Trojan.winlock

Не так давно появился чудо-вирус Winlock, при запуске Windows выводящий сообщение о необходимости отправить SMS с текстом для разблокировки доступа к системе.

Разработчики антивирусов отреагировали по-разному. Касперята до сих пор стоят на ручнике. DrWeb пытается бороться, даже создал генератор сообщений для вируса, дабы тот успокоился. Не помогает в 70% случаев.

Я, в отличие от специалистов Dr.Web, видел уже три модификации вируса с визуальным отличием выскакивающего окна. В стиле блондинко - красненькое окно на черном фоне, синенькое окно на синем фоне, и просто синенький фон с букавками.
Второй из перечисленных не пропадает через два часа, не имеет файлов blocker.*, не реагирует на сгенерированные пароли и не видится Каспером и CureIT. Базы естественно свежие.
К тому ж ничего левого в автозагрузке в упор не увидел. Вылечилось восстановлением системы и последующей установкой KIS с анализом активности приложений.

Интересно, кто сталкивался и как лечил :|

Руками. Все просто до невозможности.

Был недавно такой случай
Загрузился с диска miniPE и произвел генеральную уборку- удаление всех подозрительных и новых в плане "дата создания" файлов *.exe, *.dll
После перезапуска залогинился админом и удалил профиль пользователся от имени которого эта гадость подцепилась

Во, наконец-то нашелся человек, точно знающий, как бороться с этой пакостью ^_^

JeyLo, можно подробно, как для идиота? :)

(Ci ne Mato-graff @ 18.05.2009 - время: 09:00) Был недавно такой случай
Загрузился с диска miniPE и произвел генеральную уборку- удаление всех подозрительных и новых в плане "дата создания" файлов *.exe, *.dll
После перезапуска залогинился админом и удалил профиль пользователся от имени которого эта гадость подцепилась
Разумный вариант, но хотелось бы знать более быстрый способ :) К тому ж удаление профиля не всегда применимо, и всех системных *.dll и *.exe я не знаю

Удалить файлы с вирусом на самом деле проблема не большая. Весь гемор в том, чтобы их найтить :)

Можно. :)
Ща, поработаю чуток и отвечу.

(JeyLo @ 18.05.2009 - время: 09:52) Ща, поработаю чуток и отвечу.
Бывает, из головы вылетело
Напомню апом темы :)

А. Ну да. Забыл. Писать долго, лень. Такой сложный процесс...

Короче два варианта на несколько типов такой байды:
1. Нажать Shift и тупо держать. А потом regedit и вперед. Ну или HiJackThis.
1. Нажать Win+U и тупо спросить помощи. А потом C:\Windows\System32\regedit.exe и вперед. Ну или HiJackThis.

Проще всего, когда эти уроды представляются как winlogon notification packages. Хуже всего, когда заместо userinit.

Ну это конечно когда флешки нет загрузочной. Там вообще все просто. Пару файлегов удаляешь и фсё. :)

(JeyLo @ 23.05.2009 - время: 11:59) Хуже всего, когда заместо userinit.
Так вот почему я в авторане ничего найтить не мог...

Благодарю за пояснение :)

Ну да.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Ключег Userinit. Тип REG_SZ.
Там должно быть одно значение: "C:\Windows\SYSTEM32\Userinit.exe," (ну, или, WINNT для NT и W2K)
А за запятой нифига. Всегда.

слышал. читал даже про эту пакость. но пока ни разу у меня на работе юзер не напихнулся на такое. сам под никсами, регедит не нужен...

Кто-нибудь знает точно какие файлы отвечают за функционирование троянца?

(vovan217 @ 03.06.2009 - время: 01:13) Кто-нибудь знает точно какие файлы отвечают за функционирование троянца?
Они разные. Селятся обычно в корне профайла.

Я приловил эту интересную модификацию вот посмотрите
Загрузить свои фото
Загрузить свои фото


Короче попил мне этот гребаный вирус кровь я что только не делал, все бестолку пришлось переустановить Винду, но это даже пошло мне на пользу я ее 4 года не переустанавливал порядком тормозить начинала.

Удалить файлы с вирусом на самом деле проблема не большая. Весь гемор в том, чтобы их найтить

Да, это и есть самая увлекательная часть процесса. :)
Но как правило, подобные вирусы имеют привычку прописывать себя в автозагрузку, так что проверка тех мест системного реестра, что отвечают за автозагрузку приложений и библиотек, поможет напасть на след негодяя.
Тут пригодится программа Autoruns, которая как раз знает большинство таких лакомых для вируса местечек. Майкрософт рекомендует, качать здесь: https://technet.microsoft.com/en-us/sysinte...s/bb963902.aspx

Запускаем прогу и изучаем полученный список.
Если какой-то файл вызывает подозрение, стоит поискать информацию о нем в инете.

Если уж в систему даже войти не удается, то
можно попробовать загрузиться с загрузочного компакт-диска типа WinPE и прочесать реестр на предмет наличия подозрительных модулей с помощью Windows Registry Recovery.
Особенность этой программы в том, что она читает реестр напрямую с файла.
Ссылка: https://www.mitec.cz/wrr.html

На всякий случай добавлю, что правка реестра - штука опасная и делать это нужно осторожно. :)

Боже мой....
как всё сложно(((((

у меня такой вирус, через двое суток стал перезапускать комп через 3 сек после появления окна, я не успеваю даже ни код ввести, ни ещё что-либо сделать((((

На самом деле, как уже было сказано выше, алгоритм борьбы с данным вредителем прост: раз не удается войти в систему с "парадного входа", нужно сделать это с "черного входа". То есть получить доступ к винчестеру посредством загрузочного диска или, на худой конец, с помощью recovery console. Затем выявить файлы вируса и удалить их. Возможно еще придется удалить те записи в реестре, которые троян там оставил.

Для обычных же пользователей, не искушенных в деле удаления вирусов вручную, выход один - постоянно работающий антивирус, с включенной проактивной защитой, плюс регулярное обновление баз антивируса.

Именно кратковременное отключение антивируса и привело к тому что я прицепил эту заразу. Отключил, вышел в интернет и сразу "приехал".

Интересно, шде такой вирус можно найти До нас он пока видимо не дошел