Проверил автозагрузку системы, чисто. Проверил скрытые процессы и службы, чисто. Проверил корни дисков на предмет наличия скрытых файлов Autorun.inf, чисто. Но! При попытке запустить антивирусную утилиту AVZ меня ждал сюрприз! Едва запустившись, AVZ сразу же вылетел. Глюк!? Пробую поставить файрвол Outpost, чтобы узнать, кто это пытается все время выйти в ИНЕТ. После удачной установки и перезагрузки, на миг появляется окно Аутпоста, и сразу же закрывается. Глюк!? Что ж, пробуем запустить файрвол ручками через ярлык, и тут тебе: «Файл не найден» Это уже точно не глюк! Файрвол установился и нормально запустился в первый раз, хоть и не на долго, но кто же удалил его файл? Уж точно не я, значит тот, кто хочет остаться невидимым! ВИРУС!

Как удалось выяснить, вирус оказался на редкость пакостным. В классификации антивирусов NOD32 W32.Sality.NAO, Др.Веб Win32.sector5. Вирус Sality.NAO, является файловым вирусом, заражающим .exe и .scr файлы. При своем попадании в систему делает следующие действия:

При своём запуске переводит Internet Explorer в режим online:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
\Internet Settings\
GlobalUserOffline=0

Отключает User Access Control в Windows Vista:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion
\policies\system
EnableLUA=0

Для хранения своих настроек создаёт ключ в реестре:
HKEY_CURRENT_USER\Software\<имя пользователя>914

Добавляет в system.ini случайное значение
[MCIDRV_VER]
DEVICEMB=116402342188

Внедряет свой код в память всех активных процессов.

Удаляет ветки реестра
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SafeBoot
HKEY_CURRENT_USER\System\CurrentControlSet\Control\SafeBoot
После чего загрузка системы в Безопасном режиме (F8) невозможна.

Заражает файлы с расширением .exe и .scr на всех доступных дисках, и сетевых ресурсах для ускорения распространения заражает файлы, прописанные в автозагрузку и файлы программ, запускаемые в системе.
Останавливает службы антивирусов и удаляет их исполняемые модули, а также их антивирусные базы. Делает невозможным запуск и установку любых известных антивирусных, антишпионских программ и утилит. Не дает зайти на сайты известных антивирусных компаний.

Как видно из приведенного выше описания, избавиться от этой заразы на первый взгляд очень и очень не просто. Ведь достаточно одного зараженного файла для того, чтобы заразить всю систему. Что же делать? Переустановку с форматированием дисков? Далее, я опишу способ лечения этой заразы без установки систему с нуля и без форматирования жесткого диска. Все эти действия рассчитаны на очень опытного пользователя ПК, который понимает все описываемые действия. В противном случае надо обратиться к специалисту, или более опытному пользователю.

Для лечения нам понадобится бесплатная лечащая утилита Dr.Web CureIt!

Скачать CureIt можно здесь
http://www.freedrweb.com/cureit/

Размер ~ 14 мб. Утилита включает в себя антивирусный сканер и антивирусные базы.

Внимание! Скачивать утилиту CureIt надо на чистом, не зараженном компьютере, в противном случае, она сазу же будет заражена вирусом Sality.NAO

Затем вытаскиваем из зараженного компьютера системный жесткий диск и устанавливаем на чистый компьютер. Естественно компьютер должен быть выключен. Идеально, если у вас есть USB бокс для жестких дисков. Это такой девайс для подключения жестких дисков через USB, не открывая сам компьютер. Это очень удобно, и стоит недорого, рекомендую купить, т.к. вещь нужная и всегда пригодится. Если нет, открываем системник и устанавливаем жесткий диск в «здоровый» компьютер. После чего запускаем комп.
Запускаем утилиту Dr.Web CureIt! И сканируем присоединенный (зараженный) диск. При обнаружении зараженных файлов, CureIt! их лечит. После того, как CureIt! закончит сканирование диска, желательно сделать прогон еще раз, так сказать на всякий пожарный, утилитой AVPTool. AVPTool – это аналог CureIt! только от антивируса Касперского.

Скачать можно здесь:
http://downloads5.kaspersky-labs.com/devbuilds/AVPTool/

После лечения зараженного диска, возвращаем его обратно, и запускаем вылеченную систему. ВНИМАНИЕ! Если в компьютере есть другие физические жесткие диски, то обязательно их лечим, т.к. если на них есть .exe .scr файлы, то они заражены. Если физический жесткий диск один, но разбит на несколько виртуальных дисков, то лечим их сразу на здоровом компьютере. В моем случае после произведенного лечения по истечении недели, вирус себя больше не проявил. Т.е. лечение прошло успешно, хотя последствия заражения ощущались.

Вылеченная система может работать некорректно, так как при лечении файлов, антивирус может и не восстановить их 100% копию до заражения. Особенно это касается тех программ, которые отслеживают свою целостность. Часть файлов вирус мог просто удалить. Испорченные куски реестра и системные файлы можно восстановить, экспортировав их со здорового компьютера. Некоторые программы, возможно придется переустановить. Как я уже писал, этот способ могут использовать только очень опытные пользователи. Если вы испортите себе систему из-за недостатка опыта, или уроните на пол жесткий диск, то я в этом не виноват.

Если на компьютере нет важных программ, или у вас недостаточно опыта, то более простым и оптимальным способом я считаю переустановку системы. Как я уже писал, мне принесли офисный компьютер, на котором было огромное кол-во настроенных проффесиональных программ и баз данных, поэтому переустановка системы и последующее восстановление ее в требуемый вид, заняла бы намного больше сил и времени.

Другие способы, которые я пробовал, но от которых отказался.

Загрузка компьютера в безопасном режиме. Записываем утилиту Dr.Web CureIt! на CD! Обязательно на CD а не на флешку! Т.к. на флешке ее сразу «съест» вирус, на CD же он ее изменить не сможет.

Восстанавливаем ветвь реестра
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SafeBoot

Экспортировав ее через .REG файл со здорового компьютера. Без восстановления этой ветки реестра мы не сможем загрузить систему в безопасном режиме. После запуска .REG
файла, немедленно перезагружаемся, пока вирус не успел ее стереть.

После этого при загрузке жмем F8 и грузимся в безопасном режиме. Запускаем с CD утилиту CureIt! но пока не запускаем сканирование. В диспетчере задач надо убить процесс Explorer.exe, т.к. он 100% заражен и будет заражать уже очищенный файлы. Затем выключаем диспетчер задач и запускаем сканирование. Мне этот способ не помог, т.к. эта гадать от куда то заражала пролеченные файлы. Но можете попробовать, может вам повезет больше. По крайней мере этот способ самый простой.

Другой способ, это сканирование компьютера с загрузочного диска. На сайте антивируса Dr.Web можно скачать образ Dr.Web LiveCD
Ссылка:
http://www.freedrweb.com/livecd/

Dr.Web LiveCD это ОС на базе Линукс, которая содержит утилиту CureIt! Описание с офф. сайта:
Dr.Web LiveCD – диск скорой антивирусной помощи, который позволяет восстановить работоспособность системы, пораженной действиями вирусов, на рабочих станциях и серверах под управлением Windows\Unix, скопировать важную информацию на сменные носители либо другой компьютер, если действия вредоносных программ сделали невозможным загрузку компьютера. Dr.Web LiveCD поможет не только очистить компьютер от инфицированных и подозрительных файлов, но и попытается вылечить зараженные объекты.

На деле. Сканирует очень медленно! После 3-х часов сканирования дисков, не проверил и 25% объема дискового пространства. Если долго не пользоваться клавиатурой и мышкой, монитор выключается (что-то вроде скринсейвера), после движения мышки монитор активируется, НО в одно из таких движений не активировался! И ничего не сделаешь! Короче 4 часа работы коту под хвост! Причем при сканировании он файлы не лечит, а только показывает, а лечит после полной проверки, которая так и не закончилась! А в обычной версии CureIt! лечит на лету. В этом главный минус Dr.Web LiveCD.

Пришлось сканировать сначала, но прикинув время, которое меня ждет, решаю прервать проверку и вылечить уже найденные файла. Жмем кнопку «Cure» и ждем, когда завершится лечение. Но что это, по завершении работы большинство файлов имеют статус «Cure» (вылечен), но есть и те, что имеют атрибут «Infected» (заражен). Повторная процедура «Cure» не помогает и файлы «Infected» так таковыми и остаются. Получается нет никакой гарантии что потратив уйму времени на сканирование компьютера, можно вообще не получить гарантий его 100% излечения, плюс случай с зависшим монитором. В общем терпения проверять этот способ у меня не хватило, в результате чего зараженный жесткий диск был успешно пролечен у меня на домашнем компьютере.

Отключаем автозапуск с флешек
Источник:zakruti.com