O jā... Šis bija mans pirmais vīruss, ar kuru saskāros! Antivīruss izdzēsa visus inficētos failus (*.exe). Dabūju pa DC++ rakties, lai dabūtu neinficētus failus analogām programmām. Vispār jau bēdīgs gadijums. Tavam antivīrusam nav funkcijas "Heal", kura salabo inficētos failus dzēšot pašu vīrusu?

man ir KAV bet parausos pa forumiem un sapratu ka nav jeegas labot vai dzeest, buus vien jaapaarliek os

Nu uztaisi vēl vienu partīciju, tad tai jaunajai partīcijai HARD Format, pārkopē vajadzīgo uz turieni, tikai nekopē nevienu exe failu. un tad pārinstalē vai salabo windu

Man bija tāda pati problēma. Muļķības pēc ielaidu to (vairāk jau eksperments, jo taisījos formatēt cieto). Patiesībā jau Kaspersky to neļāva, bet es to atslēdzu.
Kad pieslēdzu Kaspersky, tas man izstrādāja tādu pašu joku
Izmēģinājos visādi no tā vīrusa tikt vaļā, nekas nelīdzēja. Tad uztaisīju System Restore (uzliku laiku, pirms tā vīrususa ielaišanas) un tas palīdzēja.
p.s Varbūt, ja ir uzlikts cits antiviruss, tas var nepalīdzēt.

Klausi vien tādus interneta gudrīšus, kas iesaka pie pirmajām problēmām pārinstalēt vindozi.

novelc CureIt ( DrWeb portablo versiju - www.freedrweb.com/cureit/ ), ielādējies seifmodē, palaid un pagaidi, līdz tiek izravēts vairums drazas.
ja paliek inficēti rundll32.exe, explorer.exe utml svarīgie faili, tad ielādējies no kāda XP/Vistas LiveCD un palaid vēlreiz to pašu CureIt, lai ēd nost visu drazu pilnībā.
Ja kāds svarīgs fails tiek sabojāts - ielādējies  no instalācijas diska, izvēlies nevis "Setup", bet gan "R - Repair", kad apstājas un prasa, ko darīsi. tur ekspandē attiecīgo failiņu pa virsu vecajam, un viss aizies.

piezīme - man pēdējo reizi neizdevās palaist no seifmodes, uzreiz XP LiveCD izmantoju ( DC hubos var atrast vairumā ). tādā veidā arī pamatīgi savīrusotu vindozi var atdzīvināt aptuveni stundas laikā, bez jebkādas ņemtnes ar reinstaliem vai cietā diska nomaiņas vai tml radikāliem risinājumiem. vienārši system restore arī varētu līdzēt - vismaz tam tas ir domāts.

=>#5
A vot šajā gadījumā nepiekrītu - nahren jāties un atkačāt pusgrauztu OS, ja daudz vieglāk ir uzlikt savigu - laika patēriņš šajā gadījumā būs tas pats.

#6: sporta pēc - noder iemaņas, kaut vai paceļot datoru nopietnam klientam ar 50 dārgiem softiem vai serveri restaurējot pēc kļūmēm.
neies taču visu mūžu pārinstalēt tādas lietas, "jo vienmēr tā darījis un neko citu neprot".
 pārinstalēšana bieži vien velkas ilgāk nekā kļūdas atrašana vai sfc, izņemot, ja ir plika vindoze ar ofisu, winampu un DC++.  nafik to ņemtni, ja viss ir labojams un klients priecīgs, ka viņam viss ir savās vietās un iet palēkdamies.

Īstenībā, šie virut sūdi neko jums neizdarīs, katrs fails vnk būs par 14 kb lielāks un visa bēda... Pašam kādi 3 gadi atpakaļ bija kaudze! Otrs aspekts atkal ir, ja baigi patīk ar AV vislaik skanēt, tad gan ātri pieriebsies!

Nez, pats izmantoju tikai pro firewall (Comodo), ar pilnu kontroli un nekādu problēmu, bez AV jau vairāk kā gadu... Nesen biju novilcis avira pro, intereses pēc paskatīties vai nav kas uzradies kompī un par nelaimi viss uz 0! :D

Ā un, protams, man ir sūdīgākā un caurumotākā OS Pasaulē (XP ar 0 updeitiem)!

Tiesnesis rakstīja:

Īstenībā, šie virut sūdi neko jums neizdarīs, katrs fails vnk būs par 14 kb lielāks un visa bēda...

protams, plaanpraatinj
un faila cjeksumma nemainiisies...
un fails straadaas it kaa nekas nebuutu bijis...
tu neesi Potera dviinjubraalis?

Nē, Čubaka, neesmu! :D Un tieši tā - fails strādās tieši tā kā nekas nebūtu bijis! Tu ganjau par virut neesi īpaši lietas kursā, bet nekas, neesi vienīgais kas jūk prātā un skraida pa sienām no jebkura trojāna, worma un visa pārējā dārzā! :D

es tev neesmu nekaada cjubaka, mljin...
un par virut teemu
http://www.n ote pad.lv/briidinaajums-operas-un-foxit-programmatuuras-lietotaajiem-t3340.html

#11
Tur jau visi spiedz tāpat kā tu! :D Jā man ir un viņam ir un ko mēs tagad darīsim?! Inficēts fails nenozīmē, ka viņam vāks! Ka nezin, kas tas ir un kā izpaužās, tad labāk muti turēt būtu iemācījies!

#12, blje, kaads idinjsj, ar tevi pat nav jeegas diskuteet....
ja nebuutu tik skumji, tad buutu smiekliigi...

Man ar tev ir definīcija - flamer!
http://www.urbandictionary.com/define.php?term=flamer
http://en.wikipedia.org/wiki/Flaming_(Internet)

Man izdevās ar nelielu pasvīšanu tikt vaļā no Virut.
Pats es nezinu kā es viņu dabūju, bet šis bija paspējis inficēt visus exe failus iekš C/Windows/$NtServicePackUninstall$/ . Ar Nod32 standart scan visu iztīrīju un neko vairāk neatrada. Taču ik pa laikam virut par sevi atgādināja antivīrusam izmetot logus ka atkal šis noķets, palaižot exe failus no C/System Volume Information/ . Šajā folderī glabājas System restore pointu infa un Nod32 skenējot šo folderi vnk ignorē.
Iegāju safe mode un palaidu CureIt - http://www.freedrweb.com/cureit/ - šis varēja skenēt system restore failus un atklājās ka virut tur masveidā savairojies. CureIt tūlis lielāko daļu failu izārstēja, dažus nevarēja un iemeta karantīnā. Papildus drošības pēc atslēdzu system restore, lai iztīrītu visu system volume information folderi, noskenēju visu sistēmu vēlreiz un neko vairs neatrada, un ieslēdzu atpakaļ system restore. Tagad kādu nedēļu vairs nav manīts, bet cik esmu lasījis citos forumos, šis ir diezgan dzīvelīgs un var vēl kkur noslēpties un atgriezties.
Tātad īsumā -
1. novelkam CureIt,
2. atslēdzam system restore, kas iztīrīs restore pointus,
3. ieejam safe mode,
4. noskenējam visu pilnībā, kad kādā failā vīruss noķerts, spiežam yes to all, jo viņš var ātri pavairoties un iemitināties simtos exe failu.
5. CureIt vai nu izārstēs vai iemetīs karantīnā inficētos failus, izdzēšam visu karantīnā.
6. Ieslēdzam atpakaļ system restore. Ja kādai programmai ir izdzēsts exe fails, nāksies pārinstalēt progu.

kaspo rakstīja:

Iegāju safe mode un palaidu CureIt - http://www.freedrweb.com/cureit/ - šis varēja skenēt system restore failus un atklājās ka virut tur masveidā savairojies.

Mapē "System Volume Information" vīrusi nevairojas, tā ir izdzēsto (neaktīvo) vīrusu "kapsēta". No šīs mapes vīrusi paši vairs nevar palaisties. Teorētiski jau var uzrakstīt vīrusu, kurš nomaina mapei “System Volume Information” pieejas tiesības, iekopē tur vīrusu, un tālāk jau to darbina no šīs mapes, bet tam nav nekādas lietderīgās jēgas. Vīrusu darbināšanai no mapes “System Volume Information” nav nekādu priekšrocību attiecībā pret citām mapēm (C:\Windows\. Temp, u.c), un vīrusu rakstītājiem nav nekādas jēgas nodarboties ar vīrusu slēpšu tur.

#16 nu nu. Ir autorun vīrusi, kas smuki dosā sevi repairo, murgs, ja ir vairākas partīcijas, kad iebūtojas no kāda ne-windows LiveCD, smuki var redzēt - kamēr vienā diskā izdzēs, otrā šis jau sēž kā sēdējis. Kamēr neatron sakni, no kurienes tas aug, ir pagrūti tikt vaļā, un bieži vien tā vieta ir System Volume Information.
Ja kas, sēžot no Limited User, lietotājs par to esamību bieži vien pat nenojauš.

Es ar šito vienam kompim iztīriju, tad neno kurienes  tas uzradās atkal, un kā atriebjoties man par priekšģājēju izdzēšanu (aizvietoju inficētos explorer.exe un notepad.exe un citas exe ar failiem no instalācijas) salīda arī Installer dirā un frameworkā un vel visur. Tad man apnika un es stundas laikā uztaisiju reinstall.

> #17
1) nosauc kaut vai vienu vīrusu, kurš sevi atjauno no ‘System Volume Information’, citādi mēs tikai runājam par tēmu no sērijas ‘viena tante teica’?
2) sēžot no Limited User, 90% vīrusu vispār nedarbojas, bet ja vēl nogriež tiesības darbināt neinstalētas programmas, tad nedarbojas visi 99,99% no zināmajiem Windows vīrusiem. Tas, ka Limited User datorā, mapē ‘System Volume Information’ var atrast kādu vīrusu, liecina tikai to, ka lietotājs šo vīrusu ir izdzēsis un tas vairs nedarbojas (nav aktīvs).
3) nebūtu slikti iepazīties ar System Restore darbības mehānismi, pirms rakstīt par to ka virusi paši sevi no turienes atjauno.
Ai, labi viss, es vairs negribu strīdēties par vīrusiem, jo tas ir bezcerīgi. Tā, ka es pilnība piekrītu tam, ka vīrusi ir Dieva radības, tie uzrodas ne no kā, tie darbojas arī tad kad nedarbojas, un tie spēj paši augšām celties miroņiem.

Tu " Firza" tik pārliecināti stāsti ka rodas iespaids itkā tu pats ar tos vīrusus būtu taisījis . Bet ja nopietni - sajūtas nav patīkamas ,viņi tik nāk un nāk un Kašperis tik kviec un kviec...

Ja gribas diskutēt par vīrusu tēmu, tad tai lietai tiešām vajag pieiet no otra gala – kā Tu to būtu darījis, ja pats rakstītu vīrusus. Tad būtu vieglāk nonākt pie loģiskiem secinājumiem, nevis pie vīrusu mistifikācijām.
Galvenās vīrusu aksiomas:
1. Vīruss ir aktīva datorprogramma
2. Lai vīruss darbotos tas ir jāiedarbina
3. Vīruss, kurš nav iedarbināts, nevar veikt savas ieprogrammētās destruktīvās darbības
4. Vīrusi var izdarīt tikai to, kas tajos ir ieprogrammēts un to ko tiem atļauj OS

Piemēram, man datorā ir viens aktīvs vīruss, es to nokauju un viņa failu izdzēšu. Ar ieslēgtu System Restore, šis vīruss nonāks mapē “System Volume Information”, jo no Windows viedokļa, tas, kā jebkura cita izpildāmā programma, ir aizsargājams fails. Tad kāds varētu būt reāls mehānisms (bez mistifikācijām), kā šis vīruss varētu sevi atjaunot? A bet situācija no vīrusa viedokļa ir ļoti skarba, vīruss vairs nav aktīvs, un pats viņš sevi vairs nevar atjaunot. System Restore pats uz savu galvu, nekad neko neatjauno. Lai kaut kas tiktu atjaunots, tam ir vajadzīga aktīva lietotāja līdzdalība. Kas tad to vīrusu var atjaunot, ja darbojoša vīrusa vairs nav, un pati OS neko netaisās atjaunot? Ja atmetīsim pie malas vīrusu mistifikācijas, par to, ka vīrusi var dzīvot iekš Registry un paši sevi no turienes atjaunot, tad nav redzamas nekāds mehānisms, kā uzrakstīt programmu, kura nestrādājot var pati sevi atjaunot.
Lai vīruss varētu atjaunoties, ir jābūt vēl kādam aktīvam vīrusam, kas to dara. Bet, ja datorā ir vairāki aktīvi vīrusi, kuri kontrolē viens otra eksistenci, tad nav nekādas jēgas nodarboties ar izvirtībām, mēģinot izdzēsto vīrusu atjaunot no miskates, vai no “System Volume Information”, ja to var izdarīt daudz vieglāk – atjaunojot izdzēsto vīrusu, no vīrusa, kurš dotajā brīdī darbojas.

Firza rakstīja:

Mapē "System Volume Information" vīrusi nevairojas, tā ir izdzēsto (neaktīvo) vīrusu "kapsēta". No šīs mapes vīrusi paši vairs nevar palaisties. Teorētiski jau var uzrakstīt vīrusu, kurš nomaina mapei “System Volume Information” pieejas tiesības, iekopē tur vīrusu, un tālāk jau to darbina no šīs mapes, bet tam nav nekādas lietderīgās jēgas. Vīrusu darbināšanai no mapes “System Volume Information” nav nekādu priekšrocību attiecībā pret citām mapēm (C:\Windows\. Temp, u.c), un vīrusu rakstītājiem nav nekādas jēgas nodarboties ar vīrusu slēpšu tur.

Ok, varbūt piekritīšu ka šajā mapē vīrusi nevairojas, bet diemžēl ik pa laikam man AV izmeta ka kārtējo reizi logu, citēšu no log faila - Event occured during an attempt to access the file by the application C/Windows/system32/svchost.exe un tamlīdzīgi faili kā C:\System Volume Information\_restore{3A579F61-82CF-4117-919A-DB7B394CD5BC}\RP84\A0021413.exe tikai krājās karantīnā. Pie tam pa vidu daudziem eventiem virut mainīja signatūru no Virut.NBM uz Virut.NBP, tāpēc domāju ka šis varētu būt aktīvs arī iekš system volume information. Un apstrīdēšu ka šai mapei nav nekādu priekšrocību attiecībā pret citām mapēm, vismaz relatīva - Nod32 scans to ignorē un domāju ka tas nav vienīgais eksemplārs un šī mape tādējādi varētu būt interesants uzbrukumu objekts. Tas viss IMHO, neko jau daudz nezinu kaut vai par system restore principiem.

Firza, nu nepateikšu vairs to nosaukumu, vienkārši brutāli izdzēsu, bija jau piebesījis, jo katreiz tas (nosaukums) bija cits, KIS2009 to nodēvēja par "Generic Trojan", un neko ārkārtēju jau tas nedarīja, tikai nedaudz iebremzēja datoru, pamatīgi noslogoja tīklu un konfiscēja visiem lietotājiem viņu tiesības, kļūstot par vienīgo datora saimnieku.
Bet fakts ir tāds, ka tas spēja sevi atjaunot uz offlainā atrodošās sistēmas.

Lai vīruss darbotos, tas ir jāiedarbina. Noklusēti, mapei “System Volume Information” pieejas tiesības ir tikai lietotājam “System”. Parastam lietotājām, pat ar Administratora tiesībām uz šo mapi nav nekādu pieejas tiesību (pat ne lasīšanas). Tas nozīmē, ka lai vīruss varētu darboties no mapes “System Volume Information”, tam ir vai nu jāpieliek priekš attiecīgā lietotāja pieejas tiesībās, vai nu jādarbojas kā Service (vai kā draiverim) ar SYSTEM tiesībām. Ja vīruss darbojas kā driveris vai kā Service, tad loģiskā tam būtu darboties no Windows mapes, nevis mēģināt to darīt no mapes, no kuras normāls programmas nedarbojas. Ja vīruss darbojas ar pašreizējā lietotāja tiesībām, tad tik un tā, loģiskā ir sevi darbināt mapes, kas mazāk krīt acīs. Lai vīruss varētu darboties, tam no kaut kurienes ir jāpalaižas – tam ir jābūt ieskatītam iekš Startup. Kaut cik zinošs lietotājs, apskatoties iekš msconfig Startup sarakstu uzreiz sapratīs, ka programmu, kura palaižas no “System Volume Information” nevar būt normāla. Tā, ka no vīrusu rakstītāja viedokļa, vīrusus vajag darbināt no tām mapēm, kuras nav tik uzkrītošas. Un tas, ka daži antivīrusu nepārbauda mapi “System Volume Information” nav priekšrocība priekš vīrusiem, jo datoram ir bīstami tikai tie vīrusi, kuri darbojas, bet vīrusi, kuri nedarbojas, var datorā mētāties 100 gadus, un izņemot aizņemtos pāri kB no cietā diska apjoma (tas tiešām ir “liels” zaudējums mūsdienu cietajiem diskiem) , nekādu kaitējumu datoram tie nevar nodarīt. Bet, ja vīruss tiešām būs tik “gudrs” un mēģinās sevi palaist mapes “System Volume Information”,  tad jebkurš on access antivīruss to momentā nobloķēs, jo dotajā gadījumā antivīruss kontrolē mēģinājumu palaist izpildāmu programmu (vīrusu) neatkarīgi no tā atrašanās vietas.
Ja vīruss tikai izdzēsts, tad no mapes “System Volume Information” pats saviem spēkiem, tas vairs nespēs izkļūt, un arī citi vīrusi viņu no turienes nespēs atbrīvot, jo tīri tehniski, atrast kādu konkrētu failu šajā mapē ir samērā sarežģīts uzdevums: nav pieejas tiesību uz šo mapi, izdzēstais vīruss ir jāatrod mapē ar C:\System Volume Information\_restore{377E5E85-AFA1-4562-85A2-AF6FD318D221}\RP1585\ starp kaudzi failu ar gandrīz vienādiem nosaukumiem (A0306712.exe).