Вирусы в documents and settings
В сентябре 2010 г. при лечении очередного ПК автор статьи обнаружил новый вирус, обладающий характерными признаками и руткита, и трояна, и сетевого червя.
Исследование показало, что вирус предназначен для самой распространенной операционной системы – 32-битной платформы ОС Windows с процессором x86 (тип файла – Portable Executable, PE).
Основные средства распространения вируса – Интернет, локальная сеть, flash-носители.
Родина вируса – Россия.
Вирус представлен тремя файлами:
• mdhevw.exe (572 928 байт). Имеет атрибуты Скрытый, Системный, Только чтение. Осуществляет импорт системной библиотеки kernel32.dll (LoadLibraryA, GetProcAddress);
• sdata.dll (23 552 байт). У пакован UPX. Имеет атрибуты Скрытый, Системный, Только чтение. Осуществляет импорт системных библиотек: KERNEL32.DLL (LoadLibraryA, GetProcAddress, VirtualProtect, VirtualAlloc, VirtualFree), advapi32.dll (RegCloseKey), ntdll.dll (ZwOpenProcess), oleaut32.dll (SysFreeString), user32.dll (CharNextA);
• aUtoRuN.iNF (194 байт). Имеет атрибуты Скрытый, Только чтение.
Содержимое файла aUtoRuN.iNF:
Action=Открыть папку для просмотра файлов
– при внедрении вируса в папке \Documents and Settings\All Users\Application Data\ (Windows XP) или \Users\All Users\ (Windows Vista и Windows 7) создается каталог srtserv;
– в каталог srtserv копируются файлы mdhevw.exe и sdata.dll;
– файлы mdhevw.exe и aUtoRuN.iNF копируются в корневые директории всех локальных и съемных дисков;
– файлы mdhevw.exe и aUtoRuN.iNF копируются в корневые директории всех вновь подключаемых съемных дисков;
– для обеспечения автоматического запуска вируса в разделе Реестра
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] создается строковый (REG_SZ) параметр srtserv со значением
C:\Documents and Settings\All Users\Application Data\srtserv\mdhevw.exe (в Windows Vista и Windows 7 – C:\Users\All Users\srtserv\mdhevw.exe);
– для предотвращения загрузки операционной системы в Безопасном режиме удаляются соответствующие ключи Реестра ;
– вирус препятствует отключению съемных дисков (например, с помощью значка Безопасное извлечение устройства в области уведомлений Панели задач);
Следует отметить, что еще совсем недавно для маскировки своего присутствия в системе вирусы запрещали запуск Диспетчера задач и отображение диалогового окна Свойства папки.
Современные вирусы используют более изощренные способы: например, они внедряются в адресное пространство системных процессов.
Аналогично маскируется и описываемый вирус:
– при загрузке Windows вирус запускает экземпляр системного процесса svchost.exe и внедряет в его адресное пространство исполняемый код файла mdhevw.exe;
– при загрузке Windows библиотека вируса sdata.dll автоматически подгружается в адресное пространство процесса explorer.exe.
Как уничтожить вирус и устранить деструктивные последствия
Для лечения воспользуйтесь загрузочным аварийно-восстановительным диском, типа Windows miniPE или ERD Commander;
– вставьте диск с ERD Commander в лоток CD-ROM, перезагрузите ПК;
– во время перезагрузки нажмите Delete для входа в CMOS Setup Utility;
– установите загрузку ПК с CD-ROM, нажмите F10, санкционируйте сделанные изменения, начнется перезагрузка;
– в появившемся меню Мастер восстановления Windows XP выберите Загрузка ERD Commander –> Enter;
– внизу появится строка состояния Starting Winternals ERD Commander;
– после загрузки драйвера видеокарты в появившемся окне нажмите кнопку Skip Network Configuration;
– в окне Welcome to ERD Commander выберите ОС –> OK;
– когда загрузится Рабочий Стол, дважды щелкните значок My Computer;
– в папке \Documents and Settings\All Users\Application Data\ (Windows XP) или \Users\All Users\ (Windows Vista и Windows 7) удалите каталог srtserv (вместе с файлами mdhevw.exe и sdata.dll);
– в корневых директориях всех локальных дисков удалите файлы mdhevw.exe и aUtoRuN.iNF;
– закройте окно ERD Commander Explorer;
– нажмите Start –> Administrative Tools –> RegEdit;
– в окне ERD Commander RegistryEditor раскройте раздел
– удалите строковый (REG_SZ) параметр srtserv со значением
C:\Documents and Settings\All Users\Application Data\srtserv\mdhevw.exe (в Windows Vista и Windows 7 – C:\Users\All Users\srtserv\mdhevw.exe);
– проверьте значение строкового (REG_SZ) параметра Shell (должно быть Explorer.exe);
– проверьте значение строкового (REG_SZ) параметра Userinit, – должно быть C:\Windows\system32\userinit.exe, (если система установлена на диске C:\, если на другом диске, то :\Windows\system32\userinit.exe,);
– закройте ERD Commander RegistryEditor;
– нажмите Start –> Log Off –> Restart –> OK.
– во время перезагрузки нажмите Delete для входа в CMOS Setup Utility;
– установите загрузку ПК с винчестера, нажмите F10, санкционируйте сделанные изменения, начнется перезагрузка;
– загрузите Windows в обычном режиме;
– если после перезагрузки появится сообщение, что профиль пользователя ПК не найден, нажмите Пуск –> Выполнить… –> в поле Открыть введите regedit –> OK;
– удалите строковый (REG_SZ) параметр srtserv со значением C:\Documents and Settings\All Users\Application Data\srtserv\mdhevw.exe (в Windows Vista и Windows 7 – C:\Users\All Users\srtserv\mdhevw.exe);
– закройте Редактор реестра;
– нажмите Пуск –> Выполнить… –> в поле Открыть введите regsvr32 /i shell32.dll –> OK;
– для предотвращения повторного самозаражения системы отключите восстановление системы (или вручную очистите папку System Volume Information);
– просканируйте систему антивирусом со свежими базами.
1. Внимание! Будьте осторожны при манипуляциях с Реестром! Некорректное использование Редактора реестра может привести к возникновению серьезных неполадок, вплоть до переустановки операционной системы!
2. Помните, что предупредить легче, чем лечить! Пользуйтесь брандмауэрами и надежными антивирусными программами с регулярно (не менее одного раза в неделю!) обновляемыми базами.
3. Почаще делайте резервное копирование важной информации (см. Как избежать утраты информации? ).
5. Вопреки заверениям разработчиков антивирусов, ни один антивирус не устранит последствия вирусной атаки, – это нужно сделать вручную!
Приложение к сайту "Софт, исходники и фото"
Симптомы
Этот вирус распространяется через флешки, стоит их вставить в зараженный комп (или даже примонтировать какой-нибудь образ, например, из TrueCrypt), как вирус делает следующее:
- Создает на флешке папку Recycler (якобы корзину), куда копирует свой exe-шник, судя по всему со случайным именем.
- Все папки, находящиеся в корне флешки, делает скрытыми и системными.
- Вместо папок создает ярлыки (*.lnk) с теми же именами, но суть их состоит в том, что при попытке их открыть будет не просто открыта папка, а будет запущен вирус из корзины (потом может быть нужная папка и откроется, запускать ярлык я не пробовал, но имя открываемой папки вирусу передается через командную строку).
- В завершение всего создается файл autorun.ini в корне флешки, причем этот файл содержит какие-то бинарные данные.
Зараженный компьютер можно опознать по следующим признакам:
- В списке процессов есть процесс aadrive32.exe (по крайней мере Process Explorer его без труда показывает и прибивает.
- В папке windows расположен файл aadrive32.exe. Если этот файл удалить, то он восстановится во время следующей загрузки системы.
- В папке windows\system32 есть файлы вида 14.exe, 38.exe и т.п. Что это за файлы я не понял, потому что после их удаления они не восстанавливаются.
- В папке Documents and Settings\USERNAME\Application Data (под Windows XP, не помню, как эта папка называется под Windows 7) расположены файлы 3.tmp, 4.tmp и т.п. Эти файлы восстанавливаются после перезагрузки. Именно на них и ругался Avira, хотя в тот момент на основные файлы вирусов он не реагировал.
- В одной из подпапок папки Recycler есть подозрительный exe-шник.
- В папке Documents and Settings\USERNAME\Application Data расположен еще один файл *.exe (его имя скорее всего будет случайным). Причем этот файл я не видел под Windows (даже во FreeCommander’е, не говоря уж про проводник), а заметил, когда перезагрузился под Linux’ом.
- С зараженного компьютера невозможно открыть сайты антивирусов и сайт virustotal.com. Причем, вирус как-то хитро блокирует эти сайты, а не просто добавляет свои записи в hosts.
Лечение
Избавиться от вируса можно довольно легко, если есть загрузочный диск с Linux’ом. Для этого после загрузки (например, с Live CD) нужно:
После этого перезагружаемся в винду (вирус уже не должен запускаться, можете для проверки зайти, например, на сайт Касперского, если сайт открывается, значит, вирус побежден), и можно почистить реестр от следов вируса. Самое простое — это запустить файл regedit и поудалять все записи, где содержится строка aadrive32.exe.
В реестре ссылка на aadrive32.exe будет как минимум в ветках:
HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run\Microsoft Driver и
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Microsoft Driver Setup.
После этого радуемся, что вирус побежден, до момента, пока не попадется следующая зараза. Или переходим на Linux 🙂
Перешел на линукс несколько лет назад, забыл про вирусы. Стоит для успокоения bitdefender scanner for unices, проверяю флешки или съемные винты товарищей иногда
А что, нельзя с помощью антивирусной проги его удалить?
На тот момент, когда подцепил этот вирус, ни Avira, ни Nod32 этот вирус не ловили. Да и файл *.exe в винде был не виден.
Обновите каспер верссии 6, он найдет и сам его удалит.
а без линукса никак?
С линуксом по крайней мере все просто, достаточно с ним загрузиться и прибить нужные файлы. Может быть уже LiveCD от DrWeb (CureIt) умеет его лечить.
Спасибо огромное за статью, очень помогло, почистил компьютер от этой гадости, живучей тварью оказалась. Следов вируса в реестре не обнаружил.
Из-за вируса на компьютере отсутствовало VPN-соединение с провайдером, а также наблюдались дикие лаги. Ещё раз спасибо ^_^
Даже на 18 июня НОД32 пропускает его. Точнее он показывает, что перехватил, но вирус заселяется и самое главное прописывается в реестре. При сканировании НОДом затем он удаляет вирусы, но реестр не правит. На сайты антивирусников доступа нет. Пока в ручную не прибил ветку в реестре, доступа не было. Сейчас все ок. Прошелся на всякий случай AVPTool после НОДа но ничего уже не найдено. Автору огромное спасибо за статью!
Спасибо за информацию, она мне помогла. Нарвался на похожую заразу (хотя, не исключено что их было несколько похожих одновременно). Отличия были следующие:
* кроме процесса aadrive32.exe наблюдался процесс jodrive32.exe. Убивался менеджером задач легко, но также быстро (1-2 минуты) восстанавливался даже без перезагрузки системы.
Сложность лечения заключалась еще и в том, что комп находится в другом конце города и поехать к нему далеко, сложно и некогда. Доступ к рабочему столу был только посредством программы TeamViewer. Так что загрузить с другого диска было проблематично. Кроме того, система работала нестабильно: висла и ругалась сообщениями об ошибках запуска разных процессов.
Спасибо автору))). У меня была эта проблема. Избавился сегодня с помощью диска с Ubuntu. Я хочу добавить описание к вирусу.
Теперь сведения о моей системе — WinXp Sp3, установлен Nod32 2.7(древненький, но из принципа пользуюсь только им) — установлен после заражения, ZoneAlarm — тоже после заражения. Заражение произошло через интернет, я снёс винду, поставил снова, но не поставив антивирус, решил скачать себе браузер, проигрыватель — вот и попался.
Примечания.
Есть такая фишка в XP: можно в gpedit.msc заблокировать запуск некоторых программ. Если прописать в список Aadrive32.exe, jodrive32.exe, cadqj.exe, Xpupr.exe — то они всё равно будут грузиться. Предполагаю, что их названия содержат кириллицу, потому что я сам прописывал латинскими буквами. Я ещё не пробывал туда прописывать acleaner.exe — хотя этот файл, я думаю, самый основной в этом вирусе.
Проверял через tasklist системные процессы, думал увижу вирус и убью taskkill-ом — ничего не нашёл.
На флешке я удалил autorun.inf с помощью Nod32, но это получилось в первый и последний раз, потом вдруг Nod стал беспомощным. Я создал пустой Autorun, чтобы больше не происходило заражения — не помогло, вирусный Autorun
снова прописался.
Ни Nod32 SmSec4, ни Dr.Web 6 его конечно не видели, причем при обновленных базах и при проверке не ругались ни на один из файлов.
Вирус прописывал себя в реестре, из автозагрузки себя удалить не давал (сначала пробовал Ccleaner’ом — в итоге сама утилита была удалена зловредом), затем пробовал стандартным msconfig.exe результата не было, вирус сам себя восстанавливал в автозагрузке. Так же вирус блокировал любые попытки выхода в интернет (браузеры выдавали ошибку 404). Зайти в интернет удалось после завершения процесса (стандартным таскменеджером windows) aadrive32.exe.
На момент написания комментария (6 июля) dr.web 6.0 при обновленных базах видит и распознает, но почему-то удалив, снова его находит.
вместо папок на флешке ярлыки
Здравствуйте! На флешке вместо папок ярлыки,вируса уже нет,но папки так и не появились. Прикрепляю.
На флешке вместо папок-ярлыки!
Вместо папок(очч нужных) ярлыки, которые не открываются! Каспер обнаружил вирус и вроде даж убил.
Ярлыки на флешке вместо папок
Уже даже Windows переставил. Не понимаю как он это делает. На флешке вместо папок появляются.
Вместо папок ярлыки на флешке
Здравствуйте, пересмотрел форум ничего не нашел, в общем вставляю флешку и там все папки становятся.
Внимание! Рекомендации написаны специально для пользователя masusik. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.
Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила запроса о помощи.
______________________________________________________
После перезагрузки, выполните такой скрипт:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
(Если не помещаются, упакуйте).
Подробнее читайте в этом руководстве.
В завершение:
1.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.
Остальные утилиты лечения и папки можно просто удалить.
2.
- Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
- Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
- Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
- Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
- Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
- Прикрепите этот файл к своему следующему сообщению.
| 29.12.2018, 09:07 |
| 29.12.2018, 09:07 |
|
Заказываю контрольные, курсовые, дипломные и любые другие студенческие работы здесь. Флешка. Ярлыки вместо папок Ярлыки вместо папок на внешнем диске Ярлыки вместо папок на съёмных дисках. Вирус создает ярлыки вместо папок на флешке Вирус создает ярлыки вместо папок на флешке
Примечание: проблема, когда из-за вируса на флешке исчезают все папки (становятся скрытыми), а вместо них появляются ярлыки, достаточно распространена. Чтобы в будущем защититься от таких вирусов, рекомендую обратить внимание на статью Защита флешки от вирусов. Лечение вирусаЕсли антивирус не убрал этот вирус сам (почему-то некоторые антивирусы не видят его), то можно поступить следующим образом: кликаем правой клавишей мыши по ярлыку папки, созданным этим вирусом, и смотрим в свойствах, на что именно указывает этот ярлык. Как правило, это некий файл с расширением .exe, находящийся в папке RECYCLER в корне нашей флешки. Смело удаляем этот файл и все ярлыки папок. Да и саму папку RECYCLER можно также удалить.
Если на флешке присутствует файл autorun.inf, то также удалите и его — этот файл провоцирует флешку автоматически что-то запускать после того, как Вы ее вставили в компьютер. Убираем атрибут скрытый у папок
Неактивный атрибут скрытый у папок Windows XP
Скрытые папки Windows 7 Затем запустить его от имени администратора, в результате чего проблема должна решиться.Как создать bat файл: создаем обычный файл в блокноте, копируем туда вышеуказанный код и сохраняем файл с любым именем и расширением файла .bat Как убрать вирус и сделать папки видимымиНашел на просторах сети еще один способ избавиться от описанной проблемы. Этот способ, пожалуй, будет попроще, но не везде сработает. Однако в большинстве случаев он все же поможет привести USB флешку и данные на ней в нормальное состояние. Итак, создаем bat файл следующего содержания, после чего запускаем его от имени администратора: После запуска компьютер запросит ввести букву, соответствующую Вашей флешке, что и следует сделать. Затем, после того, как автоматически будут удалены ярлыки вместо папок и сам вирус, при условии нахождения его в папке Recycler, Вам будет показано содержимое вашего USB накопителя. После этого рекомендую, опять же, обратить на содержимое системных папок Windows, речь о которых шла выше, в первом способе избавиться от вируса. А вдруг и это будет интересно: Почему бы не подписаться? Рассылка новых, иногда интересных и полезных, материалов сайта remontka.pro. Никакой рекламы и бесплатная компьютерная помощь подписчикам от автора. Другие способы подписки (ВК, Одноклассники, Телеграм, Facebook, Twitter, Youtube, Яндекс.Дзен) 26.12.2015 в 10:32 Нет, я не сам жесткий диск хочу поменять в ноутбуке, я, внешний хочу купить, на нем еще дополнительно всю информацию хранить. 26.12.2015 в 15:51 Берите с максимальной гарантией производителя. Конкретной модели не посоветую сейчас (давно не выбирал ничего подобного), но так, чтоб не год, а лет пять. Быстро они обычно выходят из строя. 03.08.2016 в 10:59 Да какие 5 лет гарантии. Очень сомневаюсь, что есть на 3 года. Два года это норма. 03.08.2016 в 11:04 Только что глянул на гарантию. Все производители 2 года, только Silicon Power 3 года. Конечно, разные магазины могут иметь отличия. 07.02.2016 в 14:31 Здравствуйте, на флешке появились скрытые файлы и у всех одинаковое имя 08.02.2016 в 08:52 Включайте показ скрытых и защищенных системных файлов, удаляйте с флешки все autorun.inf, любые exe странные. Проверяйте компьютер на вирусы. 30.09.2016 в 15:26 У меня ярлыки ведут к FlashDriveInfo\driver.exe, но после его удаления он записывается снова, где можно его искать на компьютере? 01.10.2016 в 07:50 Выполните поиск по реестру по driver.exe (возможно там где-то запускается). Может также в планировщике заданий. Ну а вообще, просканировать антивирусом стоит компьютер. 05.10.2016 в 21:02 Получается мой компьютер теперь заражен вирусом от флешки? Теперь вызывать мастера? 06.10.2016 в 11:17 Зачем. Можно самостоятельно исправить, об этом и статья. 06.10.2016 в 13:37 Спасибо все получилось. Сначала вылечил вирус Касперским. В пункте Параметры папок убрал галочку скрывать защищенные системные файлы и скрывать расширения для зарегистрированных файлов, поставил галочку показывать скрытые файлы и папки. Создал обычный файл в блокноте с кодом attrib -s -h -r -a /s /d, и сохранил файл с любым именем и с расширением файла .bat на флешку. Далее запустил файл на флешке и все ОК. 18.05.2017 в 21:28 У меня расположение ярлыка system 32 cmd что сделать? 20.05.2017 в 13:24 Тоже только поймал штуку которая прячется именно там. После вычистки файлы не открываются 16.06.2017 в 11:29 Поймал недавно подобную бяку с компа в универе, хорошо хоть после распечатывания курсача. Приехал домой, стал разбираться, эта штука еще и мимикрирует под ехе шники находящиеся на флешке, или вшивается в них. Антивирус обнаружил этот троян в ехе шнике программки, находившейся на момент заражения на флешке. 23.06.2017 в 13:54 А можно проще достать файлы. Вставляем лайв-сд линукса и проблем нет 31.07.2017 в 07:54 Спасибо, антивирус сберег ноут, а на флешке всё восстановила с вашей помощью. Благодарю! 01.11.2017 в 16:59 Здравствуйте. Сделал все как было показано. Все получилось, вирус и ярлыки удалились. Но только 6 мб файлов восстановилась. Хотя на жестком все еще показывает что занято 724ГБ. Что делать? 02.11.2017 в 07:00 А включили показ скрытых и системных файлов? И все равно не видно? 11.01.2018 в 13:21 Спасибо тебе, добрый человек) 12.06.2018 в 10:17 Все ярлыки исчезли, а папки не появились… но память такая же осталась… значит они где-то есть. Помогите пожалуйста. Скрытые тоже смотрела, они не скрыты. 12.06.2018 в 13:17 А показ системных тоже включили? (они отдельно от скрытых включаются). 18.07.2018 в 15:16 Оно пропадет само, после того как закончит свою работу. После такой процедуры у меня появились все мои папки и файлы в них. Так что способ рабочий. Проверено! 06.02.2019 в 00:07 Всплывает окно ошибки. bat не совместим с win32. Что делать? 06.02.2019 в 07:45 Если честно, мне непонятна природа такой ошибки… должен файл работать и в win32… быть может, в какой-то неправильной кодировке файл сохранен. 10.04.2019 в 11:29 Здравствуйте Дмитрий. У меня аналогичная проблема. Сначала не открывались папки на одной флэшке, позже и на второй флэшке. Система отказывала в доступе-дескать имеются дополнительные сведения. Флэшку я отформатировал и теперь на ней не создаются папки. Система отвечает так же. Как решить проблему? Читайте также:
 Пожалуйста, не занимайтесь самолечением!При симпотмах заболевания - обратитесь к врачу.
Copyright © Иммунитет и инфекции
|
