Убиваем ещё один mailware

Discussion in 'Безопасность и Анонимность' started by -JC-, 3 Nov 2009.

  1. -JC-

    -JC- Member

    Joined:
    10 Mar 2009
    Messages:
    54
    Likes Received:
    18
    Reputations:
    11
    Всем привет!
    Сегодня я расскажу о одном вирусе-баннере, который вымогает деньги через СМС. В принципе методов лечения уже много, но до сих пор рассматривались вирусы, которые мало того, что вымогают деньги, так ещё и блокируют Windows. В этой статье пойдёт речь немного о другом вире.

    Началось всё с того, что одна девчёнка с параллельного класса попросила меня помочь её с компьютером. Объяснила всё так: «Уехал папа, мама разрешила полазить в инете, в результате – схватила вирус». Ну я пришёл, посмотрел, разобрался.

    Вот примерный вид этого баннера:
    http://s56.radikal.ru/i152/0911/95/0a381b2be16b.jpg

    Набросал на память (всё цвета, положение объектов сохранены). Пытался найти картинку в Интернете нормальную, но безуспешно, а сделать скрин тямы не хватило.

    На пальцах объясняю, баннер при загрузке сразу же активируется. Не имеет кнопок «закрыть, свернуть», его невозможно сдвинуть. Занимает он добрую половину экрана, так что лицезреть диспетчер задач невозможно. Вот такая обстановка. В принципе если 10 минут посидеть за заражённым компом, можно самому во всём разобраться, я же облегчаю вам задачу.

    Вызываем CMD, выполняем команду tasklist. Видим, что в процессах висит don66.tmp. Уничтожаем его taskkill’ом. Но тут надо учесть одну деталь. В cmd показан только один процесс, на самом деле их два, с разными идентификаторами, причём завершить второй просто так не удастся. Выполняем команду taskkill /im don66.tmp /f

    Далее надо удалить из папки C:\WINDOWS\Temp 3 файла: don66.bin, don66.tmp и don66.* Расширение последнего я, хоть убейте, не помню. Но он находится рядом с bin- и tmp-файлом. Также вирь прописывает себя в реестр. Идём вот сюда:
    regedit > HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon
    Удаляем из параметра Userinit строку «C:\WINDOWS\Temp\don66.tmp». Перезагружаем комп. В принципе всё.

    Всем удачи!

    -JC-
     
    2 people like this.
  2. ronald

    ronald Elder - Старейшина

    Joined:
    27 Mar 2008
    Messages:
    252
    Likes Received:
    41
    Reputations:
    6
    мм, не обижайтесь, но я бы не сказал, что это статья, скорей заметка в жж. Вот если бы вы показали механизм виря, написали бы лекарство от него и снабдили это подробным описанием, вот тогда эта статься была "пуфыстая няка" :)
     
  3. -JC-

    -JC- Member

    Joined:
    10 Mar 2009
    Messages:
    54
    Likes Received:
    18
    Reputations:
    11
    ronald, спс, учту.
     
  4. ronald

    ronald Elder - Старейшина

    Joined:
    27 Mar 2008
    Messages:
    252
    Likes Received:
    41
    Reputations:
    6
    да в общем-то, незачто
     
Loading...