Лечение:
Подключите флешку в USB-выход, и откройте командную строку. Далее следует прописать следующие команды:
cd /d X: (где X: — буква каталога, которой обозначается подключенная флешка) ;
attrib -s -h -a -r /s /d *.* (да-да *.* тоже нужно прописывать) .
Теперь, открыв флешку Вы можете лицезреть все скрытые файлы:
Удалите все файлы, за исключением файла autorun.inf.
Теперь открываем программу Process Explorer (если у Вас ее нет — можете скачать тут).У некоторых могут возникнуть проблемы с правами, поэтому сразу выполнить операцию "File — Show Details for All Processes".
Теперь зажмите комбинацию клавиш Ctrl+L (откроется окошко внизу, где показываются все процессы) . Теперь нужно найти файл autorun.inf (можно вручную — процесс находится в ветке svchost, а можно через Ctrl+F).
Теперь кликаем правой кнопкой мыши по процессу, и выбираем функцию Close handle (процесс должен быть закрыт без всяких возражений) . Затем нужно удалить файл autorun.inf на самой флешке.
Далее идем в папку Temp (находится по адресу C:users\%username%AppDataLocalTemp), и ищем странный файл. Он имеет расширение .pif, и его можно найти с помощью поиска или вручную; его, также, нужно удалить (хотя проще удалить все из папки Temp — все-равно вреда не будет) .
Все. Теперь, если Вы все верно сделали (по идее) — Ваш ПК очищен от этой гадости.
P.S. Лично я после очистки перезагрузил ноутбук, и проверил двумя флешками — вроде-бы все нормально.
P.P.S. Можно, также, после очистки сделать проверку системы CureIT’ом — так, на всякий случай.
Upd 1. Вирус может глубоко засесть в реестре, и "терроризировать" Вас даже после проведенной процедуры лечения.
Что-бы избавится от него раз и навсегда проведите следующую операцию:
в ветке HKEY_CURRENT_USERSoftwareMicrosoftWindows NTCurrentVersionWindowsLoad реестра найдите и удалите ссылку на данный файл.
Например, у меня параметр со ссылкой имел вид:
На работе закрался в компьютеры интересный вирус. Он создаёт ярлык флешки на самой флешке и когда человек подключает такую флешку, то думает что это безобидный глюк и запускает ярлык. А ярлык в свою очередь исполняет вредоносный код, записанный в свойствах, а потом только открывает пользователю папку с файлами. Антивирусные программы оказались бессильными, решил самостоятельно попробовать устранить эту беду.
Вирус распространяется только через USB флеш накопители
Итак, если зайти в Google с запросом Вирус создаёт ярлык флешки на флешке мы увидим специальные ветки на форумах (пример темы на cyberforum.ru (http://www.cyberforum.ru/viruses/thread970282.html)), где люди просят удалить эту ерунду.
Для устранения вируса, создающего ярлык флешки на флешке, нужно отправить отчёты сканирования компьютера, затем выполнить рекомендации гуру и всё. А что делать если заражённым оказался весь парк компьютерной техники? Очень накладно будет отправить отчёт по каждому ПК, т.к. не все сотрудники смогут это сделать. Да и пролечить флешки всем без исключения тоже геморно по времени.
Как вариант, решил попробовать самостоятельно изучить этот вирус. Для этого установить виртуальный Windows в VirtualBox, заразил его инфицированной флешкой. Сейчас занимаюсь поиском универсального и простого способа очистить компьютеры от вируса, создающего ярлык флешки на флешке, а также защитить систему от инфецированных usb носителей.
Соображения по защите
Открыть содержимое флешки в обход запуска вредоносного ярлыка
Как я говорил ранее, вирус распространяется только через usb-устройства путём запуска исполняемого кода из свойств ярлыка. Для того, чтобы открыть все спрятанные файлы можно использовать следующий скрипт:
Сохраняем его как run.bat и держим под рукой.
Отключить автозапуск USB устройств Чтобы отключить автозапуск USB-флешки и CD-диска, необходимо править реестр:
- «Пуск» — «Выполнить» и пишем «regedit»;
- Открываем путь
- Заходим в раздел Explorer, а если его нет — создаём новый раздел и переименовываем в «Explorer»;
- В разделе «Explorer» создаём ключ NoDriveTypeAutoRun и вводим значение ключа 0x4 для отключения автозапуска всех съёмных устройств.
Когда приносят флешку с ярлыком в корне, нужно
- скопировать run.bat в корень флешки и запустить;
- после чего нам откроются многие невидимые файлы, в том числе и папка с пустым именем, куда вирус загрузил все файлы;
- открываем бесплатную утилиту от майкрософт Process Explorer и находим через CTRL+F ссылку на autorun, завершаем этот процесс;
- теперь осталось удалить с корня все файлы, кроме этой папки.
- заходим в папку и перемещаем её содержимое на уровень выше, т.е. в корень флешки.
Вот пока и всё, что у меня есть. Надеюсь скоро порадовать свежей информацией
Лечение вируса от читателя (Способ не работает. Ред. от 02.10.2015)
Помогла программа UsbFix (ССЫЛКА_УДАЛЕНА) Скачивайте последнюю версию и нажимайте беспощадную «Clean». Осторожно, вычищает всё ненужное из автозагрузки.
Спасибо Вам огромное! Думаю информация будет актуальна для посетителей!
Прим. от 02 октября 2015 года: ссылку на программу удалил. Сейчас там нельзя её скачать, а идёт вечное перенаправление с одного сайта на другой.
Кстати, у нас этот вирус как-то постепенно и умер. Все перекопировали себе скрипт, что писал выше для проверки флешки, каждый раз их чистили и проверяли. А у людей, которые вечно приносити зараженные устройства — отказались их брать. И так победили эту заразу.
Алоха всем. Намутил тут на днях .bat файл, который препятствует проникновению авторан-вирусов на флешку. Решил поделиться, мало ли кому поможет. Сразу прошу за какие-то технические неточности, я не спец, просто жизнь вынудила)
В универе у нас на компах завелся вирусяка гадостный. Его алгоритм действий: Перебрасывает все файлы на флешке в папку, эту папку скрывает и делает системной. Потом создает ярлык на эту скрытую папку. Как правило называется "Съемный диск %буква%" или то же самое но с размером флешки. Но ярлык не простой, а золотой) Открыв флешку по ярлыку, мы запускаем вредоносный код. Т.к. текучка студентов на компах огромная, кто-то да занесет опять, несмотря на периодические чистки. Залезает вирусяка иногда других модификаций, но в целом можно считать, что одного типа. "Антивирус" подходит как правило для рабочих мест, где постоянно несут один и тот же вирус, но для иных версий файл можно модифицировать самому, ничего секретного там нет.
На этом основная часть закончена, переходим к рассмотрению сути защиты.
В .zip архиве 2 файла — AVP Enable.bat и AVP Disable.bat. Запускать их надо из корня флешки. Один файл для создания файлов и папок, другой удаляет их соответственно (если зачем-либо захочется удалить). Все это хозяйство скрывается и делается системным, и на компах, настроенных по дефолту, вы ничего не увидите.
Защита строится исходя из следующего принципа, все это зашито в батник:
1) Смотрим название папки, в которую вирус перекидывает ваши файлы. Очень часто это вроде " " или "_"
2) Создаем файл с таким именем. При попытке создать папку, вирусяка получит отказ, т.к. уже есть файл с таким именем. (Если создать папку, а не файл, то вирус просто пропустить одну итерацию — облегчим ему работу)
3) Создаем папку с именем вашей флешки и расширением .lnk. Работает аналогично, вирус хочет создать ярлык (файл), а на его месте уже сидит папка. Подпапка com1 — для того, чтобы вирусяка не мог удалить наши папки. Конечно может, но специальными методами, далеко не все так заморачиваются. Delet’ом не удалишь короче.
4) Создаем следующие папки: WindowsServicesinstaller.vbscom1 , WindowsServiceshelper.vbscom1 , WindowsServicesmovemenoreg.vbscom1 . Тут ситуация аналогичная. Вирусяка записывает свои скрипты в папку WindowsServices с расширением .vbs. А мы делаем папки вместо файлов.
5) Создаем папку autorun.infcom1
6) Ну и по опыту, создаются другие папки и файлы, в которые попадают вирусяки смежных типов.
Если что-то пошло не так:
На ярлык не клацаем, сохраняем спокойствие. Идем: Панель управления — параметры папок — вид. Убираем галку "Скрывать защищенные системные файлы" и ставим точку на "Показывать скрытые файлы, папки, диски"
На флешке должны появиться скрытые файлы и папки. Соответственно ваши файлы никуда не пропали, можете их вытащить.
— Спрятались файлы, но ярлык флешки не появился. Значит вирусяка переместил данные в папку с именем, отличным от п.1), но имя ярлыка подошло. Необходимо скорректировать имя для создания файла в соответствии с именем папки.
— Файлы не спрятались, но появился ярлык флешки. Это более безобидно, т.к. не надо лишний раз искать ваши файлы. А вот ярлык удалить лучше от греха подальше. Смотрим его название, и меняем имя папки в п.3)
Перечень создаваемых папок и файлов можете посмотреть, открыв батник блокнотом, Notepad++, или любым другим редактором.