Проблем с Win32.Virut.ce

[Morgenshtern]

Моля помогнете! Имах неясни проблеми с компа си. Сини екрани, неясни съобщения. И така, реших, на сигурно да действаме. Формат драйв С, преинсталирах WinXP, инсталирах Kaspersky 6.0 Workstations, регистрирах го и той засече множество заразени файлове. Проблемът е с вирусът Win32.Virut.ce. Касперски не може да ги излекува и иска да ги изтрие. Обаче това са найстина около половината от всички .ехе файлове на компа ми. Някои не мога да открия и въстановя, други за да си набавя, трябва да трия и инсталирам програми, приложения, игри с дни и седмици сигурно. За момента Касперски ги държи блокирани, под карантина. Доста четох по въпроса из нета, пробвах някои варианти, нищо не помогна. Trojan Remover не го засича, CureIT също, Malwarebytes' Anti-Malware не върши работа, rmvirut на AVG, която уж е създадена за този проблем, нищо не засича. Не знам вече какво да правя. От 4-5 дена търся начин и не намирам. Качвам тук някои от заразените файлове на архив. Ако някой има желание, познания и добра воля да потърси начин да ги излекува, ще съм му ПОВЕЧЕ ОТ БЛАГОДАРЕН!!!

 

Огромни благодарности предварително !!!

[Night_Raven]

Преди да продължа искам да уточня, че шансовете тази гадинка да не се почисти от системата и да се наложи преинсталация са доста/много големи, като дори е възможно да се налага форматиране на целия твърд диск. Просто бацилът е доста упорит и има много разновидности, което го прави труден за засичане и особено отстраняване.

 

Като за начало нека кажа, че версия 6 на Kaspersky е стара и следвателно непрепоръчителна. Не мога да ти предложа някакъв сигурен изход от ситуацията, мога да ти предложа евентуални варианти, които да предприемеш.

Можеш да опиташ да почистиш системата директно. Т.е. да инсталираш дадена антивирусна, да я обновиш и да сканираш. Това обаче не само, че може да не проработи, но дори и да изглежда, че работи, всъщност да няма никакъв ефект. Ако държиш да пробваш този вариант, си изтегли актуална версия на антивирусна програма (дори и да не е платена/регистрирана), обнови дефинициите и сканирай. Добри програми са Kaspersky AntiVirus, ESET NOD32 Antivirus System, avast!, AVG AntiVirus Free и Avira AntiVir Personal. Последните 3 са безплатни.

Преинсталацията на Windows с форматиране на дял C: е на теория по-добър вариант, но е много вероятно гадинката да е пуснала корени и на други места и преинсталацията да не помогне по никакъв начин.

Това, което мога да ти дам като може би добра идея, е да си създадеш стартиращ диск с помощта на Ultimate Boot CD for Windows, като вградиш CureIt на Dr.Web във въпросния стартиращ се диск. След това да заредиш (boot-неш) от него и да сканираш с CureIt. Това в никакъв случай не ти дава гаранции за успешно почистване, но шансовете за това са определено по-големи. От Dr.Web предлагат и техен стартиращ диск, но доколкото успях да придобия представа той не сработва добре в случая.

Алтернативен вариант на стартиращия диск е твоят хард диск да се разкачи от системата и да се свърже към друг компютър (който разбира се е подготвен с инсталирана актуална и обновена антивирусна програма, за да не се разпространи заразата) като slave устройство и да се сканира с антивирусната и дори Dr.Web CureIt.

 

И все пак, имай предвид, че дори и някой от тези начини да сработи и гадинката да бъде открита и премахната успешно, то по всяка вероятност ще има файлове, които ще бъдат непоправимо повредени и ще се налага да бъдат заменени. Т.е. дори и файловете да са чисти, ще бъдат неработещи. Това ще наложи евентуална преинсталация на Windows и всякакви други програми и игри, които са пострадали.

[Lokoto]

Morgenshtern,

 

Не смятам, че е добра идея да прирепваш заразени фаълове на толкова опасен вирус!

[Night_Raven]

Пропуснал съм да премахна файловете, когато съм писал коментара. Наистина не е желателно да се прикачат такива файлове, дори и да се предупреждава, че са опасни. От опит съм установил, че българинът не може да се контролира и да преценява добре своите възможности и ситуацията (доколко опасно е нещо), така че е по-добре да няма такива файлове. Просто колкото и да се предупреждава полза няма и все някой ще си го натресе.

[Pe6o]

Здравей Morgenshtern,

за съжаление към колкото и форуми да се обърниш, резултата ще бъде:

"И все пак, имай предвид, че дори и някой от тези начини да сработи и гадинката да бъде открита и премахната успешно, то по всяка вероятност ще има файлове, които ще бъдат непоправимо повредени и ще се налага да бъдат заменени. Т.е. дори и файловете да са чисти, ще бъдат неработещи. Това ще наложи евентуална преинсталация на Windows и всякакви други програми и игри, които са пострадали" цитирам Night_Raven.

Все пак "от опит глава не боли".

1.Виж съветите на: "http://www.precisesecurity.com/blogs/2009/02/11/viruswin32virutce/"

2.Опитай със RP да възстановиш до "здраво място."

3.Пусни актуална версия на Kaspersky.По всяка вероятност ще се получи по горе описаната ситуация.Сега ти препоръчвам да не правиш пълна преинсталация, а да използуваш вграденият в XP инструмент "Recovery Console" . Ако имаш късмет би трябвало да намери всички повредени файлове и да ги възстанови в оригиналния им вид.

Поставяш оригиналният Setup CD и използуваш командите:

R-> работа с "Recovery Console"

fixmbr/име на устройството, което ще възстановяваш, напр:/С:

Лично съм го използувал с успех при почти аналогични ситуаций.

За в бъдеще хвърли един поглед на: "MBRtool."

www.diydatarecovery.nl/mbrtool.htm

http://lh3.ggpht.com/_cYSuz4s_Wwg/SZSAHPa6uFI/AAAAAAAAAns/IhsM-coF_9Q/123a.gif

 

http://lh6.ggpht.com/_cYSuz4s_Wwg/SZSAHBFZReI/AAAAAAAAAn0/WGUrzzyp20Y/1b.gif

[sergo75]

между другото, като стана въпрос за заразените файлове - и аз се учудих, че не бяха премахнати и ги изтеглих...

но не с цел да се заразявам, а да видя дали ще ми реагира антивирусната.

Тя изобщо не се вълнуваше от тях. Та реших да ги изпратя за анализ и съответно да ги добавят към дефинициите.

След около няколко часа, имах нови дефиниции и вече антивируса ми разпознаваше файловете като заразени.

...та с цялото това писание, исках да кажа, че имаше полза от тези файлове, не само вреда както повечето очакват !!

[Night_Raven]

Не казвам, че няма полза, но като цяло недостатъците са повече от предимствата. Ти може и да си пратил файловете за анализ, но определено повече хора биха си осрали системите "без да искат" и после ще плачат. Така че предпочитам такива файлове да няма.

А и антивирусните компании да си сядат на поличките и панталонките и да си вършат работата. Зная, че е хубаво потребители да пращат файлове за анализ, но това според мен е по-скоро като бонус и малко помощ на разработчиците, които трябва да вършат по-голямата част от работата. Мисля си обаче, че повечето (да не кажа всички) разработчици на антивирусни програми като че ли постепенно си дават все по-малко зор сами да намират и добавят заплахи, а се осланят на пращаните от потребителите файлове. Това хич не ми допада като практика, особено за платени продукти - да получаваш пари, за да си клатиш краката. Особено за заплахи като текущата. Щом разработчиците на дадена антивирусна не са добавили някоя от по-известните заплахи, то те съвсем не заслужават помощ, защото явно съвсем чакат на готово.

[sergo75]

Не казвам, че няма полза, но като цяло недостатъците са повече от предимствата. Ти може и да си пратил файловете за анализ, но определено повече хора биха си осрали системите "без да искат" и после ще плачат. Така че предпочитам такива файлове да няма.

А и антивирусните компании да си сядат на поличките и панталонките и да си вършат работата. Зная, че е хубаво потребители да пращат файлове за анализ, но това според мен е по-скоро като бонус и малко помощ на разработчиците, които трябва да вършат по-голямата част от работата. Мисля си обаче, че повечето (да не кажа всички) разработчици на антивирусни програми като че ли постепенно си дават все по-малко зор сами да намират и добавят заплахи, а се осланят на пращаните от потребителите файлове. Това хич не ми допада като практика, особено за платени продукти - да получаваш пари, за да си клатиш краката. Особено за заплахи като текущата. Щом разработчиците на дадена антивирусна не са добавили някоя от по-известните заплахи, то те съвсем не заслужават помощ, защото явно съвсем чакат на готово.

 

Аз ползвам безплатна антивирусна, предпочитам го пред това да краквам, някоя платена и мисля , че това да им пратя файлове е най - малкото което мога да направя в случая

[Night_Raven]

Това е донякъде похвално. Мисълта ми е, че ако нямат тази сравнително известна заплаха в дефинициите си, значи не се и стараят много. Безплатна или не, програмата носи на авторите печалби по един или друг начин, от което следва, че все пак е редно да се трудят да я държат колкото се може по-актуална. Да не говорим, че която и безплатна програма да е, тя има и платен вариант, за която дефинициите ще са същите. Т.е. щом безплатната не засича заплахата, то надали и платената ще го направи.

[sergo75]

Това е донякъде похвално. Мисълта ми е, че ако нямат тази сравнително известна заплаха в дефинициите си, значи не се и стараят много. Безплатна или не, програмата носи на авторите печалби по един или друг начин, от което следва, че все пак е редно да се трудят да я държат колкото се може по-актуална. Да не говорим, че която и безплатна програма да е, тя има и платен вариант, за която дефинициите ще са същите. Т.е. щом безплатната не засича заплахата, то надали и платената ще го направи.

 

Абсолютно съм съгласен с теб !

[Morgenshtern]

Благодарности на всички!!

Аз пробвах някакви варианти и се отказах да се мъча. Така де, преинсталация на WinXP, това онова, пак заразени файлове, че и из всичките ми 3 хард диска. Търкане, бърсане с разнообразни сканове, нъц ефект. Опцията за пълен формат нещо не ми звучеше като опция. И така, хванах един приятел, дето е доста по-наясно от мен. И той чак се хвана за главата. 2-3 дена какви ли акорбатики е правил не знам, ама го избърса. Само 4-5 ехе та затрил, всичко друго излекувал. Той това си работи, програмист, админ, това-онова, ама ми каза, че по-злостна зараза не бил виждал. И така, аз доволно съм почистен

Благодарности за отзивчивостта все пак, хора!!

... и ако някой друг има сходен проблем, съболезнования, басси отровата. Ако ли има такива многострадалци, да казват, да го разпитвам с колко програмки, туулчета и начини е бърсал и да правя списък.

[B-boy/StyLe/]

Всъщност дали е възможна дезинфекция на файловете зависи до голяма степен от верисията на самия вирус...

 

Поддръжката на Касперски:

 

It may be possible that the files are not recoverable at all (depends weather this malware version correctly infects the file or just overwrites them with its code making them uncleanable)

 

Изпращането на заразени файлове до антивирусните лаборатории за анализ наистина помага за съставяне на алгоритъм за тяхното почистване (cure/repair)

 

Please send a couple of those files to the lab and ask for a disinfection routine.

 

Онлайн скенера на BitDefender също се справя успешно с някои от версиите на вируса.

 

http://extremefx.rack111.com/bitd-log.html

 

Ето и инструкции от Sophos за почистване на изпълнимите файлове според Операционната Система:

 

http://www.sophos.com/support/disinfection/pedis.html

 

================================================================================

================================================================================

================================================================================

 

Аз използвах следната стратегия за неговото почистване. Беше инфектирана една служебна машина с доста важни данни (без backup разбира се)... и ме помолиха да не правя формат.

 

Първо почистих доста други зарази, преди да стигна до Virut.

 

За него направих следното:

 

*Сканирах машината с Rescue CD на Avira, като и бях задал да преименува намерените зарази, ако не може да ги почисти.

*След това направих Repair Install на текущата инсталация за да и възстановя доста от пораженията

*Наложи се ръчно да възстановя userinit.exe (защото след Log On, веднага следваше Log Off и системата не искаше да зареди до декстопа).

 

expand userinit.ex_ c:\windows\system32

 

C:\Windows\system32 copy userinit.exe wsaupdater.exe

 

*Инсталирах свежа инсталация на Avira, направих и правилните настройки, обнових я и сканирах за да почистя остатъците от заразите (включително и преименуваните файлове с XXX разширение, преименувани от страна на спасителния диск на Avira).

*Преинсталирах инсталираните програми (или поне тези които бяха повредени от вируса).

*Актуализирах Операционната Система и с малко ръчни настройки се получи доста по-стабилен и сигурен Windows.

*Пропуснах да спомена, че антивирусната бе напълно "унищожена" от вируса (барабар с включен модул GUARD и опциите и за самозащита).

 

Не пропуснах да насоля здравата екипа по поддръжката на Avira, да поздравя до 9-то коляно админите грижещи се за служебните машини, лекомислените си колежки, които цъкат на всеки банер в Интернет и не на последно място (доставчика на Интернет - тях само ей така профилактично).