Специфический вирь

[Gato Calavera]

Словил неведому зверушку. Суть такова.

Заражает флешки и внешние диски. Вешает на мультимедийные файлы атрибут "скрытый", а под их именем создает экзешники размером 101 килобайт.

Сейчас перебираю антивирусники, пока не ловит. Кто с таким сталкивался, чем выводил?

[Vilman_WW]

У тебя образец файла есть? В смысле, ты можешь поймать один из экзешников и засунуть в архив?

Изменено 4 июня, 2010 пользователем VilmanWW

[Gato Calavera]

Ща сделаю.

вот. http://ifolder.ru/18017811

Изменено 4 июня, 2010 пользователем Отец Kабани

[Vilman_WW]

Прогони через вот этот сайт:

http://www.virustotal.com/ru/

41 антивирус - если они его не распознают, тогда... Хм... Тогда очень хреново. =)

Если какой-то увидит - попробуй им.

[ Добавлено спустя 14 минуты 7 секунд ]

Вот:

a-squared	5.0.0.26	2010.06.04	Trojan-Dropper.Win32.Vidro!IK

AhnLab-V3	2010.06.04.00	2010.06.03	-

AntiVir	8.2.2.6	2010.06.04	TR/Crypt.XPACK.Gen

Antiy-AVL	2.0.3.7	2010.06.02	-

Authentium	5.2.0.5	2010.06.04	-

Avast	4.8.1351.0	2010.06.04	Win32:Bamital-T

Avast5	5.0.332.0	2010.06.04	Win32:Bamital-T

AVG	9.0.0.787	2010.06.04	Dropper.Generic2.MNZ

BitDefender	7.2	2010.06.04	Trojan.Generic.4006675

CAT-QuickHeal	10.00	2010.06.04	-

ClamAV	0.96.0.3-git	2010.06.04	-

Comodo	4981	2010.06.04	-

DrWeb	5.0.2.03300	2010.06.04	Trojan.Inject.8798

eSafe	7.0.17.0	2010.06.03	-

eTrust-Vet	35.2.7528	2010.06.04	Win32/Vidro.A

F-Prot	4.6.0.103	2010.06.03	-

F-Secure	9.0.15370.0	2010.06.04	Trojan.Generic.4006675

Fortinet	4.1.133.0	2010.06.03	-

GData	21	2010.06.04	Trojan.Generic.4006675

Ikarus	T3.1.1.84.0	2010.06.04	Trojan-Dropper.Win32.Vidro

Jiangmin	13.0.900	2010.06.04	TrojanDropper.Vidro.km

Kaspersky	7.0.0.125	2010.06.04	-

McAfee	5.400.0.1158	2010.06.04	-

McAfee-GW-Edition	2010.1	2010.06.04	Heuristic.BehavesLike.Win32.Suspicious.H

Microsoft	1.5802	2010.06.04	TrojanDropper:Win32/Vidro.C

NOD32	5171	2010.06.04	Win32/TrojanDownloader.Small.OXH

Norman	6.04.12	2010.06.04	W32/Obfuscator.AH

nProtect	2010-06-04.01	2010.06.04	Trojan.Generic.4006675

Panda	10.0.2.7	2010.06.03	Generic Trojan

PCTools	7.0.3.5	2010.06.04	Trojan.Gen

Rising	22.50.04.04	2010.06.04	-

Sophos	4.53.0	2010.06.04	Troj/Drpr-H

Sunbelt	6404	2010.06.04	-

Symantec	20101.1.0.89	2010.06.04	Trojan.Gen

TheHacker	6.5.2.0.292	2010.06.04	-

TrendMicro	9.120.0.1004	2010.06.04	-

TrendMicro-HouseCall	9.120.0.1004	2010.06.04	-

VBA32	3.12.12.5	2010.06.03	Trojan.Ahent.0322

ViRobot	2010.6.4.2337	2010.06.04	Dropper.Vidro.32768

VirusBuster	5.0.27.0	2010.06.03	Trojan.DR.Vidro.Gen

Результат: 24/40 (60%)

Дальше гугл, наверное.

Доктор Веб видит, значит, можно попробовать это:

http://www.freedrweb.com/cureit/

Изменено 4 июня, 2010 пользователем VilmanWW

[HG)Corsar]

Видел подобное у клиента, убивали Куррейтом от DrWeb.

[Gato Calavera]

Прошел Куритом. Проблема в том, что он к ибиням сносит зараженные файлы, а восстанавливать 2,5 Тб продукции не улыбает...

[Vilman_WW]

а восстанавливать 2,5 Тб продукции не улыбает...

а под их именем создает экзешники размером 101 килобайт.

Как я понял, ВМЕСТО мультимедийных файлов появляется экзешники размером 101 килобайт?

Тогда мне почему-то кажется, что этих 2,5 тб там уже нет. :image006:

Изменено 4 июня, 2010 пользователем VilmanWW

[Gato Calavera]

Не, это я ступил. Курит только экзешники трет, оригиналы оставляет в покое. Вроде проблема решена, хотя принципа распространения вируса пока так и не понял.

[Vilman_WW]

Вроде проблема решена, хотя принципа распространения вируса пока так и не понял.

Реестр проверь. А то опять скачается, если остались соотвествущие ключи.

Изменено 4 июня, 2010 пользователем VilmanWW

[HG)Corsar]

После лечения клиентской машины оригинальные файлы остались целыми, на всякий случай пройдись ещё раз Каспером, только настройки проверки выкрути на максимальный уровень тревоги.

[Jurin]

Такие штуки очень распространены, распространяются через компы с автозапуском и заражённые флешки. С флешки удаляется без антивиря.

Есть скрипт, позволяющий на ХР отключить автозапуск всего: [URL]http://www.rapidshare.ru/1523187

ну и полезно показывать расширения файлов - есть более интересная версия, которая папки подменяет.