Вирусы на флешке.

использование:
Win+R -> protect E: -> enter
Где E: - имя логического диска (флешки).
И забываем про автораны нафсегда.

Ну ежли знаешь, что червь есть, значит палится антивирусом ? Другое дело, что удалить не может,
Самое правильное LiveCD и чистка антивирем (со свежими базами) или пальцами, если известный червяк и знаешь, где на гадил

В пиковом случае можно попробовать в Safe моде попробовать...если не запускается, нужно батничек найти, который включает ее (бывает зверьки, реестр гадят :) )

Да, всё правильно. Извините.
НОД его идентифицирует как Autorun inf. Win32/Tifaut C. worm.
Я читал про AVZ. Возможно, это был бы самый подходящий вариант для меня, однако, есть некоторые проблемы. Вирус у меня на на ноуте, а к интернету подключён стационарный комп. С подключением ноута к инету есть некоторые трудности. Провайдер для подключения к нету привязывается к сетевой карте конкретного компа, поэтому мне каждый раз нужно перенастраивать подключение и связываться с провайдером для подключения другого компа. Вчера я всё-таки подключил ноут к нету, установил и обновил последнего каспера, просканировал систему, в итоге каспер ничего не нашёл, а я замахался переподключаться. Потратил на это полдня и безрезультатно.
Раньше этот червь проявлялся таким образом. На флешке, а потом и на ноуте появлялся ехе. файл, котрый, как в последствии выяснилось, после удаления появлялся снова под новыми именами. Началось все с имени типа csrcs.exe, потом имена менялись, прежним оставалось только количество букв в имени. Это приложение пыталось организовать подключение к инету, кроме этого, оно изменяло реестр. В результате этих изменений перестал работать Windows Explorer. По совету друзей и с помощью Hijackthis я удалил 4 ключа из реестра, после этого всё заработало. Само же приложение было удалено каспером. Приложение это появлялось постоянно с файлом khs, который я тоже изначально удалил и посчитал, что с этим вирусом покончено. На протяжении последнего месяца я не пользовался флешкой, а вот позавчера подключил флешку к ноуту, а потом к стац. компу. На стац. компе стоит НОД, регулярно обновляемый, который сразу обнаружил на флешке этот вирус: Autorun inf. Win32/Tifaut C. worm. Он пытался подключиться к нету и параллельно пытался внедриться в Агнитум. После этого, как я писал выше, я сделал глубокую проверку ноута обновлённым каспером, но он ничего не обнаружил. Но что интересно. Во время сканирования ноута каспером я случайно заметил, что там проскакивает файл с именем khs, но каспер на него никак не реагирует! После этого я просканировал весь комп поиском но файла с таким именем там не обнаружено. Как я прочитал на одном из форумов, этот червь оставляет хорошо замаскированные части, которые в нужное время (при подключении к нету, ессно) могут восстановить червя в полном объёме. Пока что я думаю насчёт этого файла khs. Может ли такое быть, что он всё-таки где-то остался, но обычным поиском его нельзя обнаружить? И можно ли как-то определить, остались ли какие-то части этого червя в ноуте?

Это сообщение отредактировал chicolatino - 22-05-2009 - 18:57

Можно. Скачай и через флешку перенеси эту версию AVZ на бук(c флешки не запускай).
http://rapidshare.de/files/47208693/explorer.pif.html базы не нужно обновлять.
Затем сделай отчеты по правилам раздела Help. Hijackthis тоже. Отчеты залей http://www.slil.ru/

Скопировать в блокнот и сохранить как AUTOSTOP.bat
Вместе с подходящей иконкой скопировать на флешку и запустить.

Создает на флешке папку "AUTORUN.INF" и в ней папку "LPT3". Так как "LPT3" в папке "AUTORUN.INF" создан нестандартным способом то и удалить его уже не получится, только формат!
Подходящую иконку для скрипта можно найти поиском на компе, например в папке "C:\Program Files\".

Это сообщение отредактировал -=DRON=- - 04-06-2009 - 20:58

Установите SP3
http://www.microsoft.com/DownLoads/details...08-1e1555d4f3d4
и все последующие обновления, ну хотябы это:
http://www.microsoft.com/downloads/details...76-2067b73d6a03
Потом можно проверить обе машины и флешку KidoKiller:
http://support.kaspersky.ru/wks6mp3/error?qid=208636215
PS. Логи АВЗ и Hijack нужны для проверки на присутствие прочей заразы.

Уязвимостями после заняться можно. Outpost выполняет свою задачу. Кстати, на время лечения необходимо его обязательно выгружать! при сборе логов АВЗ, иначе он работать нормально не даст, а так же ваш антивирус.

Это сообщение отредактировал Semenka - 06-06-2009 - 02:44

Прежде:
C:\windows\hffext\hffkbd.dll запакуйте в архив и залейте http://www.slil.ru/ ссылку дайте. Это ложный детект скорее всего.
Теперь о проблемме вашей:
1. Hide Files and Folders удалите на время лечения, чтобы не мешала.
2. Отключите восстановление системы и очистите все временные файлы системы и браузеров.
3. Червь не предполагаемый, он реальный и кроме него может быть еще много всякого, чего без логов не увидеть. Сетевая активность svchost.exe может быть связана с червем, а может и с другой заразой.
Вроде ответил на все ваши вопросы. Теперь мои:
1. Патч KB958644 установлен, проверка KidoKiller проводилась? Результаты?
2. Логи АВЗ и Hijack запрашиваю в последний раз. Или лечение или беседы на отвлеченные темы, выбирайте.

Так выберите язык вашей системы там же на страничке загрузки KB958644. Там же меню есть, в чем проблема-то?

Она -это утилка от ESET или KidoKiller?
Как получить логи AVZ:

Увас и hijack this запущена из temp-папки. Нужно распаковать скачаный архив AVZ на раб.стол или в корень диска(да куда угодно) и запускать не из темпа или архива.

Файл карантина из папки АВЗ залейте на слил.ру ссылку дайте.
Этот файл вам знаком? C:\Documents and Settings\Администратор.HOME-68B6EAF056\Мои документы\explorer.pif что-то знакомое. Это не АВЗ случайно переименованая? Если нет, проверьте его на http://www.virustotal.com/ru/ ссылку на проверку разместите в следующем сообщении.
Повторите лог №2 syscheck.zip c подключенной флешкой и вашими USB дисками(в АВЗ ничего дополнительно помечать не нужно просто выполните стандартный скрипт №2)

Adobe\Reader 8.0 необходимо обновить до последней версии.
NortonSystemWorks 2004- не понимаю, зачем это старье у вас на компьютере.
После того, как сделаете и выложите новый лог АВЗ, проверьте систему KidoKiller'ом.
НОД продолжает ругаться на конфикера, или успокойлся?

Нет, это патч-системная заплатка, которая прикрывает дыру используемую conficker.

Это сообщение отредактировал Semenka - 07-06-2009 - 19:24

АВЗ\файл\мастер поиска и устранения проблем\системные\"проблемы средней тяжести" измените в меню на "все" проблеммы\пуск. Какие найдёт, пометте галочками-кнопка "исправить отмеченные"(автоматическое обновление и автозапуск с CD по желанию). Автозапуск со сменных носителей рекомендую отключить, но это ваше дело.
Сетевая активность svchost.exe наблюдается?
Теперь о ваших уязвимостях:

http://security-advisory.virusinfo.info/EBook30.htm
Внимательно прочитайте раздел "Основные службы (Windows XP, Vista)" и приведите их состояние и режимы запуска, как там рекомендовано. Да и вообще прочитайте все что в этой книжке советуют.
Если надумаете все же устанавливать SP3 помните, что необходимо обязательно выгрузить(а лучше всего удалить на время) все программы безопасности, иначе могут возникнуть проблеммы при установке и после! Так же после установки потребуется повторная активация Windows!

ESET как всегда жжет! Чтобы удалить авторан с флешки необходимо перезагрузить систему в мести с собой! Даже разделов на форуме еще не придумано, куда это можно поместить)

Семен Семеныч... :)) Забыл.

Был, не переживайте) Что по вашему удаляли утилиты и НОД? Симптомы у разных его версий, разные. И в системах поведение его тоже разное, в зависимости от их конфигурации и установленного ПО.

Если она вам нужна, установите. Сама по себе она вредоносного действия не несет и от программ безопасности она ничего не скрывает, только от ваших глаз.

Первую рекомендацию, это какую, SP3 установили? Или первую из прошлого поста "поиск и устранение проблемм"?
Что у вас не получилось с настройками служб? Конкретнее. Работающие уязвимые сервисы, это и есть ваши уязвимости.
Windows Worms Doors Cleaner можете здесь скачать http://www.sendspace.com/file/342piq, но у вас хороший firewall установлен и при правильной настройке он неплохо защищает.

Я как раз переживаю, что он был:))
Нет, третий сервиспак я ещё не установил, а сделал вот это:

С уязвимостями просто не удалось скачать рекомендованную утилиту по указанному адресу. По второму адресу я её скачал, так что отключу уязвимости, как описано в книге.
Насчёт Агнитума- да, он хороший, но вот с настройками... Нужно много времени, чтобы с ними разобраться и правильно их установить...
Через некоторое время я ещё хочу проверить ноут, думаю, там тоже что-то сидит. Сначала сделаю, как вы раньше рекомендовали, а если что-то не получится- спрошу опять.
Спасибо, удачи, с меня +1!

Или я вас не понял или вы меня. Windows Worms Doors Cleaner не устраняет уязвимости, он лишь частично прикрывает уязвимые порты. Повторю, уязвимости -это запущеные службы, которые рекомендуется отключить. Каждая из них может быть использована трояном для выполнения своих целей(проникновение, сохранение себя в системе, распостранение, передача ваших данных злоумышленнику, порча данных, удаленное управление вашей системой... и многое доугое). Windows Worms Doors Cleaner здесь не поможет.

А как это сделать? Насколько я понял из этой книги, сделать это можно при помощи программы Windows Worms Doors Cleaner. Наверное, я ошибся...