buritos и karina

Я снова в строю :-). Отпуск закончился и снова начались трудовые будни.

Сегодня столкнулся с вирусом создающим файлы buritos.exe и karina.dat, этот вирус выкидывает около часов таблицу о том что компьютер заражен.

Вирус блокирует Касперского и AVZ.

Я провел очистку System Volume Information (для этого нужно добавить текущего пользователя и дать ему полные права и после этого удалить директорию) и удалил временные файлы интернет.

Для запуска «скальпеля-антивируса» AVZ необходимо переименовать запускаемый файл avz.exe в ,например, cat.exe и выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Documents and Settings\Пользователь\Local Settings\Temporary Internet Files\Content.IE5\H0ABC45X\Install[1].exe','');
QuarantineFile('C:\Program Files\Adresa&Telefon\Sovpadenie.dll','');
QuarantineFile('C:\WINDOWS\system32\winivstr.exe','');
QuarantineFile('C:\WINDOWS\system32\karina.dat','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Beep.SYS','');
QuarantineFile('c:\windows\system32\buritos.exe','');
DeleteFile('c:\windows\system32\buritos.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Beep.SYS');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\karina.dat');
DeleteFile('C:\WINDOWS\system32\winivstr.exe');
DeleteFile('C:\Documents and Settings\Пользователь\Local Settings\Temporary Internet Files\Content.IE5\H0ABC45X\Install[1].exe');
BC_ImportAll;
BC_DeleteSvc('Beep');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.

после перезагрузки

заработал касперский (KAV 7.0), который до этого тихо молчал и не запускался, он обновился и после перезагрузки добил заразу и все стало быстро и красиво :-).

P.S. AVZ с KAV рулят!

P.S.S. Постоянно забываю как это делается — поэтому пишу тут:

для нормальной загрузки сеанса Windows должна присутствовать переменная в реестре по пути:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Переменная Userinit
Значение C:\WINDOWS\system32\userinit.exe,
С — диск где расположена Windows

Если невозможно отредактировать реестр на зараженном компьютере (например, входим в сеанс, а оно сразу выходит), то редактирование реестра можно произвести загрузившись с загрузочного диска или другой системы и:

1. Запускаем regedit и выделяем раздел HKEY_USERS.
2. Выбираем в меню программы File — Load Hive (Файл — Загрузить куст) и перейдем к папке, где находится реестр Windows (обычно C:\Windows\System32\Config).
3. Выбираем файл SOFTWARE без расширения и нажимаем Open (Открыть).
4. Вводим имя для раздела, который вы загрузили, например, Kust.

Теперь, если к примеру вам нужен параметр
HKLM\SoftWare\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit —
это будет:
HKEY_USERS\Kust\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit

закончив редактирование, обязательно нужно выгрузить раздел. Для этого выделяем ветку Kust и выбираем в меню программы File — Unload Hive (Файл — Выгрузить куст).