Осторожно Читер разослал поддельную рассылку от МХ с вирусом

rst писал:

C:\windows\system32\winupdate.dll

У меня на чистой системе такой хрени нет. Так что может быть это оно.

на прошлой неделе я топик поднимал насчет того, что с некоторых тем мастера редиректило на мастерикс.нет, где орал нод у меня. Хуисы были такие же что и сейчас, тех. служба тогда отписала, что все пофиксили. Сейчас мне тоже прищло письмо это, никуда не кликал, удалил нах.

прошел каспером по системе, молчал как пионер

пришло письмо, но на старый адрес. менял мыло в профиле где-то с месяц назад, может меньше.

попробуй cureit от дрвеба. он находит то, на чем спокойно молчит каспер/нортон

у меня NOD с постоянным обновлением стоит (имхо лучший антивирь), и регулярные проверки cureit'ом до кучи. Ну и файрвол никто не отменял

Есть предложение к администрации разослать предупреждение об этой рассылки. Я обычно сначала почту проверяю, а уж потом на мастер лезу Возможно это сократит процент пострадавших.

BMW39 писал:

бог ты мой... так ты ТЕОРЕТИЧЕСКИ писал?! я думал у тебя действительно есть такая, которую ты проверил перед тем, как утверждать. Принцип который ты рассказал очень интересен... для школьников класса 4-го ;) ладно, проехали.

все правильно A d u l t написал.

to BMW39: если есть исходники ворма, лоадера или трояна, то сделать так чтобы он перестал палится АВП дело 5 мин. Банальным замусориванием кода и банальным изменением кода и опр функций.

А если руткит тебе воткнуть, то можно сделать так, что твой АВ П вообще будет молчат как рыба, а на твоем компе будет стадо зверьков жить и размножаца. И только в сейф моде можно будет увидеть левый запущенный сервис, а при обычной работе все будет клева и пиздата и никаких подозрительных процессов.

По моим практическим наблюдениям, каспер новый трой начинает палить реально через 2 недели, а то и бывало и месяц проходит, только после этого палится сигнатура.

Паблик трои и вормы ясен хрен палятся быстро, а вот собсно написанные хер там.

Топик в трёп нада.

Куда глядит милиция???
Что думает юстиция???
В какой дремучий лес
Залез ОБХС???

Ждем-с конкретики по чистке. Хоть пионэры и пидарасы (прости господи), сделано было красиво, надо отдать им должное.

rst писал:

C:\windows\system32\winupdate.dll

Выложи плиз эту хрень куда-нибудь. Хочу ее посмотреть.

rst писал:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\wscntfy

А это напоминалка об активации винды. Либо они и под нее закосили.

...

Последний раз редактировалось: Rol (29/04/15 в 17:25), всего редактировалось 2 раз(а)

GAN писал:

Топик в трёп нада.

Его недавно только оттуда сюда перенесли.

A d u l t писал:

Выложи плиз эту хрень куда-нибудь. Хочу ее посмотреть. А это напоминалка об активации винды. Либо они и под нее закосили.

Она этот ключ для своего автостарта использует.
Т.к. код запускается из dllmain
http://tornadodrive.com/download.php/1067/winupdate.dll.html

A d u l t писал:

У меня на чистой системе такой хрени нет. Так что может быть это оно.

Имхо похоже:
+ нет данных о мудуле
+ дата создания сегдня

млин грохнул время создания не посмотрел,
тоже мля купилсо как ребёног
счас винду не перзагружу пока не докопайусь

Последний раз редактировалось: EnsyteX (06/10/06 в 12:18), всего редактировалось 1 раз

Tapakah2001 писал:

Ждем-с конкретики по чистке. Хоть пионэры и пидарасы (прости господи), сделано было красиво, надо отдать им должное.

Ну это уже наверное комсомольцы

rst писал:

Она этот ключ для своего автостарта использует. Т.к. код запускается из dllmain http://tornadodrive.com/download.php/1067/winupdate.dll.html

Danke Schon

...

Последний раз редактировалось: Rol (29/04/15 в 17:25), всего редактировалось 1 раз

Rol писал:

Просканировал дллку (выложенную рст) антивирусом Symantec не ругнулся, вот так.

это как раз таки ничего не значит.
Надо смотреть что там.
Давайте хлопцы кто рубит поковыряйте ее, оно или нет ? у меня то ее не оказалось.

Эта Dll у меня создана как раз в то время, когдя я кликнул по сслыке.

надыбал файло и время создания дллки подтверждаетсо
создан после клика на эту хренову ссылку

Rol писал:

Просканировал дллку (выложенную рст) антивирусом Symantec не ругнулся, вот так.

http://www.sophos.com/security/analyses/trojgraybrdcf.html

nod32 и cureit не знают эту dll

А как эту суку удалить? Она защищена...

Посмотрите еще вот такой ключ в реестре:
SOFTWARE\Microsoft\Windows NT\CurrentVersion\GreA3752DX

Также фигурирует вот такая интересная ссылочка:
http://windows.updates-microsoft.com/6248x1-248Q9297/

Проверьте еще файл windows\system32\ntdll.dll - старая ли у него дата или сегодняшняя. Если сегодняшняя, то возможно и там сидит трой, однако этот файл обязательно должен быть - он используется системой. Скопируйте с установочного компакта при загрузке в safe-mode, либо с рабочей системы.

Также еще один вирус - это файл wsp2update.dll
Спрашивайте в ближайшей аптеке

Видно, что прога куда-то коннектится по HTTP и возможно не только по http. Что она отсылает/получает - не ясно. Но вполне возможно, что через GET/POST запрос может отправлять какие-либо данные

Я точно не уверен, но может быть, что данные слались на 210.45.160.41 (Но я не уверен)

кста, ребзя, возможен вариант повторной рассылки с другим экспом под видом "проверьте систему вот [link]ЭТИМ[/link] на предмет заражения вирём из фэйковой рассылки". так что рассылку от мастера надо смотреть с полными хэдерами