В цій статті я розповім дуже докладно про ці віруси.

ВІРУС і.ехе

І.Опис
%TEMP%\gz8lf.dll
%SYSTEMROOT%\system32\amvo.exe
%SYSTEMROOT%\system32\amvo0.dll
%SYSTEMROOT%\system32\amvo1.dll (якщо запустить amvo.exe)

%SYSTEMROOT%\system32\amvo.exe - кидає в автозавантаження

На кожному диску: i.exe та autorun.inf з наступним змістом:

;OdLaDidL43kkakqksfD221IKlsalSaJcqDd2nAAwasjoekAKJ sr0Ldjo0o47dsifkqwwlwkidaks3l0waKsk7aL7Kk42ew4iKLc fllJ6H0j29k54SjUr0pDll
[AutoRun]
;SAf5eD3iw4F34olH1wrKf7lmOer31Ladoa3aKr01d3s2lspwf 3aikZ9a2Kli4doKaXs40i9l2Kck343ijDjDd2KdeajSI473l2s awDaLwKokpLw32dq3wr9D42S8l
open=i.exe
;dK3edw81woi35wa3w8lrjqodlJ3aOdD374k9els0AwKjSw290 io4s1fakKJk06rj359Sd0DaJqlcaAl
shell\open\Command=i.exe
;oLwdDdA4sqdfrL8qwF33i7w1lc0ka4okkwijKD4wjaiS13rsq K52JwDJO4a3kJ03Km9rsioK3Dlpsosl4Jjae4sws9cla8rdKjk a52D3e81Z352Kokq7AIlskXiajl
shell\open\Default=1
;5Ld3r
shell\explore\Command=i.exe
;oiwkKsj0K4AJ0LDDwfdwai2a3fKpkikDpsiD2Opj7ol1eKois Xo3sa0A0L224k0ei1s8DoZqe3wDskaaDlrKowklw5ae3Jqqa4s nLSjwLka32iSrrdsslwkKd

Приховані файли і папки не показує.

При вставленні в комп флешки одразу на ній з'являються i.exe та autorun.inf з тим самим змістом.

ІІ.Реєстр після вірусу.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_JHYUIOPEWFJESWEDADQ] |
|
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_JHYUIOPEWFJESWEDADQ\0000] |
|
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_JHYUIOPEWFJESWEDADQ\0000\Control] |
"*NewlyCreated*"=dword:00000000 |
"ActiveService"="jhyuiopewfjeswedadq" |
|
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_JHYUIOPEWFJESWEDADQ\0000] | нема
"Service"="jhyuiopewfjeswedadq" |
"Legacy"=dword:00000001 |
"ConfigFlags"=dword:00000000 |
"Class"="LegacyDriver" |
"ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}" |
"DeviceDesc"="jhyuiopewfjeswedadq" |
|
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_JHYUIOPEWFJESWEDADQ] |
"NextInstance"=dword:00000001 |
|
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\S TORAGE\RemovableMedia\7&1fe0f241&0&RM\Control] |
|
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\U SB\Vid_10d6&Pid_1101\A00000600001\Control] |
"ActiveService"="USBSTOR" |
|
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\U SBSTOR\Disk&Ven_USB_2.0&Prod_(HS)_Flash_Disk&Rev_1 .00\A00000600001&0\Control] |

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Disk\Enum]
"Count"=dword:00000002 1
"NextInstance"=dword:00000002 1
"1"="USBSTOR\\Disk&Ven_USB_2.0&Prod_(HS)_Flash_Dis k&Rev_1.00\\A00000600001&0" - нема

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\PartMgr\Enum]
"Count"=dword:00000003 2
"NextInstance"=dword:00000003 2
"2"="USBSTOR\\Disk&Ven_USB_2.0&Prod_(HS)_Flash_Dis k&Rev_1.00\\A00000600001&0" - нема

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\USBSTOR\Enum] |
"0"="USB\\Vid_10d6&Pid_1101\\A00000600001" | нема
"Count"=dword:00000001 |
"NextInstance"=dword:00000001 |

[HKEY_USERS\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\Advanced]
"Hidden"=dword:00000002 1
"ShowSuperHidden"=dword:00000000 1

[HKEY_USERS\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\MountPoints2\{bd66ecf2-84cf-11dd-815c-da9427b907b2}\shell]
@=- - нема

[HKEY_USERS\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\MountPoints2\{bd66ecf2-84cf-11dd-815c-da9427b907b2}\Shell\AutoRun] |
@="I:\\i.exe" | нема
|
[HKEY_USERS\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\MountPoints2\{bd66ecf2-84cf-11dd-815c-da9427b907b2}\Shell\explore\Command] |
@="I:\\i.exe" |
|
[HKEY_USERS\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\MountPoints2\{bd66ecf2-84cf-11dd-815c-da9427b907b2}\Shell\open] |
|
[HKEY_USERS\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\MountPoints2\{bd66ecf2-84cf-11dd-815c-da9427b907b2}\Shell\open\Command] |
|
[HKEY_USERS\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\MountPoints2\{bd66ecf2-84cf-11dd-815c-da9427b907b2}\Shell\open\Default] |
@="1" |
|
[HKEY_USERS\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\MountPoints2\{bd66ecf2-84cf-11dd-815c-da9427b907b2}\Shell\open\Command] |
@="I:\\i.exe" |
|
[HKEY_USERS\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\MountPoints2\{bd66ecf2-84cf-11dd-815c-da9427b907b2}\Shell\AutoRun] |
"Extended"="" |

[HKEY_USERS\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Ext\ Stats\{9961627E-4059-41B4-8E0E-A7D6B3854ADF}\iexplore]
"Count"=dword:00000316 335

[HKEY_USERS\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Ext\ Stats\{EBE9E2B5-B526-48BC-AD46-687263EDCB0E}\iexplore]
"Count"=dword:0000034A 369

[HKEY_USERS\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Inte rnet Settings\5.0\Cache\Extensible Cache\MSHist012008101020081011] |
"CachePath"="%USERPROFILE%\\Local Settings\\History\\History.IE5\\MSHist012008101020 081011" |
"CachePrefix"=":2008101020081011: " | - no
"CacheLimit"=dword:00002000 |
"CacheOptions"=dword:0000000B |
"CacheRepair"=dword:00000000 |

[HKEY_USERS\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Poli cies\Explorer]
"NoDriveTypeAutoRun"=dword:00000091 b1

[HKEY_USERS\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Run]
"amva"="C:\\WINDOWS\\system32\\amvo.exe"

ІІІ. ЛІКУВАННЯ ВІРУСУ.

ЗРОБІТЬ КМД ФАЙЛ І В НЬОГО ВПИШІТЬ:

taskkill /f /im i.exe /t
taskkill /f /im amvo.exe /t
del /f /q /a:s "%temp%\gz8lf.dll"
del /f /q /a:s "%systemroot%\system32\amvo.exe"
del /f /q /a:s "%systemroot%\system32\amvo0.dll"
del /f /q /a:s "%systemroot%\system32\amvo1.dll"
reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ex plorer\Advanced\Folder\Hidden\SHOWALL" /v CheckedValue /t reg_dword /d 00000001 /f
reg delete "HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_JH YUIOPEWFJESWEDADQ" /f
reg delete "HKLM\SYSTEM\CurrentControlSet\Enum\STORAGE\Remova bleMedia\7&1fe0f241&0&RM\Control" /f
reg delete "HKLM\SYSTEM\CurrentControlSet\Enum\USB\Vid_10d6&P id_1101\A00000600001\Control" /f
reg delete "HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR\Disk&V en_USB_2.0&Prod_(HS)_Flash_Disk&Rev_1.00\A00000600 001&0\Control" /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\Disk\E num" /v Count /t reg_dword /d 00000001 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\Disk\E num" /v NextInstance /t reg_dword /d 00000001 /f
reg delete "HKLM\SYSTEM\CurrentControlSet\Services\Disk\E num" /v 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\PartMgr\En um" /v Count /t reg_dword /d 00000002 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\PartMgr\En um" /v NextInstance /t reg_dword /d 00000002 /f
reg delete "HKLM\SYSTEM\CurrentControlSet\Services\PartMgr\En um" /v 2 /f
reg delete "HKLM\SYSTEM\CurrentControlSet\Services\USBSTOR\En um" /f
reg add "HKU\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\Advanced" /v Hidden /t reg_dword /d 00000001 /f
reg add "HKU\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\Advanced" /v ShowSuperHidden /t reg_dword /d 00000001 /f
reg delete "HKU\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\MountPoints2\{bd66ecf2-84cf-11dd-815c-da9427b907b2}\shell" /v @ /f
reg delete "HKU\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\MountPoints2\{bd66ecf2-84cf-11dd-815c-da9427b907b2}\Shell\AutoRun" /f
reg delete "HKU\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\MountPoints2\{bd66ecf2-84cf-11dd-815c-da9427b907b2}\Shell\explore" /f
reg delete "HKU\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\MountPoints2\{bd66ecf2-84cf-11dd-815c-da9427b907b2}\Shell\open" /f
reg add "HKU\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Ext\ Stats\{9961627E-4059-41B4-8E0E-A7D6B3854ADF}\iexplore" /v Count /t reg_dword /d 00000335 /f
reg add "HKU\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Ext\ Stats\{EBE9E2B5-B526-48BC-AD46-687263EDCB0E}\iexplore" /v Count /t reg_dword /d 00000369 /f
reg delete "HKU\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Inte rnet Settings\5.0\Cache\Extensible Cache\MSHist012008101020081011" /f
reg delete "HKU\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Run" /v amva /f
pause


всЕ
УДАЧІ.

ВІрус ntde1ect.com

І.ОПИС

%TEMP%\8y9vh.dll
%SYSTEMROOT%\system32\avpo.exe
%SYSTEMROOT%\system32\avpo0.dll
%SYSTEMROOT%\avpo1.dll (якщо запустить avpo.exe)

%SYSTEMROOT%\system32\avpo.exe - кидає в автозавантаження

На кожному диску: ntde1ect.com та autorun.inf з наступним змістом:

[AutoRun]
open=ntde1ect.com
;;shell\open=Open(&O)
shell\open\Command=ntde1ect.com
shell\open\Default=1
;;shell\explore=Manager(&X)
shell\explore\Command=ntde1ect.com

Приховані файли і папки не показує.

При вставленні в комп флешки одразу на ній з'являються ntde1ect.com та autorun.inf з тим самим змістом.

ІІ.Реєстр Після дій вірусу.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_RTYGFSK]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_RTYGFSK\0000]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_RTYGFSK\0000\Control]
"*NewlyCreated*"=dword:00000000
"ActiveService"="rtygfsk"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_RTYGFSK\0000]
"Service"="rtygfsk"
"Legacy"=dword:00000001
"ConfigFlags"=dword:00000000
"Class"="LegacyDriver"
"ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
"DeviceDesc"="rtygfsk"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_RTYGFSK]
"NextInstance"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\a347scsi\Config\jdgg40]
"ujdew"=-
"ljej40"=-
"ljej41"=-
"ljej42"=-
"ljej43"=-

[HKEY_USERS\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\Advanced]
"Hidden"=dword:00000002
"ShowSuperHidden"=dword:00000000

[HKEY_USERS\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\MountPoints2\CPC\Volume\{790694c2-8c6d-11dd-816c-8b9ee64cf7c4}]
"Generation"=dword:00000001

[HKEY_USERS\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Ext\ Stats\{9961627E-4059-41B4-8E0E-A7D6B3854ADF}\iexplore]
"Count"=dword:00000246

[HKEY_USERS\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Ext\ Stats\{EBE9E2B5-B526-48BC-AD46-687263EDCB0E}\iexplore]
"Count"=dword:0000027A

[HKEY_USERS\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Poli cies\Explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_USERS\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Run]
"avpa"="C:\\WINDOWS\\system32\\avpo.exe"

ІІІ.Лікування

ЗРОБІТЬ КМД ФАЙЛ І В НЬОГО ВПИШІТЬ:

taskkill /f /im ntde1ect.com /t
taskkill /f /im avpo.exe /t
del /f /q /a:s "%temp%\8y9vh.dll"
del /f /q /a:s "%systemroot%\system32\avpo.exe"
del /f /q /a:s "%systemroot%\system32\avpo0.dll"
del /f /q /a:s "%systemroot%\system32\avpo1.dll"
reg delete "HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_RT YGFSK" /f
reg delete "HKLM\SYSTEM\CurrentControlSet\Services\a347scsi\C onfig\jdgg40" /f
reg delete "HKU\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Run" /v avpa /f
reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ex plorer\Advanced\Folder\Hidden\SHOWALL" /v CheckedValue /t reg_dword /d 00000001 /f
reg add "HKU\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\Advanced" /v Hidden /t reg_dword /d 00000001 /f
reg add "HKU\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\Advanced" /v ShowSuperHidden /t reg_dword /d 00000001 /f
reg add "HKU\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\MountPoints2\CPC\Volume\{790694c2-8c6d-11dd-816c-8b9ee64cf7c4}" /v Generation /t reg_dword /d 00000002 /f
reg add "HKU\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Ext\ Stats\{9961627E-4059-41B4-8E0E-A7D6B3854ADF}\iexplore" /v Count /t reg_dword /d 00000262 /f
reg add "HKU\S-1-5-21-1085031214-1177238915-725345543-500\Software\Microsoft\Windows\CurrentVersion\Ext\ Stats\{EBE9E2B5-B526-48BC-AD46-687263EDCB0E}\iexplore" /v Count /t reg_dword /d 00000296 /f
pause


Все УДАчі