|
|
|
|
| Компьютерный форум OSzone.net » Компьютеры + Интернет » Хочу все знать » [решено] Как удалить два "неудаляемых" вируса, их "назначение", и принцип работы |
|
|||||
|
|
[решено] Как удалить два "неудаляемых" вируса, их "назначение", и принцип работы
|
Будем жить, Маэстро... Сообщения: 6694 |
С Днём Победы всех! Здоровья крепкого!
В общем расклад такой Предистория\пролог Есть ноутбук, на котором есть 6 логических дисков. C: - D: - E: - F: - G: - H:, антивирусника на нём не было. Точно знаю, что были там вирусы. Форматнул диск C:, установил систему, драйвера, и... понял, интуиция или ещё как? Но понял точно, что вирусы есть всё равно, переустановка не помогла удалить их. Подключил ноут по локальному соединению к своему стационарному компу, проверил Касперским, предварительно обновив базы. Антивирус нашёл 12 опасных объекта: 6 Вирусов и 6 Троянов. На каждом диске, в корне лежало два одинаковый файла: Код:
 autorun.inf u.bat Код:
;41w3DaA7oaaqi2c5diZ3AnLfS5K7dejwAKraesK78aFk0k1i3swi1LAfwak4a2w3wwll0S2worJr2qdk4ks4 [AutoRun] ;iAkSk4kwoj0deoqL3wK2wJJ8pic71c99kai3241wkD open=u.bat ;iapsif33s3dJksS4i53wkp1swJl10ikKafDkk22KelDosAKdaw3 shell\open\Command=u.bat ;k shell\open\Default=1 ;qikLHZkasq2dpskdl4sK shell\explore\Command=u.bat ;fw0 Антивирус Касперского идентифицирует их как: Код:
вирус Worm.Win32.AutoRun.bnq Файл: \\Alexandr\MEDIA (G)\autorun.inf троянская программа Trojan-PSW.Win32.OnLineGames.nhx Файл: \\Alexandr\MEDIA (G)\u.bat  Мои действия и попытки удалить Удаление этих файлов антивирусом, не решает проблему, он их конечно удаляет, но они потом восстанавливаются. Данные файлы, имеют атрибуты: Скрытый, Системный, Только для чтения. Поэтому на ноуте я не могу выставить отображение скрытых и системных файлов, решение предложенное в этой теме Доступ - [решено] Помогите отобразить скрытые папки и файлы! проблему не решает. С ноута их не видно, с моего компа через локалку, я их вижу, и удаляю вручную, через секунд 15-20 они чудесным образом появляются на диске. Решил пойти таким путём, решил переименовать их, но номер не прошёл, они переименовались, но это действие было эквивалентно < Shift + Del >, всё равно по прошествии пол минуты они появляются. Следующий мой шаг был через команду: Код:
attrib u.bat -s -h -r Последний ход был, скорее агоничным. Загрузился я с загрузочного CD - запуситл Volcov Commander, и в чистом DOS'e, попробовал удалить их нажав клавишу F8 Delete - не удалились, выдало сообщение с выделенной буквой, для файла: (буквы которые были выделенны, тут выделены жирным курсивом) autorun.inf u.bat С перемещением вышли те же грабли... Хотел переместить в одну папку и потом грохнуть... Не судьба... Но интересно ведь, неужели я не могу их победить?! Они ничем не проявляют себя, кроме того, что эти файлы присутствуют и нельзя другие файлы отобразить если они скрытые и системные. Есть конечно вариант с форматированием всего винчестера, но это крайняя мера, поскольку там есть законодательные и бухгалтерские базы. Таблицы и документы... В связи с этим, возникают несколько вопросов: 1. Что это за вирусы? Их назначение? (Если они только в корне диска и всё.) 2. Насколько безопасно будет перекопировать все данные с одного компа на другой, кроме этих вирусов? (Не передадутся ли и они, как "бонус", с копированием?) 3. Как их всё таки удалить? (Поскольку те выделенные буквы, как будто комп не понимает имени файла, так и пишет: Bad command or name file, когда я из под DOS'a, хочу их удалить, команды вводил правильно.) 4. Возможно ли их удалить без форматирования всего винчестера?! (Как я понял, если трояны, то кроме как "уворовывания и слежения" за ноутом, у них нет другого назначения?) Была ещё задумка(ночью пришла), написать .cmd с таким содержимым: Код:
@echo off del C:\autorun.inf del C:\u.bat del D:\autorun.inf del D:\u.bat del E:\autorun.inf del E:\u.bat del F:\autorun.inf del F:\u.bat del G:\autorun.inf del G:\u.bat del H:\autorun.inf del H:\u.bat |
|
|
------- Отправлено: 16:57, 10-05-2008 |
Ветеран Сообщения: 2907
|
Профиль | Отправить PM | Цитировать Drongo, попробуйте загрузится с диска Windows PE/bartPE, а не DOS и удалить их.
И какого содержание u.bat? скиньте мне в PM. Только в виде текста! А файла d.com случайно нет? А то, судя, по информации из Интернета, он из этой же вирусной "семьи". Цитата Drongo:
Цитата Drongo:
======================== И еще: можно просканировать систему утилитой drweb cureit! (http://freedrweb.com/) |
||
|
Последний раз редактировалось Котяра, 10-05-2008 в 17:14. Причина: ИСПРАВИЛ УКАЗАНИЯ Отправлено: 17:06, 10-05-2008 | #2 |
|
Будем жить, Маэстро... Сообщения: 6694
|
Профиль | Сайт | Отправить PM | Цитировать Котяра,
Цитата Котяра:
Цитата Котяра:
Цитата Котяра:
Код:
MZ@  Цитата Котяра:
|
||||
|
------- Отправлено: 17:18, 10-05-2008 | #3 |
|
Ветеран Сообщения: 2907
|
Профиль | Отправить PM | Цитировать Цитата Drongo:
|
|
|
Отправлено: 17:19, 10-05-2008 | #4 |
|
Ветеран Сообщения: 3487
|
Профиль | Сайт | Отправить PM | Цитировать Drongo, Даешь, у нас же на форуме есть правила для запроса .
Самостоятельное исследование оно конечно хорошо, но есть наработки и почему бы не воспользоваться. Посмотреть bat-ник -- переименовать u.bat в u.txt. |
|
|
------- Последний раз редактировалось Severny, 10-05-2008 в 17:32. Отправлено: 17:22, 10-05-2008 | #5 |
|
Будем жить, Маэстро... Сообщения: 6694
|
Профиль | Сайт | Отправить PM | Цитировать |
|
------- Отправлено: 17:31, 10-05-2008 | #6 |
|
Ветеран Сообщения: 3487
|
Профиль | Сайт | Отправить PM | Цитировать Drongo, Дело в том, что ты не определил возможный руткит, драйвер или trojan-downloader, который их восстанавливает. Тем более с помощью AVZ можно удалить любой файл. Далее с помощью AVZ возможно будет ограничить возможность заражения подобным вирусом.
|
|
------- Отправлено: 17:34, 10-05-2008 | #7 |
[OVER]Baw17 Сообщения: 4085
|
Профиль | Отправить PM | Цитировать Drongo, самое простое
1. посмотреть и удалить, если есть в Автозагрузке файл Amvo.dll и Amvo.exe и все что связанно с ним в Реестре 2. взять anti_autorun.exe и провести им чистку несколько раз подряд и вообще данный вирус нарушает показ Скрытых файлов и папок и блокирует нормальный доступ к локальным дискам по левой клавиши мышки только лечить надо не по сети, а локально на каждой машине для предотвращения запуска заразы с флешек в AVZ - Файл-Мастер поиска и устранения проблем - Системные (все проблемы) - Пуск - и пофиксить "Разрешен запуск со сменных носителей" |
|
------- Последний раз редактировалось Baw17, 10-05-2008 в 17:46. Причина: дописал и орф Отправлено: 17:37, 10-05-2008 | #8 |
|
Ветеран Сообщения: 2907
|
Профиль | Отправить PM | Цитировать Цитата Drongo:
Drongo, посомтрите эту тему (кликните здесь). Второе сообщение. Проверьте систему утилитой CureIt!, причем не через локальную сеть, а прямо "на месте". ==== Сейчас пришла в голову мысль: отключите на зараженном ПК восстановление системы! Оно и восстанавливает вирусы! И сделайте скриншот диспетчера задач (CTRL+SHIFT+ESC) и выложите сюда. |
|
|
Отправлено: 17:42, 10-05-2008 | #9 |
|
Ветеран Сообщения: 3487
|
Профиль | Сайт | Отправить PM | Цитировать Цитата Baw17:
Anti-autorun с последними модификациями не справляется. З.Ы. Неужели сложно сделать логи? |
|
|
------- Отправлено: 17:43, 10-05-2008 | #10 |
|
|
Участник сейчас на форуме |
 |
Участник вне форума |
 |
Автор темы |
 |
Сообщение прикреплено |
| |||||
| Название темы | Автор | Информация о форуме | Ответов | Последнее сообщение | |
| [решено] Как удалить ярлыки (в меню "Пуск" - "Программы", с рабочего стола, и т. д.) | Craager | Автоматическая установка Windows 2000/XP/2003 | 167 | 08-05-2015 02:50 | |
| Конкурс - Принцип работы "Контроля учетных записей пользователей" в Windows 7 | OSZone | Microsoft Windows 7 | 0 | 23-10-2009 23:29 | |
| Интерфейс - [решено] Как удалить папку "Моя музыка","Мои Картинки", "Мое видео"? | verdix | Microsoft Windows 2000/XP | 3 | 03-10-2009 23:46 | |
| Запретить/удалить пункт "Programs" ("Программы") из меню кнопки "Start" ("Пуск") | submaster | Microsoft Windows NT/2000/2003 | 5 | 13-09-2006 12:29 | |
|
|
Время: 23:43. | © OSzone.net 2001-
|
|
Powered by: vBulletin Copyright ©2000 - 2024, Jelsoft Enterprises Ltd. |
