Printable View
всем кому не помогло! если в банере или окне номер на который нужно смс отправить 3649,то звоните 3631427,(номер 3649 на них оформлен>> [url]http://alt1.ru/[/url] ) там называете текст смс который нужно отправить,в ответ говорят код который ввести.сам сутки боролся с iLite Net Accelerator,только это помогло.
зы. код который спас меня 5315213211
_http://193.104.22.138/6-10/
(опять псевдоFlash Player)
_http://193.104.22.242/4-15/
_http://193.104.22.242/5-15/?page=11
Еще сайта, где якобы обновление флешплеера...
На деле, судя по всему, вирус "Digital Access"
Парень притащил чей то ноут, говорит что ходили только на auto.mail.ru,
правда система xp sp2 ie6
[url]http://www.virustotal.com/analisis/680f68f65eba5ba1b3cd2d2481c6f9761fb48fae9ee66da12cc5a9ccf7c7403d-1262206490[/url]
[url]http://www.virustotal.com/analisis/eabb1e8f8c34a53ed3b639244954c80e52a4f58c85dda738acadffb0c1e8ea21-1262206513[/url]
[QUOTE=valho;549439]Парень притащил чей то ноут, говорит что ходили только на auto.mail.ru,
правда система xp sp2 ie6
[url]http://www.virustotal.com/analisis/680f68f65eba5ba1b3cd2d2481c6f9761fb48fae9ee66da12cc5a9ccf7c7403d-1262206490[/url]
[url]http://www.virustotal.com/analisis/eabb1e8f8c34a53ed3b639244954c80e52a4f58c85dda738acadffb0c1e8ea21-1262206513[/url][/QUOTE]
userlib.dll из папки C:\Documents and Settings\<User>\Cookies? Он еще прописывается в LSP.
Вот это - kuiF.tmp было в Userinit?
[QUOTE=bolshoy kot;550601]userlib.dll из папки C:\Documents and Settings\<User>\Cookies? Он еще прописывается в LSP.
Вот это - kuiF.tmp было в Userinit?[/QUOTE]
userlib, да, совершенно точно. tmp был в userinit.
_http://fun.boxvideoonline.com/
Опять Flash Player.
[QUOTE=bolshoy kot;551778]
Опять Flash Player.[/QUOTE]
usеrinit.exe буква - е русская, вот бяка :) это наверно какой то бэкдор
[URL=http://img697.imageshack.us/img697/6093/20100104.png][IMG]http://img697.imageshack.us/img697/6093/20100104.th.png[/IMG][/URL]
старьё, попробовал генераторы на докторе, касперском, симантеке, ничего не работает :(
У меня вопрос: с многими вирусами такого типа ставится userlib.dll в папке папки C:\Documents and Settings\<User>\Cookies. Он прописывается в LSP.
Какого его действие?
[url]http://ru.wikipedia.org/wiki/Microsoft_Layered_Service_Provider[/url]
Еще появились сайты с блокиратором. Найти можно по фразе "видеороликов: 12 887".
Там файл "install_flash_player.exe" с иконкой от флеш-плеера, а по действию типа "flvdecode.exe" - вот описание [url]http://av-school.ru/article/a-113.html[/url]
[size="1"][color="#666686"][B][I]Добавлено через 2 часа 33 минуты[/I][/B][/color][/size]
_http://new.boxvideoonline.com/
Вообще, много сайтов с блокерами - поищите в Интернете "СМОТРИ ВИДЕО ПРИКОЛЫ ОНЛАЙН" (именно в кавычках) и "Видеороликов: 12 887" (тоже в кавычках).
_http://now.boxvideoonline.com/
Появились порнобаннеры, которые появляются при включении компьютера и требуют SMS. Распространяются, например, с сайта _http://crazy-video.ru/
После запуска файла, скачанного с сайта, в папку Temp помещаются два файла - DLL и EXE и в назначенных заданиях появляется WindowsCheck, запускающий EXE-файл из Temp
Радует только то, что я не видел, чтобы эти сайты рекламировались всплывающими баннерами.
Этот номер вообще "веселый"
Сообщение анти-спам бота
Сообщение (17:14:53 13/01/2010)
[QUOTE]Ваша учётная запись: ICQ# 232232
Отправитель: ICQ# 422689902
Привет,прикинь!!! Сегодня мама в магазине мне купила пополнение счета телефона,на обратной стороне был какой то бонус,написано отправьте sms на номер 3649 с текстом 75202491 и Вам зачислится бонус в размере 199 рублей,мне пришло,маме на другой номер пришло,всем рассказываю чтоб пополняли быстро ))) пока операторы не закрыли это ))) Попробуй !!! =))[/QUOTE]
:D
[B]bolshoy kot[/B], вот видео, как устанавливается этот блокер, а вот результат на [URL="http://www.virustotal.com/analisis/b9a3a518bfc562b10f3bfa7fbef89bed8337c4adb87337e9f39229c6266c18b6-1263475945"]ВТ[/URL].
[URL="http://www.screentoaster.com/watch/stV0lVR0VIR19cRFheXFhfVl9U"]http://www.screentoaster.com/watch/stV0lVR0VIR19cRFheXFhfVl9U[/URL]
[B]Rampant[/B], по поводу результата на ВТ - видимо, файл изменили - было Trojan-Ransom.Win32.PinkBlocker.ee, Trojan.Winlock.800 (отправлял файл на [email][email protected][/email] и сайт Dr.Web)
[size="1"][color="#666686"][B][I]Добавлено через 52 минуты[/I][/B][/color][/size]
[COLOR="Silver"]Файлы этого баннера в папке Temp имеют название из случайных букв.
Описание файла (в ресурсах) тоже из случайных букв, но, конечно, зашито в сам файл и при каждой установке данного варианта баннера будет оставаться не изменным. На моем виртуальном компьютере описание *.exe-файла было "aduoasp", а *.dll - "ksugda".
[QUOTE=Секция ресурсов файла DLL]
VALUE "FileDescription", "ksugda"
VALUE "FileVersion", "5, 3, 41, 13"
VALUE "InternalName", "ppasejsle"
VALUE "LegalCopyright", "Copyright (C) 2009"
VALUE "OriginalFilename", "fbdtrjf"
VALUE "ProductName", "zgtajgser"
VALUE "ProductVersion", "5, 3, 41, 13"
[/QUOTE]
[QUOTE=Секция ресурсов файла EXE]
VALUE "FileDescription", "aduoasp"
VALUE "FileVersion", "5, 3, 5, 11"
VALUE "InternalName", "dsfhvjk"
VALUE "LegalCopyright", "Copyright (C) 2009"
VALUE "OriginalFilename", "ssghjbvd"
VALUE "ProductName", "trcvzxjs"
VALUE "ProductVersion", "5, 3, 5, 11"
[/QUOTE]
[/COLOR]
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
Кстати, картинка и диалог (тот самый баннер) находится в ресурсах именно файла *.dll, файл *.exe, судя по всему, просто загружает этот файл (мне кажется, он загружает его в другой процесс - в "explorer.exe")
[QUOTE='bolshoy kot;560708']просто загружает этот файл[/QUOTE]
а вот сетевой активности я незаметил, скорей всего он дропается установщиком - Trojan-Dropper.Win32.Blocker.bk по версии ЛК.
[QUOTE=Rampant;560922]а вот сетевой активности я незаметил, скорей всего он дропается установщиком - Trojan-Dropper.Win32.Blocker.bk по версии ЛК.[/QUOTE]
Под "загружает" имел в виду "запускает".
Файлы *.dll и *.exe помещаются в папку Temp установщиком (псевдоFlash Player-ом).
Опять псевдо Flash Player _http://hot.clickdigitalvideo.com/
[size="1"][color="#666686"][B][I]Добавлено через 58 минут[/I][/B][/color][/size]
Вот, кстати, информация про этот сайт:
[url]http://whois.domaintools.com/clickdigitalvideo.com[/url]
Поиск "TeamSoftHouse" в Google выдает множество доменов, явно связанных с видеосайтами с троянами.
Вот еще _http://www.madboxmovie.com/
_http://85.12.25.211/aVfGeDfs-136/
Опять "Digital Access".
(Кстати, ссылка для скачивания с медленной скоростью работает, только вот кто будет на нее нажимать, когда якобы есть возможность установить Digital Access и скачивать быстрее :) )
[size="1"][color="#666686"][B][I]Добавлено через 3 часа 26 минут[/I][/B][/color][/size]
[URL=http://radikal.ru/F/i053.radikal.ru/1001/6b/3be0e056b445.jpg.html][IMG]http://i053.radikal.ru/1001/6b/3be0e056b445t.jpg[/IMG][/URL]
[URL=http://radikal.ru/F/s55.radikal.ru/i150/1001/62/f7b7def096dc.jpg.html][IMG]http://s55.radikal.ru/i150/1001/62/f7b7def096dct.jpg[/IMG][/URL]
_http://theboxvideo.com/
Хоть предупреждают "ознакомтесь с соглашением"...
[URL=http://radikal.ru/F/s005.radikal.ru/i209/1001/f3/09daa9271a5f.jpg.html][IMG]http://s005.radikal.ru/i209/1001/f3/09daa9271a5ft.jpg[/IMG][/URL]
_http://85.12.25.213/aVfGeDfs-136/?riid=471345464
[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]
Посмотреть на пример такой рекламы можно на сайте _http://beeretracker.net/ (сайт без вирусов, просто на нем размещена такая реклама).
[size="1"][color="#666686"][B][I]Добавлено через 30 секунд[/I][/B][/color][/size]
_http://85.12.25.213/sUmLdtEtgd-173/?riid=471345464
[size="1"][color="#666686"][B][I]Добавлено через 43 минуты[/I][/B][/color][/size]
[url]http://www.virustotal.com/ru/analisis/990e2ed4bc83f387691bd50055370aae54995e2154172f870835c1eb7c3a8400-1263998685[/url]
Результат проверки файла
Кстати, там есть пользовательское соглашение (_http://85.12.25.213/aVfGeDfs-136/terms.php).
[size="1"][color="#666686"][B][I]Добавлено через 4 часа 30 минут[/I][/B][/color][/size]
[url]http://news.drweb.com/show/?i=304&c=5[/url]
С какой периодичностью пополняется эта страница?
А то там нет новых вариантов троянов-блокеров, когда их туда добавят, интересно...
Еще по поводу псевдодаунлаудменеджеров:
Выяснил, что когда-то был такой сайт _www.easy-file.net, там тоже был такой псевдодаунлаудменеджер.
[url]http://www.google.com/search?q=%22System+requirements:+Microsoft+Windows+2000/XP/2003/Vista+Other+versions+are+not+fully+supported.+You+can+find+detailed+information+about+Download+Manager+v1.34+on+the+website+of+program+creator.%22&hl=ru&lr=&client=opera&rls=ru&hs=6o&filter=0[/url]
К счастью, сейчас эти сайты закрыты (там было видимо, что-то типа uFast), но прекрасно работают с сайты якобы с фильмом "Аватар".
[size="1"][color="#666686"][B][I]Добавлено через 36 секунд[/I][/B][/color][/size]
Еще можно поискать "Ссылка для скачивания с медленной скоростью".
_http://hotcl.filesharenet.com/
_http://fun.starvideofilms.com/?puid=60980676
_http://hot.pornvideosadult.com/?wid=
_http://fun.moviemastersite.com/?wid=
Это я нашел, поискав "папарацци русского интернета".
[IMG]http://s006.radikal.ru/i214/1001/58/1d0b8f922602.png[/IMG]
Это едва заметная ссылка на соглашение.
[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]
Поискал "Просматривая этот сайт вы подтверждаете, что c условиями":
_http://videoxack.ru/index.html
_http://red.powerboxvideo.com/?pnum=94
_http://fun.pornvideosadult.com/?category=analsex
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
_http://madboxmovie.com/?category=allvideo
Кстати, на всех этих сайтах (и на сайтах "с фильмом" Аватар) качается файл ~135 Кб.
_http://fun.hotmoviesold.com/?puid=4685
[size="1"][color="#666686"][B][I]Добавлено через 1 час 15 минут[/I][/B][/color][/size]
_http://hot.hotmoviesold.com/?plid=62945
[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]
Можно поискать в Google "site:whois.domaintools.com Roslyakov maxim andreevich", там довольно большой список доменов, которые учавствовали в этом.
[size="1"][color="#666686"][B][I]Добавлено через 3 часа 23 минуты[/I][/B][/color][/size]
_http://red.bestwatchmovies.com/?puid=6524
Похоже, появился новый вымогатель "Online Antivirus" - "user32.exe"
[size="1"][color="#666686"][B][I]Добавлено через 1 час 6 минут[/I][/B][/color][/size]
"Online Antivirus" - похоже, новая версия вот этой программы [url]http://virusinfo.info/showthread.php?t=50378[/url] и удаляется также
[size="1"][color="#666686"][B][I]Добавлено через 2 часа 9 минут[/I][/B][/color][/size]
Опять "Папарацци Русского Интернета":
_http://fun.showsreview.com/?plid=54192
_http://85.12.25.223/sUmLdtEtgd-173/
[I]Для быстрого и бесплатного скачивания файлов необходимо установить Digital Access...[/I]
[size="1"][color="#666686"][B][I]Добавлено через 5 часов 48 минут[/I][/B][/color][/size]
_http://hotcl.showsreview.com/?clid=25001
ура....я поймал новый локер
многие Ав молчат
[url]http://www.virustotal.com/ru/analisis/8955f16255adc0ea2c0c64e5d22e896b6507de4a58e44d9637c3f8e57d67c0f7-1265132371[/url]
[URL=http://radikal.ru/F/s54.radikal.ru/i146/1002/6f/2330c928669e.jpg.html][IMG]http://s54.radikal.ru/i146/1002/6f/2330c928669et.jpg[/IMG][/URL]
отправлены касперу и вебу
Не новый, просто перепакован.
[B]sirius[/B], где?
[B]bolshoy kot[/B],
xxxxx://antivir-labs.com
[B]sirius[/B], оттуда перекидывает (средствами Javascript, смотрел в исходном коде, заходил Opera с отключенным JS) на _хттп://tkcleaner.eu/hitin.php?affid=03081 , а оттуда (уже видимо средствами сервера) - на гугл вроде.
Чёт слабоватый какойто локер xxxxx://antivir-labs.com
[URL=http://radikal.ru/F/s004.radikal.ru/i206/1002/69/4f04395ed861.jpg.html][IMG]http://s004.radikal.ru/i206/1002/69/4f04395ed861t.jpg[/IMG][/URL]
А есть ссылка на такой который игнорирует любые комбинации клавиш?
[B]bolshoy kot[/B],
[B]Navigator19[/B],
[QUOTE]Ваш запрос был проанализирован. Соответствующая запись добавлена в вирусную базу Dr.Web и будет доступна при следующем обновлении.
Угроза: Trojan.Fakealert.11840
Спасибо за сотрудничество.
--
С уважением,
Служба вирусного мониторинга ООО "Доктор Веб"[/QUOTE]
_http://85.12.25.218/nRrFdgtYdz-142/
Ресурсы файла один в один с инсталлятором Flash Player :furious3:
[size="1"][color="#666686"][B][I]Добавлено через 57 минут[/I][/B][/color][/size]
[URL=http://radikal.ru/F/s002.radikal.ru/i198/1002/80/e5b2ee7f6490.jpg.html][IMG]http://s002.radikal.ru/i198/1002/80/e5b2ee7f6490t.jpg[/IMG][/URL]
_http://videocityreal.com/nRrFdgtYdz-142/?riid=66009
[size="1"][color="#666686"][B][I]Добавлено через 34 минуты[/I][/B][/color][/size]
Кстати, вот скрин [url]http://farm3.static.flickr.com/2755/4151744782_e4ea39b2fa_o.jpg[/url] какого-то еще вида блокера
[size="1"][color="#666686"][B][I]Добавлено через 1 час 7 минут[/I][/B][/color][/size]
"Download Master" и "Internet Security" явно очень похожи
[url]http://www.drweb.com/static/winlock/full/full-winlock0649.png[/url]
[url]http://www.drweb.com/static/winlock/full/full-winlock0938.png[/url]
[size="1"][color="#666686"][B][I]Добавлено через 3 часа 4 минуты[/I][/B][/color][/size]
[url]http://farm3.static.flickr.com/2755/4151744782_e4ea39b2fa_o.jpg[/url]
Вот инфо про этот блокер:
[url]http://virusinfo.info/showthread.php?t=61433[/url]
[QUOTE]O20 - AppInit_DLLs: D:\WINDOWS\system32\KZaAJ.dll[/QUOTE]
Правда, похоже, сейчас такой не распространяется...
[QUOTE=bolshoy kot;578229][url]http://farm3.static.flickr.com/2755/4151744782_e4ea39b2fa_o.jpg[/url]
Вот инфо про этот блокер:
[url]http://virusinfo.info/showthread.php?t=61433[/url]
Правда, похоже, сейчас такой не распространяется...[/QUOTE]
не знаю на счет "сейчас", но под Новый год мне такой приносили :)
кстати сайт который там вверху высвечивался "при посещении сайта tut-foto.com"
уж не знаю просто реклама или он же был источником заражения
По поводу вымогателя "Download Master". Посмотрел:
1. Коды подходят с [url]http://drweb.com/unlocker/index[/url]
2. При попытке открыть папку "avz" завершает работу компьютера, также при попытке открыть папку "антивирус" закрывает ее. При попытке открыть реестр наблюдалось появление окна "Редактирование реестра запрещено администратором", затем окно закрывается вымогателем. (Судя по всему, запрет редактирования был внесен другим вирусом, который я запускал на виртуальном ПК, а вот закрывает окна точно "Download Master")
3. После ввода правильного кода, похоже, убивает процесс "winlogon.exe" (или падает внедренный в этот процесс код вымогателя). Внешне это проявляется в том, что на экране появляется BSOD "c000021a".
Сайты "Папарации русского интернета" не работают - везде Welcome to nginx.
А вот этот _http://85.12.25.218/nRrFdgtYdz-142/ работает. Теперь файл с иконкой инсталлятора, типа как у системного "msiexec.exe"
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
Описание Install Shield (опять чужие названич, то был Flash Player, а теперь InstallShield :furious3: , производитель Soft Development Team.
Кстати, информеры в IE сейчас тоже есть: _http://mister-sex.biz/players/7d158897ffaecfa07fe6611c457b578f.htm
Кстати, в правилах все честно пишут и в окне - не "Отсутствует драйвер видео",а прямо честно и написано "тул-бар".
Вот еще _http://eblyax.info/MediaCodec.exe сейчас там файла нет.
[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]
[QUOTE=сайт, где был MediaCodec.exe]
Пользовательское соглашение
Внимательно ознакомьтесь с правилами сайта. Если вы с ними не согласны - покиньте сайт:
Просматривать видеоролики с нашего сайта Вы можете только при наличии установленного эротического рекламного баннера!
После установки на Ваш компьютер, баннер будет запускаться каждый раз при запуске Вашего компьютера в течении месяца.
Для удаления с Вашего компьютера эротического рекламного баннера раньше установленного срока, Вам будет необходимо отправить одно или два смс сообщения, количество их стоимость указана на сайте sms911.info
После удаления баннера, возможность просматривать видеоролики с нашего сайта прекратится, и для ее возобновления Вам будет необходимо снова установить эротический рекламный баннер.
Вся информация о посетителях сайта строго конфиденциальна и не распространяется ни в каком виде.
Получая доступ к сайту - вы подтверждаете что вы - совершеннолетний гражданин своей страны. Несовершеннолетние посетители - немедленно покиньте сайт.
Доступные видеоматериалы могут отличаться от изображений на главной странице из-за периодического обновления материала.
Соглашаясь с условиями данного соглашения - вам будет предоставлен ехе файл для скачки, после установки которого Вам будет установлен баннер, дающий бесплатный доступ к сайту.
Программа не наносит никакого вреда вашему компьютеру и не передает никакую информацию третьим лицам.
Удаляя баннер Вы отказываетесь от бесплатного доступа к видео архиву.
Баннер удалится автоматически по истечения тридцати дней с момента установки.
[B]Для того чтобы удалить рекламный баннер без дополнительных действий требуется нажать ctrl alt 7.[/B]
Чтобы удалить баннер ранее, нужно отправить платную смс на указанный в нем номер.
Система не гарантирует выдачу корректного кода, если вы невнимательно отправляете смс. Однако предупреждаем, что в случае ошибки деньги за смс всё равно могут быть списаны!
В случае возникновения технических проблем или - же вопросов по данному сервису, обращайтесь на почту [email][email protected][/email] или сайт sms911.info
[/QUOTE]
Прикольно. Получается, нажатие Ctrl+Alt+7 удаляет баннер?