iMax Download Manager или iLite Net Accelerator (Packed.Win32.Krap.w): описание и лечение

[QUOTE=MAKAP;531861]у нас на сервере инета тот же вирус, через загрузочный диск как написано в первом посте, не удается установить AVPTool. Не работают ни редактор реестра, ни диспетчер задач. И кстати инет раздается у нас с помощью прокси UserGate - так вот он тоже не открывается, хотя работает. Никаких подозрительных bat-файлов не нахожу, только стандартные и юзергейтовские (запускают обычные dll-ки)... Даже не знаю как вылечить систему[/QUOTE]

Здесь помогут [url]http://virusinfo.info/forumdisplay.php?f=46[/url]

Поймал пару часов назад новый(?) аналогичный вирус видимо того же происхождения.
Пока могу приложить только скрины.

[IMG]http://www.ljplus.ru/img4/l/i/lith1um/FD2.jpg[/IMG]

Также блокируется интернет, некоторые системные команды, процессор грузится на 100%, антивирус(Avira) безмолвствует.
Вирус цепляется к winlogon.

[IMG]http://www.ljplus.ru/img4/l/i/lith1um/FD.jpg[/IMG]


Есть ли информация по заразе, уважаемые?

[QUOTE=PixRaider;531974]Есть ли информация по заразе, уважаемые?[/QUOTE]

Всегда и только для Вас - [url]http://virusinfo.info/forumdisplay.php?f=46[/url]

по поводу номера 1350
[url]http://smscost.ru/number/1350[/url]
Далее написано :

Уважаемые жертвы мошеннических действий! Наша фирма ООО «ИнкорМедиа» является владельцем данного короткого номера. Мы приносим свои извинения всем пострадавшим от неправомерного использования данного номера нашими клиентами. Поймите, мы не можем контролировать законность действий всех, кто использует данный номер! Но мы очень дорожим своей репутацией и готовы вернуть незаконно снятые с ваших счетов средства. Для этого вам нужно обратиться в наш офис и рассказать о факте мошенничества. Наш адрес - Москва, улица Радио, дом 24, к.1, подъезд 1, этаж 3, офис 302. Телефон: +7 (495) 982-38-86 Факс: +7 (495) 982-38-87 Карту проезда можно посмотреть на нашем сайте [url]http://www.incore.ru/contacts[/url]

Отзывы по поводу короткого номера прикольные (300 руб смс)

затем:
FAN: Так, господа. Всем, кто умудрился поймать вирь, который требует отправить СМС на номер 1350 сообщаю, что код, который нужно ввести - 6523. После этого тварь троянская успокаивается. P.S. Автору сего трояна желаю ********************************.

Не факт что поможет. Но пока все что есть

[B]PixRaider[/B], намекните, где схватили, не в контакте ли, случайно?

Не знаю, ЗАКАЗЧИК. говорит почта (Outlook) или ?

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

Word и др. оф. пакеты работают (Акробат, фотошоп, плееры(3) архиваторы) спецпрограмм нет (не знаю их поведение) (сам проектировщик), (но скорее всего будут работать) (все таки думаю на Flash Plaer, т. к. заметил, что папка(вышеуказанная) изменила дату, хотя файлы в паке другой даты (2006, 2007г.), но пока система работает и сней можно делать АДмин (но см. службы и т. п. выше)

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

В инет пока не заходил с системой!!! не знаю как поведёт

Это конечно оффтоп, но я не понимаю, почему люди не смотрят что было написано в теме до их сообщения? Неужели тяжело хотя бы первое сообщение автора темы прочитать? Там же все написано что делать. Тогда не придется ждать ответа на вопрос, на который уже ответили.

Возвращаясь к теме "iMax Download Manager"
У нас на работе появился 9го числа. Сначала на одном, потом на 5 компьютерах. Пытался вылечить по стандарту - темпы чистил, сканил Авастом, удалял точки восстановления системы, просматривал на подозрительные файлы в "ручном" режиме и т.д. и т.п. Не помогло. Скрипты не запускаются - выгружает программы из процессов, антивирусники не запускаются, впрочем как и большинство приложений, открытие папок с названиями "антивир...", "Аваст", "Касперский", и пр. - инициирует закрытие процессов вплоть до разлогинивания пользователя. При попытке переустановки системы с диска с восстановлением - выдавало ошибки и не могло продолжить установку. На первом компьютере начал переустановливать Винду начисто.
В среду и четверг пришлось отложить, в пятницу полистав инет нашёл упоминания о компании "А1 Агрегатор", как владельца одного из коротких номеров. Заглянул по ссылкам [url]http://www.a1agregator.ru/main/support[/url] , решился и позвонил по украинскому номеру. Скажем так - доверия по началу было мало, особенно при том что при первом звонке смогли дать код активации на один из номеров запроса банера, на второй не было. И обещали позвонить "в течение 3х дней". Но - отзвонились на контактный мобильный в течение часа, дали правильный код активации, дали код активации на второй код запроса. Аргументировали тем что "мы не знали что там номера генерятся каждый день". Что вызвало уже некоторое недоумение.
После введения кодов активации в поле введения появляется надпись "Ждите", комп думает и перезагружается. После следующей загрузки вирусы при сканировании не обнаруживаются, все функции системы что были заблокированы вновь доступны. Вирус как-бы деинсталлируется.
Итог - любыми другими способами что я перепробовал кроме переустановки "начисто" работоспособность системы не была восстановлена. Введение кода данного службой поддержки "А1 Агрегатор" - её восстановило, но не известно что за настройки остались глубоко внутри. Судя по тому что за компьютеры были поражены - не было установлено какое-то критическое обновление безопасности. Вывод - шо то усё подозрительно...

[QUOTE=Lexxus;532429][B]PixRaider[/B], намекните, где схватили, не в контакте ли, случайно?[/QUOTE]

Нет, как ни странно искал электронные компоненты на eFind.ru

Аналочичная ситуация случилась у меня на работе (я сисадмин). После разных способов вылечить этот вирусняк я пришел к 2 выходам: 1 Начисто переставлять винду. 2 Позвонить по номеру компании А1 Агрегатор как писали раньше... Ну и что выдумаете?))) Сказали 2 кода один из них подошел(!) Все вернулось на свои места...
Сказать хочу одно - это ВИРУСНЫЙ МАРКЕТИНГ!!! (вирусный не в плане программы, есть маркетинговые ходы такие) Вот такой не очень чесный способ РАСКРУТИТЬ КОМПАНИЮ и сайт + операторы очень дружелюбные и вежливые а это для того что бы человек потом обращался к ихним услугам (психологический ход). Вот и повысился рейтинг конторы за счет чужих нервов.......
P. S. Привожу те коды которые мне диктовали (для Украины)
2971588777
3182699888 - этот мне подошел
Желаю всем избавится от этой зверюшки!

[QUOTE=Shu_b;531100]Говорят что такой алгоритм подходит:[/QUOTE]

У меня подошло
m204712900 ввел 4294712999

Эта гадость сливает логины-пароли на ftp из тотал командера и фара, спустя полчаса - начинает ходить по ним (извне конечно-же), и править все найденные index.php, вставляя в них код для скачивания себя-же.
Будьте бдительны...
Каждая сессия чтение index.php-правка-запись происходит с разных ip (ботнет видимо)
PS: надеюсь правила не нарушил?

У меня попалась таже бяка iLite Net Accelerator , а в правилах написано [QUOTE]*Делая запрос, Вы должны открыть новую тему в разделе "Помогите"[/QUOTE] нужно ли её создавать или можно логи тут разместить?

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Самое странное, что после удаления виря иногда самопроизвольно начинает набираться текст из произвольных символов или замещаться таковыми выделенные слова:O

[QUOTE=Klyam;536626]У меня попалась таже бяка iLite Net Accelerator , а в правилах написано нужно ли её создавать или можно логи тут разместить?

[
[/QUOTE]
Нужно создавать в разделе "Помогите".

[QUOTE=Soulfly91;535733]
Сказать хочу одно - это ВИРУСНЫЙ МАРКЕТИНГ!!! (вирусный не в плане программы, есть маркетинговые ходы такие) Вот такой не очень чесный способ РАСКРУТИТЬ КОМПАНИЮ и сайт + операторы очень дружелюбные и вежливые а это для того что бы человек потом обращался к ихним услугам (психологический ход). Вот и повысился рейтинг конторы за счет чужих нервов.......[/QUOTE]
Моё мнение аналогичное. Хоть я его и не прямо озвучил, а намекнул в своём первом посте.:censored:
При удалении вируса путём введения кода активации на слабых компьютерах процесс "деинсталяции" может зависать и приводить к неполному восстановлению функций. На одной из заражённых машин привело к тому что на следующий день после восстановления работоспособности не загружался профиль пользователя. Висло на "Применение личных настроек", создание нового пользователя или сканирование на ошибки системного диска, возврат к предыдущей удачной конфигурации - решали проблемму на полчаса-час-два. Также комп вис во время работы. После переустановки системы начисто - проблема решена.
То есть если компом пользовается рядовой пользователь, работает в основном с офисом, не требуется повышенная конфиденциальность - можно и кодами активации разлочивать. Если требуется повышенная отказоустойчивость системы, конфиденциальность и пр. - только переустановка начисто, возможно с форматом С.

Cтранно я подбираю коды по алгоритму успешно и у меня пропадает белая табличка ,а так же все значки со стола и остается голый background ,на этом все останавливается, другие же говорят компьютер должен перезапуститься!

[QUOTE=koscheck;536889]Cтранно я подбираю коды по алгоритму успешно и у меня пропадает белая табличка ,а так же все значки со стола и остается голый background ,на этом все останавливается, другие же говорят компьютер должен перезапуститься![/QUOTE]
Как я и писал выше - на некоторых компах самоудаление вируса происходит не полностью. После введения кода появляеться надпись "ждите", табличка рекламы исчезает, комп начинает готовится к перезагрузке и зависает. При насильной перезагрузке спустя полчаса-час - позже выявляются сбои в работе системы, в частности в загрузке и применении параметров профилей пользователей. В том числе и новосозданных. Может зависит от мощности железа и стабильности ситемы, может ещё от чего, но я решил полностью переставив систему. Установка с восстановлением - восстанавливает и приобретённые "глюки".

подцепил вчера [B] iLite Net Accelerator [/B]весь день боролся с ним,много чего перепробовал,но решил всё один звонок обладателю номера на который нужно СМС отправить. номер 3649 принадлежит вот этой компании [URL]http://alt1.ru/[/URL] позвонил им по номеру указанному внизу страницы. обьяснил проблему.так мол и так ... ваш номер у меня на мониторе... у меня спросили текст смс который нужно отправить,в ответ я получил код который нужно ввести,ввёл и всё,звонил с городского,так что не знаю платный звонок или нет)). теперь собираюсь комп чистить,тк чувствую не до конца эта дрянь удалилась. код который вводил 5315213211 мб кому подойдёт..

[QUOTE=Johnny_spb;531152]Внимание важная информация :-)
Номер 3649 принадлежит компании [URL]http://www.a1agregator.ru/[/URL]
если позвонить (или написать) в тех. поддержку и описать проблему
они скажут код.
Мне помогло только это
Описанные выше методы лечения - не прокатили.[/QUOTE]

Аналогично, спасибо за идею. Я заметил, что после ввода кода открылась папочка с линком на какой-то Pincho GUI, и вирусняк самоудалился. Следов вирусняка после этого не осталось, и что интересно, восстановились возможность запуска regedit, taskmanager и т.п.

DrWeb свежайший (от сегодня, 18.12.2009) нашел другие вирусы на компе, но этот не обнаружил.

И, все правда про то что этот вирусняк блокирует вход в безопасном режиме. Мне вообще ничего не удалось запустить или сделать - блокируется все что можно, и политики безопасности, и запуск сервисов, и msc, вообще все напрочь, в т.ч. и в безопасном режиме.

Поэтому, вариантов было три
- вылечить антивирусом с LiveCD, не вылечило
- переустановить ОС, решили не спешить
- позвонить "негодяям", помогло 100%

Чувствую, что полетят "камни": Сколько стоит звонок в [url]http://www.a1agregator.ru/?[/url]