[Miaka-chi]

Вляпалась второй раз за 2 дня, сначала на работе, теперь дома. Поймала какого-то нового трояна. скрина дать не могу, заблочил винду. вижу только кусок окна оперы, котнрый я могу двигать. опера работает, но я мало что вижу.
текст: ваш компьютер заблокирован за просмотр, копирование и тиражирование видеоматериалов содержащих элементы педофилии и насилия над детьми. и прочее в том же духе. синий баннер. телефон на который надо кинуть 500р. 8-911-232-13-49 и типа терминал выдаст чек с кодом.
что делать? курейт удалось скачать и запустить, нон ничего не нашел. что делать? помогите!

запись создана: 24.07.2011 в 01:50

@темы: Вирусы spyware и adware

Comments

[Малли]

Мне вот этот поисковичок: www.drweb.com/unlocker/index/ выдал 66 вариантов разблокировки. Чтобы их стало меньше, нужно ввести текст сообщения, которое вас попросили отправить.

Если нужный код не найдется здесь, пишите, попробуем что-нибудь еще.

[Miaka-chi]

Там такого трояна нет. и мне смс отпрмвлять там не надо, я ж писала. там деньги через терминал

[Hellraiser-ru]

так, в безопасном режиме грузится ?
а в безопасном с использованием командной строки?

[Miaka-chi]

И что я буду делась с командной строкой, если он загрузится?

[Малли]

А добраться до восстановления системы и сделать откат на пару дней? Кода к баннеру к сожалению не смогла найти, нет пока.

[Василиск]

Самый простой вариант не для айтишников
1. Позвонить в службу поддержки указанного номера (я так понимаю это МТС Питерского региона)
2. Сообщить о проблеме
3. ???????
4. PROFIT!

[Hellraiser-ru]

Miaka-chi
запускаются утилиты с флешки - например фар или тотал командер, или авз.
и дальше искать вредоносную программу.
в автозагрузке наверняка она появилась...

[Василиск]

Веселее когда они вместо шелла прописываются

[Hellraiser-ru]

Сэр Дьявол
Угу, или юзеринит заменяют

[Tracy Stanton]

Сэр Дьявол Hellraiser-ru
или и юзеринит, и диспетчер задач, и вместо шелла. в последнее время это ни часто.

Был у меня пост на эту тему...
Новый «Winlock» - мысли на тему.

Итак, в последние дни мне случилось столкнуться с новой версией винлока.



Как же с ним бороться? Ну, начало стандартное для всех «винлоков» - грузимся с LiveCD.
Однако ж, каково было моё удивление, когда свежий CureIt ничего не нашёл! Ну, где наша не пропадала, ручки-то вот они. Едем стандартно дальше. RegeditPE (или любая другая программа для работы с удалённым реестром), HKLM\Software\Microsoft\Windows\CurrentVersion\Winlogon
Параметр Shell в одном из случаев оказался в порядке, в другом мы смогли там наблюдать вместо Explorer.exe подозрительную строчку C:\Documents and Settings\All Users\Application Data\22CC6C32.exe. Меняем значение на Explorer.exe (Сразу хочу сказать, что этот файл присутствовал по этому адресу в обоих случаях)
Дальше, конечно, имеет смысл глянуть значение параметра userinit там же, в разделе Winlogon, но тут и начинается интересное – на вид всё в совершенном порядке! В чём же дело?
А дело вот в чём. Данная версия вируса вместо того, чтобы менять значение параметра userinit, подменяет сам системный файл.
Как поступила я:
Total Commander – поиск файлов *.exe, *.com, *.bat на системном диске по дате (указываем период предполагаемого заражения)
В данном случае имелись:
C:\Documents and Settings\All Users\Application Data\22CC6C32.exe
C:\Documents and Settings\user%name\adobeupdater.exe
Contacts[1].exe в Temporary Internet Files
C:\Windows\System32\userinit.exe
C:\Windows\System32\taskmgr.exe
C:\Windows\System32\dllcache\userinit.exe
C:\Windows\System32\dllcache\taskmgr.exe
Все файлы имеют одинаковый размер в 28610 байт, одну дату создания и описание:



Со «здоровой» машины с той же версией ОС копирую taskmgr.exe и userinit.exe, остальные экзешники удаляю, ребут в Виндоус – работает! Можно прогнать avz подчистить хвосты. И поставить последний апдейт Java.

Самое обидное во всём этом деле, что свежайший лицензионный Касперский эту заразу пропускает, за что только деньги платим. Приходится всё делать вручную.

Минусы моего метода, конечно, очевидны – надо иметь и LiveCD, и незаражённую машину с аналогичной виндой под рукой. Так что хотелось бы советов, дополнений/поправок и, возможно, методов предотвращения.

[RJ Riku]

Бэкапы надо на такой случай иметь ):

[Малли]

Бэкапы надо на такой случай иметь ):

Категорически поддерживаю. Правда, я такой дряни ни разу не ловила. То ли мне везет, то ли мой comodo работает. Но приходилось помогать искать коды для знакомых.

[Tracy Stanton]

Вообще же, от подобной дряни прекрасно помогает даже не антивирус с файрволлом, а всего лишь нормальный браузер с АдБлоком. Ну, это так, на будущее.

[Miaka-chi]

У меня опера, Адблока для неё нет. Так что... Ничего сделать не смогла, ибо не грузился в безопасном, и собственно я ничего на компе делать не могла, ни командной строки ничего вообще не было.
Короче, помог только специалист, может я что и смогла бы сделать например с помощью утилиты от Касперского, но... Буду теперь хранить этот образ на всякий пожарный.

[RJ Riku]

У меня опера, Адблока для неё нет.

А это что?

первая же ссылка в гугле, между прочим.

[Miaka-chi]

Ну раньше не было, между прочим