Как решить вопрос с Brontok worm?

[Беломир]

[off]уважаемые модераторы, просьба не удалять тему. Пришлось разместить ее здесь т.к. раздел "Защита и взлом" малопосещаем. Спасибо.[/off]
Посоветуйте, как извести червя? Антивирус удаляет множество файлов с похожим названием, но, по моему, где то торчит исходник. Я слышал, что существуют специальные проги, с помощью которых решаются подобные вопросы, но поиск ничего не дал. У меня стоит Nod32, может в нем дело?

[Harvester of Sorrow]

У меня была та же проблема - вылечил Касперем 5 версии в безопасном режиме. Попробуй так.

[petrucho]

У меня тоже,и тоже удалил каспером 6. нод,только вывел инфу о черве,но не удалил,а каспер его удаляет!

[TOXIC]

Не доверяю я касперскаму...!

[Extremist]

Анек в тему:
1: Поставил антивирусник, он мне столько червей понаходил, вот чё теперь делать!
2: Ну поехали на рыбалку

[Steff]

Да уж.. Каспер рулит

http://www.viruslist.com/ru/find?words=Brontok%20worm

У данной программы пока нет описания.

Поскольку многие программы являются незначительными модификациями своих предыдущих версий, вам могут помочь описания других версий той же программы — если они есть, то ссылки на них приведены сразу под заголовком страницы.

Если подходящего вам описания на нашем сайте не нашлось, то свяжитесь с нами по адресу webmaster@viruslist.com — мы обязательно что-нибудь придумаем.

[off]добавлено спустя 5 минут:[/off]

Во, нашол:

Email-Worm.Win32.Brontok.a
Другие версии: .q
Другие названия
Email-Worm.Win32.Brontok.a («Лаборатория Касперского») также известен как: W32/Rontokbro.gen@MM (McAfee), W32.Rontokbro@mm (Symantec), BackDoor.Generic.1138 (Doctor Web), W32/Korbo-B (Sophos), Worm/Brontok.a (H+BEDV), Win32.Brontok.A@mm (SOFTWIN), Worm.Mytob.GH (ClamAV), W32/Brontok.C.worm (Panda), Win32/Brontok.E (Eset) Детектирование добавлено 12 окт 2005 17:16 MSK
Обновление выпущено 12 окт 2005 21:22 MSK
Описание опубликовано 01 фев 2006
Поведение Email-Worm, почтовый червь
Технические детали


Вирус-червь, распространяющийся через интернет в виде вложений в зараженные электронные письма. Рассылается по всем найденным на зараженном компьютере адресам электронной почты.

Червь представляет собой PE EXE-файл. Размер зараженного файла около 41 КБ.

Инсталляция
При инсталляции червь копирует себя в следующие каталоги со следующими именами:

%Documents and Settings%\User\Local Settings\Application Data\csrss.exe
%Documents and Settings%\User\Local Settings\Application Data\inetinfo.exe
%Documents and Settings%\User\Local Settings\Application Data\lsass.exe
%Documents and Settings%\User\Local Settings\Application Data\services.exe
%Documents and Settings%\User\Local Settings\Application Data\smss.exe
%Documents and Settings%\User\Local Settings\Application Data\winlogon.exe
%Documents and Settings%\User\Start Menu\Programs\Startup\Empty.pif
%Documents and Settings%\User\Templates\WowTumpeh.com
%System%\<Имя пользователя>'s Setting.scr
%Windir%\eksplorasi.pif
%Windir%\ShellNew\bronstab.exe
После чего червь регистрирует себя в ключе автозапуска системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"Bron-Spizaetus"="%Windir%\ShellNew\bronstab.exe"
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"Tok-Cirrhatus"="%Documents and Settings%\User\Local Settings\Application Data\smss.exe"

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"="Explorer.exe %Windir%\eksplorasi.pif"

При каждой следующей загрузке Windows автоматически запустит файл червя.

Также червь изменяет следующие записи в системном реестре, чтобы заблокировать работу некоторых приложений и опций Windows (Системный Реестр, свойства папок):

[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoFolderOptions"="1"
[HKCU\Software\Microsoft\Windows\CurrentVersion\explorer\advanced]
"Hidden"="0"
"ShowSuperHidden"="0"
"HideFileExt"="1"

[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableRegistryTools"="1"
"DisableCMD"="0"

Также червь создает следующую папку:

%Documents and Settings%\User\Local Settings\Application Data\Bron.tok-XX
XX – 2 случайные цифры.

Распространение через email
Для поиска адресов жертв червь сканирует файлы, имеющие следующие расширения:

asp
cfm
csv
doc
eml
html
php
txt
wab
При этом червем игнорируются адреса, содержащие следующие подстроки:

ADMIN
AHNLAB
ALADDIN
ALERT
ALWIL
ANTIGEN
ASSOCIATE
AVAST
AVIRA
BILLING@
BUILDER
CILLIN
CONTOH
CRACK
DATABASE
DEVELOP
ESAFE
ESAVE
ESCAN
EXAMPLE
GRISOFT
HAURI
INFO@
LINUX
MASTER
MICROSOFT
NETWORK
NOD32
NORMAN
NORTON
PANDA
PROGRAM
PROLAND
PROTECT
ROBOT
SECURITY
SOURCE
SYBARI
SYMANTEC
TRUST
UPDATE
VAKSIN
VAKSIN
VIRUS
При рассылке зараженных писем червь пытается осуществить прямое подключение к SMTP-серверам.

Характеристики зараженных писем
Тема письма:
<пустое поле>
Имя файла-вложения:
Kangen.exe
Прочее
Червь перегружает зараженную систему в том случае, если обнаруживает открытое окно со следующими строками в заголовке:

.exe
Registry

[Беломир]

Спасибо! Я каспером по винтам прошелся, он около 100 зараженных файлов удалил.
Буду форматировать винт и ставить свежую винду.