Версия для печати темы

ну в кратце... ->http://meh.no-ip.org/forum/index.php?/topic/19-%d0%bd%d0%be%d0%b2%d1%8b%d0%b9-%d0%b2%d0%b8%d1%80%d1%83%d1%81-%d0%bd%d0%b0-%d1%84%d0%be%d1%82%d0%be%d1%85%d0%be%d1%81%d1%82%d0%b8%d0%bd%d0%b3%d0%b5-lostpicnet/

видео факты http://mkey.no-ip.info/files/achtung/lostpic.net/vir%20%D0%BD%D0%B0%20lostpic2.html (видео ~~11 метров так что ждем пока скачается...)

доковырял не до конца... времени на поспать нефига не остается...
на выходных наверно засяду дальше ковИрять...


в качестве временной меры... добавить в файл c:\Windows\System32\drivers\etc\hosts
строчки....


127.0.0.1 lostpic.net
127.0.0.1 korefun.net

на данный момент пролечено... что б не вляпаться пока вирмейкер не пронюхал

удаляем блок с хостов




добавляем эту шляпу))

коротко о метОде быстрого удаления:

сохраняем все свои документы, закрываем все что было открыто... выключаем аськи, скайпы и прочее что в системе запущено...

нам понадобиться http://technet.microsoft.com/ru-ru/sysinternals/bb963902

запускаем AutoRuns, ждем пока он прочтет все записи и переходим во вкладку "Appinit"



внимательно рассматирваем все записи которые там имеются... обращаем особое внимание на файлы с расширением dll
заходим по указанным путям и находим указанные авторунсом файлы ...
если:
1 файл появился относительно недавно ~~ конец октября
2 его вес ~~40-60кб

то это скорее всего наш клиент)))



заходим снова в авторунс и снимаем галочку с нашего клиента))

перегружаемся... снова заходим в авторунс галочки напротив клиента стоять не должно))

скачиваем любой свежий антивирусный сканер (например ftp://ftp.drweb.com/pub/drweb/cureit/cureit.exe) ... сканим систему - он покажет ск0ка еще зверья на ваших тачках))) ну за одно и причешет его

по поводу деструктивной активности этой "шляпы"... основываясь на косвенных данных могу предположить, что это нагон траффика на нужные сайты... конечному пользователю (если у него анлим) в принципе ничем не грозит... но это только предположение... дождемся ремЮзэ от авир аналитиков топовых антивирусников))

все пользуются радикалом

Обновление от 15.11.2011. Человек, пожелавший остаться неизвестным, никнейм pork, в аське сообщил более полную и страшную правду о заражении. По его плачевному опыту удалось выяснить точную дату начала распространения - это 10 октября 2011 г. Также он заметил то, что уязвимость находилась в пиратской сборке ОС Windows, предположительно Zver поскольку у него стояла именно она. И только при просмотре сайта в браузере Opera. Причем фишинг наблюдался полный, Opera писала про заражение и рекомендовала поставить обновление от Microsoft. Так вирус влезал на компьютер жерты, сразу и без ведома пользователя перезагружал ПК, встраивался в автозагрузку. Друзья, все у кого сейчас стоит пираткая сборка и кто посещал наш сайт с 1 октября по 11 ноября, проверьте, пожалуйста, автозагрузку! Затем, pork запустил WM Keeper. Установленный KIS моментально заблокировал какой-то процесс, делающий запрос к хранилищю паролей, а также нашёл и удалил вирус. Для верности pork снёс сборку и поставил подлинную ОС Windows. И что примечательно, сайт притормаживал, но никакой вредосносный код уже не пролезал. Получаем следующее сочетание: Браузер Opera + пиратская сборка (Zver) = 100% заражение.

А у меня фуряфокса. Авастом всё просканил - всё в норме.