Вредоносное ПО которое требует отправки СМС.

Всем привет!
Столкнулся с ситуацией, решил вопрос, решил поделиться информацией.
Бывает после серфинга в интернете выскакивает сообщение вида:

Это вредоносная троянская программа.
Данная вредоносная программа была добавлена в вирусную базу Dr.Web под именем Trojan.Winlock.19. Ее модификации уже автоматически распознаются технологией Origins TracingTM как Trojan.Winlock.origin.
На данной странице можно получить СМС-ключ бесплатно. Так как ваш компьютер будет блокироваться программой.
ключ надо будет получать с другого (коллега или знакомый введет код и получит ключ)

Аналогичная ситуация бывает когда блокируется не целиком система а только браузер.
Например при открытии Opera или Internet Explorer в окне браузера появляется сообщение что браузер заблокирован и необходимо опять-таки отправить СМС, в этот момент другие сайты недоступны.
Для этого открываем блокнотом файл
C:\WINDOWS\system32\drivers\etc\hosts и удаляем из него всё что идёт ниже текста

# (C) Корпорация Майкрософт (Microsoft Corp.), 1993-1999
#
# Это образец файла HOSTS, используемый Microsoft TCP/IP для Windows.
#
# Этот файл содержит сопоставления IP-адресов именам узлов.
# Каждый элемент должен располагаться в отдельной строке. IP-адрес должен
# находиться в первом столбце, за ним должно следовать соответствующее имя.
# IP-адрес и имя узла должны разделяться хотя бы одним пробелом.
#
# Кроме того, в некоторых строках могут быть вставлены комментарии
# (такие, как эта строка), они должны следовать за именем узла и отделяться
# от него символом '#'.
#
# Например:
#
# 102.54.94.97 rhino.acme.com # исходный сервер
# 38.25.63.10 x.acme.com # узел клиента x

У меня есть ещё пара строчек, которые я сам добавил (чтобы ася не грузила рекламу)
А если вы сами ничего не делали - удаляйте всё что идёт ниже последней строчки начинающейся с символа #.
Работоспособность браузера будет восстановлена.

[Noperapon]

сталкивался с такой проблемой- справился

[kniper]

А вообще всё гораздо проще. Просто заходите под ДОСом и из папки Windows вытираете две библиотеки, которые прописывает вирус. И всё

А вообще всё гораздо проще. Просто заходите под ДОСом и из папки Windows вытираете две библиотеки, которые прописывает вирус. И всё

Есть такое, но не у все есть ДОС под рукой

Да, если разделы NTFS то из ДОСА они не видны. Может ты имел ввиду консоль восстановления?

[kniper]

Может ты имел ввиду консоль восстановления?

Или так

Да, если разделы NTFS то из ДОСА они не видны

есть драйверы NTFS для доса.

Да, если разделы NTFS то из ДОСА они не видны

есть драйверы NTFS для доса.

по моему они дают права "только на чтение"?

ORBeeT
Нет, не только

ORBeeT
Исчо никто не отменил предохранения. Надо предохраняться хорошо, и не будет таких проблем

Исчо никто не отменил предохранения. Надо предохраняться хорошо, и не будет таких проблем

Это само собой!

Понится как то давно систему переустанавливал. Винт помер.
Дистрибы антивирей тоже с ним почили.
Полез в локалку искать.
Как только воткнул шнур в комп - сразу процесс lsass.exe подвергается атаке, Винда его блокирует и комп начинает отсчет минуту и выключается. Так и парился по минуте раз шесть пока антивирус качнул. Терь всё нужное барахлишко на DVD записаное лежит

У меня у приятеля нечто похожее, но выглядит по другому.
Система грузиться, видно рабочий стол, но он как-бы за "дымкой"
(полупрозрачным стеклом).
А снизу чёрная полоса и номер для отправки СМС.
При заходе в безопасный режим - синий экран почти сразу. Даже до пароля не доходит.
Пробовал Лайвсиди, сканил drweb, AVP, nod32 - не видит вирусов.
Как я предполагаю, вирус на диске храниться в зашифрованном виде, поэтому антивирусы его не видят... даже эвристика.
Чё тут делать подскажите???

Чё тут делать подскажите???

Не знаю, как из-под лайф-сиди, я такую же лабуду прибил достаточно просто подключив винт к живому компу.
(Ну, на том живом компе для безопасности автозапуск был полностью выключен).
В моем случае помог поиск по диску по приблизительной дате возникновения траблы.
Благо, что файлов за этот период оказалось немного.
Найденные я просто переименовал добавив "_" перед именем.
После чего вернул винт на его комп и загрузился. Окна не воспоследовало.
После чего поискал по реестру имена найденных файлов.
В моем случае вирь сохранился толи в системный temp, то ли в temp юзера в файл с расширением .tmp.
И прописал себя userinit.

ИМХО, антивирь его может не отлавливать, потому как ничего вредоносного сам тот файл не делает - ничего не перехватывает, ничего не стирает. А автозапуск/юзеринит может правомочно и с осмысленными целями перезаписать и сам юзер/местный админ...

Добавлено спустя 7 минут 12 секунд:
Кстати.
отправлять СМС ни в коем случае не надо!!!

[-=+DeMoN+=-]

На сайте по-моему даже касперского есть тулз, который подбирает в это окошко пароль.
Кстати, эта штука САМА через 2 часа уничтожается....

Ну и где эта Служба" Р"?
Вот номер - пробивай, чей, бери этих му..ков за задницу и по почкам...

Можно зайти в безопасном режиме и попробовать катнуть систему назад. Мне обычно этот вариант во многих случаях помогал. А вообще где вы это все цепляете ? У меня на одном компе авас стоит, а на другом норд. И вирусня не лезет иногда черви, но их ловят .А на счет Касперского(Жрет апиративку а толку мало) И Веб тоже пропускает много чего. Я от них года два назад отказался.

Добавлено спустя 2 минуты 8 секунд:

Вот номер - пробивай, чей, бери этих му..ков за задницу и по почкам...

Да откати систему назад и все норм будет. А потом поставь нормальный антивирус. И спи спокойно.

ВОВАН Питер
А у меня всё чисто - Каспер стоит.

Я к тому, что наши госслужбы нифига не шевелятся, уроды.

дядьки, а скажите, для КПКшки (WM 5) есть что-нить толковое от вирусов?
подозреваю, что завелась какая-то зараза, которая жрет оперативку и приводит к глюку, и втоге которого жесткий ресет и возврат к заводским установкам на некоторое время спасает... а потом опять эта зараза откуда-то выползает
изучала 4pda , но т.к. я безнадёжный чайник - ясен пень, ничего там не вычитала и не поняла
можете меня ткнуть носом в прямую ссылку, которая может убить заразу на моей КПКшке? а то ваще полный

Каспера снеси Авас лучше поставь.

Я с Каспером года 4 - ни разу не подвёл.
Обновляться надо .

Добавлено спустя 1 минуту 42 секунды:
Кстати, слямзено с другого форума:

Нажимаете правой кнопкой мыши на "Мой компьютер" => "Управление" => "Локальные пользователи и группы" => "Пользователи"
Находите учетную запись администратора (Если вы работаете из под нее то вообще отлично) и ставите на нее сложный пароль, затем создаете пользователя
(правой кнопкой мыши => новый пользователь) и ставите его в группу "Опытные пользователи" (можно без пароля)
если у вас несколько жестких дисков то щелкаете на них правой кнопкой мыши => свойство => безопасность
добавляем созданного пользователя и даем ему полные права на эти жесткие диски (Это позволит вам устанавливать разные игры и проги, кроме папки Programm Files это потребует ввести пароль администратора) перегружаем комп и наслаждаемся
в случае если такая фигня вдруг случиться перегружаем комп в безопасный режим с учетной записью администратора
Открываем поиск файлов затем :
ХР выбираем папку c:\Document and settings\MyUser
Vista выбираем папку c:\Users\MyUser
в строке поиска вбиваем *.dll все найденое аккуратно перемещаем в архивную папочку, перегружаемся, если помогло то открываем яндекс или гоголь и ищем в нем информацию о найденых файлах
Если не помогло то обращайтесь к профессионалу
И НЕЗАБЫВАЕМ ПРО ОБНОВЛЕНИЕ СИСТЕМЫ

Также незабываем что угрозу могут нести элементы ActiveX и Java Поэтому рекомендуется не ходить куда не следует, Особенно в эксплохере.

Антивирус и фаервол конечно хорошо но пологатся на них на 100% не стоит. И если есть такая возможность то прикупите внешний Маршрутизатор с элементами защиты сетей

З.Ы. Выше изложенное не позволит большинству вредных программ атаковать папки C:\Windows И C:\Programm Files что уже хорошо

На сайте по-моему даже касперского есть тулз, который подбирает в это окошко пароль.
Кстати, эта штука САМА через 2 часа уничтожается....

Это вариативно. Мож какая и самоуничтожается. Мож для какой и сайт Каспера подходит (я вообще-то про ДрВеба ту же легенду слышал. И даже про супертулзу с какого-то из них).
Моя не самоуничтожилась. И код с сайта не проканал. И ни один антивирь (ака Каспер (лицензионный), ДрВеб (триал), АВГ (фри)) на заведомо здоровом компе на заведомо зараженном винте ту тварь не задетектил (почему - я рассказал).
Собственно, не гарантирую и то, что мой совет сработает.

Можно зайти в безопасном режиме и попробовать катнуть систему назад.

Не в этом случае.
Откат системы откатывает драйвера и прочую системную лабуду.
А эта тварь живет не в CurrentControlSet.

Каспера снеси Авас лучше поставь.

Вопрос не в бренде, а в том - чекает ли он http трафик.

Добавлено спустя 17 минут:

в строке поиска вбиваем *.dll

Виндовс способен запускать все что угодно, а не только dll.

ищем в нем информацию о найденых файлах

Все умные вири для себя генерируют случайные имена.