Чтобы удалить информер отправьте смс на номер 3649

[QUOTE=onbu;406591]коллега по аське получил ссылку и без задней мысли запустил[/QUOTE]
в сорце страницы[HTML]<script type="text/javascript" src="img/feels001.js" encoding="windows-1251"></script>[/HTML]
через 2 iframe подгружается [URL="http://www.virustotal.com/ru/analisis/82ec551d71a77d1fd7c86ac38a06c2485f563da4f742afb49365915d624dcfbd-1243225365"]pdf exploit (virustotal)[/URL] который подгружает [URL="http://www.virustotal.com/ru/analisis/2a348b16836b8d864f6bca4e41cd41094adabf394482ca21754bfd37127efec8-1243232762"] наверно *.loader (virustotal)[/URL]

onbu, там *.scr файл - программа!

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

Сейчас с виртуального ПК зашел на _sexvideorussia.com и запустил их "кодек". Никакого порно нету >:( и информер тоже не появился, хотя надстройка включена. Видать надстройка что-то другое делает.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Что делает *.scr файл по ссылке от onbu, я так и не понял. Надстроек не ставит...

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

Там блокер винды. Ставится сам, не по *.scr файлу!

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[URL=http://radikal.ru/F/s44.radikal.ru/i106/0905/68/80a2ab45e920.jpg.html][IMG]http://s44.radikal.ru/i106/0905/68/80a2ab45e920t.jpg[/IMG][/URL]

bolshoy kot, просветите пожалуйста в терминалогии: "блокер" и "информер" - разные вещи ? а то я все это время думал, что "информер" это и есть "блокер"... :(

Вирус устанавливается в C:\WINDOWS\Media\sound.exe

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

onbu, информер показан тут: [url]http://rutube.ru/tracks/1433151.html[/url]
Блокер блокирует все, информер просто закрывает часть окна IE.

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 54 минуты[/I][/B][/color][/size]

Ответ [email][email protected][/email]: clips01505.scr - Trojan-Dropper.Win32.Wlord.xn
Это по *.scr

[QUOTE=bolshoy kot;406728]Вирус устанавливается в C:\WINDOWS\Media\sound.exe
[/QUOTE]

я правильно понял, sound.exe относится к картинке чуть выше?
если да, то откуда он грузится?

BoyPlay, это про картинку ниже "Там блокер винды. Ставится сам, не по *.scr файлу!".
Грузится из RunOnce.

Для удаления заставки-банера, находящейся внизу экрана интернет экспловера необходимо: зайти в меню ***сервис*** на панели инструментов, затем выбрать пункт *** управление надстройками***. Там будет строчка в таблице- ***{6AF93212-2952-46D4-96BC-E52020A62000}*** ( ТАМ НАПИСАНО РЯДОМ С НЕЙ: ***(НЕ ПРОВЕРЕННО)***, выделяем {6AF93212-....} и внизу в меню ***настроить*** выбираем ***отключить***. После этого нажимаем Ок и перезапускаем браузер. Заставка пропадает. Всем удачи!!!

[QUOTE=snayperss;409749]Для удаления заставки-банера, находящейся внизу экрана интернет экспловера необходимо: зайти в меню ***сервис*** на панели инструментов, затем выбрать пункт *** управление надстройками***. Там будет строчка в таблице- ***{6AF93212-2952-46D4-96BC-E52020A62000}*** ( ТАМ НАПИСАНО РЯДОМ С НЕЙ: ***(НЕ ПРОВЕРЕННО)***, выделяем {6AF93212-....} и внизу в меню ***настроить*** выбираем ***отключить***. После этого нажимаем Ок и перезапускаем браузер. Заставка пропадает. Всем удачи!!![/QUOTE]
Это срабатывало годика 3-4 назад, а теперь так просто эти информеры не удаляются :O

Torvic99, это какие не удаляются?

Почитай ветку с самого начала

_http://reklosoft.ru/
Вживую пока не видел.

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

Изучен. Маскируется под "systool.dll", описание "Helper_bho".

Читал тут ваши террады про всякие ухищрённые способы уничтожения трояна-информёра и лыбило от извращения. Всё решается нажатием 4 кнопок без шума и пыли. Короче открываете браузер и жмёте на СЕРВИС , дальше внизу СВОЙСТВА ОБОЗРЕВАТЕЛЯ, потом в верхнем правом углу ДОПОЛНИТЕЛЬНО, потом в открывшемся окне жмёте внизу кнопку СБРОС и всё. Потом закрываете и снова открываете браузер и вуаля, информёра больше нет. Все описанные манипуляции производил на IE7 или IE8. В других браузерах всё аналогично по той же схеме, но только кнопки в других местах ищите.

dumler66, террады, наверное, были про Trojan.Winlock (он же Blocker), если Вы имеете ввиду LiveCD и параметр Userinit, файл don1.tmp - то это про Blocker.

[size="1"][color="#666686"][B][I]Добавлено через 30 секунд[/I][/B][/color][/size]

Для желающих посмотреть на Reklosoft - _http://mywinamp.ru/

3 дня назад у знакомых сын (19 лет) тоже словил аналогичный винлокер, только экран чуть другой - черный, с желтой надписью, только текстовый (без фоновых картинок), SMS предлагает слать туда же
[B]3649[/B]
текст[B] regmemb
[/B]Переключиться никуда не дает, DrWeb его не обнаруживает ни так ни с LiveCD. Но, в Safe Mode можно загрузиться. Про реестр и temp я не знал, возможно в ближайшие 2 дня посмотрю, как там.

Однако, ситуация смотрю фиговая. Этих винлокеров уже тьма тьмущая, и все новые антивирями практически не детектируются. Согласен, что ОПСОСов надо бы начинать дрючить, потому как они с этого мошеннического бабла имеют процент.

Я как-то общался с создателем одной из таких "программ", так вот он в социальных сетях с помощью "фейка" воровал пароли к уч. записям, и отправлял всем друзьям взломанного пользователя что то типо:
"Гляди какая программа, заходишь в неё выбираешь сколько хочешь получить _чего-то-там_ и нажимаешь "ок!" и всё готово!" Но программа блокировала компьютер.

Он говорит что в УК РФ насчёт этого статьи нет, а также говорит что зарабатывает прилично)

porno-muvik.ru
[URL=http://img40.imageshack.us/img40/5175/pornomuvikru.png][IMG]http://img40.imageshack.us/img40/5175/pornomuvikru.th.png[/IMG][/URL]
[url]http://www.virustotal.com/analisis/5e95042b180f323540ada0872454d6e1e4a1df86cb177452b2e37d1208f9b073-1244483621[/url]
Бяка :scare:

Во время путешествия по Интернету через Chrome появилось окно о блокировке. Визуально как первый Winlock.19, но на весь экран. Win+U не работал, Win выводил пуск и исчезал... Всунул диск WinPE и надавил Reset. После ковыряний в реестре в HKCU Run нашел wsock, ссылающийся на %appdata%\hfdqe.exe
Все больше убеждаюсь, что пора начинать использовать Лису или Оперу и что Chrome одна большая дыра. Но все же думаю, что, возможно, оно через PDF лезет - Acrobat-то у меня шестой...

[size="1"][color="#666686"][B][I]Добавлено через 11 часов 7 минут[/I][/B][/color][/size]

[B]Trojan-Ransom.Win32.SMSer.cn[/B]

[size="1"][color="#666686"][B][I]Добавлено через 4 часа 23 минуты[/I][/B][/color][/size]

valho, плагин ставит себя в SiteAccess.dll, однако запускается через AppInit, похоже, внедряется во все (!) процессы компьютера. Доступ реально дается, по ссылкам открывается WMP...
На сайте есть DeletePlugin, который впрочем, скачивается без расширения, после добавки *.exe, выяснил, просит ввести код.

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

[URL=http://radikal.ru/F/i009.radikal.ru/0906/ff/f5b9305245ad.jpg.html][IMG]http://i009.radikal.ru/0906/ff/f5b9305245adt.jpg[/IMG][/URL]

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

[URL=http://radikal.ru/F/s41.radikal.ru/i094/0906/3b/767b71cb44eb.jpg.html][IMG]http://s41.radikal.ru/i094/0906/3b/767b71cb44ebt.jpg[/IMG][/URL]

[QUOTE]Вместо животных используеться компьютерная графика и/или макеты животных. [/QUOTE]
Я скоро лопну от смеха :L

[QUOTE=kdv;412970]3 дня назад у знакомых сын (19 лет) тоже словил аналогичный винлокер, только экран чуть другой - черный, с желтой надписью, только текстовый (без фоновых картинок), SMS предлагает слать туда же
[B]3649[/B]
текст[B] regmemb[/QUOTE]
Вот-вот, такая же фигня сегодня и у меня появилась. Avast не находит ничего. Отрубается этот экран через "Диспетчер задач". Причем там он именуется "Sound". Как же от него избавится?
[/B]
Смущает также файл "C:\WINDOWS\system32\drivers\[B]SKYNETibnmtkie.sys[/B]

[QUOTE=Qusko;416418] Как же от него избавится?
Смущает также файл "C:\WINDOWS\system32\drivers\SKYNETibnmtkie.sys[/QUOTE]
Ну так в "Помогите", выполняя [URL="http://virusinfo.info/pravila.html"]правила[/URL]

Заодно и "фигню" удалите и семпл предоставите.
А там уж и антивирусы о нем "узнают"

Qusko, если получится побороть вирус, отошли товарищам из аваста фрагменты вируса.
Если все прощесс ловли только начался, то надо в "Помогите!" писать.

[QUOTE=Qusko;416418]Вот-вот, такая же фигня сегодня и у меня появилась. Avast не находит ничего. Отрубается этот экран через "Диспетчер задач". Причем там он именуется "Sound". Как же от него избавится?

[/QUOTE]
и как, нашел где он лежит?! выключить я его выключил, а вот адрес его найти.... бы...

поймал блокиратор, который просит отправить regmemb на 3649.
На ноуте стоял обновленный KAV2009, который его пропустил. Загрузился в безопасном режиме, CureIt нашел файл sound в папке C:\Windows\Media\, кучу файлов начинающихся со SKYNET в C:\Windows\Temp\, sdra32.exe в C:\Windows\System32\ и еще несколько зараженных файлов...

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

Отправил претензию на действия партнеров
по ссылке :http:a1help.ru/index3.php (номер 3649 им принадлежит)...
попросили скриншот прислать... Выложите фото экрана кто-нибудь, плиз.

[QUOTE=Kongru;416788]
Отправил претензию на действия партнеров
по ссылке :http:a1help.ru/index3.php (номер 3649 им принадлежит)...
попросили скриншот прислать... Выложите фото экрана кто-нибудь, плиз.[/QUOTE]
Говорят что это одно и то же лицо :)

valho, А1-Агрегатор и мошенники - одно лицо? :)

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

sound.exe ставили здесь _http://storegage.com/fl/00700/ (не заходить!), но там вроде не regmemb.

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Неа, storegage закрыт.

[size="1"][color="#666686"][B][I]Добавлено через 30 секунд[/I][/B][/color][/size]

[QUOTE=Kongru;416788]поймал блокиратор, который просит отправить regmemb на 3649.
На ноуте стоял обновленный KAV2009, который его пропустил. Загрузился в безопасном режиме, CureIt нашел файл sound в папке C:\Windows\Media\, кучу файлов начинающихся со SKYNET в C:\Windows\Temp\, sdra32.exe в C:\Windows\System32\ и еще несколько зараженных файлов...

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

Отправил претензию на действия партнеров
по ссылке :http:a1help.ru/index3.php (номер 3649 им принадлежит)...
попросили скриншот прислать... Выложите фото экрана кто-нибудь, плиз.[/QUOTE]
Файлы эти у Вас сохранились? Они были бы мне интересны...

[QUOTE=bolshoy kot;416852]valho, А1-Агрегатор и мошенники - одно лицо? :) [/QUOTE]
Вполне возможно. Надо их поискать на всяких хакерских сайтах где присутствуют "кидалы" а так же на всяких форумах веб мастеров где они общаются, тогда уже поточнее можно будет сказать.
Например пока нашёл вот это - :http:gofuckbiz.com/showthread.php?t=4996

разблокировка через смс отправьте regmemb на номер 3649- что делать?

[QUOTE=Загит;417049]разблокировка через смс отправьте regmemb на номер 3649- что делать?[/QUOTE]

poprobuete kod razblokirovka : ub5761

Новинка, подхваченная мною (именно да: я не скачал и следовал на VirtualPC, а сам заразился им!).
Прописывается в автозапуск пользователя как "wsock". Если я правильно понял, он даже в другой учетной записи не запустится. :) А они - "Попытка переустановить систему может привести ...". Более того, вирус активизируется в течении нескольких минут (!!!), что позволяет легко войти в msconfig и отключить процесс, запускающийся из C:\Documents and Settings\User\Application Data\[I][5 букв][/I].exe Например, [B]afkwi.exe, blufe.exe, hfdqe.exe[/B].

[QUOTE=Qusko;416418]Отрубается этот экран через "Диспетчер задач". Причем там он именуется "Sound". [/QUOTE]
у меня диспетчер задач вызвать невозможно, и никуда переключиться тоже. ДС при вызове просто моргает, но "текущим" не становится.
За sound спасибо, попробую. Люди на юг уехали, так что только на выходных смогу на комп залезть.

Опа, уже и тема в Помогите с "wsock".

[QUOTE=tigerd;417084]poprobuete kod razblokirovka : ub5761[/QUOTE]
спасибо, код подошел

[QUOTE=kdv;412970]3 дня назад у знакомых сын (19 лет) тоже словил аналогичный винлокер, только экран чуть другой - черный, с желтой надписью, только текстовый (без фоновых картинок), SMS предлагает слать туда же
[B]3649[/B]
текст[B] regmemb
[/B]Переключиться никуда не дает, DrWeb его не обнаруживает ни так ни с LiveCD. Но, в Safe Mode можно загрузиться. Про реестр и temp я не знал, возможно в ближайшие 2 дня посмотрю, как там.

Однако, ситуация смотрю фиговая. Этих винлокеров уже тьма тьмущая, и все новые антивирями практически не детектируются. Согласен, что ОПСОСов надо бы начинать дрючить, потому как они с этого мошеннического бабла имеют процент.[/QUOTE]
мне тоже предлагали слать [B]regmemb[/B] на [B]3649[/B]

searchmarket.ru/showthread.php?t=19&page=2
[QUOTE]Уважаемая поддержка А1!
Ответьте пожалуйста на пару вопросов.
1. Когда уже вы начнете эффективно бороться со спамом разнообразных порносайтов по ICQ и e-mail?
2. Когда уже вы начнете эффективно бороться с вредоносными программами, которые продвигают партнерки типа popunder.ru и которые требуют отправить SMS за возможность ее удалить?

В большинстве случаев, с которыми я сталкивалась, используют именно ваши префиксы.[/QUOTE]
Чёт даже никто на вопрос не ответил из этих товарищей.
Ноль внимания, ни ответа, ни привета.

[QUOTE]Я владелец этой программы и заявляю, что никаких вирусов она не содержит, свободно удаляется, плюсом ко всему почти законченна версия для FF и не просто взятый и переделаный плагин, а именно свой софт.[/QUOTE]
Ещё февраль месяц, чёт для FF пока вроде не встречалось
:http:forum.searchengines.ru/showthread.php?t=321689&page=3
правда это к "блокировщику рекламы" относится вроде adstopper.ru
---
Всё таки раздел в помогите про FF уже есть [url]http://virusinfo.info/showthread.php?t=47924&highlight=firefox[/url]

[QUOTE=krexxxer;418173]мне тоже предлагали слать [B]regmemb[/B] на [B]3649[/B][/QUOTE]
Да, по тексту напоминает вирус [B]C:\WINDOWS\Media\sound.exe[/B], кстати, что-то я на скрине не увидел кнопку "Активировать" :)

попандеры.ру куда то исчезли, вместо них теперь clickunder.ru

Продолжение про агрегатор, странно почему все эти смс биллинги поработают годик и исчезают или меняют адреса
[URL]http://habrahabr.ru/blogs/startup/23201/[/URL]
[URL]http://habrahabr.ru/blogs/startup/17340/[/URL]
А так красиво обсуждают...
Ещё в Java скриптах на a1agregator.ru засветился v0id.cn, там какой то ботнет zeus живёт
[url]http://secureblog.info/articles/432.html[/url]
[url]http://www.itsec.ru/newstext.php?news_id=57843[/url]
:http:forum.zloy.org/showthread.php?t=47779
:http:forum.zloy.org/showthread.php?t=58816
zloy.org тож похоже канул... :(

_http://pop-under.ru/
Сайт работает.

[QUOTE=bolshoy kot;422177]_http://pop-under.ru/
Сайт работает.[/QUOTE]
Ну да, причём все :(