buritos и karina

Я снова в строю :-). Отпуск закончился и снова начались трудовые будни.

Сегодня столкнулся с вирусом создающим файлы buritos.exe и karina.dat, этот вирус выкидывает около часов таблицу о том что компьютер заражен.

Вирус блокирует касперского и AVZ.

Я провел очистку System Volume Information (для этого нужно добавить текущего пользователя и дать ему полные права и после этого удалить директорию) и удалил временные файлы интернет.

Для запуска ”скальпеля-антивируса” AVZ необходимо переименовать запускаемый файл avz.exe в ,например, cat.exe и выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile(’C:\Documents and Settings\Пользователь\Local Settings\Temporary Internet Files\Content.IE5\H0ABC45X\Install[1].exe’,”);
QuarantineFile(’C:\Program Files\Adresa&Telefon\Sovpadenie.dll’,”);
QuarantineFile(’C:\WINDOWS\system32\winivstr.exe’,”);
QuarantineFile(’C:\WINDOWS\system32\karina.dat’,”);
QuarantineFile(’C:\WINDOWS\system32\ntos.exe’,”);
QuarantineFile(’C:\WINDOWS\System32\Drivers\Beep.SYS’,”);
QuarantineFile(’c:\windows\system32\buritos.exe’,”);
DeleteFile(’c:\windows\system32\buritos.exe’);
DeleteFile(’C:\WINDOWS\System32\Drivers\Beep.SYS’);
DeleteFile(’C:\WINDOWS\system32\ntos.exe’);
DeleteFile(’C:\WINDOWS\system32\karina.dat’);
DeleteFile(’C:\WINDOWS\system32\winivstr.exe’);
DeleteFile(’C:\Documents and Settings\Пользователь\Local Settings\Temporary Internet Files\Content.IE5\H0ABC45X\Install[1].exe’);
BC_ImportAll;
BC_DeleteSvc(’Beep’);
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.

после перезагрузки

заработал касперский (KAV 7.0), который до этого тихо молчал и не запускался, он обновился и после перезагрузки добил заразу и все стало быстро и красиво :-).

P.S. AVZ с KAV рулят!

P.S.S. Постоянно забываю как это делается - поэтому пишу тут:

для нормальной загрузки сеанса Windows должна присутствовать переменная в реестре по пути:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Переменная Userinit
Значение C:\WINDOWS\system32\userinit.exe,
С - диск где расположена Windows

Если невозможно отредактировать реестр на зараженном компе (например, входим в сеанс, а оно сразу выходит), то редактирование реестра можно произвести загрузившись с загрузочного диска или другой системы и:

1. Запускаем regedit и выделяем раздел HKEY_USERS.
2. Выбераем в меню программы File - Load Hive (Файл - Загрузить куст) и перейдим к папке, где находится реестр Windows (обычно C:\Windows\System32\Config).
3. Выбираем файл SOFTWARE без расширения и нажимаем Open (Открыть).
4. Вводим имя для раздела, который вы загрузили, например, Kust.
Теперь, если к примеру вам нужен параметр
HKLM\SoftWare\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit -
это будет:
HKEY_USERS\Kust\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit

закончив редактирование, обязательно нужно выгрузить раздел. Для этого выделяем ветку Kust и выбераем в меню программы File - Unload Hive (Файл - Выгрузить куст).

Посты по теме: