Рекламный блок.

флэшки не использую

Значит не все удалилось. Надо поставить фаервол, посмотреть что, куда подключается. Если просто подключить VPN, и не запускать после этого никаких программ, то тоже вылазиет?

да вылазит ,просто подключил и жду 1-2мин и полез

escendersimf
чистил? ты вообще читал по ссылке?
Создает следующие файлы (два последних - копии червя):

%SystemDrive%\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini
%SystemDrive%\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\dll32.exe (copy of W32.Ircbrute)
%SystemDrive%\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\spoolsv.exe (copy of W32.Ircbrute)


(%SystemDrive% - системный диск, обычно C:)

Через реестр обеспечивает себе автозагрузку при старте системы:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\"internet security manager" = "c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\dll32.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\"Printer Spooler" = "c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\spoolsv.exe"

Если не все удалено, и exeшник в памяти висит, то он должен пытаться коннектиться к IRC, поэтому может каспер его блокирует.

Отредактировал Gear - 18 Августа, 2009, 16:39

жёсткий диск отфарматирован винда чистая и всё равно лезет реестр чистый ничего там нет

Антивирус сообщает что он пытается из инета скопироваться или уже с диска запуститься?

Отредактировал Gear - 18 Августа, 2009, 16:48

с интернета

escendersimf
написано же русскими буквами

Копирует себя на все диски, которым присвоена буква, в корень, под именами spoolsv.exe и dll32.exe. Там же создает файл автозапуска autorun.inf.

если уж идти по пути форматирования то нужно форматировать все диски (винты) на машине

или удали буквенные значения у логических дисков

Отредактировал VaH - 18 Августа, 2009, 16:54

диск полностью отфарматирован!!! на нём ничего нет

Значит проблемма в виндовых службах. Службы Восстановление системы и Общий доступ к файлам и принтерам отключены?

на чистую венду файервол сразу, раз один раз уже нашел уязвимость, лазить будет постоянно

да всё отключено!!!

escendersimf
с вашим тоном... идите в лес искать помощь к лешему... или к мяснику
ЗЫ вы не хотите решать вопрос сами, вы хотите чтобы это сделали за вас

Отредактировал VaH - 18 Августа, 2009, 17:01

извините забыл поставит запятую после "ДА" не обращай внимание

у меня был вот этот файл dll32.exe. я его удалил,но он лезет из сети каспер его ловит удаляет и всё ок работает

Похожий зверёк с сети лез-поставил OutPost и забыл) Но с прикрытием DrWeb'a. Сначала его поймал веб и каждые 30-40 секунд отстреливал. Помог остановить атаку только OutPost.
Ваш вариант - загрузиться с флешки или диска с WinPE, потом пролечить систему лечащими утилитами от того же DrWeb или Касперского, потомуже НЕ ВКЛЮЧАЯ сетевой провод установить файервол и антивирус, и только после этого включать компьютер в сеть!

Всем доброе время суток! Столкнулся точно с такойже проблемой!!! и уже 3 дня немогу удалить, постоянно вілазит файл dll32b.exe реально незнаю что делать! перепробывал все. Подскажите если кто может!!!

Возможно стоит попробовать скачать другую версию винды.

перепробывал все

зачем пробовать все? так можно и отравиться

формула проста:
фаревол + антивирус = спокойствие

Любой Live CD со свежими антивирусами + proccess explorer разве не решает проблему?