OlegSh

Пришла и моя очередь задать свой первый вопрос. Прискорбно, что я задаю его в этой ветке форума, но моих знаний и нервов в данном случае хватает уже только на убивание разделов и полное форматирование HDD. Знакомая подцепила вирус, DrWeb CureIt определяет его как W32.Rmnet. Находит, убивает, лечит... Но после перезагрузки - все по новой! AVZ выдала интересную информацию при сканировании диска С: С:\Windows\948658887:649843143.exe:$DATA >>> Опасно - исполняемый файл в потоке NTFS - возможно маскировка исполняемого файла. Но лечить его не лечит! Читал в инете про этот вирус - он встраивается в NTFS. Вот и встал вопрос, как его оттуда выковыривать без уничтожения файловой системы?
Пробовал всяко:
1. Снимал больной винт, цеплял к здоровой системе и сканировал CureIt-ом и NOD-ом. Они находят и лечат зараженные файлы, но NTFS не трогают, так что при следующей загрузке с больного винта - все по новой!
2. Грузился с Alkid LiveCD, лечил AVZ - результат как в п.1

Больной комп выхода в инет не имеет, так что проблемно сделать логи AVZ (придется совершить немало телодвижений, чтобы перекинуть эти логи с больного компа на здоровый, имеющий выход в инет), но если надо - сделаю!

safety

сделайте дополнительно образ автозапуска в uVS

обновите утилиту uVS до версии 3.68
http://soft.oszone.net/program/8729/U...iffer_uVS/

для тех кто дружит с Авастом (или GData)
uVS (3.68) без autorun.inf вот по этой ссылке,
http://exfile.ru/197037

пасс
1368

Распаковать архив, запустить файл Start.exe
Появится окно программы - нажать "запустить под текущим пользователем".
Далее - Меню Файл - Сохранить Полный образ автозапуска.
Сохраняем файл, добавляем в архив rar или 7z и заливаем на форум.

OlegSh

safety, спасибо что откликнулись! И спасибо за рекомендацию. Я внимательно прочитал, что это за утилита...и решил все-таки поступить по-своему! Если я правильно понял, данная утилита помогает отследить автозагружаемые вирусы или неизвестные программы. В моем случае, поражена MBR и вирус активируется еще до автозагрузки. Т.о. мы бы видели то, что он вставляет в автозагрузку, но не его самого ((( Я скопировал все необходимые данные (благо их было очень мало) и, на всякий пожарный, "убил" все разделы, создал новые и отформатировал их. Думаю, этого достаточно, чтобы избавиться от этой заразы!
Но для меня данная проблема так и осталась непобежденной!((( Жаль. Буду искать варианты решения...
Еще раз спасибо за отклик!

~Данил~

OlegSh, эта программка умеет многое делать, в том числе и перезаписывать "больной" MBR
надо было просто спросить

Димон112

я кстати один винт при помоши этой проги и сделал заменил "больной" MBR и все проблема решилась вири больше не выскакивают

OlegSh

Это я понял поздно! ))) Устал уже просто бороться! Нашел аналогичную софтину на Alkid LiveCD! Можно было просто заново сформировать MBR! Ну, что же (разводя руками)?! Поздняк уже метаться, дело сделано!))) Одно утешает - Windows хоть обновлю!
Но суть-то прикольная! Я с такой заразой давненько не сталкивался! Обычные вири все-равно в конечном итоге можно отыскать среди файлов, а тут... Будем знать.
Всем спасибо! Надеюсь не сильно отвлек от дел!

safety

OlegSh,
смысл моего сообщения был в том, чтобы посмотреть состояние системы и далее от него отталкиваться. В вашем случае, если был заражен MBR, единственно, что показал бы uVS - то что неизвестный загрузчик в MBR, но возможно бы и удалось из активной системы заменить его на стандартный, если нет, то это можно было бы сделать из под Liv.CD

Vvvyg

Счёт вышлют по e-mail

safety

я тут немного был занят, поскольку вышла новая версию uVS 3.69, надо было скачать ее с обмена, да подгтовить архив для пользователей, поскольку исходный пак включает в себя многое, и выложен депозит.

---------- Добавлено в 01:51 ---------- Предыдущее сообщение было написано в 01:49 ----------

у версии 3.69 есть важное преимущество перед версией 3.68. Можно получить дамп MBR и проверить его на ВирусТотал.

Vvvyg

Качнул, спасибо за инфу.

Димон112

safety, дай ссылку на прогу плиз

---------- Добавлено в 23:12 ---------- Предыдущее сообщение было написано в 23:10 ----------

все уже не надо

safety

Да, уж.... небезопасная штука
http://it-sektor.ru/Win32.Rmnet-spos...zapis-MBR.html

---------- Добавлено в 20:14 ---------- Предыдущее сообщение было написано в 20:14 ----------

только с Live.CD и можно все вылечить

OlegSh

safety, я вот это все и читал. Поэтому, сопоставив факты (поведение AVZ и информацию о вирусе), решил, что у компа заражен MBR. Вот когда я, загрузившись с Alkid LiveCD, форматнул весь винт, нашел утилиту (щас уже не вспомню какую), которая дает возможность удалить MBR, создать его,экспортировать в файл, импортировать из файла и тп. Вот тогда и решил, что поспешил! Но дело уже сделано было...)))

Lexer

Не буду утверждать, но думаю что поможет загрузка с дистрибутива винды и в консоле восстановления выполнение
помогло мне это один раз, когда лечил порнобанер, подменяющий мбр.

safety

Lexer, здесь возможно недостаточно перезаписать загрузчик, потому что в самой системе еще остаются и тела вируса, и зараженные полезные файлы, возможно в случае запуска они заново перепишут MBR,
поэтому, лучше всего и фиксить mbr и вообще сканировать с очисткой систему из под Live.CD.

Раз ДрВеб написал об этом, то скорее всего и лечение у него есть с DrWeb.Live.CD