Вирусы

[___VICTOR___]

У меня к Avast претензий нет, продукт хороший, просто срабатывает эффект привычки к NOD, когда знаешь все настройки что, где, как. Но в довесок обязательно держу два дополнительных сканера: Dr.WEB и AVZ. Это на случай "дырявости" NOD.

[жаба]

уфф..
токашо от подцепил вот это - Trojan.Mayachok.1
ИЕ вообще потух, но опера через раз вроде работала, после полной переустановки, чисток кешов, куков и бесчисленных F5..

Доктор Веб http://news.drweb.com/?i=1809 (в т.ч. и курейт) помог тока идентифицыровать название процесса в ОЗУ, а больше ничо не помог..
авира - не реагирует на него ваще..
часа 3 прочирикался, думал ужо винт форматить..

зато от этот чувак помог:
http://www.cyberforum.ru/security/thread382576.html
пасип тебе, Sanya
короче упал спать с чуйством глубокого удовлетворения..

[Laplandia]

cureit+avz+безопасный режим windows - прекрасно избавились от этого вируса.

на зараженной машине стоял avast, который в очередной раз показал себя с плохой стороны.

[___VICTOR___]

Безопасный режим сразу нужно было задействовать и Др.Вэб бы справился.

[жаба]

ды шож мине так везёт..



вчера вечером подцепил..

зы/это дома, а щаз с работы пешу..
седня буит форматцэ..

[отец Жозеф]

Потерпевшим от SMS – вымогателей посвящается!
Внесены добавления (в конце статьи) – всё добавленное выделено этим цветом.
Время, проведённое в Интернете вообще и на CForum в частности показало, что есть много разновидностей баннеров, так называемых SMS – вымогателей, которые то и дело доставляют массу неприятностей пользователям Интернет.
Большинство из них требуют отправить SMS сообщение на короткий номер и затем ввести в окошко в баннере полученный в ответном SMS сообщении код. Что здесь можно сказать. На более чем 160 страницах форума мы не встретили ни одного подтверждения того, что в ответ на посланное SMS сообщение пришёл код, который решил бы проблему. Поэтому, методом научного умозаключения мы пришли к выводу, что это – очередной, как бы это правильней выразиться, ЛОХОТРОН.
Нам не захотелось быть лохами, и мы решили с этим явлением справиться собственными силами. Были проведены исследования (научные, конечно же), мы специально сами себя (то бишь свои компьютеры) заражали всевозможными баннерами, с одной целью – изучить эту гадость и найти способы борьбы с ней применяя, по возможности, «подручные средства». Под подручными средствами здесь подразумевается имеющаяся у нас (или у Вас) зараженная система (Windows естественно) ну и пара – тройка доступных в сети бесплатных антивирусных программ и утилит.

Итак, что мы имеем?
Компьютер с установленной Windows XP (Vista и Семёрка не рассматривается) – это подопытный кролик.
то же подходит отец Жозеф
AVZ – Антивирусная утилита AVZ предназначена для обнаружения и удаления:
• SpyWare и AdWare модулей - это основное назначение утилиты
• Dialer (Trojan.Dialer)
• Троянских программ
• BackDoor модулей
• Сетевых и почтовых червей
• TrojanSpy, TrojanDownloader, TrojanDropper
Malwarebytes - Программа для быстрого сканирования системы с целью обнаружения и удаления различных видов вредоносного ПО. Malwarebytes Anti-Malware ориентирована в первую очередь на борьбу со шпионскими модулями и позволяет после их удаления полностью восстанавливать нормальную работу компьютера.

Unlocker – программка для удаления файлов, которые обычными средствами удалить не удаётся.

Dr.Web CureIt – бесплатный антивирусный сканер.

FAV(FixAfterVirus) - восстанавливает функциональность системы после удаления вируса.

Для особо тяжёлых случаев хорошо бы иметь какой нибудь LiveCD (ERD Commander, например) , желательно с возможностью доступа к зараженному реестру. Но это только для «продвинутых чайников». На крайняк можно обойтись и установочным диском Windows, но тут придётс вспомнить командную строку DOS, а многие даже не знают, что это такое, поэтому – этот вариант для любителей садо – мазо .

Всё что выше – это лекарства, с помощью которых мы и будем лечить нашего подопытного кролика.
Ссылки на программы не даются не потому, что секрет, а потому, что Гуглите и Вам отГуглится.
Качать самые свежие версии!

Ну и самое главное, с чего заварилась вся эта кутерьма, баннер – вымогатель!!!
( Ссылки тоже не даём )
Ладно, это была присказка, сейчас начнётся сказка. Если баннер уже у Вас на столе, то сказка для Вас уже началась.

Итак, начнёмс…
Здесь мы рассмотрим известные нам на данный момент типы баннеров.

Тип первый – баннеры, которые появляются только при запуске Интернет браузера ( IE, Mozilla, Opera) – ещё их называют ИНФОРМЕРЫ. Вот один из них:

Тип второй – баннеры, которые вылазят просто на рабочий стол, закрывают большую его часть но при этом у пользователя остаётся возможность открывать другие программы, открывать Главное меню, Диспетчер задач и др. (типичный представитель – YesPorno)

Тип третий – (самый гадкий), Закрывает практически весь рабочий стол, блокирует все ( иногда только антивирусные и системные) программы, не пускает в Защищённый режим и прочие гадости. (Типичный представитель – eKAV антивирус, он же Интернет Секьюрити)

Мы не обольщаемся на счёт того, что это ВСЕ ТИПЫ баннеров. Просто нам такие попадались.

Ну вот. Посмотрели мы свой любимый порно фильм, открыли вложение в электронной почте, пришедшей неизвестно откуда, перешли по интересной ссылке, скачали ну оооочень нужную программу и т.д.(нужное подчеркнуть) и в награду нам на стол влез красавец (или красавица, или и тот и другая и много) баннер и требует от нас денег за полученное удовольствие. Мы, конечно же сразу хватаем телефон и отправляем SMS на указанный номер. Потом с нетерпением ждём ответа…. Спустя некоторое время встаём и идём смотреть в зеркало на лоха.
Что, неприглядная картина? «А что же делать?», скажете Вы! Ну чего делать НЕ СЛЕДУЕТ, так это отправлять SMS. Не берёмся утверждать на 100% , но на 99.99999999% - это развод. И никакого кода Вы не получите. Сомневаетесь – проверте. Только напишите, пожалуйста, нам в форум, мы будем приводить этот пример, как артефакт.
А теперь о деле. Итак, баннер у нас уже есть. Не паникуем и определяем к какому из описанных типов он относится. Что для этого надо сделать?
Если у Вас открыт браузер, закрываем его. Если окно закрылось вместе с браузером – считайте, что вам крупно повезло – у Вас простой информер. То есть – это Тип первый.
Если баннер висит на столе и после закрытия браузера – продолжаем определяться.
Для начала судорожно жмакаем Ctrl+Alt+Del (или Ctrl+Shift+Esc) и смотрим. Обычно при такой комбинации клавиш выскакивает Диспетчер задач. Выскочил? Вам повезло – есть вероятность, что у Вас – Тип второй. Хотя не факт. Но надежда есть. Если Диспетчер задач не запустился, пробуем надавить на «Пуск». Работает? – это хорошая новость. Не работает? – новость похуже, но тоже не конец света! Запускаем что-нибудь ещё, ну там Блокнот, Word…
Запускаются – это обнадёживает. Это говорит о том, что у Вас, похоже, Тип второй.
Ну и наконец – все Ваши попытки запустить «…ну хоть что-нибудь…» оканчиваются неудачей – поздравляем! У Вас – Третий тип!

А теперь займёмся «лечением».

Тип первый. Ну, с этими всё просто.

Инструкция в картинках для пользователей подхвативших информер или порноинформер.

Удаление информера или порноинформера из браузера Мозила
Открываем ( запускаем браузер Мозила) в меню идём на вкладку «Инструменты- Дополнения»



Во вкладке Дополнения-Расширения и отключаем всё подозрительное ( например informer 1.0 и так далее) в этом примере нет подозрительных расширений




Потом проверяем Плагины; Темы и отключаем там всё подозрительное ( например Informer 1.0 и тому подобное)
Затем закрываем браузер Мозила и по новому его открываем, если информер пропал значит мы не зря старались! Ура!!!


Удаление порно информера в браузере Opera

Открываем браузер Опера (программа через которую вы заходите в интернет) Выбираем пункт меню “Инструменты -> Настройки”.





Откроется форма “Настройки”. В “Настройках” выбираем вкладку “Дополнительно”. Во вкладке “Дополнительно” сначала нажимаем “Содержимое” а потом на появившуюся кнопку на кнопку “Настройки Javascript…”.

В открывшемся окне стираем все, что написано в поле “Папка пользовательских файлов Javascript” (делаем поле пустым) и нажимаем кнопочку “OK”. Нажимаем “ОК” и для формы “Настройки”



Закрываем оперу. По пути, написанном в поле “Папка пользовательских файлов Javascript” можно зайти и удалить файлы заразы с расширением «js». Если у вас там будет написано “C:WINDOWS uscripts” то деляйте всю папку “uscripts”
Всё!!! Теперь информер удалён из браузера Opera.




Удаление порно-информера из браузера Internet Explorer

Для начала идем в меню Internet Explorer, “Управление надстройками”->”Включение и отключение надстроек..”.

Открывается список подключенных DLL-библиотек.

Отключаете все, что вы не знаете - не беспокойтесь, ничего от этого не поломается, всегда успеете включить ту или иную библиотеку обратно.

Итак, выключаете все неизвестные вам модули, нажимаете “ОК”, закрываете и вновь открываете браузер Internet Explorer. Если проблема не исчезла - вновь идете в вышеуказанное меню и отключаете еще что-то, пока проблема не решится. Если же порно-информер пропал - можете спать спокойно.

Для особо принципиальных

Если вас беспокоит факт того, что информер лишь отключен, а не удален с вашего компьютера - открываете вышеуказанное меню, переписываете имена DLL-библиотек на листок (или запоминаете) и идете в папку C:WindowsSystem32 и ищете там данные DLL. После чего удаляете их, перезагружаете компьютер - и, вуаля, все чисто.

Есть следующая защита: в папке Windowssystem32 необходимо войти в ВидУпорядочить значкиИзменен. После этого все файлы выстроятся по датам их появления (изменения). Вручную убираем в корзину недавние .dll поочереди, пока информер не исчезнет, после этого все .dll из корзины восстанавливаем, кроме виновного в появлении информера

Можно еще таким способом:
Пуск-программы-стандартные-служебные-восстановление системы. В последнем окне возвращаешься на день (или сколько там было до похода на этот сайт) назад.
Бывает что прописываются
rqdlib.dll
gjplib.dll
в System32, их надо просто удалить
или так : свойства обозревателя-дополнительно-сброс
а можно и так:
C:WINDOWSuscripts файл feeder.js,удаляем его и дело в шляпе)


Участились случаи, когда такие «пляски с бубном» всё же не дают желаемого результата.
А ещё бывает, что такой информер просто напросто блокирует браузер и не даёт войти в меню. В таком случае, делаем следующее:
Удаление информера из Mozilla Firefox
1. Завершаем процесс firefox.exe Для этого запускаем Диспетчер задач (Ctrl+Alt+Del), находим в процессах firefox.exe, Правый клик –> завершить процесс.
2. Пуск - Виполнить - Regedit - Ctrl+F. Вводим firefox и ищем такие строки
"C:Program FilesMozilla Firefoxfirefox.exe" -preferences
"C:Program FilesMozilla Firefoxfirefox.exe" -requestPending -osint -url "%1"
Ищем по ВСЕМУ реестру
3. Всё что здесь выделено жирным шрифтом - удаляем
4. При первом после этой процедуры запуске Mozilla попытается восстановить предыдущую сессию - жмём "Начать новую сессию"
5. Всё!
Просканируйте компьютер с помощью свежей версии программ DrWeb CureIt



Удаление баннера из Оперы:
1.Завершаем процесс opera.exe Для этого запускаем
Диспетчер задач (Ctrl+Alt+Del), находим в процессах opera.exe,
Правый клик –> завершить процесс.(или просто закрываем Opera, если даётся)
2. Пуск - Виполнить - Regedit - Ctrl+F. Вводим opera.exe,
снимаем галку с "искать только строку целиком" и ищем такие строки
"C:Program FilesOperaopera.exe" -preferences
"C:Program FilesOperaopera.exe" -requestPending -osint -url "%1" или что либо подобное
Ищем по ВСЕМУ реестру!!!\
3. Всё что здесь выделено жирным шрифтом - удаляем
4. При запуске Opera указать, что начинать надо с экспресс-панели.
5. Всё !!!
Там еже рисунки есть - если нужны - дай в личку мыло - отправлю весь файл.

[жаба]

да лан, не стоит, виннда всерно удавлена донельзя, как раз собирался переставить а тут такой повод..
зы/инфу всю необходимую удалось спасти с под ДОСа (у мя фат32)..

[отец Жозеф]

да лан, не стоит, виннда всерно удавлена донельзя, как раз собирался переставить а тут такой повод..
зы/инфу всю необходимую удалось спасти с под ДОСа (у мя фат32)..

Выше уже написал. Тоже раньше Fat 32 ставил, но достал он - не видит больших файлов и не работает с ними - пришлось на NTFS всё переводить... Считаю, что лучше всё в NTFS, но на С только винду держать и кое-какие проги, а диск разбить не ап стену и инфу держать на D;E; и т.д.

[жаба]

а у меня как раз так..
С - 30 гиг (чисто прод операционку и т.п.) в фат32, Д - 130 гиг в нтфс, и пристяжной террабайтник внешний тож в нтфс..

пасип за инструкцию по вирю..

[отец Жозеф]

а у меня как раз так..
С - 30 гиг (чисто прод операционку и т.п.) в фат32, Д - 130 гиг в нтфс, и пристяжной террабайтник внешний тож в нтфс..

Слов нет -

[жаба]

ффух, переставил..
такое впечатление, какбутто после баньки..
всё такое свежее, ничо не глючит..
красота одним словом..


------------------------------------------------
и это..
извиняюсь..
ошибочка вышла..
диск Д у мя тож в фат32..
а иначеб как яб с диска С подДОСа инфу спасалбы?

[отец Жозеф]

ффух, переставил..
такое впечатление, какбутто после баньки..
всё такое свежее, ничо не глючит..
красота одним словом..


------------------------------------------------
и это..
извиняюсь..
ошибочка вышла..
диск Д у мя тож в фат32..
а иначеб как яб с диска С подДОСа инфу спасалбы?

[отец Жозеф]

ффух, переставил..

Теперь, если у тебя Windows 7, можешь включить ей обновления, только предварительно надо будет сразу проверить установилось ли обновление КВ971033 и если да, то удалить его, а если нет, то включить ему опцию "скрыть обновление" и далее можно беспрепятственно обновляться.

[Laplandia]

из под доса можно ntfs юзать. есть специальная утилитка NTFS4DOS. это во-первых.
во-вторых, почитайте про загрузочные диски/флешки, с которых всегда можно загрузиться в винду например и утащить все нужные файлы либо вылечить "родную" операционку от вирусов/блокеров и т.п.
жизнь гораздо легче станет.

[___VICTOR___]

почитайте про загрузочные диски/флешки, с которых всегда можно загрузиться в винду например и утащить все нужные файлы либо вылечить "родную" операционку от вирусов/блокеров и т.п.
жизнь гораздо легче станет.

А как создашь собственными силами загрузочный диск/флешку на парализованном вирусом компе? Засади к себе вирусняк и поэкспериментируй с ним разок сам)).

[Laplandia]

почитайте про загрузочные диски/флешки, с которых всегда можно загрузиться в винду например и утащить все нужные файлы либо вылечить "родную" операционку от вирусов/блокеров и т.п.
жизнь гораздо легче станет.

А как создашь собственными силами загрузочный диск/флешку на парализованном вирусом компе? Засади к себе вирусняк и поэкспериментируй с ним разок сам)).

загрузочный dvd-диск например или флешку достаточно создать 1 раз (ну пока не испортится носитель). как бы не обязательно использовать зараженный компьютер для этого. сейчас можно скачать для новичков вполне пригодный образ загрузочного диска от zver (там и в винду загрузиться можно прямо с диска, и утилит немалый набор для восстановления/чисток всяких, и тулзы для работы с жесткими дисками) и все на русском - достаточно в биосе выбрать загрузку с сд/двд.

кстате, на днях у товарища попался новомодный блокер ("положи деньги на счет"). отличается от типичных блокеров тем, что лезет не в автозагрузку операционной системы, а прописывается непосредственно в mbr-область жесткого диска. лечится 2 минуты, но не имея загрузочного диска/флешки под рукой останется только 3 варианта - цеплять винт к живому компьютеру, грузить с лицензионного диска windows режим восстановления и применять команду fixmbr, либо format c: /u.

еще раз рекомендую всем форумчанам потратить 15-20 рублей на болванку и скачать из инета образ загрузочного диска/флешки и посадить его на удобный вам и вашему компьютеру носитель.

[___VICTOR___]

Laplandia, ты технически всё верно изложил. Я другое имел в виду. Чаще всего мы оказываемся в критичной ситуации, когда к ней не готовы, и внешнего загрузчика под рукой нет. Хорошо, если есть второй комп - тогда ситуация решаема. Но так бывает не у всех и не всегда. Вот тогда засада!

[Void]

Второй троян, который прописывается в BIOS
Дата: 11.06.2012

В сентябре 2011 года одна из китайских антивирусных компаний обнаружила Mebromi (MyBios) — первый троян, который прописывается в BIOS (Award BIOS). При следующей загрузке BIOS уже добавляет дополнительный код к главной загрузочной записи (MBR) жёсткого диска, чтобы инфицировать winlogon.exe и winnt.exe процессы на Windows XP и 2000/2003 перед загрузкой системы, затем вредоносный код скачивает руткит для предотвращения очистки MBR антивирусным сканером. Но даже если жёсткий диск будет очищен, вся процедура инфицирования повторится при следующей загрузке BIOS. Троян способен уцелеть даже при смене жёсткого диска.

Сейчас появилась новая программа Niwa!mem, которая действует примерно таким же способом, переписывая MBR и помещая в системе библиотеку DLL, которая содержит cbrom.exe и поражает Award BIOS.

По мнению специалистов, новый троян Niwa!mem может быть написан теми же авторами, что и Mebromi, поскольку многие строки кода выглядят практически идентично.

С выходом второго экземпляра можно ожидать, что запись вредоносного кода в BIOS станет более обычным делом для вредоносных программ.

https://www.xakep.ru/post/58830/

[___VICTOR___]

Молодцы. Их бы ум да в мирных целях.

[Laplandia]

в правильных материнках биос лок есть.

[___VICTOR___]

в правильных материнках биос лок есть.

Так это в нынешнем поколении материнок. А сколько ещё в пользовании раритетного старья, тьма. В правильных флешках тоже есть защита от записи, но я таких флешек мало встречал. Да и аппаратную защиту BIOS тоже обходят, здесь подробнее: https://www.xakep.ru/post/46650/. Поэтому за бирусами и MBR-вирусами будущее!))
Цитата:
Компьютерная индустрия должна лучше защищать процесс запуска компьютера для создания более безопасных систем, говорит Национальный институт стандартов и технологий (NIST), США. "Несанкционированная модификация прошивки BIOS посредством вредоносного ПО представляет серьезную угрозу из-за особой и привилегированной позиции, которую BIOS занимает в архитектуре ПК", - сообщил NIST. "Вредоносная модификация BIOS может быть частью сложной целевой атаки на организацию. Это может быть либо PDoS (постоянный отказ в обслуживании, если BIOS поврежден), либо постоянное присутствие вредоносного кода в системе (если в BIOS внедрена вредоносная программа)". В итоге институт призвал поставщиков и создателей BIOS к применению ряда мер, которые будут способствовать поднятию уровня безопасности. В первую очередь NIST призвал включить в BIOS функции ID verification (установления подлинности), чтобы помочь защитить систему от злоумышленников. В настоящее время хакеры могут злоупотреблять путями доступа, встроенными в системы и позволяющими производителям обновлять системную прошивку, устранять баги, закрывать уязвимости и поддерживать новые аппаратные средства. "Руководство призывает к использованию криптографических цифровых подписей для проверки подлинности обновлений BIOS перед их установкой", - отметил NIST.
Источник: https://www.xakep.ru/post/55666/

[Laplandia]

имхо, это только предположения. был же в свое время win95cih, пережили как-то.

[жаба]

жизнь гораздо легче станет.

да я в этих делах деревянный по пояс

[___VICTOR___]

имхо, это только предположения. был же в свое время win95cih, пережили как-то.

Чих писался в 1998, когда ещё глобального количества сетевых юзеров не было и сутками в сети народ не сидел. И все-равно он покосил полмиллиона машин. Контрмеры придумают и против бирусов. Важно первыми не попасть под бирусную раздачу.