Трояны-вымогатели, требующие заплатить им с помощью отправки СМС на короткий номер с определенным сообщение, получают в начале 2010 года распространение немыслимых масштабов. Сегодня (08 января 2010 г.) появилось очень много сообщений о том, что компьютер блокирует не, ставший уже привычным eKav antivirus, а его новый последователь Internet Security. Как и в предыдущем случае, троян маскируется и стилизуется под извесную антивирусную программу Касперского.

Очень многие просят меня не прекращать цикл статей о программах-вымогателях и способах разблокировки и удаления их с компьютеров пользователей. Три статьи, посвященные разблокировке eKav antivirus и его удалению, подробно описывающие несколько методик, находятся по следующим адресам:

1. eKav antivirus. Не разблокировать, а удалить! (7.01.10)
2. eKav antivirus – борьба, профилактика, последствия (5.01.10)
3. Вирус со всплывающим окном. “eKAV антивирус” – программа-вымогатель eKav antivirus. СМС на короткий номер (3.01.10)

Судя по письмам моих читателей, новый вирус Internet Security, пришедший на смену eKav antivirus, обладает теми же функциями и тем же “движком”, что и его предшественник. Даже сообщение, выводящееся на неподвижном баннере Internet Security очень похоже на то, что выводит eKav antivirus: “Внимание!Internet Security обнаружил вредоносное ПО на вашем компьютере.” Поэтому все методики, описанные в вышеперечисленных статьях, подходят и для разблокировки, и удаления программы-вымогателя Internet Security. Повторим их коротко для вашего удобства:

1. Подбор кода разблокировки на сервисе Dr.Web по адресу: http://news.drweb.com/show/?i=304&c=5
2. Арифметическая генерация кода разблокировки. (Подробнее здесь и здесь)
3. Подбор кода разблокировки по таблице. (Подробнее здесь)
4. Генерация кода разблокировки с помощью кода разблокировки, компилированным Романом Лихневским, ссылка
5. Удаление eKav antivirus и Internet Security из системного реестра (Подробнее здесь)

3 января 2010 появилось сообщение о том, что “Лаборатория Касперского” выпустила в свет новый Интернет-сервис для разблокировки троянов-вымогателей типа Internet Security и eKav antivirus, относящихся к группе Trojan-Ransom. При пользовании новым разблокировщиком от Касперского необходимо ввести номер телефона, на который предлагается отправить СМС и текст сообщения СМС. В ответ на ваш телефон придет сообщение с кодом разблокировки. Сервис разблокировки Internet Security и eKav antivirus находится по адресу: ссылка

Вот скриншот этой новой заразы, любезно предоставленный нашим читателем dima899:

© eavasi for БЕЛАЯ ШЛЯПА, 2010. |
Читать 291 комментов ">комментарии
2010/01/08
Подпишитесь на ленту блога RSS
Post tags: eKAV антивирус, разблокировка eKav antivirus, разблокировка Internet Security, удаление eKav antivirus

Связанные записи:

• Программы-вымогатели. Классификация. Способы лечения ₍₄₃₎ ^{(18 Январь 2010)}
• Как убрать (удалить, разблокировать) порно баннер ₍₃₀₀₎ ^{(10 Январь 2010)}
• Программы вымогатели. Психологическая атака ₍₁₈₎ ^{(19 Январь 2010)}
• eKav antivirus – борьба, профилактика, последствия ₍₁₈₅₎ ^{(5 Январь 2010)}
• Вирус со всплывающим окном. “eKAV антивирус” – программа-вымогатель eKav antivirus. СМС на короткий номер ₍₂₂₄₎ ^{(3 Январь 2010)}
• eKav antivirus — разблокировать и удалить навсегда! ₍₂₆₉₎ ^{(7 Январь 2010)}
• Программы Вымогатели. Рецепты читателей. Лечение и Удаление ₍₅₉₎ ^{(5 Февраль 2010)}

: На смену eKav antivirus приходит новый вымогатель по имени Internet Security БЕЛАЯ ШЛЯПА - новый блог, посвященный основам сайтостроения для чайников, реальным способам заработка в Интернете, методам продвижения и раскрутки сайта

Один из авторов, участников украинского форума «Бiблiотека», Wladimir Mutel рассказал свою историю о том, как он удалял eKav antivirus с двух компьютеров. Он рассказывает, что 06 января удалил с двух независимых машин эту заразу (eKav antivirus). Со стороны пользователя, на его мониторе eKav antivirus выглядит, как обыкновенное наглое вымогательство – на экране зараженного компьютера появляется баннер, напоминающий по стилю дизайна антивирус Касперского, и настоятельно требует выслать платную СМС на четырехзначный номер, и после этого система будет разблокирована, иначе через короткое время компьютеру пользователя, словившего вирус, станет очень не сладко. Никакие другие программы не запускаются. Баннер eKav antivirus находится поверх всех окон и не дает ничего делать.

Первый случай

На первом компьютере пришлось загрузиться с Alkid SE и разыскивать на винчестере недавно созданные исполняемые файлы. Стер несколько новых библиотек *.dll из пользовательского профиля, презагрузил компьютер в обычный Windows – никакого результате, баннер eKav antivirus не перестал появляться при запуске любой программы. Опять загрузился с Alkid SE и в разделе системного реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows очистил значение AppInit_DLLs, открыв при этом ветку рееста software на винчестере по пути \windows\system32\config\. В указанном месте было имя ничем не примечательного файла в \windows\system32\... затем двоеточие и за ним случайный подбор цифр, букв и знаков препинания.

Известно, что в системе NTFS в комплекте с любым файлом есть возможность хранить один или более дополнительных потоков информации (технология NTFS streams) с именами, добавляемыми к имени родительского файла и указываемыми через двоеточие от имени основного файла. Также известно, что операционная система Windows дает возможность исполнять команды, содержащиеся в этих потоках, при упоминании их в соответствующих ветках системного реестра или конфигурационных переменных. Авторы вирусов и программ-вымогателей и eKav antivirus в том числе знают об этой технологии и пользуются ею.

После такой очистки, при перезагрузке Windows в обычном режиме все приложения стали запускаться и работать, а eKav antivirus перестал себя как-либо проявлять.

После проверки системы, приложение AutoRuns определило, что в системе находится еще один вирус с исполняемым файлом sdra64.exe. Для того, чтобы избавиться от него, надо было загрузиться с Alkid SE еще раз и удалить исполняемый файл из ветки \windows\system32 и в программе Regedit стереть его из списка Userlnit в разделе реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

После этих манипуляций остался запрещенным запуск утилиты Regedit, диспетчера задач и всех имевшихся на машине антивирусных программ. Через Интернет, который работал на тот момент, была скачана программа RegistryFix (сайт программы) и через нее был восстановлен запуск приложения Regedit. C помощью этой же утилиты был запрещен запуск исполняемых файлов и потоков информации в вышеуказанных каталогах с помощью механизма политик Windows XP, Safer. В разделе KEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Paths были вычищены все подразделы с каталогами, запрещенными при проникновении вируса. После следующего перезапуска системы появилась возможность установить и обновить Zillya, MBAM и с помощью последнего просканировать всю машину. Сканирование позволило удалить остатки «зараженных» файлов и восстановить настройки реестра, которые были нарушены вредоносной программой eKav antivirus. Все настройки приложений и данные были сохранены, система была полностью работоспособной.

Второй случай

На втором компьютере, который был поражен eKav antivirus с помощью Alkid SE были удалены все новые библиотеки *.dll и вычищены AppInit_DLLs и Safer\...\Paths. После перезагрузки в обычном режиме был установлен MBAM, который просканировал машину и помог стереть остатки вредных файлов и восстановить настройки системного реестра в их прежнее состояние.

Домыслы

1. Подлецы, выпустившие в свет eKav antivirus оказались умными людьми, знающими не только операционную систему Windows, но и психологию рядового пользователя, уверовавших в непогрешимость антивирусных программ. Кроме того, они подгадали выход eKav antivirus под новогодние каникулы, когда он будет сразу обнаружен только на домашних компьютерах, а основная масса зараженных машин, находящихся в офисах и на предприятиях, будут включены только после 11 января 2010 г. Антивирусные базы пополнить с них будет невозможно, а большинство системных администраторов со своими скудными знаниями не будут знать, что делать с открывшимся баннером eKav antivirus. И многие тысячи неискушенных пользователей будут посылать СМС-ки на короткие номера, указанные на этих баннерах. eKav antivirus будет оставаться очень популярным в нашем обществе еще очень долго.

2. Необходимо быть очень осторожным при посещении сайтов кустарного производства на бесплатных хостингах типа narod.ru, ukoz.ru, by.ru и пр. Надо уметь отличать полезный контент от вредоносных баннеров, рекламы, всплывающих окон и баннеров. Лучше всего пользоваться последней версией Mozilla FireFox, который проверяет все сомнительные адреса по огромной централизованной базе корпорации Google.

© eavasi for БЕЛАЯ ШЛЯПА, 2010. |
Читать 269 комментов ">комментарии
2010/01/07
Подпишитесь на ленту блога RSS
Post tags: eKAV антивирус, разблокировка eKav antivirus, удаление eKav antivirus, хостинг

Связанные записи:

• eKav antivirus – борьба, профилактика, последствия ₍₁₈₅₎ ^{(5 Январь 2010)}
• 1000$ с Блога – Реальность или сладкие сказки? ₍₁₈₁₎ ^{(17 Ноябрь 2009)}
• Хаки и хитрости для WordPress. Коллекция полезных функций для function.php от Starr&Coyier. Часть №6 ₍₉₎ ^{(15 Апрель 2010)}
• Смена шаблона WordPress. Прихоть или необходимость? ₍₇₇₎ ^{(9 Февраль 2010)}
• Хостинг платный, хостинг бесплатный ₍₀₎ ^{(17 Апрель 2009)}
• Яндекс.Директ принял “Белую Шляпу” в ряды рекламных площадок ₍₃₂₎ ^{(19 Апрель 2010)}
• Хостинг Джино раздаривает флэш накопители ₍₀₎ ^{(26 Июль 2009)}
• Программы вымогатели. Психологическая атака ₍₁₈₎ ^{(19 Январь 2010)}
• Профессиональный Сайт на CMS Joomla ₍₀₎ ^{(27 Март 2009)}
• Мушкетерская закваска. Часть первая. Интервью с Петром Тарасевичем aka Наблюдатель ₍₅₃₎ ^{(6 Декабрь 2009)}

: eKav antivirus — разблокировать и удалить навсегда! БЕЛАЯ ШЛЯПА - новый блог, посвященный основам сайтостроения для чайников, реальным способам заработка в Интернете, методам продвижения и раскрутки сайта