Super virus

Всем привет! Дело было так:

Принес сотрудник флешку, мол вирус, полечи. Плевое дело, обычно все вирусы сводит на нет команда rm -rf somevirus, но не тут то было. Команда отработала, а файлы через пару секунд снова восстановились. Ну думаю форматирование точно спасет, отформатировал в ext3, после, для надежности забил раздел нулями. Чесно я удивился, когда все файлы все равно остались на месте. Выглядит как-то так:

total 14788
drwxr-xr-x 2 root root    4096 Sep  8  2009 ??????
drwxr-xr-x 2 root root    4096 Jul 27  2009 ???????
drwxr-xr-x 2 root root    4096 Jul 27  2009 ??????? ?????
drwxr-xr-x 2 root root    4096 Sep  8  2009 ????????
drwxr-xr-x 2 root root    4096 Sep  8  2009 ???????? 07
-rwxr-xr-x 1 root root  155136 Jun  2  2009 ?????? 07 - 1.xls
-rwxr-xr-x 1 root root  305664 Aug  7  2008 ?????? 07.xls
-rwxr-xr-x 1 root root  271872 Jul 20  2009 ?????? 08.xls
drwxr-xr-x 2 root root    4096 Dec 21  2009 ????? ????? 09
-rwxr-xr-x 1 root root  278528 Aug 14  2009 ?????? 09.xls
drwxr-xr-x 2 root root    4096 Mar 16  2010 ????? ??? 10
drwxr-xr-x 2 root root    4096 Jul  8  2009 ????? ????? 10
-rwxr-xr-x 1 root root   37888 Feb 16  2010 ????????1.xls
-rwxr-xr-x 1 root root 1664000 Dec 21  2009 ?????1.xls
drwxr-xr-x 2 root root    4096 Sep  8  2009 ??????2002
drwxr-xr-x 2 root root    4096 Sep  8  2009 ??????2003
drwxr-xr-x 2 root root    4096 Sep  8  2009 ??????2004
drwxr-xr-x 2 root root    4096 Sep  8  2009 ??????2005
drwxr-xr-x 2 root root    4096 Sep  8  2009 ???????? 2008
-rwxr-xr-x 1 root root   96256 Sep 21  2009 ??????-???? 2009 09 - 1.xls
-rwxr-xr-x 1 root root  281600 Oct 18  2007 ????? 2.xls
-rwxr-xr-x 1 root root  239616 Jul 15  2009 ?????2.xls
-rwxr-xr-x 1 root root 3945984 Mar 31  2009 ?????30(08).xls
-rwxr-xr-x 1 root root 1795072 Sep  9  2009 ?????30(09).xls
-rwxr-xr-x 1 root root 1799680 Feb 17  2010 ?????30(10).xls
drwxr-xr-x 2 root root    4096 Jul 27  2009 ???????? 32 ??
-rwxr-xr-x 1 root root  142848 Jan 11  2007 ???????? 7.xls
-rwxr-xr-x 1 root root   44032 Aug 14  2009 845F1000
-rwxr-xr-x 1 root root  124416 Aug  7  2008 ???????? 8.xls
-rwxr-xr-x 1 root root     375 Oct 26  2011 autorun.inf
drwxr-xr-x 2 root root    4096 Feb 17  2010 boro
drwxr-xr-x 3 root root    4096 Sep  8  2009 Compax software
-rwxr-xr-x 1 root root   25600 Oct 31  2008 ?????? ??? ????????.doc
-rwxr-xr-x 1 root root   23040 Jan 29  2008 ????????.doc
drwxr-xr-x 2 root root    4096 Oct 25  2011 grijehom
-rwxr-xr-x 1 root root    6251 Jul 23  2009 main.vbs
drwxr-xr-x 3 root root    4096 Sep  8  2009 order
-rwxr-xr-x 1 root root 2099200 Dec  8  2008 order.mdb
drwxr-xr-x 2 root root    4096 Jun 22  2009 order.mdb 09
drwxr-xr-x 2 root root    4096 Sep  9  2008 RECYCLER
-rwxr-xr-x 1 root root   24576 Apr  4  2006 ????? ?? ?????.xls
-rwxr-xr-x 1 root root   22528 Mar 16  2005 ?????????? ?????.xls
-rwxr-xr-x 1 root root  285184 Apr  2  2010 ???????????.xls
-rwxr-xr-x 1 root root  860672 Feb 24  2010 ?????????.xls
-rwxr-xr-x 1 root root   90624 Jul  9  2009 ????????.xls
-rwxr-xr-x 1 root root   81920 Jun 19  2009 ???????.xls
-rwxr-xr-x 1 root root   81920 Jun 19  2009 ???????.xls
-rwxr-xr-x 1 root root  141824 Mar 19  2009 ??????.xls
-rwxr-xr-x 1 root root   39936 Aug  8  2008 ????.xls
-rwxr-xr-x 1 root root   39936 Aug  8  2008 ????.xls

Кстати каспер видит вирус, якобы autorun, но удалить не может.. Причем из вирусов я вижу только autorun.inf, grijehom и boro, все остальное - файлы сотрудника. Складывается ощущение, что это не адский вирус, а просто глюк флешки. Кажется будто вирус "зашит" в память, где хранится прошивка флешки. Вижу такое первый раз. Коллеги, есть ли у вас опыт в подобном ?

Он у вас случаем не начал ваши же флешки-диски заражать? Через пару-другую секунд файлы восстановились - похоже, отработал.

не, я ж аккуратно, хост машина на линуксе. Тем более картина повторяется на SystemRescueCD

Ну фиг его тогда знает :) А вообще, там же вроде внутри микроконтроллер, можно прошить, если так

да, но мне интересно как такое возможно. Флешку не жаль выбросить (512м), а вот спортивный интерес, сами знаете :)

Ну, посмотрите маркировку на микросхемах. Если повезет, в Сети найдется datasheet на них. И от этого и плясать.

мне чего-то не верится, что в контроллер можно что-то прописать...
попробуй обнулить dd и потом посмотреть. есть ли ненулевые сектора...

"Fat-Zer" написал:

мне чего-то не верится

Ну как же, там же "мост" USB<->флеш-память, он может быть как контроллером, так и спецмикросхемой с нужными интерфейсами. Вот в первом случае очень даже можно что-то прошить.

В порядке «общего бреда» — а на флешке нет механической защиты от записи?

Вот это ставил всем друзьям на флешки (во время обучения в вузе ибо там все, абсолютно все, компьютеры были заражены этой дрянью)
http://www.softpedia.com/get/Antivirus/Removal-Tools/BitDefender-USB-Immunizer.shtml (прога для оффтопика, но вроде бы и через вайн работала).

попробуй обнулить dd и потом посмотреть. есть ли ненулевые сектора...

можно подробней, как проверить есть ли нулевые сектора ?

В порядке «общего бреда» — а на флешке нет механической защиты от записи?

нет, флешка самая обычная

"riso" написал:

отформатировал в ext3

Интересно, а файловая система в итоге поменялась или нет ?

не обратил внимания, вечером отпишусь, но думаю, что осталась fat

"riso" написал:

можно подробней, как проверить есть ли нулевые сектора ?

Так вроде:

dd if=/dev/sdc | hexdump -C | grep [^00]

Lupo Alberto, спасибо, попробую

Может повреждена ФС из-за неправильного извлечения ?
Попробовать прогнать fsck...

"riso" написал:

можно подробней, как проверить есть ли нулевые сектора ?

просто hexdump -C /dev/sdX.
нулевые сектора он сворачивает...

У меня есть одна такая флэшка. Дело, в моем случае, не в вирусе, а в глючности. Он читается через раз, иогда файлы удаляются, иогда нет. Иогда вообще "маразм" на компе удаленных файлов не видно (хоть сто раз вынуть-вставить :) ) в телек вставляешь - есть в списке. Скорость записи на эту флэшку..... Как на диалапе HD качать :) и так же не факт, что дойдет до 100%.

В общем, легче выкрасить и выбросить, тем более 512 Мб.

а как же спортивный интерес?