Полигон-2

Forza3dfx, познавательно

Но исходных данных все равно мало.
Если эти вирусы такие страшные, то зачем их исключили из баз современного антивируса (да и какой использовал ТС)?
Нужны ли ТС-у эти файлы или это спортивный интерес по выяснению кто победит - вирус или антивирус?
Как отформатирована флешка - под FAT16 или FAT32 (есть ли длинные имена)?

Так то при проверке желательно систему и антивирус грузить с отдельной (защищенной от записи) дискеты например.
Но тут задача осложняется тем, что тогда до USB флешки без доп драйверов не достучаться из DOS...
В драйверах таких я не силен, но имхо ряд ограничений там будет.

Хотя скопировать посекторный образ с USB на обычный HDD тоже вариант.
Опять грузиться с дискеты, а там Norton Disk Editor, Norton Disk Doctor и т.п. в зубы и воевать!

Если файлы уже зашифрованы, но расшифровываются на лету, можно попробовать перекинуть их на другой комп
с помощью Нортон командера и нуль-модемного соединения. Так шансов перепрыгнуть вирусу на новое место думаю меньше будет.
Хотя до конца не уверен, но поле для экспериментов есть

CodeMaster
написал:

[q]

Причина, я думаю, в утилите делающей флешку загрузочной, но в ней антивирус ничего подозрительного не видит.

[/q]

Так антивирус что сообщает?
Имя конкретного загрузочного вируса? Или из серии "Бут-сектор возможно инфицирован неизвестным вирусом"? ))
Может он просто таким образом воспринимает нестандартный загрузочный сектор?
Как работает эвристик? - Ищет вирусоподобные команды и конструкции из команд.
Т.е. за вирус может сойти в таком случае какой-нибудь нестандартный (вовсе не вирусный!) MBR- или BOOT-сектор,
но при этом вполне возможно выстроить вирусный код таким образом, что эвристик не пикнет и скажет "Все ОК!" ))

CodeMaster написал:

[q]

но если при старте этой флешки подключен другой диск

[/q]

другой диск - это HDD (ну или CF через переходник IDE-CF, что то же самое в данном случае) ?


CodeMaster написал:

[q]

то материнка запрашивает разрешение на перезапись бутсектора,

[/q]

В БИОСе включен встроенный антивирус (что-то типа "бут-вирус протекшн") ?
Такой "антивирус" очень прост и реагирует на запись в MBR-сектор только при использовании прерывания Int 13h.
В таком случае - да, возможно что в бут-секторе флэшки что-то есть...
Но, конечно, уважающий себя загрузочный вирус будет использовать прямое программирование портов контроллера HDD
при инфицировании жесткого диска и такой "антивирус" ничего не поймет и не пикнет...))

ATauenis написал:

[q]

За это время можно было 5 раз

[/q]

Да вот времени на хобби как раз катастрофически не хватает.

Напишу пока что выяснил, что бы не забыть:

Флешек 2 на 128 и 256 МБ ;-) Первая большинством S775 материнок видится как жёсткий, вторая как флоппи.
Обе сделаны загрузочными с помощью hpusbfw.exe и уставновлен DOS то ли от Win 95, то ли от Win 98.
Из автозапуска запускается Grub4DOS который запускает разные имиджи и пр.

Вирус NYB. SEP не отказывается его лечить, он типа говорит, что все ОК, вылечил, но при следующем сканировании опять его находит. В SEP есть так же опция "Удалить" при обнаружении, но пока не пробовал.

Загрузил некую XP LiveCD, с неё пока попробовал только KAV (Dr. Web не запустился). KAV вирус в бутсекторе не видит, но нашёл его же в имидже EBD Windows 98 (SEP кстати в нем вируса не находит) и предлагает только удалить этот файл, вариантов лечения нет.

История это имиджа EBD покрыта мраком, но насколько я понимаю при его запуске он и заразил флешку.

Буду продолжать эксперименты, надо попробовать остальные антивирусы и подумать можно ли вылечить имидж EBD не создавая реальную дискету.


XPOHOMETP написал:

[q]

И все варианты могут быть загрузочными, в том числе и для DOS.

[/q]

Немножко не в тему (спрашивал в другой, но там ответа не было), а может и в тему окажется. Вот эти 2 флешки загружаются только на материнках S775 и ранее, на S1156 и позже они уже не стартуют. При попытке загрузки с флешки происходит зацикливание какого-то обращения к ней (постоянно мигает LED) Сейчас я вот думаю не из-за этого ли вируса, может встроенный вирус (ME) не хочет пускать чужой РНК с флешки ;-)

CodeMaster написал:

[q]

Вирус NYB...

[/q]

-> BOO\NYB-G... кто сможет победить???

---