**************************************************************************************** Утилита для лечения вирусов: I-Worm.Zafi.b I-Worm.Bagle.at,au,cx-dw Virus.Win32.Implinker.a Not-a-virus.AdWare.Visiter Trojan.Win32.Krotten Email-Worm.Win32.Brontok.n Backdoor.Win32.Allaple.a Trojan-Spy.Win32.Goldun.mg Email-Worm.Win32.Warezov Virus.Win32.VB.he IM-Worm.Win32.Sohanad.as P2P-Worm.Win32.Malas.b Virus.Win32.AutoRun.acw Worm.Win32.VB.jn Trojan.Win32.KillAV.nj Worm.Win32.AutoRun.cby Trojan.Win32.Agent.aec Trojan-Downloader.Win32.Todon.an Trojan-Downloader.Win32.Losabel.ap Worm.Win32.AutoRun.czz,daa,dhq,dfx Net-Worm.Win32.Rovud.a-c Trojan.Win32.ConnectionServices.x-aa Worm.Win32.AutoRun.dtx Worm.Win32.AutoRun.hr Backdoor.Win32.Agent.lad not-a-virus:FraudTool.Win32.UltimateDefender.cm Trojan-Downloader.Win32.Agent.wbu Backdoor.Win32.Small.cyb not-a-virus:FraudTool.Win32.XPSecurityCenter.c not-a-virus:Downloader.Win32.VistaAntivirus.a not-a-virus:FraudTool.Win32.UltimateAntivirus.an not-a-virus:FraudTool.Win32.UltimateAntivirus.ap Trojan-Spy.Win32.Zbot.dlh Trojan-Downloader.Win32.Small.abpz Rootkit.Win32.Ressdt.br Worm.Win32.AutoRun.lsf Worm.Win32.AutoRun.epo Worm.Win32.AutoRun.enw Backdoor.Win32.UltimateDefender.a Версия 12.0.0.20 Авторское право (C) Kaspersky Lab, Antropov Alexey, Vitaly Kamluk, Boris Yampolsky 2000-2008. Все права зарегистрированы. **************************************************************************************** Командная строка: /s - проверка всего жесткого диска на наличие перечисленных вредоносных программ. /n - проверка подключенных сетевых дисков на наличие перечисленных вредоносных программ. /path <Путь для сканирования> - проверка указанного пути на наличие перечисленных вредоносных программ. /y - завершение программы без запроса нажатия клавиш. /i - отобразить информацию о параметрах командной строки. /nr - при запросе утилиты не перезагружать компьютер автоматически /Rpt[ao][=<Путь к файлу отчета>] - использовать файл отчета a - добавлять файл отчета o - только отчет (не лечить/удалять зараженные файлы) Возвращаемые коды: 0 - лечение не требуется. 1 - вирус удален и система восстановлена. 2 - для полного удаления вируса необходимо перезагрузить систему. 3 - для полного удаления вируса необходимо перезагрузить систему и запустить программу еще раз. 4 - ошибка выполнения программы. **************************************************************************************** ОБРАТИТЕ ВНИМАНИЕ: Эта утилита определяет ТОЛЬКО перечисленные в данном файле вирусы: I-Worm.Zafi.b I-Worm.Bagle.at,au,cx-dw Virus.Win32.Implinker.a Not-a-virus.AdWare.Visiter Trojan.Win32.Krotten Email-Worm.Win32.Brontok.n Virus.Win32.VB.he IM-Worm.Win32.Sohanad.as P2P-Worm.Win32.Malas.b Virus.Win32.AutoRun.acw Worm.Win32.VB.jn Trojan.Win32.KillAV.nj Worm.Win32.AutoRun.cby Trojan.Win32.Agent.aec Trojan-Downloader.Win32.Todon.an Trojan-Downloader.Win32.Losabel.ap Worm.Win32.AutoRun.czz,daa,dhq,dfx Net-Worm.Win32.Rovud.a-c Trojan.Win32.ConnectionServices.x-aa Worm.Win32.AutoRun.dtx Worm.Win32.AutoRun.hr Backdoor.Win32.Agent.lad not-a-virus:FraudTool.Win32.UltimateDefender.cm Trojan-Downloader.Win32.Agent.wbu Backdoor.Win32.Small.cyb not-a-virus:FraudTool.Win32.XPSecurityCenter.c not-a-virus:Downloader.Win32.VistaAntivirus.a not-a-virus:FraudTool.Win32.UltimateAntivirus.an not-a-virus:FraudTool.Win32.UltimateAntivirus.ap Trojan-Spy.Win32.Zbot.dlh Trojan-Downloader.Win32.Small.abpz Rootkit.Win32.Ressdt.br Worm.Win32.AutoRun.lsf Worm.Win32.AutoRun.epo Worm.Win32.AutoRun.enw Backdoor.Win32.UltimateDefender.a **************************************************************************************** Если программа в процессе своей работы находит в памяти процесс, зараженный одним из перечисленных вирусов, она попытается снять вирусный Hook и изменить зараженный процесс (где это необходимо для избежания повторного заражения) или остановить этот зараженный процесс и вылечить/удалить зараженные файлы данного процесса с жесткого диска, а также ссылки на него в системном реестре. Важно помнить, что cканирование жесткого диска и/или подключенных сетевых дисков запускается только при нахождении программой klwk.com хотя бы одного зараженного процесса, а также при условии, что запуск программы осуществлялся с соответствующими параметрами(/s[n]). Программа будет сканировать только на заражение указанными вирусами. В случае, если программа не может удалить или переименовать какие-либо файлы (доступ к ним может быть закрыт в данный момент), они ставятся в очередь на удаление или переименование во время перезагрузки системы и пользователю возвращается соответсвующий код (рекомендующий провести перезагрузку компьютера). Eсли по каким то причинам задать параметры запуска не представляется возможным, то инициализировать завершение программы без запроса нажатия клавиш (ключ /y) можно создав файл с именем "quiet" в директории запуска программы. Содержимое создаваемого файла значения не имеет. Программа может восстанавливать следующие ссылки автозапуска, используемые вирусами: autoexec.bat win %infected file% win.ini в разделе [Windows] run=<вирусный файл> system.ini в разделе [boot] shell=<вирусный файл> ключи в системном реестре HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows значения: AppInit_DLLs Run HKEY_CLASSES_ROOT\\txtfile\\shell\\open\\command (txt ассоциация) восстанавливается ссылка на notepad.exe файл HKEY_CLASSES_ROOT\exefile\shell\open\command (exe ассоциация) восстанавливается в "%1" %* HKEY_CLASSES_ROOT\comfile\shell\open\command (com ассоциация) восстанавливается в "%1" %* HKEY_CLASSES_ROOT\batfile\shell\open\command (bat ассоциация) восстанавливается в "%1" %* HKEY_CLASSES_ROOT\piffile\shell\open\command (pif ассоциация) восстанавливается в "%1" %* HKEY_CLASSES_ROOT\cmdfile\shell\open\command (cmd ассоциация) восстанавливается в "%1" %* HKEY_CLASSES_ROOT\scrfile\shell\open\command (scr ассоциация) восстанавливается в "%1" /S HKEY_CLASSES_ROOT\scrfile\shell\config\command (scr ассоциация) восстанавливается в "%1" HKEY_CLASSES_ROOT\regfile\shell\open\command (reg ассоциация) восстанавливается в regedit.exe "%1" установленные NT сервисы скрипты запуска mIRC <директория Program Files>\Mirc\script.ini <директория Program Files>\Mirc32\script.ini скрипты запуска Pirch <директория Program Files>\Pirch98\events.ini