Вирус VBS.Redlof. Вот, ведь сволочь какая!

← →
Копир © (2005-08-27 18:27) [0]

Проявляет себя невинным файлом, заменяющим Desktop
одноименной вывеской так, чтобы "войти" в привычный дизайн, нужно
рабочий стол обновлять.

Своеобразно лечится Dr.Web-ом: после лечения при загрузке Windows,
выскакивает предупреждение, что файл folder.htt не найден в (указывается каталог).

Если удалить упомянутый folder.htt, то ОС кричит, мол, невозможно запустить
файл.html такой-то.

Наконец, после удаления в указанном каталоге файла desktop.ini все, вроде начинает
работать.
Но зато парочка folder.htt и desktop.ini (оба скрытые) появляются в текущих,
в вызванных каталогах опять и опять.

В сетке поискал, там пишут, что нужно удалить ядро вируса, файл kernel.dll (windows/system).

Такой действительно есть.
Гад, длиной 0 (ноль) байтов.
Удаляю, а folder.htt и desctop.ini продолжают свое бурное размножение.

А я наивно думал, что Dr.Web выкусывает плоды вируса даже из реестра.
Фигушки.

Если у кого-нибудь есть положительный опыт борьбы с этим Redlof"ом?

Поделитесь, а?

← →
Anatoly Podgoretsky © (2005-08-27 18:31) [1]

Конечно наивный, иногда после из лечения думаешь, лучше бы я не лечил.

← →
Alexander Panov © (2005-08-27 18:36) [2]

Где ты твкую древность нашел?

http://old.antivir.ru/inf/virus.php?id=97
http://virusinfo.info/archive/index.php/t-1255.html
http://www.kstu.kursk.ru/html/modules.php?op=modload&name=News&file=article&sid=6&mode=mode=thread&order=0&thold=0

← →
Копир © (2005-08-27 18:43) [3]

>Anatoly Podgoretsky © (27.08.05 18:31) [1]:

Анатолий, я всегда чутко прислушиваюсь к Вашим советам.
Но такого привязчивого вируса я еще не встречал.
Он, типа, ничего вредного не делает...

Зато Dr.Web, признанная и общеупотребительная программа,
на его примере терпит фиаско.

Т.е., конечно, можно "вручную" ходить по каталогам,
выкусывать указанную парочку пока тошно не станет.

Кроме того меня волнует вопрос как этот вирус переносится
на внешних носителях.
С одной стороны, html, это понятно.
С другой, он обнаружен на компе, где девушка, которая
работает, ничего, кроме, как про Word (и то, очень смутно)
не знает.

← →
Antonn © (2005-08-27 18:45) [4]

Копир © (27.08.05 18:43) [3]
Он, типа, ничего вредного не делает...
ну кроме того, что засирает все папки...

← →
Копир © (2005-08-27 18:46) [5]

>Alexander Panov © (27.08.05 18:36) [2]:

Спасибо, Александр.

Уже читаю.

← →
Antonn © (2005-08-27 18:46) [6]

>Т.е., конечно, можно "вручную" ходить по каталогам,
> выкусывать указанную парочку пока тошно не станет.

да, кстати, я из ВинКомандера его удалял, там по поиску задал, а Касперыч в это время не давал обратно размножиться.

← →
renome (2005-08-27 18:48) [7]

Расшифруйте исходный код вируса (это несложно, тк VBA) и посмотрите, какая это прелесть. Заражает всякий хтмл, который плохо лежит (вирус вновь активируется при его открытии) и еще специально шаблоны писем outlook, насколько помню.

← →
Anatoly Podgoretsky © (2005-08-27 19:04) [8]

Копир © (27.08.05 18:43) [3]
Так вирус, а не троянская поделка.
Кстати зачем самому то бегать по каталогам, есть же поиск.

← →
Копир © (2005-08-27 19:12) [9]

>Alexander Panov © (27.08.05 18:36) [2]:

Прочитал Ваши ссылки.
Трудно переоценить.
Сказать просто спасибо - значит не сказать ничего.

Использую инфу. В понедельник.

>Antonn © (27.08.05 18:46) [6]:

Это да, это есть, когда XP запрещает всякие телодвижения
в каталоге Windows. WinCom или TotalCom спасают.

Всем, принявшим участие в диалоге, огромное спасибо
за помощь.

← →
Копир © (2005-08-27 19:14) [10]

>Anatoly Podgoretsky © (27.08.05 19:04) [8]:
Поиск там выдаёт 994 foldera.htt всюду.
Голова закружится :-)

← →
Lamer@fools.ua © (2005-08-27 23:18) [11]

>>Копир © (27.08.05 19:14) [10]

>Поиск там выдаёт 994 foldera.htt всюду.
Голова закружится :-)

Не знаю, можно ли сделать такое в Тотале, но в FAR"е вот так:
1. Alt+F7 2. folder.htt (ну или ещё что нужно) 3. Искать папки -> [ ] (выкл.) 4. [ Искать ]
После окончания поиска:
5. [ Панель ] 6. Shift + <Gray +> 7. Shift+Del, [ Удалить ], [ Все ]

← →
Anatoly Podgoretsky © (2005-08-27 23:28) [12]

Копир © (27.08.05 19:14) [10]
Если есть характерные строки, то поиск по содержимому.

← →
Anatoly Podgoretsky © (2005-08-27 23:30) [13]

По самому вирусу ничего не скажу, уже много лет никаких заражений ни дома ни на работе, хотя работают типовые тетки.

AVP у меня его в своё время жестоко убил

> [13] Anatoly Podgoretsky © (27.08.05 23:30)
> уже много лет никаких заражений ни дома ни на работе

Аналогично. Последняя пакость была еще OneHalf - кто помнит, посочувствует :)

У меня тоже не было бы, если бы не сестра...

> Если у кого-нибудь есть положительный опыт борьбы с этим
> Redlof"ом?

Самое главное не пользоваться єксплорером для просмотра папок. А лучше юзать какие-нить файловые менеджеры, типа FAR, Total Commander....

Вирус VBS.Redlof. Вот, ведь сволочь какая! Найти похожие ветки