Эпидемия

[VasyaPupkin]

Еще как вариант лечения вымогателей (тему "пробежал глазами", вроде подобного не встречал): программа банально прописывается в планировщике заданий. Первая помощь думаю понятна: посмотреть какие файлы использует, удалить задание, после перезагрузки удалить файлы.

[Kenny]

Проект Unlocker для Trojan.Winlock.

[R717]

Еще как вариант лечения вымогателей (тему "пробежал глазами", вроде подобного не встречал): программа банально прописывается в планировщике заданий. Первая помощь думаю понятна: посмотреть какие файлы использует, удалить задание, после перезагрузки удалить файлы.

Ха-ха. Во первых задание в системе, где не юзается пароль выполняться не будет. Но для этого есть команда AT. Ладно заюзали мы AT. Но вот еще что! Дадим скрытые\системные атрибуты нужным заданиям в папке Tasks. Включаем отображение скрытых\системных файлов и о чудо! Мы их не видим! Проверь сам. Атрибуты даются через командную строку. Как вариант простым батником можно создать задание уничтожить все файлы, и скрыть его. И причем задание обычно запускается в скрытом режиме :)

[Graf Mur]

С ноября 2009 года эта схема отъема денег пользуется все большим успехом у злоумышленников - новые модификации Trojan.Winlock становятся все более опасными. За снятие сообщения о блокировке Windows, которое выскакивает поверх всех окон и делает невозможным нормальную работу на компьютере, вирусописатели требуют гораздо больше денег. Троянцы уже не удаляются автоматически из системы в прошествии некоторого времени, но приобретают дополнительный функционал. В частности, они препятствуют запуску некоторых программ в зараженной системе (файловых менеджеров, антируткитов, утилит сбора информации, которая может помочь в лечении системы).

Вредоносные программы семейства Trojan.Winlock распространяются через уязвимости в Windows (в частности, Internet Explorer), вредоносные сайты (скачиваемые кодеки), эксплойты iframe, а также ботнеты (владельцы ботнета продают установку какой-либо вредоносной программы на зараженном компьютере).

Только за январь число пострадавших в России от блокировщиков Windows составило несколько миллионов пользователей. С учетом того, что средняя стоимость SMS-сообщения - 300-600 рублей, предположительные потери россиян от этого вида вредоносного ПО только в первом месяце 2010 года составили сотни миллионов рублей. В связи с тем, что с каждым днем появляются новые модификации Trojan.Winlock, незащищенными остаются даже те пользователи, которые применяют постоянно обновляемые антивирусные решения различных производителей.

thg.ru

[Maksum]

из лаборатории Касперского
В течение 2009 года эксперты «Лаборатории Касперского» зафиксировали несколько эпидемий троянцев-вымогателей класса Trojan-Ransom. По словам специалистов компании, на данный момент отмечается новый всплеск активности этих зловредных программ.

Напомним, что чаще всего вредоносное ПО класса Trojan-Ransom попадает на компьютеры пользователей под видом видеокодеков, электронных книг или аудиофайлов. При этом действия данных программ направлены на блокирование доступа к информации на компьютере или же на ограничение возможности работы на ПК. Для возврата к исходному состоянию системы троянские программы требуют прислать на указанные короткие номера платные смс-сообщения. Стоимость одного сообщения варьируется, составляя в среднем несколько сотен рублей.

В настоящее время эксперты «Лаборатории Касперского» отмечают рост числа так называемых «псевдолегальных» программ-блокеров: эти приложения имеют лицензионные пользовательские соглашения, в которых упоминается возможность блокировки компьютера. Пользователи фактически добровольно соглашаются на установку вредоносных программ на свой ПК: к сожалению, процент людей, внимательно читающих подобные документы перед установкой ПО в систему, весьма невелик. При этом некоторые зловреды практически не оставляют шансов сколько-нибудь подробно ознакомиться с пользовательским соглашением, показывая его лишь на пару секунд или же вовсе не показывая его, а затем автоматически устанавливаются в систему.

Для борьбы с программами-вымогателями, блокирующими компьютер, «Лаборатория Касперского» представляет бесплатный онлайн-сервис разблокировки зараженных ПК http://support.kaspersky.ru/viruses/deblocker.

Для получения кода разблокировки в полях электронной формы необходимо указать:

номер телефона, на который вам предлагают отправить СМС;
текст сообщения, которое требуют отправить на этот номер
Внимание: если вы хотите получить все возможные слова для разблокировки, то заполните только поле «Номер телефона», а поле «Текст сообщения» оставьте пустым.

Эксперты «Лаборатории Касперского» обращают внимание пользователей на необходимость проявлять большую бдительность при посещении незнакомых интернет-сайтов, а также использовать эффективные средства антивирусной защиты с обновленными антивирусными базами.

Более подробная информация о классе вредоносных программ Trojan-Ransom и способах борьбы с ними доступна по ссылке http://support.kaspersky.ru/viruses/sol ... =208637133.

[Alex_M]

Вот тут кому нужно форма разблокировки от dr.web, вводите текст смС своего вируса, жмете ок, получаете пароль, вводите, окно исчезает. http://head.sitecity.ru/phtml_2904080658.phtml Работает вроде для всех модификаций trojan.winlock

[Mr.Zet]

Сегодня в конторе словили в виде Итернет Секьюрити. Перепробованные коды активации не подошли. Удалял ручками...
после того, как удалось отключить его автозагрузку, каспер добил своими силами.

[at_hacker]

Чо-та много шуму из ничего. Эта ботва даже рядом не валялась с мега-агрегатами типа Tdss, которые встраиваются в драйвера и при живом вирусе не обнаруживаются. Большая часть этих программок антивирусами не видятся только потому, что вирус собой не представляют -- тупо прописываются в один из вариантов автозагрузки, и всё. Грузимся с BartPE каким-нибудь, прогоняем всю систему CureIT'ом, затем грузимся в безопасном режиме и с командной строкой, запускаем autoruns от Руссиновича, удаляем всё левое из автозагрузки, списка сервисов, списка драйверов и всех остальных мест, которые показывают autoruns, и удаляем все левые файлы, на которые ссылались удалённые ключи в реестре. Всё.

А то народ тут винду переставляет -- убицца веником ваще.

А вообще, что эпидемия этой фигни началась -- это хорошо... Работы прибавится, и денег тоже

[Graf Mur]

Alex_M, а что, прямо на Доктора нельзя ссылку дать?
Так вот она - http://www.drweb.com/unlocker/index/?lng=ru
с веселыми картинками :)

затем грузимся в безопасном режиме и с командной строкой, запускаем autoruns от Руссиновича, удаляем всё левое из автозагрузки, списка сервисов, списка драйверов и всех остальных мест, которые показывают autoruns, и удаляем все левые файлы, на которые ссылались удалённые ключи в реестре. Всё.

Прокол. Последние модификации блокируют безопасный режим. Вычищать придется с LiveCD или "вымудряясь" в зараженной системе.
Конечно, попытка не пытка, если безопасный режим не заблокирован, то всё очень упрощается...

[at_hacker]

Graf Mur, почистить реестр можно и с BartPE. Всякие там Avast Reg Editor или ERD Registry Editor -- в общем, вариантов много. А потом безопасный режим восстанавливается с помощью AVZ, когда система поднимется. Но в любом случае -- наличие такой заразы не есть повод винду переставлять

[pinkmouse]

А вообще, что эпидемия этой фигни началась -- это хорошо... Работы прибавится, и денег тоже

Вот с этим согласен!!!! :drink: 100% юзверей нежно пульсируют нижней частью кишечника. У кого удалёнкой делаю, к кому так иду, если нелалеко.... денег не беру, сами дают :good: Или в Биирбутик засылаю :good:

[Graf Mur]

Graf Mur, почистить реестр можно и с BartPE. Всякие там Avast Reg Editor или ERD Registry Editor -- в общем, вариантов много. А потом безопасный режим восстанавливается с помощью AVZ, когда система поднимется. Но в любом случае -- наличие такой заразы не есть повод винду переставлять

Естественно :)
Хотя... Почему бы и не освежить операционку, если повод появился и уйти, наконец-то с XP на что-то посвежее :D

А для всяких нехороших случаев есть, к примеру, вот такая штука:
Мультизагрузочный FullDVD

Состав диска:

Обслуживание компьютера:
Hiren's BootCD 10.0 Rus
Acronis Disk Director Server 10.2169 Rus
Acronis OS Selector 10.0.2161 Rus
Acronis True Image Home 2009 12.9646 Rus
Acronis True Image Echo Enterprise Server 9.7.8206 Rus
Acronis BackUp & Recovery Workstation 10.0.11105 Eng
Symantec Ghost 11.5.0.2113 Corporate Edition
Victoria 3.52
MHDD v4.6
Memtest86+ 4.0
Video Memory stress Test CE v 1.21
Windows Key Enterprise Edition 8.1.2807
FixNTLDR

Установка операционных систем:
IPCop 1.9.6

Live CD операционные системы:
Alkid Live CD USB Standard (11.11.2009)
RusLive RAM (15.01.2009)
Frenzy 1.1 Rus
SLAX 6.2.27.27 Rus
Kaspersky Rescue Disk 8.8.1.36 Rus (13.11.2009)
Dr.Web LiveCD 5.0.0 (13.11.09)
KolibriOS 0.7.5.0

Лежит на т.ру (1,84 Гб)

[DreamyWebster]

Не актуально )

[VasyaPupkin]

Ха-ха. Во первых задание в системе, где не юзается пароль выполняться не будет. Но для этого есть команда AT. Ладно заюзали мы AT. Но вот еще что! Дадим скрытые\системные атрибуты нужным заданиям в папке Tasks. Включаем отображение скрытых\системных файлов и о чудо! Мы их не видим! Проверь сам. Атрибуты даются через командную строку. Как вариант простым батником можно создать задание уничтожить все файлы, и скрыть его. И причем задание обычно запускается в скрытом режиме :)

Не "не будет", а "может не выполнится". ;) То с чем имел дело я, вполне работало и без пароля.
И вообще, я не универсальный метод предлагал, а частное решение (к слову, проверенное уже на нескольких компьютерах).

[Graf Mur]

Graf Mur, убери ссылку на варез, шаман убьёт. А кому нужно, и так найдёт.

Уговорил :D

Дополнительно, более свежая версия мультизагрузочный диск для восстановления системы - Phoenix DreamBoot 2010

Состав:
RusLive RAM MultiMedia версия 2009.12.05 от NIKZZZZ
Alkid Live CD версия 2009.12.21
WindowsPE Full CD Edition "Sun Bear" версия 06.09
SV Micro PE от SV2004 версия 2009.12.05
Hiren's BootCD 10.1 от lexapass
Super OS 9.04
SLAX 6.2.0
Dr.Web LiveCD 5.0.1.2009.12.28
Kaspersky Rescue Disk 2009.12.26
GParted 0.5.0-1
GEEXBOX Open Media Center 1.1
Acronis Disk Director Server 10.0.2169 EN Full+Safe
Acronis True Image Home 2010 Plus Pack 13.0.6053 EN Full
Acronis BackUp & Recovery Workstation 10.0.11133 EN UR
DOS LIVE CD 1.4 SE Revolution
ASTRA 5.44
FixNTLDR
Memtest86+ 4.00
S&M 1.90b
Victoria 3.52
Offline NT Password & Registry Editor 2008-08-02
Symantec Ghost 8.3.0.1331
Ammo SuperDOS 2.0
Колибри ОС 0.7.7.0

Взять можно на nnm или в поиск (4,37 Гб)

[Alkik]

Ия тожнтам раотал, я там от линпусов честил зоразу роспорнояющююся покопюътнрам! Вырусы и роткиты ис кампов выгонал - ставил всем Лицэнзионую Симёрку и больше недыло пролем от линууспов и варюсов!
ишлюх и парситуток в кентяяя мало, восновном лунусяники дорчат и рообтают заеду и луникся саои насажадт!
ДАЛОЙ ЛУНКИС И ОПИНАСТОС!
ОН ЗАРОЖАЕТ ВАЩ МОГЗ И ДЭИТ ВАЩИ БУУТ ТЫПЫМИ ДОРНИКМИ ОПНОСТОСИКМИ!

Единственное предупреждение за злостный оффтоп. Следующего не будет. Шаман.

[Kenny]

Graf Mur, любые сборки это тихий ужос :) И вообще, что мешает с чистых форточек сделать образ Ghost-ом или True Image, а потом просто откатывать до первоначального состояния.

[Graf Mur]

Graf Mur, любые сборки это тихий ужос :) И вообще, что мешает с чистых форточек сделать образ Ghost-ом или True Image, а потом просто откатывать до первоначального состояния.

Откат до первоначального состояние - это не лечение заразы, а сдача без боя :D
Я предлагаю нормальный вариант для лечения и, вообще, для работы с системой (практически любой, хоть винда, хоть линуксы). Не каждый образ пойдет на каждой машине. Сталкивался с таким, что при запуске RusLive RAM, к примеру, выдает ошибку, а Alkid Live просто не загружается, потому что система слабовата. И что, ты предлагаешь для "чистоты" эксперимента таскать с собой 4-5 CD с "чистыми" образами?! А зачем, позволь спросить? Что конкретно тебя не устраивает в данных сборках? Есть претензии? Если нет, то нефиг изображать из себя чистоплюя :blum:

[-~ru~-]

А вообще, что эпидемия этой фигни началась -- это хорошо... Работы прибавится, и денег тоже

Вот с этим согласен!!!! :drink: 100% юзверей нежно пульсируют нижней частью кишечника. У кого удалёнкой делаю, к кому так иду, если нелалеко.... денег не беру, сами дают :good: Или в Биирбутик засылаю :good:

Собственно, риторический вопрос... Скажите, радуясь тому, что у других проблемы, чем Вы лучше тех, кто оные создаёт?

[pinkmouse]

... Скажите, радуясь тому, что у других проблемы, чем Вы лучше тех, кто оные создаёт?

По старой русской традиции так и делаю, особенно если у узверей хватает ума каку схватить, а лечить - нет.
типа:
(-а можно мне эту иконку не ставить, а то я не понимаю, что он спрашивает...)
(-а можно мне експлорер оставить, а то у меня шарик с ленточкой рыжей {огнелис} плохо контакт открывает... )
(-а я оперу хочу, мне сказал на работе знаючщий человек {видимо сисадм} что там самая правильная почта )
(-а .. ещё до_уя подобного... :blum: )

в своё оправдание, ни у одного из клиентов, кому собирал железко и ставил софтину, ещё не отзвонились, а вот жмотистое и не доходчивое до аргументов юзверство... то ДААааа. сами себе виноваты, ведь я всегда придупреждаю о ггрядущих траблах :hi:

[Graf Mur]

Безсигнатурная защита от Trojan-Ransom (WinLock) средствами KIS 2010 - http://www.anti-malware.ru/node/2179

[R717]

Мда лохотрон нашел. Это я немного оффтоплю. Нашел сайт конструктор jimm (копия хорошего доброго сайта http://jimm.im/wap/?p=dload&f=online, только с красивым чудобыдло интерфейсом aka аудионаркотики, aka прочти чужое смс и прочее). Но этот платный... Смс ессно ~200-300 руб. Ну вот и выходим из оффтопа. Если человек лошара и на этот сайт попадет, какая его ОС спасет от отправки?... Вот примерно оттуда же и беруться порнобары. От тыканья куда попало. Не винда заклинит - так пожалуйста есть туча других способов из лохов деньги вытягивать. Мультиплатформенных.
Задалбал это этот тырнет в таком виде, как он сейчас есть. Каждый день попадаешь клоаку, где тебя все стараются наколоть. Телевизор и реальная жизнь прям курят в сторонке. Когда уже операторы уберут эту дебильную систему снятия денег за смс? Когда?! Жили же как то без этого. Скоро подобные листовки уже в почтовые ящики запихивать начнут. Если уже так не делают.

[w88]

Когда уже операторы уберут эту дебильную систему снятия денег за смс? Когда?!

МТС уже начали бороться с фродом.

[Graf Mur]

R717, вот честно?
Как по мне, так каждый находит то, чего ему хочется и чего он достоин. Жалко, конечно, когда попадаешься на разводе, но большая же часть народа в таких случаях сама лезет туда, куда не нужно.
Вспоминается старая байка:
- Что будет делать мастер восточных единоборств, если на него нападет десяток вооруженных мужиков в темном переулке?
- Настоящий мастер просто НЕ ПОЙДЕТ в этот переулок

[@ндрюх@]

http://soft.mail.ru/pressrl_page.php?id=36773
неужели все так страшно?

[VasyaPupkin]

Вот и NOD подоспел в борьбе с WinLock'ом.

[at_hacker]

Вот с этим согласен!!!! :drink: 100% юзверей нежно пульсируют нижней частью кишечника. У кого удалёнкой делаю, к кому так иду, если нелалеко.... денег не беру, сами дают :good: Или в Биирбутик засылаю :good:

Собственно, риторический вопрос... Скажите, радуясь тому, что у других проблемы, чем Вы лучше тех, кто оные создаёт?

Тем, что я эти проблемы решаю, а не создаю.

[VictorPetrov]

- Настоящий мастер просто НЕ ПОЙДЕТ в этот переулок

Не волнуйся, рано или поздно эти мужики, если их не остановить, вломятся в дом этого самого мастера.
Напомню пару известных афоризмов:
"Вор должен сидеть в тюрьме".
"Правопорядок в стране определяется не количеством воров, а способностью властей их обезвреживать".
(С)Капитан Жеглов.
И не нужно употреблять непонятные слова, такие как "развод", "подстава" и т.д.
Если воруют - так и нужно говорить "воруют". Если грабят - значит "грабят". Если мошенничают - "мошенничают".
Если вымогают - "вымогают". Точные значения слов можно найти в словорях и Уголовном кодексе.
Уголовных преступников нужно преследовать уголовно, а не крышевать и получат откаты.
Также замечу, что жизнь тех же воров была бы труднее, не будь на свете скупщиков краденного - барыг.
То есть вокруг явных преступнков всегда есть ореол из мутного элемента, который с этих дел "имеет долю малую".
То же самое относится не только к вирусописателям - вымогателям, но и ОПСОСам, которые или ворут сами,
или выступают пособниками мошенников. Всякие "короткие номера" и другие инструменты - это как
фомка и отмычка у воров и не более того.
Всё это чистая уголовка и ничего более.

[Kenny]

Graf Mur, любые сборки это тихий ужос :) И вообще, что мешает с чистых форточек сделать образ Ghost-ом или True Image, а потом просто откатывать до первоначального состояния.

Откат до первоначального состояние - это не лечение заразы, а сдача без боя :D
Я предлагаю нормальный вариант для лечения и, вообще, для работы с системой (практически любой, хоть винда, хоть линуксы). Не каждый образ пойдет на каждой машине. Сталкивался с таким, что при запуске RusLive RAM, к примеру, выдает ошибку, а Alkid Live просто не загружается, потому что система слабовата. И что, ты предлагаешь для "чистоты" эксперимента таскать с собой 4-5 CD с "чистыми" образами?! А зачем, позволь спросить? Что конкретно тебя не устраивает в данных сборках? Есть претензии? Если нет, то нефиг изображать из себя чистоплюя :blum:

Откат конечно не в любой ситуации будет полезен. А нафиг диски носить? Абсолютно ничего не мешает потратить 20-30 минут и сделать скрытый раздел на клиентской машине с образом только что поставленной винды.
К сборкам претензий достаточно, начиная от того что их собирают криворукие "спецы" выпиливая оттуда всё подряд, софт из сборки работает 50\50, так же попадали уже с вирусами.

[Graf Mur]

Kenny, ты вообще понял, какую именно сборку я предлагал использовать?!
Я предлагаю диск с кучей Live-систем из которых можно что-то выбрать для любой клиентской машины, а ты толдычишь о "выпиливании" и нерабочем софте. Уясни наконец - это не диск типа ZverDVD с виндой и софтом для установки новой системы - это реанимационный диск. С него нельзя установить Винду, с него можно ее поднять (а также линуху, а также потестить железо, поднять винты и т.д.) И в том числе, сделать откат образа, сделанного с помощью этого же диска. А ты гонишь совершеннейшую ерунду, предлагая создавать скрытые диски, образ чистой винды и т.д. НА-ФИ-ГА? Чтобы привязать к себе клиента или чтобы после очередного падения системы он позвал кого-то другого и тот другой высказался нелицеприятным образом о твоих действиях?

Ты мне напоминаешь известный персонаж: "Сам не читал, но осуждаю"