Вирус Autorun

[lacrimax]

Ну вообще в закладке Strings отображенны текстовые переменные (Printable strings), которые есть в данном файле. Process Explorer у меня уже не первый год стоит, как замена виндовскому манагеру. Но в нем отображаются процессы и библиотеки для них, которые работают в данный момент, уже после загрузки винды, а авторанс показывает то, что запускается в течении загрузки всей винды, от начала и до конца и многие процессы после загрузки уже не работают и в PE их не увидеть.

[hryndik]

Такая штука: Попросили посмотреть комп. Женщину насторожило поведение курсора! Я посмотрел - действительно, рядом с курсором постоянно дергающиеся песочные часики. По диспетчеру - настойчиво пытается запуститься процесс WSscript.exe Но по непонятной причине запуститься не может - отсюда и дергающиеся часики. Я первый раз этот процесс вижу! Да и на компе, кроме документов и нескольких игрушек - ничего. Игрушки ставил сам и давно - отпадает!
В автозагрузке (вот не помню точно - рабочий день кончился - отложили на понедельник) прописано main.vbe (с иконкой скрипта) Такого вообще быть не должно! Скрытые папки - не видны. Вроде ясно - авторан. Тем более перед этим работали с флешкой. Удаляю из автозагрузки и из реестра непонятные разделы ...\Policies\Explorer\Run (тоже не должно там быть)
После перезагрузки - вроде всё нормально, пока не откроешь через проводник диск С... после его открытия - вновь всё прописано в реестре и автозагрузке и процесс пытается безуспешно запуститься. Да, при перезагрузке сообщается об ошибке той же WSscript
Так вот вопрос у меня - это авторан? Но я две темы просмотрел на нашем форуме и не нашёл описания подобных симптомов.... Вот это и смущает...

[martalex_ua]

Если верить тырнету, то это не вирус, а Microsoft (r) Windows Based Script Host. Подробности здесь:

Скрытый текст (вы должны войти под своим логином или зарегистрироваться и иметь 1 сообщение(ий)):

У вас нет прав чтобы видеть скрытый текст, содержащейся здесь.

Ну и покопайте MSDN. Должно помочь.

[hryndik]

Это для меня тёмный лес. Почему на моём компе нет этого процесса и этого скрипта в автозагрузке? Да и нигде я его и не видел раньше. И скрытые папки не видны...
И в реестре непонятные разделы? Нет, что то тут не то...

[Neb4St]

Зайдите с TotalCommander, включите в его настройках показывать скрытые и системные файлы, и просмотрите корень диска С. Там не должно быть никаких скриптов и авторанов. Но поможет Вам только антивирусное сканирование. Есть вирусы приписывающие свой старт к автозапуску при открытии любой папки. Вот примерно как описано [Для просмотра данной ссылки нужно ] И почитайте [Для просмотра данной ссылки нужно ]. Уверен поможет.

[hryndik]

Да, точно - авторан. DrWeb убил. Только, видимо, недоделанный! Если бы не курсор - пожилая женщина не обратила бы внимания!

[Vladimmm]

Пользуюсь Касперским и вроде нормально, но вот есть люди которые пользуются НОДом, и вот не пришлось разбиратся с ихними вирусами, раскажу:
Вот говорят принесли мне флешку, проверить типа или скинуть, я проверил НОДом и ничего он не выявил, а дальше и началось --
На следуючий день загружаю,загружается, перехожу в каталог дисков и тута---
диск сам видать но информации на нём не видно, хотя она тама есть,
И вот мне пришлось разбиратся, и делал я Это так ___
Скачал с сайта kav-rescue-2008.001.iso, записал у себя на компе этот образ и пошёл,
прихожу загружаюсь из диска,
ВООБщем нашло 4359 вирусов, удалил я их конечно, поставил новую винду и всё ок
Вота как бывает.

[Dr.Vlad]

Что бы Нод пропустил 4359 вирусов??? Не верится...Сам давно уже сижу на ESS ,никаких проблемм.С троянами да,на них он забивает ,поэтому стоит Адвайр. Обновлять Нод(как впрочем и остальные антивири),настроить как положено и не будет проблемм.Ну и не шастать по инету где попало,не кликать на все что под руку попадется :-))

[commar]

Нет ни одного антивируса, который бы ловил всё. Более того, есть вирусы, которые самому НОДу не дадут запуститься.. И не только ему. Потому и советуют името несколько утилит..
..но автораны НОД ловит.

[Dr.Vlad]

commar согласен с тем что нет панацеи от вирусов! но что бы на компе их было 4 с половиной тысячи-это ж насколько надо не следить за компом и не проверять.Вероятнее всего просто Нод не работал(или зараженбыл,или срок ключа вышел не обновлялся,или еще что то..) Сам периодически скачиваю бесплатного Dr.Web, при подозрениях прогоняю комп еще и им. Раз упоминули про обновления анивирусов ,то вот немного:
Microsoft предлагает $250 тыс. за информацию о создателях червя Conficker, известного также под именем Downadup,которым оказалось заражено по меньшей мере 12 млн компьютеров(данные за 17.02.2009) Проверить свой компьютер на наличие червя просто, надо лишь зайти на сайт любого из производителей антивирусного ПО — Conficker блокирует доступ к ним.
Позавчера с знакомым с соседнего сайта(у него оказался этот червь) вместе боролись:-)) Он не мог зайти на сайты антивирусников,более того , по аське я скидывал ему ссылки сайтов где можно скачать KidoKiller,так он и на эти сайты не мог попасть.Скинуть по аське тоже не получилось по непонятным причинам.Только после того как я залил на Рапиду EConfickkerRemover exe (утилита от Нода для удаления ,можно взять

Скрытый текст (вы должны зарегистрироваться или войти под своим логином):

У вас нет прав чтобы видеть скрытый текст, содержащейся здесь.

и KidoKiller(утилита от Каспера) с заплаткой от Microsoft KB958644 ,он скачал и удалил этих червей(2 штук оказалось :-)) )
Поэтому на всякий случай вот:

Скрытый текст (вы должны зарегистрироваться или войти под своим логином):

У вас нет прав чтобы видеть скрытый текст, содержащейся здесь.

Инфа от Касперского:Скачайте архив KidoKiller_v3.1.zip и распакуйте его в отдельную папку на зараженной машине.
Запустите файл KidoKiller.exe.

Скрытый текст (вы должны зарегистрироваться или войти под своим логином):

У вас нет прав чтобы видеть скрытый текст, содержащейся здесь.

По окончании сканирования на компьютере возможно присутствие активного окна командной строки, ожидающего нажатия любой клавиши для закрытия. Для автоматического закрытия окна рекомендуем запускать утилиту KidoKiller.exe с ключом -y.
Дождитесь окончания сканирования.

Скрытый текст (вы должны зарегистрироваться или войти под своим логином):

У вас нет прав чтобы видеть скрытый текст, содержащейся здесь.

Если на компьютере, на котором запускается утилита KidoKiller.exe, установлен Agnitum Outpost Firewall, то по окончании работы утилиты обязательно перезагрузите компьютер.
Выполните сканирование всего компьютера с помощью Антивируса Касперского.