Сегодня нарыл у клиента такую штуку - ВБ-скрипт в автозагрузке+ два файлика autorun* в windows/system32/.
Особо не ковырялся, но разобрался, что когда вставляешь любой носитель то он сразу же копирует скрипт и эти два файла в корень этого носителя. Проверил сегодня NANO АКнтивирус-ом, он спокойно эти файлы пропустил. На всякий случай в архив засунул все файлы плюс экспортированную ветку реестра, где эта зараза прописалась и отправил на virus@nanoav.ru. Архив вирус.rar с паролем 123, как тут принято. Хотелось бы услышать мнение специалистов об этой гадости. Не думаю, что это что то полезное. Полезное не имеет свойства так навязчиво ломиться на все подключаемые устройства.

Мы получили ваше письмо и хотим уточнить следующее (не совсем поняли механизм вашей ситуации): каким образом на носителе появляется авторан? Это случается на машине с установленным нашим антивирусом и включенной системой защиты? или на другом компьютере? Спасибо.

Нет. На том компьютере Вашего антивируса нет. На флешке он появляется при подключенной флешке. В логике скрипта прописано - проверка с интервалом в какое то количество секунд и если на флешке нет этих файлов то записать их туда.
Я на компьютере от этого вируса избавился руками - чистка реестра, автозапуска и удаление этих файлов. Просто себе скопировал все файлы. И проверил Вашим антивирусом. Он на них не отреагировал никак. Как будто все чисто. Просто в работе скрипта я еще разобраться могу. А вот исполняемые файлы... Запускать у себя не очень хочется, поскольку не знаю, что они делают. А ковырять бинарники я не умею. Потому и выслал Вам архив. Почитал форум и понял, что Вы проверяете либо по действию, либо коды самих файлов, т.е. то, чего я не сделаю. Если Вы узнаете что делают эти файлы (кроме самого скрипта, он нужен только для записи на сменные носители бинарников) и дадите им определение "вирус", то они появятся в Вашей антивирусной базе и остальные люди уже смогут себя от него обезопасить, благодаря Вашему антивирусу.

И никакого ответа...
Похоже, что с подобными гадостями людям надо бороться своими собственными умом и руками.

Viha
А вы не проверяли, может уже добавили в базы и Nano определяет этот вирус...

А на том компе какой антивирус стоял?

Здравствуйте, Viha.

Приносим извинения за долгий ответ.
Вот что этот скрипт делает:

• Копирует в C:\WINDOWS\SYSTEM32 файлы AUTORUN.* и svc.*,
• регистрирует себя на автозапуск,
• запускает исполняемый файл svc.scr и вносит в реестр информацию из svc.reg,
• копирует свое добро на сменные носители.

Среди присланных вами файлов к сожалению нет ни исполняемого файла svc.scr, ни svc.reg - возможно, эти файлы были удалены ранее (с инфицированной машины, либо с флешки, следовательно они не были скопированы). По присланным вами файлам: svc.VBS занесен как вредоносный, остальные файлы сами по себе опасности не представляют (скорее всего используются в связке с бинарным вредоносным файлом).

Если у вас все ещё есть доступ на ту машину, либо где-то ещё встретите подобную ситуацию, поищите, пожалуйста, в C:\WINDOWS\SYSTEM32 файлы AUTORUN.* и svc.*. Спасибо.
P.S.: в одном из второстепенных файлов фигурировало ещё имя файла autorun3.swf - тоже интересно было бы получить этот экземпляр.

Ну что делает сам скрипт это я разобрался и описывал ранее. К сожалению файлов тех на компьютере уже нет. Стоит там корпоративный Симантек, он благополучно промолчал на все эти файлы. Все что было на том компьютере связанное с данным скриптом я вычистил вручную. Если попадется еще подобная гадость, то буду иметь ввиду, что сначала нужно для архива сохранить по максимуму данных, а потом уже вычищать все равно, спасибо за ответы.
А Нано теперь благополучно на скрипт этот ругается. Это радует.

о_О .swf насколько я знаю расширение флеш плеера.уже и ТУДА вирусы добрались

SWF это мультимедиа файл и влепить в него вирус это для ваятелей плевое дело, тем более, что практически все мультимедийки выступают активными файлами, т.е. вероятность заразиться через любой мультимедиа файл в разы выше, чем через любой другой. Другое дело, что, лично мне, не попадались завирусованные мультимедиа, может мне просто свезло, а может ваятели почему то недолюбливают этот способ распространения своей дряни. Но, вполне может быть, что под расширением SWF в данном случае скрывался обыкновенный экзешник, но я его у себя не находил.

Как правило, в подавляющем большинстве случаев вредоносные SWF-файлы содержат в себе эксплойты, которые уже в дальнейшем докачивают дополнительное вредоносное ПО (исполняемые, т.е. exe-файлы), т.е. при своевременной установке патчей безопасности риск заразиться через мультимедиа, в том числе SWF, крайне низок.

Это не совсем верно. Вероятность заражения определяется не типом файла, а наличием уязвимостей в соответствующих программах; например, в общем случае, вредоносные PDF-файлы "работают" при наличии незакрытых уязвимостей в программах, обрабатывающих pdf (Adobe Acrobat и т.п.).

Да, действительно, это очень возможный вариант. И в данном случае скорее всего так и есть.