Сообщение от altmax:
трояны-вымогатели постоянно модифицируются, и бороться с ними всё сложнее и сложнее
Сообщение от altmax:
Как вариант решения проблемы
Сообщение от Part!zan:
троян не определялся антивирями, в безопасном режиме он тоже работал
Сообщение от Part!zan:
О чем и речь, все эти советы из серии "загрузиться в безопасном режиме, запустить антивирь" это все мертвому припарки. Пока к "докторам" не попадет образец трояна никакой антивирь не поможет. А так как многие решают проблему переустановкой, а не поиском и уничтожением зловреда (и их нельзя винить, не все пользователи - компьютерные гуру), то и появление решения затягивается.
Прекратить работать под админом. Без админских прав трояны-вирусы мало чего могут.
Сообщение от :
Не знаю, поможет ли вам это, и тем более не претендую на исключительность метода, но работать это должно — была схожая ситуация. Сначала проверяете каспером с последними базами на другом компе — если лечит — радуетесь, если нет — читаете дальше. В общем грузитесь с чего — нибудь, что есть под рукой — liveCD я не пробовал, у меня ubuntu есть установленная — на вирусы на ней пох. Заходите на 'тот самый' порносайт или еще куда, где вы эту заразу поймали и стараетесь поймать живой 'экземпляр' этой заразы — обычно это trojan — dropper — в виде .exe или еще чего нибудь. Можете погуглить по имени файла, если помните его — возможно найдется на файлообменниках. Находите. Не пытайтесь его устанавливать — отравьте на исследование касперу. В моем случае через несколько часов пришел ответ :
Сообщение от :
Наряду с номером 7122, мошенники часто используют номера 4460, 3649, 9693, 9690, 6008, 4124. Приводим список стоимостей этих номеров и биллингов.
* номера 4460, 3649 — 250 руб. Обслуживают А1 Агрегатор, СМС Рент
* номер 4124 — 250 руб. Обслуживает SMS-Доступ
* номер 6008 — 220 руб. Обслуживает GoldFon, NwBill
* номера 9693, 9690 — 220 руб. Обслуживает SmsRate
Сообщение от :
Внимание! По многим форумам широко распространились непрофессиональные советы об удалении всех библиотек .dll с опредлённым размером *** кб. из папки %system32%. Этого делать ни в коем случае нельзя!!! Такой же размер имеют множество системных файлов. Их удаление может привести к "падению" Windows.
Так же данным способом не исправляются некоторые патченные зловредом драйвера. Возможны различные остаточные явления: отсутствие звука, отсутствие сети и прочее.
8-9 и 15-16 декабря 2009 года зафиксированы всплески активности нового троянского вымогателя.
Наименование:
Packed.Win32.Krap.w (Лаборатория Касперского)
Самоназвание:
iMax Download Manager или iLite Net Accelerator
Симптомы:
Как и в случае заражения Get Accelerator (Trojan-Ransom.Win32.Agent.gc) или uFast Download Manager (Trojan-Ransom.Win32.SMSer.qm, Trojan.Win32.Agent.dapb), на Рабочем столе жертвы появляется изображение с надписью, сообщающей, что нормальная работа операционной системы блокирована в связи с нелицензионным использованием программы "iMax Download Manager" или "iLite Net Accelerator". Вредоносное ПО предлагает пользователю отправить SMS-сообщение с определенным текстом на короткий номер 3649.
http://www.rublya.net/uploads/posts/...x_0e61f5dc.jpg
Вредоносное ПО также выполняет следующие действия:
1) препятствует запуску Диспетчера задач и Редактора реестра
2) навязчиво отображает баннер или перезагружает ОС при попытке запуска каких-либо приложений
3) препятствует загрузке ОС в безопасном режиме
4) противодействует запуску антивирусных инструментов
5) дезактивирует Восстановление системы Windows
Состав вредоносной программы:Типичный образец вредоносного ПО iMax Download Manager или iLite Net Accelerator (Packed.Win32.Krap.w) состоит из нескольких библиотек (DLL) со случайным именем, размещающихся в папке %system32%, размером около 130 килобайт (размер варьируется в зависимости от конкретного образца). По косвенным данным, в системе может присутствовать также исполняемый файл %system32%\sdra64.exe.
Внимание! По многим форумам широко распространились непрофессиональные советы об удалении всех библиотек .dll с опредлённым размером *** кб. из папки %system32%. Этого делать ни в коем случае нельзя!!! Такой же размер имеют множество системных файлов. Их удаление может привести к "падению" Windows.
Так же данным способом не исправляются некоторые патченные зловредом драйвера. Возможны различные остаточные явления: отсутствие звука, отсутствие сети и прочее.
Рекомендации в случае заражения:Если ваш ПК заражен вредоносным ПО iMax Download Manager или iLite Net Accelerator (Packed.Win32.Krap.w), то Антивирусный портал VirusInfo настоятельно рекомендует вам ни в коем случае не следовать указаниям мошенников и не отправлять никаких SMS-сообщений на указанный ими номер.
Так как имя вредоносных компонентов формируется случайным образом, а основные антивирусные инструменты не запускаются, скрипт AVZ для удаления типичного представителя данного ВПО не может быть сформирован. В большинстве случаев уничтожение основных составляющих вредоносной программы возможно при помощи представленной ниже последовательности действий:
* * *
1) Загрузить и сохранить на диск установочный пакет антивирусной лечащей утилиты AVPTool от Лаборатории Касперского (описание см. здесь: http://support.kaspersky.ru/viruses/avptool2010?level=2, ссылка для загрузки: http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/ );
2) Подготовить загрузочный компакт-диск, позволяющий загружать ПК с обход ОС Windows и запускать лечащие утилиты (подробнее о создании и использовании LiveCD см. здесь: http://virusinfo.info/showthread.php?t=15927 ), или попытаться войти в пораженную ОС при помощи другой учетной записи;
3) Запустить утилиту AVPTool и провести полное сканирование ПК;
4) Перезагрузить компьютер.
* * *
Обращаем ваше внимание на то, что уничтожение вредоносных DLL при помощи AVPTool не позволяет полностью излечить пораженную ОС. После сканирования и перезагрузки мы настоятельно рекомендуем вам пройти остаточное лечение на VirusInfo, подготовив протоколы исследования системы в соответствии с Правилами оформления запроса (http://virusinfo.info/pravila.html).
Если по каким-либо причинам у вас нет возможности выполнить представленные выше рекомендации (к примеру, инфицированный ПК не имеет CD-привода), то вы можете обратиться в службу поддержки поставщика, обслуживающего указанный на баннере вредоносного ПО короткий номер, с просьбой выдать вам код разблокирования. Согласно данным компании МТС (http://www.mts.ru/services/short_numbers/3649), наиболее часто используемый мошенниками номер 3649 принадлежит поставщику "Контент-провайдер Первый Альтернативный, ЗАО"; по сведениям, имеющимся в распоряжении VirusInfo, техническая поддержка указанного поставщика достаточно оперативно отвечает на запросы пользователей и с готовностью выдает им соответствующие коды разблокирования.
Вы также можете воспользоваться сервисом разблокирования компьютера, любезно предоставленным Лабораторией Касперского http://virusinfo.info/deblocker/
После разблокирования необходимо провести полноценное лечение по нашим "Правилам (http://virusinfo.info/showthread.php?t=1235)"
Примеры жалоб:http://virusinfo.info/showthread.php?t=62862
http://virusinfo.info/showthread.php?t=62903
http://virusinfo.info/showthread.php?t=62937
http://virusinfo.info/showthread.php?t=62957
http://virusinfo.info/showthread.php?t=62981
http://virusinfo.info/showthread.php?t=63396
http://virusinfo.info/showthread.php?t=63565
http://virusinfo.info/showthread.php?t=63722
http://virusinfo.info/showthread.php?t=63791
http://virusinfo.info/showthread.php?t=63827
Сообщение от Stick_ch:
А вообще это новый тип вирусов который не содержит вирусного кода, а полностью похож на нормальную рабочую программу по этому его антивирусы и не находят
Сообщение от X0R:
вирус, который не содержит вирусного кода - не вирус. Если программа совершает какие либо вредоносные действия, то один хрен ее занесут в базы, по первой жалобе...
Сообщение от joff:
Запустил ProcessExplorer
Сообщение от :
А подцепил я эту хренотень "в контакте", когда по предложению обновить свой флеш плеер в опере, скачал там по данной ссылки exe-шник и установил
Сообщение от X0R:
экзешники сгенерированные autoit можно распаковать с помощью 7-zip, а пароль для распаковывания можно в коде экзешника найти
Сообщение от Part!zan:
Не, ты с nsis, наверное, спутал
Сообщение от ANDREUS:
ВООБЩЕМ эти вирусы сидели в папке %SystemRoot%\Temp