Последствия Win32.Sality

[djtrofim]

Сегодня препод на флешку скинул лекции и предупредил о вирусах у них в машинах. Дома проверил, ну и конечно symantec наковырял w32.Sality!dr (походу сама бяка с autorun.inf) и Remacc.radmin (в основном exe файлы с названием папок). Все это он грохнул. Но вот на флешке теперь папок нет, а в свойствах пишет занято место, объемом суммарным размером папок. Можно ли че вытащить?
Так бы не спрашивал, проще еще раз к преподу сходить. Просто на будущее, вдруг где еще подхвачу, а восстановить неоткуда будет.

[zirreX]

Здравствуйте!
Но вот на флешке теперь папок нет, а в свойствах пишет занято место, объемом суммарным размером папок. Можно ли че вытащить? »
Включите просмотр скрытых файлов и папок.

Советую подготовить стандартный набор логов (AVZ, RSIT)
http://forum.oszone.net/thread-98169.html

[djtrofim]

Fedin, в таких советах почувствовал себя юзером. Я же говорю, даже из фара ничего нет, а место занимает.
Я так понимаю логи только этим софтом делать, но у меня стоит Symantec Endpoint Protection, и как он поведет себя при установке AVZ я не в курсе. Поэтому креплю логи SEP.

[zirreX]

Я же говорю, даже из фара ничего нет, а место занимает. »
Про Far вы ничего не писали.

но у меня стоит Symantec Endpoint Protection, и как он поведет себя при установке AVZ я не в курсе. Поэтому креплю логи SEP. »
Никак он себя не поведет, если выгрузите его на время работы AVZ.

[Drongo]

djtrofim, Когда будете делать логи, обязательно вставьте флешку в порт

[djtrofim]

Опля, про Far извиняюсь, в другом месте написал, а ту нет. Итак, вот логи. Че то не вкурю, а обязательно было проверять avz для создания лога? В наше время Symantec'у не доверяют что ли, можно было и скрипт для него написать, для каспера так навояли. М-да...

[thyrex]

Выполните скрипт в AVZ
begin
ExecuteRepair(6);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end. Компьютер перезагрузится.

Показ скрытых файлов восстановился?

[djtrofim]

Выполните скрипт в AVZ »

Проблема не исчезла.
На всякий случай конфигурация: Eee PC 1015PEM, Win7 Starter, стандартный софт Asus для Eee, Symantec Endpoint Protection v11.
Походу всё же поставлю вскоре Pro или Enterprise, только сессия кончится.

[thyrex]

Проверьте в реестре в ветке HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced параметры ShowSuperHidden, SuperHidden, Hidden на предмет равенства "1" (это правильное значение)

А также в ветке
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL параметр "CheckedValue" тоже должен быть "1"

[djtrofim]

Итак, в SuperHidden значение было 0, в Hidden 2, подтправил. ShowSuperHidden вообще нет такого параметра. CheckedValue норм. Перезагрузился. Эффекта нет. Место занято 1,22 Gb, а показывает пусто.

Еще вопрос, из карантина SEP надо обратно все вытаскивать при этих манипуляциях?

[Drongo]

djtrofim, Если вставить флешку в другой компьютер, содержимое видно без проблем?

[djtrofim]

Нашел машинку с KIS2011, походу тоже чего то нахапал владелец, так как тормозит жутко. Вставил флешку и быстрое сканирование дало удаление X:\...\texar\texar32.exe. Зашел на флеш - пусто, объем занятый тот же.

[djtrofim]

Продолжая танцы с бубном: качнул RemoveIt Pro, просканировал, и в первый раз вижу, чтоб этот кролик на столько файлов ругался, и directx и vc библиотеки. Фиксить не рискнул, уж больно много системных. Может кто объяснит че случилось с RemovIT, иногда все таки помогала, когда остальный моргали. Лог работы прилагается.

[djtrofim]

И так новые данные: решил посмотреть, что будет, если сделать образ флешки. И тут я был удивлен, UltraISO, создав и открыв образ, показала мои папочки + появилась папка Texar (я так думаю именно в ней KIS2011 нашел гада, теперь там только Desktop.ini). Соответственно можно все вытащить. Структура папок тоже интересна, ни разу не видал, чтоб какая нибудь бяка так делала. Скрин прикреплен. В нижней части скрина UltraISO показывает открытую флешку, как видно, папок не кажет. А вот в верху образ этой флешки...