[QUOTE]RP55 RP55 пишет:
Здесь ключевое слово:  Обнаруживается ...
[/QUOTE]
А в чем принципиальная разница в удалении известного файла по сигнатуре или по прямому пути? ты ведь все равно видишь все файлы в списке [B]подозрительные и вирусы[/B]. И должен проанализировать - ложное это срабатывание, или действительно файл заражен.
В каком случае это (предполагаемое нововведение) может сработать?
---------
как говорят в научном мире - укажи или опиши область применимости данного предложения. :).
(это я все по первому, второе совсем не понял.)

поясняю.
добавить папку ZOO из каталога uVS в архив и отправит по электронной почте на указанные адреса.
---------
по логу мбам все чисто.
выполните рекомендации по безопасной работе в сети.
http://forum.esetnod32.ru/forum9/topic751/
тему закрываю.

выполните наши рекомендации по безопасной работе
http://forum.esetnod32.ru/forum9/topic751/
тема закрыта.

[SIZE="4"][COLOR="Red"]выполняем скрипт в uVS[/COLOR][/SIZE]
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
[code]
;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

zoo %SystemRoot%\APPPATCH\POEHIE.EXE
addsgn A7679B19B9621B2486C13C2130C87A4AEDAFFCA9332DD85685C03FEBAFC3­291C6317601CAE019DA17F707B60E5E9D8AE7D20DD7EC78EB0D31847347B­C7504A85 8 Spy.Shiz

bl A9F15CBD226C1BEEC270D5890AC22982 264704
delall %SystemRoot%\APPPATCH\POEHIE.EXE
chklst
delvir
deltmp
delnfr
regt 12
restart
[/code]
перезагрузка,
пишем о старых и новых проблемах.
архив (например: 2010-10-04_13-30-55.rar/7z) из папки uVS отправить в почту [email protected], [email protected]
(если архив не был создан автоматически,
самостоятельно добавить папку ZOO (с копиями вирусов для вирлаба) в архив с паролем infected )
------------
далее,
сделайте дополнительно [URL=http://forum.esetnod32.ru/forum9/topic682/]быструю проверку системы в малваребайт[/URL]

что значит есть идеи? ты предлагаешь идею, ты ее аргументируй, как она должна работать в случае разных если.

[QUOTE]RP55 RP55 пишет:
Что можно предложить - это полный отказ от удаления системных файлов по сигнатуре.
И опора на тезис - "Удаление возможно только по прямому пути "
Так как ?[/QUOTE]
А если системный файл полностью подменен, как в случае Winlock - перезаписан userinit.exe, taskmgr.exe и обнаруживается это заражение только по сигнатуре локера?

[b]выполняем скрипт в uVS[/b]
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
[code]
;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\USERXP\START MENU\PROGRAMS\STARTUP\XD.EXE
addsgn 1A0F8965AA598C225B84FE59DAE31205E6DCAB7DF5DE13F374480A356E3E­A1EBDCE84A1136DCCB45A00798934616C0BC6D8063B40B18B42CA6B62F27­4C563248 31 Win32/HiddenStart.A [NOD32]
bl 1ED153371FF3D6B15499705A8A6462D6 373589

delall %SystemDrive%\DOCUMENTS AND SETTINGS\USERXP\START MENU\PROGRAMS\STARTUP\XD.EXE
addsgn A7679BF0AA0244134BD4C6C13F881261848AFCF689AA7BF1A0C3C5BC5055­9D24704194DE5BBDAE92A2DD78F544E95CAE1D9FE82BD6D724AE6D775BAC­CA9EA033 8 BackDoor.IRC.NgrBot.42 [DrWeb]
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\USERXP\APPLICATION DATA\VZFQFL.EXE

delall %SystemDrive%\DOCUMENTS AND SETTINGS\USERXP\APPLICATION DATA\HZFQFX.EXE
adddir %SystemDrive%\DOCUMENTS AND SETTINGS\USERXP\APPLICATION DATA
delall %SystemDrive%\DOCUMENTS AND SETTINGS\USERXP\APPLICATION DATA\VZFQFL.EXE
chklst
delvir
deltmp
delnfr
restart
[/code]
перезагрузка,
пишем о старых и новых проблемах.
архив (например: 2010-10-04_13-30-55.rar/7z) из папки uVS отправить в почту [email protected], [email protected]
(если архив не был создан автоматически,
самостоятельно добавить папку ZOO (с копиями вирусов для вирлаба) в архив с паролем infected )
------------
далее,
сделайте дополнительно [URL=http://forum.esetnod32.ru/forum9/topic682/]быструю проверку системы в малваребайт[/URL]
-----------

лог мбам чистый,
переустановите mouse driver
выполните наши рекомендации по безопасной работе
http://forum.esetnod32.ru/forum9/topic751/

сделайте образ автозапуска.
http://forum.esetnod32.ru/forum9/topic2687/

удалите найденное в мбам кроме:
[QUOTE]HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.[/QUOTE]
далее,
выполните наши рекомендации по безопасной работе
http://forum.esetnod32.ru/forum9/topic751/