Словил какой то вирус

Короче пришло такое сообщение в скайпе!!
Открыл ссылку только потому что прислал мой хороший друг!!

В итоге скачал этот файл открыл и тоже начал отправлять такие сообщения!!!
Что делать я хз и что этот вирус делает?? Если есть создатель этого вируса то хочу с ним поговорить )) ругать не буду))


Отчет с ВТ https://www.virustotal.com/ru/file/f1ecdb14e5ed13f25fd885d9217328e2a2216495084cea8b86947898978e2906/analysis/

 

Это лоадер.

 

Спасибо за ответ, что он делает страшного??


ЗЫ ссылка на файл http://rghost.ru/48829764
если кому интересно потестить

 

Да много чего может, основное предназначение это грузить другой зловред жертвам.

Вот тут про него.
https://damagelab.org/index.php?showtopic=22061

 

Спасибо большое!

 

советую фаерволл поставить, ато может он уже какиэто данные у вас уже ворует))

 

Да уже могли все давно слить. Или компьютер ТС сейчас Бот. В любом случае просканируй все AVZ и скинь сюда лог.

 

Теперь дропни все из папки Temp.
После чего если у тебя установлена Java(вероятнее всего), удаляешь все как указано на скриншоте.


p/s AVZ нашел exe загрузчика?

 

Я через АВЗ их удалил)

 

Значок квипа инфиум убил,в прочем как и жирный по размеру эксе на делфи (((=
Во временной директории, еще не размножившись, он создает adobe2.tmp, содержимое которого:

Code:

website=1

В автозапуск добавляет сам лоадер - flashapp.exe, который так же распаковывается в папку temp со скрытыми атрибутами.Чистый его вес - 28 кило.

Из вышеописанного можно сделать вывод, что он работает с флеш, а точнее заменяет его на себя.
Так же он добавляет себя в исключения файервола винды через реестр:

Code:

HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List

Ну и конечно же еще он идентифицирует версию системы и решает, что делать дальше на основе этого.

Дополнение:
Так же, по идее скрытым образом или нет, но выдается сообщение с содержанием ссылки:

Code:

Hey! Check out this new program that I found, you are going to laugh your ass off! Here you go: http://thebrotherhood.ze.cx/Wink32.exe

Этот эксе вовсе не эксе, а html файл, который ссылается на

Code:

http://www.gamerdna.com/groups/profile/Blood-Moon-Brotherhood