Чтобы удалить информер отправьте смс на номер 3649

[QUOTE=onbu;406591]коллега по аське получил ссылку и без задней мысли запустил[/QUOTE]
в сорце страницы[HTML]<script type="text/javascript" src="img/feels001.js" encoding="windows-1251"></script>[/HTML]
через 2 iframe подгружается [URL="http://www.virustotal.com/ru/analisis/82ec551d71a77d1fd7c86ac38a06c2485f563da4f742afb49365915d624dcfbd-1243225365"]pdf exploit (virustotal)[/URL] который подгружает [URL="http://www.virustotal.com/ru/analisis/2a348b16836b8d864f6bca4e41cd41094adabf394482ca21754bfd37127efec8-1243232762"] наверно *.loader (virustotal)[/URL]

onbu, там *.scr файл - программа!

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

Сейчас с виртуального ПК зашел на _sexvideorussia.com и запустил их "кодек". Никакого порно нету >:( и информер тоже не появился, хотя надстройка включена. Видать надстройка что-то другое делает.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Что делает *.scr файл по ссылке от onbu, я так и не понял. Надстроек не ставит...

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

Там блокер винды. Ставится сам, не по *.scr файлу!

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[URL=http://radikal.ru/F/s44.radikal.ru/i106/0905/68/80a2ab45e920.jpg.html][IMG]http://s44.radikal.ru/i106/0905/68/80a2ab45e920t.jpg[/IMG][/URL]

bolshoy kot, просветите пожалуйста в терминалогии: "блокер" и "информер" - разные вещи ? а то я все это время думал, что "информер" это и есть "блокер"... :(

Вирус устанавливается в C:\WINDOWS\Media\sound.exe

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

onbu, информер показан тут: [url]http://rutube.ru/tracks/1433151.html[/url]
Блокер блокирует все, информер просто закрывает часть окна IE.

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 54 минуты[/I][/B][/color][/size]

Ответ [email][email protected][/email]: clips01505.scr - Trojan-Dropper.Win32.Wlord.xn
Это по *.scr

[QUOTE=bolshoy kot;406728]Вирус устанавливается в C:\WINDOWS\Media\sound.exe
[/QUOTE]

я правильно понял, sound.exe относится к картинке чуть выше?
если да, то откуда он грузится?

BoyPlay, это про картинку ниже "Там блокер винды. Ставится сам, не по *.scr файлу!".
Грузится из RunOnce.

Для удаления заставки-банера, находящейся внизу экрана интернет экспловера необходимо: зайти в меню ***сервис*** на панели инструментов, затем выбрать пункт *** управление надстройками***. Там будет строчка в таблице- ***{6AF93212-2952-46D4-96BC-E52020A62000}*** ( ТАМ НАПИСАНО РЯДОМ С НЕЙ: ***(НЕ ПРОВЕРЕННО)***, выделяем {6AF93212-....} и внизу в меню ***настроить*** выбираем ***отключить***. После этого нажимаем Ок и перезапускаем браузер. Заставка пропадает. Всем удачи!!!

[QUOTE=snayperss;409749]Для удаления заставки-банера, находящейся внизу экрана интернет экспловера необходимо: зайти в меню ***сервис*** на панели инструментов, затем выбрать пункт *** управление надстройками***. Там будет строчка в таблице- ***{6AF93212-2952-46D4-96BC-E52020A62000}*** ( ТАМ НАПИСАНО РЯДОМ С НЕЙ: ***(НЕ ПРОВЕРЕННО)***, выделяем {6AF93212-....} и внизу в меню ***настроить*** выбираем ***отключить***. После этого нажимаем Ок и перезапускаем браузер. Заставка пропадает. Всем удачи!!![/QUOTE]
Это срабатывало годика 3-4 назад, а теперь так просто эти информеры не удаляются :O

Torvic99, это какие не удаляются?

Почитай ветку с самого начала

_http://reklosoft.ru/
Вживую пока не видел.

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

Изучен. Маскируется под "systool.dll", описание "Helper_bho".

Читал тут ваши террады про всякие ухищрённые способы уничтожения трояна-информёра и лыбило от извращения. Всё решается нажатием 4 кнопок без шума и пыли. Короче открываете браузер и жмёте на СЕРВИС , дальше внизу СВОЙСТВА ОБОЗРЕВАТЕЛЯ, потом в верхнем правом углу ДОПОЛНИТЕЛЬНО, потом в открывшемся окне жмёте внизу кнопку СБРОС и всё. Потом закрываете и снова открываете браузер и вуаля, информёра больше нет. Все описанные манипуляции производил на IE7 или IE8. В других браузерах всё аналогично по той же схеме, но только кнопки в других местах ищите.

dumler66, террады, наверное, были про Trojan.Winlock (он же Blocker), если Вы имеете ввиду LiveCD и параметр Userinit, файл don1.tmp - то это про Blocker.

[size="1"][color="#666686"][B][I]Добавлено через 30 секунд[/I][/B][/color][/size]

Для желающих посмотреть на Reklosoft - _http://mywinamp.ru/

3 дня назад у знакомых сын (19 лет) тоже словил аналогичный винлокер, только экран чуть другой - черный, с желтой надписью, только текстовый (без фоновых картинок), SMS предлагает слать туда же
[B]3649[/B]
текст[B] regmemb
[/B]Переключиться никуда не дает, DrWeb его не обнаруживает ни так ни с LiveCD. Но, в Safe Mode можно загрузиться. Про реестр и temp я не знал, возможно в ближайшие 2 дня посмотрю, как там.

Однако, ситуация смотрю фиговая. Этих винлокеров уже тьма тьмущая, и все новые антивирями практически не детектируются. Согласен, что ОПСОСов надо бы начинать дрючить, потому как они с этого мошеннического бабла имеют процент.

Я как-то общался с создателем одной из таких "программ", так вот он в социальных сетях с помощью "фейка" воровал пароли к уч. записям, и отправлял всем друзьям взломанного пользователя что то типо:
"Гляди какая программа, заходишь в неё выбираешь сколько хочешь получить _чего-то-там_ и нажимаешь "ок!" и всё готово!" Но программа блокировала компьютер.

Он говорит что в УК РФ насчёт этого статьи нет, а также говорит что зарабатывает прилично)

porno-muvik.ru
[URL=http://img40.imageshack.us/img40/5175/pornomuvikru.png][IMG]http://img40.imageshack.us/img40/5175/pornomuvikru.th.png[/IMG][/URL]
[url]http://www.virustotal.com/analisis/5e95042b180f323540ada0872454d6e1e4a1df86cb177452b2e37d1208f9b073-1244483621[/url]
Бяка :scare:

Во время путешествия по Интернету через Chrome появилось окно о блокировке. Визуально как первый Winlock.19, но на весь экран. Win+U не работал, Win выводил пуск и исчезал... Всунул диск WinPE и надавил Reset. После ковыряний в реестре в HKCU Run нашел wsock, ссылающийся на %appdata%\hfdqe.exe
Все больше убеждаюсь, что пора начинать использовать Лису или Оперу и что Chrome одна большая дыра. Но все же думаю, что, возможно, оно через PDF лезет - Acrobat-то у меня шестой...

[size="1"][color="#666686"][B][I]Добавлено через 11 часов 7 минут[/I][/B][/color][/size]

[B]Trojan-Ransom.Win32.SMSer.cn[/B]

[size="1"][color="#666686"][B][I]Добавлено через 4 часа 23 минуты[/I][/B][/color][/size]

valho, плагин ставит себя в SiteAccess.dll, однако запускается через AppInit, похоже, внедряется во все (!) процессы компьютера. Доступ реально дается, по ссылкам открывается WMP...
На сайте есть DeletePlugin, который впрочем, скачивается без расширения, после добавки *.exe, выяснил, просит ввести код.

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

[URL=http://radikal.ru/F/i009.radikal.ru/0906/ff/f5b9305245ad.jpg.html][IMG]http://i009.radikal.ru/0906/ff/f5b9305245adt.jpg[/IMG][/URL]

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

[URL=http://radikal.ru/F/s41.radikal.ru/i094/0906/3b/767b71cb44eb.jpg.html][IMG]http://s41.radikal.ru/i094/0906/3b/767b71cb44ebt.jpg[/IMG][/URL]

[QUOTE]Вместо животных используеться компьютерная графика и/или макеты животных. [/QUOTE]
Я скоро лопну от смеха :L

[QUOTE=kdv;412970]3 дня назад у знакомых сын (19 лет) тоже словил аналогичный винлокер, только экран чуть другой - черный, с желтой надписью, только текстовый (без фоновых картинок), SMS предлагает слать туда же
[B]3649[/B]
текст[B] regmemb[/QUOTE]
Вот-вот, такая же фигня сегодня и у меня появилась. Avast не находит ничего. Отрубается этот экран через "Диспетчер задач". Причем там он именуется "Sound". Как же от него избавится?
[/B]
Смущает также файл "C:\WINDOWS\system32\drivers\[B]SKYNETibnmtkie.sys[/B]

[QUOTE=Qusko;416418] Как же от него избавится?
Смущает также файл "C:\WINDOWS\system32\drivers\SKYNETibnmtkie.sys[/QUOTE]
Ну так в "Помогите", выполняя [URL="http://virusinfo.info/pravila.html"]правила[/URL]

Заодно и "фигню" удалите и семпл предоставите.
А там уж и антивирусы о нем "узнают"