Вирусы переселяются на USB-флэшки

наверно, года два как туда переселились. достаточно отключить авто-запуск с флешек, антивируса даже не надо.

а вообще как не приду к кому-нибудь в гости- у всех что-нибудь такое есть

Весной 2007 года столкнулся с таким зверушкой. У него ещё поведение было примечательное - создавал папку с недопустимым названием. Потому папку можно было посмотреть, но удалить нельзя, ибо объект с таким именем отсутствует. А распространялся с заражённого компа за 2 сек пребываения флешки в порте.

Читал новость и думал, что тут будет информация, как отключить автостар USB-flash девайсов, но нету =)


Поэтому разыскал в интернете решение сам: - скачиваем с сайта Microsoft программу TweakUI, инсталлируем и запускаем её.
После запуска - в левой части, в меню выбираем пункт "My Computer / AutoPlay / Types" и в правой части убираем галки напротив пунктов

- Enable Autoplay for CD and DVD drives
- Enable Autoplay for removable drivers

Далее нажимаем OK и закрываем программу. Всё, вы в безопасности.

все-таки это очень хорошо, когда система просто работает безо всяких проблем, как windows xp

Удивили... да уже года 2-3 с компов друзей, Интернет-кафе и прочих общедоступных тачек ношу себе эти вирусы...

Вообще неясно, зачем нужен такой авторан на флешке. Ну понятно когда на диске с игрой, но на личном накопителе то нафига?

У себя давно уже решил проблему, сделав все скрытые файлы видимыми, и отключив службу "Определение оборудования оболочки".

Подскажите плз где руками отключить авторан с юсб накопителей в ХР, а не через вышеприведенную софтину.

несколько раз уже встречал один autorun "вирус", и на флешках и на HDD. Обычно простых пользователей, не знающих что такое autorun.inf, это вводит в ступор, и они очень сильно привыкают к открытию дисков с помощью ПКМ->Открыть :) А "вирус" состоит в записи autorun.inf с примерным содержанием

[autorun]
open=copy.exe

Всё, диск/флешка инфицированы :)

очень удивился этому посту: больше года уже борюсь с подобными вирусами.

лично я ничего не отключаю (типа авторан или сервисы), а просто держу Shift, когда вставляю флэшку - авторан не завпускается. потом открываю ее через Far Manager и удаляю все долбаные вирусы, вытаскиваю флэху и снова вставляю. вирусов уже нет, мир спасен :)

просто людям надо быть умнее, повышать свою компьютерную грамотность...

Mac-и тоже запускают содержимое флешок?

Спасибо, отключил и вправду ненужная и навязчивая служба.
Первый такой вирус я встретил летом 2007-ого, после заражения антивирус его немог убрать, приходилось удалять руками из реестра autorun.inf из ключа userinit. А касперский попросту не реагировал на 7 файлов autorun.* в корне каждого диска. Но вот появилось еще множество таких вирусов и антивирь ругается на *.exe или *.com которые копирует autorun, но сам autorun не удаляет :(

У нас один коллега постоянно приносит вирусы на флешке. Ему приходится периодически работать с инфицированными компами и он притаскивает различную autorun-заразу. Я ему предложил отформатировать флешку в NTFS, создать свой autorun.inf и поставить на него такие права, чтоб никто кроме создателя не смог перезаписать. Ну и радикальное решение - флешка со слайдером защиты от записи. Когда не собираешься на неё писать, а только с неё - передвинул переключатель и спокойно раболтаешь. Таких флешек правдо в продаже мало и как правило ёмкость у них небольшая. Как вариант - миниатюрный ридер карт SD и карта к нему, такие по размеру и внешнему виду почти не отличаются от флешек и есть в широкой продаже, но вытаскивать каждый раз SD чтобы сдвинуть переключатель защиты от записи не слишком удобно.

Распространение вирусов через флешки и autorun'ы действительно уже года 2-3. Что удивительно, так это поведение антивирусов. Symantec находит сразу же вирус и удаляет его оставляя файл autorun.inf. А нод наоборот - удаляет autorun.inf и оставляет сам вирус (а это могут быть .dll, .com, .pif, и т.д.)
Отключить автозапуск желательно и потом заходить на флешки (особенно после публичных мест) желательно либо в ФАРе либо через Total Commander (кому что нравиться)

Насколько я помню нажатая кнопка шифт при вставке диска/флэшки отменяет автозапуск ;)

Простой способ предотвратить заражение своей флешки при подключении к чужой инфицированной машине.

Создаёте на флешке ПАПКУ с именем autorun.inf

Всё.

По-моему, довольно красиво.

Вирус пытается создать файл autorun.inf, но у него не получается, т.к. уже есть папка с таким именем. Правда сам исполнимый код вируса, который он пытался прописать в autorun.inf копируется на флешку ( обычно это файлики .exe .com .bat со странными именами ). Ну да если вы самостоятельно не запустите этот код, то его легко удалить. В любом случае, такая флешка "обезврежена" и не придётся переживать когда подключаешь её в свою систему.

Можно плюсовать :).

Буквально два дня назад боролся с таким вирусом. Nod32 к сожалению ничего не отрапортовал даже по моей просьбе.

Вставляем флэшку.
Заходим на нее.
Включаем "отображение скрытых файлов".
Видим в корне флэшки autorun.inf и наборсимволов.dll ("наборсимволов" генерируется каждый раз по разному).
В свойствах файла наборсимволов.dll можно увидеть метку Java и что-то там еще... не запомнил.

Удаляем эти два файла, вытаскиваем флэшку и пока откладываем ее в сторону.

Скачиваем с Microsoft утилиту Autoruns.
Ищем в списке в колонке Description на закладке Everything ту самую "Java не помню что там дальше".
Нужно быть внимательным и не перепутать с настоящей Java.

Нашли?
Теперь запоминаем путь где лежит этот файл и имя этого dll. Как правило он ложится в c:\windows\system32\ Путь можно увидеть в колонке Image Path напротив найденного подозрительного файла.
Отключаем чекбокс напротив файла.

Закрываем autoruns. Перезагружаем компьютер.

Удаляем этот dll.

эволюция - раньше дискеты, теперь флешки :)

Win+R, пишем regedit, нажимаем ok.
В меню Edit->Find, в окне поиска пишем NoDriveTypeAutoRun, ищем.
Заменяем значение всех найденных параметров на FFFFFFFF = 2^32
Как в Висте — не знаю.

на нашей кафедре есть один назойливый червяк, лезущий на флешки. Упорно убиваю его, монтируя флешку под Линуксом и уничтожая физически его файлы.

Если я не ошибаюсь, чтобы отключить автозапуск можно просто зажать Shift в нужный момент.

А я переформатировал флещ в ntfs и закрыл корень на запись всем пользователям :) теперь ко мне уж точно ни чего не попадет.
Заранее подготовленный autorun.inf c правами "только для чтения" мне не помогал.

мне, кажется или эти вирусы стартуют только когда пользователь пытается открыть флэшку через дабл-клик или олюбой пункт в контекстном меню оной. Если же выбирать в дереве каталогов или через сторонню программу (totalcmd, far), то автозапуска не произойдет. А так же его не будет, если выбрать пункт "Открыть" в диалоге "что делать с флэшкой", который иногда предлагает выньда.

Подробно об autorun и как с ним бороться:
http://virusinfo.info/showthread.php?t=17442
http://virusinfo.info/showthread.php?t=20291

Если заразились - http://virusinfo.info/showthread.php?t=1235

Очень часто сталкиваюсь с этим зверьём. Могу поделиться опытом. Во-первых жмите шифт когда вставляете флешку. Во-вторых сразу после этого читайте авторан и удаляйте файл, стоящий на авторане. В-третьих если не получается, пользуйте unlocker.

Недавно убил у себя такого трояна - ravmon.exe. Неизвестно сколько он у меня пробыл, но, надеюсь, недолго. Антивирусами не пользуюсь (поскольку беспорядочную половую жизнь, вроде как, не веду). Обнаружил только потому, что как ни вставлю какую-нибудь флэшку, на ней в корне лежит этот файл. Посмотрел в инете, и в ужасе начал чистить все флэшки - из фотиков, плееров, телефонов...

Давняя тема. В Англии вирусораспространители раскидывали на парковках флэшки с вирусами. Народ находил, вставлял, а дальше вирус уже сам все делал.

У нас на всех компах запрещен автозапуск дисков.

У меня в последнее время на трех компах поселился некий amvo - никак убить не удается. И селится исключительно на флешках.

Не только на просто usb-флешках, но и на флешках в фотоаппартах/телефонах - их вообще никогда никто не проверяет, если антивирус автоматом этого не делает так и носят друг к другу с вируснёй.
Год назад постоянно чистил фотоаппараты от вирусов :) Сам сижу в Linux, поэтому проблема не актуальна.

некая гадость для флешек обвесила все рабочие компьютеры в КПИ (Киевский политехнический институт), уже полгода висит. Всунешь флешку в соседнем отделе что-то скинуть, потом к себе - сразу НОД32 кричит (((

И не гадит вроде, вообще никак не мешает; но плодится и размножается, что кролики весной :)))
Жене недавно винду переставляли, у нее антивиря не было, вот эта же тварь на жесткий диск перелезла. Лишь с 4-5 попытки завалили - оно так же успешно с дисков C и D авторанится :(

сидело, но прошло... а может и сидит, но я его найти не могу... скрытые файлы отображаются...

когда возникла проблема мне вот что посоветовали, но я не пробовала этот вариант, т.к на тот момент уже переустановила винду... : (перед всеми манипуляциями создаём точку востановления)

Беда в том, что антивирус удаляет инфицированные файлы, но не может исправить изменения, которые были сделаны вирусом в реестре с целью заблокировать отображение скрытых файлов. Мне помогли следующие инструкции:

Вирус распространяет своё тело в корень всех локальных дисков и носителей информации, используя Autorun.inf, который запускает вирус при двойном клике на инфицированном диске. Файл скрытый. Так же вирус внедряет троян в систему и правит реестр, делая невозможным отображение скрытых файлов. При этом он не просто изменяет значение ключа [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden"=dword:00000001
и
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001
но меняет и тип ключа с "Параметр DWORD" на "Строковый параметр"
делая невозможным его редактирование стандартными средствами и блокируя изменения через "Сервис\Свойства папки\Вид".

Лечение:
Удаляем все файлы вируса и файл Autorun.inf удаляем ручками через поиск или в хорошем тоталкомандаре, перезагружаем компьютер.
В regedit удаляем неправельные ключи типа "Строковый параметр"
"Hidden"=0
"CheckedValue"=0
и создаём новые типа "Параметр DWORD"
"Hidden"=dword:00000001
"CheckedValue"=dword:00000001
в приведённых выше ветках.

ещё:

1. удаляем из автозагрузки amvo.exe (или amva.exe) через Пуск-->Выполнить — msconfig — Автозагрузка, или через RegCleaner
2. через ACDSee удаляем amvo.exe в БЕЗОПАСНОМ РЕЖИМЕ, потому что в обычном режиме он занят другим процессом .Он прописывается в автозагрузку (авторан). находится здесь: C:\Windows\System32\amvo.exe (если есть amvo1.dll его тоже надо удалить) Этот файл скрытый. Windows его не видит, total commander тоже не видит, на щёт FARa не знаю не проверял. Знаю точно что ACDSee. Он видит скрытые файлы, даже если Explorer их не видит.
3. этот файл Amvo.exe генерирует файлы autorun.ini и x6.bat на всех дисках (на С, D... и на флэшках тоже, вобщем на всех, кроме CD и DVD). Удаляем эти файлы autorun.ini и x6.bat там же - в БЕЗОПАСНОМ РЕЖИМЕ.
4. после удаления этих файлов они хотя бы больше не будут появляться.
5. перегружаем комп.
6. пробуем включить отображение скрытых файлов.

Некоторые из такого рода вирусов можно обломать, если на флешке создать autorun.inf с атрибутом Read-Only - некотрые из таких вирусов не могут снять защиту от записи с файла, а зачит не впишутся в авторан.

Необходимо не просто создать папку autorun.inf и дать ей атрибуты readonly а в ней создать еще что-нибудь, неважно что файл или папку еще.
Это предотвратит тупые удаления используя rmdir без ключа /S
часть идиотов отсеивается.
Еще часть идиотов отсеится, если в имени файлов внутри autorun.inf написать недопустимые символы.
Тогда система не сможет удалить и потребуется еще пыхтеть.
Однако… против лома есть другой приемчик для вирусописателей:
Зачем удалять?
Нужно переименовывать! И данные останутся на всякий случай(например для stealth можно самому запускать этот autorun, если он не папка)
И Проблемм с удалением не будет и всеми такими хитрицами как вы.
Поэтому флэшку защитить не получиться. Есть отличный вариант защиты — покупайте флэшку с переключателем readonly.
А кроме того что можно заразить autorun, можно заразить или еще смешнее — подменить любой exe inf html… файл.
Панацея защиты — переключатель.
А панацея для компа — отключение авторуна нафсегда.
А загрузочные флэшки — вопрос другой