Троян-вымогатель Download Manager

[igorgri]

Приходу позавчера домой с работы - опаньки - на флэшке папка Recycled появилась с файлами (никогда в корзину не удаляю) и на корне autorun.bat файлик. Ну дома у меня автозагрузка с флэшек и CD отключена, на днях убил NOD32 - поставил Avast!, куча программулек нашло в NOD32 два вредоносных файла в корневой папке программы (видно поэтому и не отлавливал, хотя обновлялся), думается домашние - все чисто, а значит надо рабочий смотреть.

 

Протестил с утра свежим Cureit и AVZ - нашло мелочь пузатую, типа файла подбора пароля, программы удаленного доступа. Ну ладно... Вставляю еще раз флэшку - опять появляются файлы левые.

 

Ну что, чистим темпы и перегружаем банку... И тут началось!!!

 

 

Выскакивает окно - типа вы нарушили лицензионное соглашение программы Download Manager, у вас 3 часа на оплату. Для этого отправьте SMS с кодом K********* на номер **** и введите полученный код...

 

Троян блокирует диспечер задач, msconfig тоже не запускается, проги типа World и Excel не запускаются (раньше можно было с помощью их гасить троян).

 

Проверял двумя дисками alkid CD, последний за 21.12.09, всем, что там было - нефига... Там Cureit и AVZ новые - тоже не лечат. Послали образцы вируса с флэшки в антивирусные лаборатории.

 

Утром дома скачал обновления - пошел на работу - не ловят... А вот Касперский следствия ловит - dll обозначает, как вирусняк... Но не прибивает причину появления.

 

Надоедло в конце концов - и пошел в рукопашную: Запустился с alkid, нашел все файлы, размером с зараженные библиотеки, переместил их в другие папки. А теперь внимание - заходим в Windows? набираем пароль входа, жмем Enter и быстро выдергиваем шнур ЛВС. Комп заходит, но новый вирус не закачивает и можно работать.

 

Жду новые версии баз антивирусов.

 

Да - не путать с "IMax Download Manager"

Изменено 30 декабря, 2009 пользователем igorgri

[Stitch]

смотри по файлу userinit в реестре, там тока это файл должен быть

я тогда Костю ждать не буду

 

ПС мне становиться жалко простых пользователей, с каждым разом эта фигня с смс-ками становиться все интереснее...

[igorgri]

так, в реестре точно нет.. .Смотрел и по userinit.

 

Так файл находился в четырех темповских файлах Инета. Но не судь - вполне могли и с этого форума тэмпы быть

[TzAr]

Блин! Переустановил XP, когда еще ничего не знал про этот вирь. Отключал физически второй жесткий (со всей инфой), после установки системы, обновления НОД32, подключил его. Теперь косяк: К большинству каталогов нет доступа. При попытке открыть папку, в некоторых случаях ничего не происходит, в некоторых вылезает сообщение: Нет доступа к D\... Отказано в доступе. Нод с последними базами ничего не видит, никакие окна не вылезают кроме этого, все программы запускаются. Кто-нибудь знает что это может быть?

 

В свойствах папок, к которым нет доступа, написано: размер 0кБ.

[lexa]

выложите куда-нить в архиве запароленном этого зверя, проверю как антивир работает ))

[Snacker]

а у меня такой хрени не было, просто у меня всегда на страже outpost ss и ниразу такая хрень не прорвалась.

[Valerrra]

А о какой винде речь идет?

[igorgri]

выложите куда-нить в архиве запароленном этого зверя, проверю как антивир работает ))

 

У меня на работе у парня на компе лежит, сегодня днем чикнул папку со всеми телами на рабочем компе, на домашнем заразы такой нет.

 

А по фаервалу - как настроено. Почему то на рабочем -прорвался, а на домашнем - нет

 

Не знаю, что там на проксятнике рабочем - а у меня Comodo + отключен автозапуск с дисков

[Stitch]

Блин! Переустановил XP, когда еще ничего не знал про этот вирь. Отключал физически второй жесткий (со всей инфой), после установки системы, обновления НОД32, подключил его. Теперь косяк: К большинству каталогов нет доступа. При попытке открыть папку, в некоторых случаях ничего не происходит, в некоторых вылезает сообщение: Нет доступа к D\... Отказано в доступе. Нод с последними базами ничего не видит, никакие окна не вылезают кроме этого, все программы запускаются. Кто-нибудь знает что это может быть?

 

В свойствах папок, к которым нет доступа, написано: размер 0кБ.

 

Встречал такой вирус, тупо все файлы чистит в 0 Кб, оставляя структуру папок.

Смог инфу восстановить, большую часть, с помощью программы Easy Recover, остальные не очень помогли.

Причем у друга на буке оба диска C и D были вирусом заражены, т.е. все файлы 0 Кб.

Самого вируса не нашел.

[lexa]

Блин! Переустановил XP, когда еще ничего не знал про этот вирь. Отключал физически второй жесткий (со всей инфой), после установки системы, обновления НОД32, подключил его. Теперь косяк: К большинству каталогов нет доступа. При попытке открыть папку, в некоторых случаях ничего не происходит, в некоторых вылезает сообщение: Нет доступа к D\... Отказано в доступе. Нод с последними базами ничего не видит, никакие окна не вылезают кроме этого, все программы запускаются. Кто-нибудь знает что это может быть?

 

В свойствах папок, к которым нет доступа, написано: размер 0кБ.

 

ежели нет доступа - это нормально, надо в сейф-моде сделать владельцем текущего нового пользователя винды, такое часто бывает после переустановки. владельцем папок является старый юзер, а у нового прав нету на доступ

 

У меня на работе у парня на компе лежит, сегодня днем чикнул папку со всеми телами на рабочем компе, на домашнем заразы такой нет.

 

А по фаервалу - как настроено. Почему то на рабочем -прорвался, а на домашнем - нет

 

Не знаю, что там на проксятнике рабочем - а у меня Comodo + отключен автозапуск с дисков

 

вот интересно поймает мой или нет )) так-то за 7 лет один сбой был

f-secure client security, антивир и файр в одном флаконе

[TzAr]

ежели нет доступа - это нормально, надо в сейф-моде сделать владельцем текущего нового пользователя винды, такое часто бывает после переустановки. владельцем папок является старый юзер, а у нового прав нету на доступ

 

 

Попытаюсь... Но завтра! Сегодня поздно уже! Загружался с Knoppix Live CD, Линуха видит все эти каталоги, хотя в винде и написано что они 0кБ. Так что опасение за их сохранность пропало. Осталось только восстановить доступ.

[igorgri]

Вот и библиотеки авторанера

 

Для слабо видящих - в архиве вирус! Перед тем как качать - убедитесь что понимаете опасность!

!!!!вирус.zip

Изменено 4 января, 2010 пользователем Design_Nick
дополнительное предупреждение

[Valerrra]

dr.web накорню блокирует даже возможность закачки))

[TzAr]

ежели нет доступа - это нормально

 

Спасибо! Всё восстановил. Всё работает.

Попытался загрузить файлик с вирусом, НОД32 заблокировал, не дал скачать. Раньше бы так... ((

[igorgri]

и хорошо...

[lexa]

Вот и библиотеки авторанера

 

ага... ловит

[igorgri]

Хорошо вам... А у меня Avast! его не видит

[igorgri]

Теперь с Костиной банкой... Проверял его антивирусом 31-го числа. Сканер только перед этим скачал - ничего не нашел. Прогнали проверку диска на ошибки с исправлениями. Начали восстанавливать Windows - при перезагрузке пишет - память не может читаться. Поставили проверку и перенос битых кластеров. На 31-е это было все...

 

Вчера приехал на работу скачал свежий сканер - нашло 5 инфицированных файлов и 3 трояна. После их удаления комп впал в ступор. Переустановка Windows не помогла. Начали выводиться различные сообщения об ошибках. В запущенных службах нашел шпионский модуль Adobe, который шпионит за пользователями их программ. Вычистил реестр от этой бяки... Уже вечер - повез комп домой, все равно Инета нет.

 

Начал разбираться - почему не запускается Касперский. Нашел - троян прописал политику безопасности, которая его блокирует. Нашел эту политику и удалил. Кроме того было отключено сканирование http - включил сканирование. Но все равно, комп долго запускался и выдавал ошибки. Там и дифрагментацию прогнал, и реестр почистил от 2500 ошибок, и реестр перезаписал - не помогает.

 

Сегодня проехал - еще раз пытался Windows переустановить - без толку. Мне советывали снести старую и установить заново - но нет эффекта от работы...

 

Прочитал про одну из ошибок синхронизации - служба синхронизации новостей RSS. Победил. Прогнал сравнение системных защищенных файлов - выполнило без ошибок. Долго ломал голову, что за такая ошибка тормозит работу - оказалось ошибка в WinSock2. Скачал приблуду от мелкософта по ремонту WinSock2 - не помогла. Полностью его удалять и ставить - настройки Каспера слетят, ну и еще что там может стоять. Напрямую regedit редактировать не давал, пришлось находить все, связанное с WinSock2, делать экспорт, редактировать полученный файл, удалять из реестра и снова вливать в него.

 

Вот тогда все начало работать как часы... Муторно, но интересно.

Изменено 3 января, 2010 пользователем igorgri

[кОСТЯ]

СПАСИБО ОГРОМЕННОЕ, сейчас отогреется буду запускать.

[Стасян]

На основании всего сказанного в этой теме, какой антивирусник лучше?

Что-то я теперь Касперскому не доверяю.

[igorgri]

На основании всего сказанного в этой теме, какой антивирусник лучше?

Что-то я теперь Касперскому не доверяю.

 

Тайна сие великая есть... Вообще то бы в России я бы ставил или Касперского или dr.Web. Скажу так - минимальное время реагирования на российскую шнягу. Ну и конечно - лицензионный, чтобы можно проблемные файлы отсылать быстрее на исследование.

 

Каспер быстрее отреагировал, dr.Web юзал только сканером - медлеенее туда попадали новинки.

[Стасян]

Каспер быстрее отреагировал..

 

Это радует Значит по поводу антивирусника можно не дергаться.

Спасибо за информацию.

[lexa]

Тайна сие великая есть... Вообще то бы в России я бы ставил или Касперского или dr.Web. Скажу так - минимальное время реагирования на российскую шнягу. Ну и конечно - лицензионный, чтобы можно проблемные файлы отсылать быстрее на исследование.

 

Каспер быстрее отреагировал, dr.Web юзал только сканером - медлеенее туда попадали новинки.

 

любой пропустить может новинку

 

1. отключить автозапуск с флешек

2. поставить файрволл

3. иметь помимо основного антивируса сканер другого (например связка касперыча и вебера cureit)

4. частенько помогает приблуда в антивирусе которая не даёт программам вносить изменения в реестр и системные файлы. Но сиё работает если антивир не прибит вирусом и вирус залазит не через дырки в винде с сети (см. п.2). На касперыче вроде такое есть и еще на каком-то

 

чистил компы после нод32 покупного, через два дня только вышло у них обновление, но вирус закрыл возможность обновления

 

З.Ы. если с англицким элементарным в порядке - можно поставить как у меня f-secure client security

русская версия только покупная стоит брать полную версию со встроенным файрволом

http://www.f-secure.com/en_EMEA/products/home-office/internet-security/

почему-то не пашет русскоязычная версия сайта, ну я думаю, быстро поправят

[igorgri]

1. отключить автозапуск с флешек

 

Это AVZ можно запустить - мастер обнаружения и устранения проблем. Так же закрыть оптимально автозапуск с HDD и CD.

 

2. поставить файрволл

 

Стоит бесплатный Comodo дома - как что новое полезет - так можно сканер качать

[MrFirst]

На основании всего сказанного в этой теме, какой антивирусник лучше?

Что-то я теперь Касперскому не доверяю.

 

 

format c:

[igorgri]

format c:

 

И только DOS

 

Хотя и под него были вирусы... Aidstest еще помню