Пользователей «ВКонтакте.Ру» поразил вирус

[B]Пользователи популярного сайта «ВКонтакте.Ру» стали жертвами серьезной вирусной эпидемии.[/B]

Компания «Доктор Веб», служба вирусного мониторинга которой зарегистрировала вредоносную программу, уточняет, что причиной эпидемии стал опасный сетевой «червь», который рассылает с инфицированных машин другим пользователям сети «ВКонтакте.Ру» ссылку на картинку в формате jpeg, ведущую на ресурс злоумышленника в сети Интернет (http://******.misecure.com/deti.jpg). Реально же сервер передает по этой ссылке исполняемый файл deti.scr, который и является непосредственно сетевым «червем».

Полный текст: [URL]http://www.vz.ru/news/2008/5/16/168835.html[/URL]

По ссылке вирус жив до сих пор...
[url]http://www.virustotal.com/ru/analisis/c078234a48f6c009cfdfda6078f68c04[/url]

по ссылке его больше нет, тот сайт уже не пашет.

[QUOTE=Bratez;228084]Компания «Доктор Веб», служба вирусного мониторинга которой зарегистрировала вредоносную программу, уточняет, [/QUOTE]
Ссылка на оригинал: [url]http://info.drweb.com/show/3359?lng=ru[/url]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=Username;228116]По ссылке вирус жив до сих пор...
[url]http://www.virustotal.com/ru/analisis/c078234a48f6c009cfdfda6078f68c04[/url][/QUOTE]
Ссылка заблокирована. А на результатах ВирусТотала это не первая модификация вируса.

Для KIS 2009 этот чевряк игрушка:),HIPS его без сигнатуры ловит,алерты меня замучали :)

а че такое HIPS?

[url]http://ru.wikipedia.org/wiki/%D0%90%D0%BD%D1%82%D0%B8%D0%B2%D0%B8%D1%80%D1%83%D1%81%D0%BD%D0%B0%D1%8F_%D0%BF%D1%80%D0%BE%D0%B3%D1%80%D0%B0%D0%BC%D0%BC%D0%B0[/url]
"Метод обнаружения странного поведения программ"

Вчера примерно с 14 часов все пользователи, которые получили картинку с вирусом на сайте Vkontakte.ru были автоматически переправлены на [URL="http://www.securitylab.ru/news/353156.php"][COLOR=#0000ff]соответствующую новость на SecurityLab[/COLOR][/URL].

В результате такой оригинальной атаки нагрузка на наш сервер возросла почти в 10 раз, и за пол дня пришло более 100.000 уникальных пользователей, что привело к значительным трудностям при доступе к сайту в первые часы атаки, однако специальные меры позволили быстро восстановить доступ к сайту.

С учетом выходных, можно предположить, что вирусному заражению изначально подверглось не менее полумиллиона пользователей Vkontakte.ru за 1 день атаки. Вероятно, для распространения вируса использовалась [URL="http://www.securitylab.ru/analytics/292473.php"][COLOR=#0000ff]CSRF[/COLOR][/URL] атака, [URL="http://www.securitylab.ru/vulnerability/348522.php"][COLOR=#0000ff]обнаруженная более 2-х месяцев[/COLOR][/URL] назад (или подобная уязвимость). В результате подобной беспечности пользователям ресурса нанесен огромный ущерб.

Напомним ранее были обнаружены не [URL="http://www.securitylab.ru/news/306819.php"][COLOR=#0000ff]менее опасные уязвимости[/COLOR][/URL] на самой популярной российской социальной сети "Одноклассники.Ру", позволяющие получить профиль любого пользователя. По нашим данным, в настоящее время самые популярные социальные сети в Рунете имеют множество приватных уязвимостей, которыми постоянно пользуются хакеры для преступных целей.

[URL="http://www.securitylab.ru/news/353203.php"]securitylab.ru[/URL]

[quote=ALEX(XX);228759]Вчера примерно с 14 часов все пользователи, которые получили картинку с вирусом на сайте Vkontakte.ru были автоматически переправлены на [URL="http://www.securitylab.ru/news/353156.php"][COLOR=#0000ff]соответствующую новость на SecurityLab[/COLOR][/URL].

В результате такой оригинальной атаки нагрузка на наш сервер возросла почти в 10 раз, и за пол дня пришло более 100.000 уникальных пользователей, что привело к значительным трудностям при доступе к сайту в первые часы атаки, однако специальные меры позволили быстро восстановить доступ к сайту...

[URL="http://www.securitylab.ru/news/353203.php"]securitylab.ru[/URL][/quote]


Забавный комментарий по этой новости на [url=http://www.anti-malware.ru/forum/index.php?showtopic=4610&view=findpost&p=37941]anti-malware.ru[/url]

Опа. Забавный момент. При заходе на ссылку [url]http://www.securitylab.ru/news/353156.php[/url] - Авира ловит каку [url]http://www.virustotal.com/ru/analisis/3c6722becb96ce8dc52d4c97b1123543[/url]
Как я понял, это и есть тот самый вирус

И ты правда считаешь, что уважаемый ресурс, будет выкладывать на своих страницах виря?)))

Нет. Это уже исправили. Детекта нет больше

"Лаборатория Касперского" выпустила бесплатную утилиту, при помощи которой все пользователи социальной сети "ВКонтакте" могут проверить, не заражен ли их компьютер сетевым червем Rovud. Специалисты рекомендуют сделать это до 25 мая, поскольку именно 25 числа каждого месяца червь проявляет себя, удаляя все файлы с инфицированного диска C.
Напомним, что социальная сеть "Вконтакте", в которой зарегистрировано более десяти миллионов пользователей, подверглась атаке сетевого червя Rovud утром 16 мая. Следующая более мощная волна распространения новой модификации червя произошла 17 мая.
[URL="http://www.3dnews.ru/software-news/_laboratoriya_kasperskogo_predlagaet_besplatnuu_proverku_dlya_vseh_polzovatelei_vkontakte/"]источник[/URL]

Ребят просветите, как можно обнаружить присутсвие данного червя.

Создать тему здесь [url]http://virusinfo.info/forumdisplay.php?f=46[/url] предварительно выполнив правила [url]http://virusinfo.info/showthread.php?t=1235[/url]

[QUOTE=Rampant;230295]Ребят просветите, как можно обнаружить присутсвие данного червя.[/QUOTE]
Хм.. А Вы свое предидущее сообщение читали, когда сюда постили?
Там как раз написано, что ""Лаборатория Касперского" выпустила бесплатную утилиту,.."
Еще есть бесплатный DrWeb-овский сканер CureIt, он тоже находит этого червя (если червь есть в системе :))
Доступен по этой ссылке под разными именами: [url]ftp://ftp.drweb.com/pub/drweb/cureit[/url]

Нет у меня виря нет, это точно, я на своём форуме помогаю по безопастности, как могу, а вопрос не праздный, т.к. в инструкции к утилите сказано:
Важно помнить, что cканирование жесткого диска и/или подключенных сетевых дисков
запускается только при нахождении программой klwk.com хотя бы одного зараженного процесса,
а также при условии, что запуск программы осуществлялся с соответствующими параметрами(/s[n]).
хотелось бы пояснений.

Хотелось узнать, проявил себя вирус, сегодня он должен был активироваться.

[QUOTE=Rampant;231357]Хотелось узнать, проявил себя вирус, сегодня он должен был активироваться.[/QUOTE]

Да хочется знать
Как там статистика обращений потерпевших?

Вы об этом узнаете в 10:00 :)

Уже 10. Только мы это узнаем позже, когда юзеры доберутся до Инета у друзей, в салонах, или завтра на работе :)

Начинается:
[url]http://virusinfo.info/showthread.php?t=23374[/url]

Черт возьми, чувствую, завтра исключительно тяжелый день на работе предстоит...

До последнего момента не верилось, да ребят, вам придётся мобилизировать все свои силы, для помощи пострадавшим.

Да нет, почему не верилось, vkontakte.ru - кажется, самый посещаемый сайт рунета, не так ли? Так или иначе, но мне кажется, 95% (больше?) пользователей, работают с настройками системы по умолчанию и\или без антивируса (или с некорректно настроенным антивирусом), и, в общем-то, практически никто не беспокоится об информационной безопасности своего компьютера. Пока жареный петух не клюнет. Впрочем, на многих и это не действует. "А вдруг по этой ссылке что-то действительно интересное?", "Каспер меня предупреждениями своими достал, я его и отключил", - постоянно такое слышу.

Не знаю, но мне кажется, что хелперам virusinfo.info это "много работы" не прибавит. Ведь если этот зловред действительно убивает данные на системном разделе (портит ФС или затирает их нулями, или что там еще), то лечения, как такового от этого, видимо, нет. Только переустановка системы. Не завидую людям, хранящим свои документы в папке "мои документы"...

Я вообще незавидую этим людям, вирь затрагивает инфу и на других дисках, у нас в сетке есть личные видеотеки по нескольку терабайт!

Ждем посетителей и отсюда: [url]http://www.anti-malware.ru/forum/index.php?showtopic=4685&pid=38480&st=0&#entry38480[/url]

[quote=DVi;231522]Ждем посетителей и отсюда:[/quote]
Ну там просто новая модификация относительно безобидной парочки
%userprofile%\Local Settings\Temp\winlogon.exe
и \Windows\System32\Deflib.sys

По сравнению с Вконтакте - просто ангелы ;).

а его видет тока Каспер и Аваст и Авира эвристикой. Мне она тоже сказала, что может вирус. [url]http://www.virustotal.com/ru/analisis/c91f9162355b21542c4380e9fb976607[/url]

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Хм.. а на антималваре виложен результат проверки вируса с того же сайта, но он совсем другой. Обновляют наверное

Дык вы выложили кликер, а я выложил сам дроппер.

[size="1"][color="#666686"][B][I]Добавлено через 57 секунд[/I][/B][/color][/size]

Там переход с сайта зараженного на сайт со сплойтом, далее сплойт выкачивает экзешник, результат проверки которого я и выложил.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[QUOTE=Bratez;231548]Ну там просто новая модификация относительно безобидной парочки
%userprofile%\Local Settings\Temp\winlogon.exe
и \Windows\System32\Deflib.sys

По сравнению с Вконтакте - просто ангелы ;).[/QUOTE]
+ пинч

Упсь, понял. А терь по теме: сам вирус "Вконтакте" удаляет файлы или только файловую систему? Если файловую систему, то разве нельзя попробовать программы для востоновления данных?

Чтото нехорошее творится в мире, в последнее время..?

Хм.. интересно а вирус из "вКонтакте" сможет удалить вирус от билана.
При условии что винда на С: установлена.

[quote=XiTri;231567]Хм.. интересно а вирус из "вКонтакте" сможет удалить вирус от билана.
При условии что винда на С: установлена.[/quote]
Конечно, сможет.
Лучшее средство от головы - топор! :D

О, знакомая потряла С от этого вируса. Када сказал, что надо обновлять антивирус - ответ: я незнаю как. Так что думаю таких будет много :)

Хм, "билановский" winlogon.exe - не просто модификация, а нечто существенно новое. ЛК дала ему имя [b]Backdoor.Win32.NoNeed.a[/b].

Хорошее имя: [b]Ненада[/b] (c).

[QUOTE=senyak;231577]О, знакомая потряла С от этого вируса. Када сказал, что надо обновлять антивирус - ответ: я незнаю как. Так что думаю таких будет много :)[/QUOTE]
Много - не много, но [url=http://new-forum.drweb.com/mod/forum/thread/?id=57836&fid=16&jumpto=60160&nc=60160#msg60160]есть[/url]. Есть ли информация по поводу "удаления данных"? Что имеется в виду - удаление пользовательских файлов, перезапись их мусором или что-то более другое?

Этого я незнаю, сам его не ловил. Но думаю нужно попробовать программы типо: R-Studio; Recover My Files; Acronis (точно не помню какая) и Hirens_BootCD. Может он стирает просто файловую систему и поэтому кажется, что файлы удалены

Принесли машину, винда не грузится. Загрузился с Live-CD, запустил курит. Курит нашёл этого зверя. Что интересно, на дисках D и E все файлы грохнуты в 0-й размер (на этих дисках FAT32), а на диске С (там NTFS) грохнута только часть файлов.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Щас буду пробовать восстановить данные

Зато я словил. База была не обновлена. А новости не смотрел. И что все теперь - печать ЛОХ на лбу ставить?
Очень жалко, прям за 3дня до сдачи похерилось 70 гигов рабочей инфы, из них самой свежей за последнее время после бакапа - около гига всего. Я в общем на распутье. Либо переделывать за последние три дня, либо идти восстанавливать.
Подскажите че делать?

На след день после уничтожения инфы купил новый винт, поставил систему, установил каспера, обновил базы, потом подрубил инфицированый винт, установил программы OO DiskRecovery, Easy Recovery, Recover My files, R-studio. Ничего не помогло. Они даже не определяют инфу как потеряную, т.к. файлы и папки на месте.
Провел опыт - стер несколько таких "пустых" файлов и восстановил их, но они все равно 0-вые. Так че думаете? Стоить тратить время идти к специалистам по восстановлению или попрощаться с прошлым и начать новую жиззь? Как быть то то, а?


[QUOTE=ALEX(XX);232408]

Щас буду пробовать восстановить данные[/QUOTE]

Хммм. Расскажешь если удастся.


П.С. И еще от себя хочу добавить что администрация сайта vkontakte.ru - пииииккк. Внутри сайта всех предупредили, а я на него воще то редко заглядываю, могли бы догадаться всем на мыло скинуть предупреждение.