE_Microsoft_Windows NT_CurrentVersion_Winlogon

HKLM_Software_Microsoft_Windows_CurrentVersion_Run

HKLM_SOFTWARE_Microsoft_Windows NT_CurrentVersion_Winlogon

остальных веток у меня несуществует.

Johny-electric, спасибо. сейчас попробую отсканить.

NMS, ладно. мы друг друга недопоняли

не будем спорить неочем. лучше помогите разобраться))

#190565 | 11.03.10 09:50

Не в сети

Сообщений: 841

Благодарностей: 51

Предупреждений:

Из:

Russia Москва

Род занятий: IT

rewuxiin, вызывает подозрение вот это:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Taskman"="C:\\Documents and Settings\\Директор\\csrss.exe"

#190572 | 11.03.10 14:02

Не в сети

Сообщений: 4

Благодарностей: 0

Предупреждений:

Из:

Belarus

Род занятий:

NMS, позже помотрю. помоему это от NOD32 который раньше стоял.

#190580 | 11.03.10 17:15

Не в сети

Сообщений: 841

Благодарностей: 51

Предупреждений:

Из:

Russia Москва

Род занятий: IT

rewuxiin, не сообщайте каждый раз, что Вы посмотрите/выложите позже/завтра. Это нужно прежде всего Вам. Как сможете - посмотрите.

Файл сsrss.exe (Client Server Runtime Process), он не от NOD'а - он системный, и находится он в папке Windows\System32, но никак не в папке пользователя.

Поблагодарили: rewuxiin

#190582 | 11.03.10 18:27

Не в сети

Сообщений: 4

Благодарностей: 0

Предупреждений:

Из:

Belarus

Род занятий:

NMS, нашол этот файл. оказался скрытым. Что лучше следует сделать? Удалить однозначно. А вот если он или чтонибудь похожее опять на флеш придет?
NOD32 определил его как WIN32/Peerfrag.GJ червь. Почемуже он его раньше не заметил?? Да и все остальные тоже?

#190592 | 12.03.10 10:58

Не в сети