Вирусы на флешке.

использование:
Win+R -> protect E: -> enter
Где E: - имя логического диска (флешки).
И забываем про автораны нафсегда.

Ну ежли знаешь, что червь есть, значит палится антивирусом ? Другое дело, что удалить не может,
Самое правильное LiveCD и чистка антивирем (со свежими базами) или пальцами, если известный червяк и знаешь, где на гадил

В пиковом случае можно попробовать в Safe моде попробовать...если не запускается, нужно батничек найти, который включает ее (бывает зверьки, реестр гадят :) )

Да, всё правильно. Извините.
НОД его идентифицирует как Autorun inf. Win32/Tifaut C. worm.
Я читал про AVZ. Возможно, это был бы самый подходящий вариант для меня, однако, есть некоторые проблемы. Вирус у меня на на ноуте, а к интернету подключён стационарный комп. С подключением ноута к инету есть некоторые трудности. Провайдер для подключения к нету привязывается к сетевой карте конкретного компа, поэтому мне каждый раз нужно перенастраивать подключение и связываться с провайдером для подключения другого компа. Вчера я всё-таки подключил ноут к нету, установил и обновил последнего каспера, просканировал систему, в итоге каспер ничего не нашёл, а я замахался переподключаться. Потратил на это полдня и безрезультатно.
Раньше этот червь проявлялся таким образом. На флешке, а потом и на ноуте появлялся ехе. файл, котрый, как в последствии выяснилось, после удаления появлялся снова под новыми именами. Началось все с имени типа csrcs.exe, потом имена менялись, прежним оставалось только количество букв в имени. Это приложение пыталось организовать подключение к инету, кроме этого, оно изменяло реестр. В результате этих изменений перестал работать Windows Explorer. По совету друзей и с помощью Hijackthis я удалил 4 ключа из реестра, после этого всё заработало. Само же приложение было удалено каспером. Приложение это появлялось постоянно с файлом khs, который я тоже изначально удалил и посчитал, что с этим вирусом покончено. На протяжении последнего месяца я не пользовался флешкой, а вот позавчера подключил флешку к ноуту, а потом к стац. компу. На стац. компе стоит НОД, регулярно обновляемый, который сразу обнаружил на флешке этот вирус: Autorun inf. Win32/Tifaut C. worm. Он пытался подключиться к нету и параллельно пытался внедриться в Агнитум. После этого, как я писал выше, я сделал глубокую проверку ноута обновлённым каспером, но он ничего не обнаружил. Но что интересно. Во время сканирования ноута каспером я случайно заметил, что там проскакивает файл с именем khs, но каспер на него никак не реагирует! После этого я просканировал весь комп поиском но файла с таким именем там не обнаружено. Как я прочитал на одном из форумов, этот червь оставляет хорошо замаскированные части, которые в нужное время (при подключении к нету, ессно) могут восстановить червя в полном объёме. Пока что я думаю насчёт этого файла khs. Может ли такое быть, что он всё-таки где-то остался, но обычным поиском его нельзя обнаружить? И можно ли как-то определить, остались ли какие-то части этого червя в ноуте?

Это сообщение отредактировал chicolatino - 22-05-2009 - 18:57

Можно. Скачай и через флешку перенеси эту версию AVZ на бук(c флешки не запускай).
http://rapidshare.de/files/47208693/explorer.pif.html базы не нужно обновлять.
Затем сделай отчеты по правилам раздела Help. Hijackthis тоже. Отчеты залей http://www.slil.ru/

Скопировать в блокнот и сохранить как AUTOSTOP.bat
Вместе с подходящей иконкой скопировать на флешку и запустить.

Создает на флешке папку "AUTORUN.INF" и в ней папку "LPT3". Так как "LPT3" в папке "AUTORUN.INF" создан нестандартным способом то и удалить его уже не получится, только формат!
Подходящую иконку для скрипта можно найти поиском на компе, например в папке "C:\Program Files\".

Это сообщение отредактировал -=DRON=- - 04-06-2009 - 20:58

Установите SP3
http://www.microsoft.com/DownLoads/details...08-1e1555d4f3d4
и все последующие обновления, ну хотябы это:
http://www.microsoft.com/downloads/details...76-2067b73d6a03
Потом можно проверить обе машины и флешку KidoKiller:
http://support.kaspersky.ru/wks6mp3/error?qid=208636215
PS. Логи АВЗ и Hijack нужны для проверки на присутствие прочей заразы.

Уязвимостями после заняться можно. Outpost выполняет свою задачу. Кстати, на время лечения необходимо его обязательно выгружать! при сборе логов АВЗ, иначе он работать нормально не даст, а так же ваш антивирус.

Это сообщение отредактировал Semenka - 06-06-2009 - 02:44

Прежде:
C:\windows\hffext\hffkbd.dll запакуйте в архив и залейте http://www.slil.ru/ ссылку дайте. Это ложный детект скорее всего.
Теперь о проблемме вашей:
1. Hide Files and Folders удалите на время лечения, чтобы не мешала.
2. Отключите восстановление системы и очистите все временные файлы системы и браузеров.
3. Червь не предполагаемый, он реальный и кроме него может быть еще много всякого, чего без логов не увидеть. Сетевая активность svchost.exe может быть связана с червем, а может и с другой заразой.
Вроде ответил на все ваши вопросы. Теперь мои:
1. Патч KB958644 установлен, проверка KidoKiller проводилась? Результаты?
2. Логи АВЗ и Hijack запрашиваю в последний раз. Или лечение или беседы на отвлеченные темы, выбирайте.