Всем внимание! Вирус от нашего пользователя Berch! Опции

[Ялтинец]

Прошу Вашего внимания! Не так давно мне, и не только мне, по протоколу ICQ стали приходить сообщения от berchа - завсегдатая сталкеровских разделов, с просьбой зайти по ссылке, и посмотреть на классную фотку их офисной вечеринки. Подозреваю, что его "аська сломана", и он об этом даже не подозревает. Ссылка "инфицирована", и выглядит так - ]]>Http://4593.vaserjungenfujinas.com/1/0950/photo.pif]]> . Осторожно! Это прямая ссылка на вирус! NOD32 ее фиксирует. Остальные антивири - не знаю. Попробуйте. Сообщение об угрозе возникает в момент предложения браузера сохранить картинку. Всем спасибо, берегите себя и ваши винты. Удачи!

[Hint]

офисной вечеринки

berch

Даже не студент. Не попадитесь на подобные сообщения, часто это вирус.

Was added in 25 seconds:

Ялтинец,
Спасибо за предупреждение.

Сообщение отредактировал Hint - 01.12.2006, 23:48

[СпаммерФлудерЁпы...]

Аськи не сломаны. Эта гнида как-то умудряется в оффлайновом режиме рассылать себя по контактлисту.

[Hint]

СпамерФлудерЁпыгомать,
Сломаны, сломаны... это обычный процветающий троян, который отправившись с первого компа поглащает аськи и все пароли, ломает всё на своём пути.

[Ялтинец]

СпамерФлудерЁпыгомать, возможно, что в режиме - "невидим для всех".

UPDATE!
Только что пришла ссылка опять - ]]>http://018.vaserjungenfujinas.com/2/048/]]> Те же инструкции! Осторожно! Это прямая ссылка на вирус! NOD32 ее фиксирует. Остальные антивири - не знаю. Попробуйте. Сообщение об угрозе возникает в момент предложения браузера сохранить картинку

[SayMyName]

В QiP'е от того же berch'a пришла ссылка

Check up this:
и здесь ссылка

NOD32 сразу закричал, что троян.
будьте внимательны!

[OlegatoR]

20 минут назад удалил берча из контактов. Ничего не приходило. У меня Касперский 6 - но не стал заходить по ссылкам - мало ли что...

[СолнЫшко]

Ялтинец, А мне вторую ссылку знакомый послал. Конечно же по своей невиности открыла.
Да и антивирус тупейший стоит..Вот и молчит..

[Ялтинец]

OlegatoR,

20 минут назад удалил берча из контактов

А я пока оставлю, чтобы информировать вас о возможных угрозах.

Солнышко, смени антивирус, и будет тебе счастье

[СолнЫшко]

Ялтинец, Для меня это слегка проблематично =)
А что вирус этот делает вообще? А то ой комп жив пока =)

[Ялтинец]

Солнышко, последствия мне не известны.

[Undertaker]

Ялтинец,

Ссылка "инфицирована", и выглядит так - ]]>Http://4593.vaserjungenfujinas.com/1/0950/photo.pif]]> . Осторожно! Это прямая ссылка на вирус! NOD32 ее фиксирует. Остальные антивири - не знаю. Попробуйте. Сообщение об угрозе возникает в момент предложения браузера сохранить картинку. Всем спасибо, берегите себя и ваши винты. Удачи!

Ссылка не работает):

UPDATE!
Только что пришла ссылка опять - ]]>http://018.vaserjungenfujinas.com/2/048/]]> Те же инструкции! Осторожно! Это прямая ссылка на вирус! NOD32 ее фиксирует. Остальные антивири - не знаю. Попробуйте. Сообщение об угрозе возникает в момент предложения браузера сохранить картинку

Ловится Dr.Web.

C:\Documents and Settings\Taker\Local Settings\Temporary Internet Files\Content.IE5\YH8VQTQ1\flash[1].exe - инфицирован Win32.HLLM.Limar.based

[глобарес]

У меня ни одна ссылка не открылась...

[Undertaker]

Win32.HLLM.Limar.based

(Email-Worm.Win32.Warezov.ab, Email-Worm.Win32.Warezov.aj, Email-Worm.Win32.Warezov.y, Generic.Stration.897DECD2, Generic.Stration.C3436AB9, Generic.Stration.CD715647, Generic.Stration.D070A9FB, Generic.Stration.E440BC60, Generic.Stration.F061257B, I-Worm/Generic.PT, I-Worm/Generic.QJ, W32/Stration@MM, W32/Warezov.AA@mm, W32/Warezov.AB@mm, W32/Warezov.S@mm, W32/Warezov.Y@mm, WORM_STRATION.BC, WORM_STRATION.BL, Win32/Stration!generic, Win32/Stration.AQ, Win32/Stration.AT, Win32/Stration.Variant!Worm)



Тип вируса: Почтовый червь массовой рассылки

Уязвимые ОС: Win95/98/Me/NT/2000/XP

Размер файла: 130 - 148 Кбайт, 10-30 Кбайт

Упакован: Upack, UPX



Техническая информация


Распространяется в виде писем с вложениями.

Тема письма может быть следующей:
Server Report
Status
Error
Test
Mail Delivery System
Mail server report.
Mail Transaction Failed
Good day
picture
Hello



Вложение может быть в виде ZIP-архива, EXE-файла или файла с двойным расширением.
Имя вложения может быть следующим:

1.Update-KB[число]-х86 с расширением ZIP или EXE.


2. test, body, docs, doc, test, text, readme, file, document, data



Тело письма содержит текст:
------------------------------------
Mail server report.


Our firewall determined the e-mails containing worm copies are being sent from your computer.


Nowadays it happens from many computers, because this is a new virus type (Network Worms).


Using the new bug in the Windows, these viruses infect the computer unnoticeably.
After the penetrating into the computer the virus harvests all the e-mail addresses and sends the copies of itself to these e-mail addresses

Please install updates for worm elimination and your computer restoring.


Best regards,
Customers support service
--------------------------------------
Mail transaction failed. Partial message is available.
--------------------------------------
The message contains Unicode characters and has been sent
as a binary attachment.
---------------------------------------
The message cannot be represented in 7-bit ASCII encoding
and has been sent as a binary attachment
---------------------------------------
Dear Sir/Madam,


We have logged a fraud activity from the IP-address belonging to your
computer at more than 17 Web-sites and have received abuses
from several companies.


The abuse copy is sent as an attachment to this letter. Please learn this.


We have added our utilite that would help you to find and remove any spyware from your PC.
If you were not lucky using another software, please try this one.

Yours faithfully
Steven Cooper
---------------------------------------


В зависимости от типа вложения в письме при своём запуске червь выпоняет:
1. Выводит на экран "Update successfully installed" (при запуске вложения Update-KB[число]-х86).
2. Запускает Notepad, показывая пользователю беспорядочный набор символов (при запуске вложения в виде файла с двойным расширением).


В зависимости от своей модификации при своём запуске червь создаёт следующие файлы:
%WinDir%\serv.exe (148 621 байт)
%WinDir%\serv.s (148 621 байт)
%WinDir%\system32\serv.dll (7 680 байта)
%WinDir%\system32\e1.dll (8 704 байта)
%WinDir%\system32\jgmdmsxm.dll (28 672 байта)
%WinDir%\system32\netacdmo.dll (20 480 байт)
%WinDir%\system32\tsd3rasd.exe (16 384 байта)
%WINDIR%\System32\wupstInt.dll (28672 байт)
%WINDIR%\System32\cssewmpd.exe (16384 байт)
%WINDIR%\System32\regaufat.dll (24576 байт)


Причём имена файлов динамических библиотек (*.dll) подставляются разные - в зависимости от модификации червя.


Червь маскирует свои процессы.

Червь завершает процессы некоторых антивирусных продуктов и межсетевых экранов. В частности, червь автоматически устанавливает приложение serv.exe в число "Доверенных" в списке приложений Agnitum Outpost Firewall, если используется политика "Режим обучения".

Червь создаёт файл с расширением *.wax, в который записывает почтовые адреса, зарегистрированные в поражённой системе.

Для своего последующего запуска червь прописывает себя в автозагрузке, модифицируя секции в реестре:
HKEY_LOCAL_MACHINE\Microsoft\Windows\CurrentVersion\Run
"serv" = C:\Windows\serv.exe s

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows
"AppInit_DLLs" = wupstInt.dll e1.dll


Рассылает свои многочисленные копии, соединяясь по протоколу SMTP с разными серверами.


Рекомендации по восстановлению системы
1. Отключить "Восстановление системы".
2. Загрузить ОС Windows в Безопасном режиме (Safe Mode).
3. Воспользоваться дисковым сканером Dr.Web® либо бесплатной утилитой Dr.Web® CureIT! для сканирования локальных дисков компьютера. Для всех найденных инфицированных файлов необходимо применить действие "Лечить".
4. Восстановить реестр из резервной копии.


Важно! Непосредственно перед выполнением п.2 необходимо настроить используемый почтовый клиент таким образом, чтобы он хранил вложения в виде отдельных файлов, а не в теле почтовой базы. Например, хранение вложений отдельно от почтовой базы в почтовом клиенте TheBat! настраивается следующим образом:
Ящик - Свойства почтового ящика - Файлы и каталоги - Хранить присоединенные файлы в отдельном каталоге (Account - Properties - Files & Directories - Keep attachment files - Separately in a special directory).

[Ялтинец]

глобарес,

У меня ни одна ссылка не открылась...

Это хорошо!

OlegatoR, пожалуйста, позови наших сталкеровцев сюда, пусть отпишуться те, кто с ним общается постоянно/периодически через "аську". Может помогут прояснить ситуацию.

[Undertaker]

Ялтинец,

авторизуй меня, пожалуйста

Ты вроде у меня авторизован): Пошли мне еще раз запрос на авторизацию.

[Ялтинец]

OlegatoR, пожалуйста, позови наших сталкеровцев сюда, пусть отпишуться тем, кто с ним общается постоянно/периодически через "аську".

[StiLeT]

Что-то по первой ссылке открывается сайт, никакого изображения сохранить не предлогается...
Вторая "работает"...

[OlegatoR]

Касперский находит. Всем срочно обновить базы.

[Rainbow]

По первой ссылке уже нет ничего, по второй Касперский 5.0.527 все спокойно отловил

Was added in 2 minutes 46 seconds:

Меня другое беспокоит... У меня на винте стали появляться в разных местах ехе'шники с вирусом под видом кодеков. Уже 3 штуки отловил. Притом появиться может через какое-то время после полной проверки

Сообщение отредактировал Rainbow - 02.12.2006, 15:59

[OlegatoR]

весь винт прошурши. И какое название вируса?

[Ялтинец]

Rainbow,
"В последнее время лавиной пошло инфицирование компьютеров троянами с помощью кодеков. Авторы вирусов убеждают Вас в неабходимости загрузить их кодеки для Вашего блага. Вот часть списка кодеков, которые Вам настойчиво предлагают загрузить для инфицирования Вашей системы:


Emcodec
eMedia Codec
HQ Codec
iCodecPack
iMediaCodec
IntCodec
KeyCodec
Media-Codec
MediaCodec
MMediaCodec
MPCODEC
PCODEC
PowerCodec
PornPass Manager
PornMag Pass
SoftCodec
strCodec
TrueCodec
Vccodec
VideoCompressionCodec
VideoKeyCodec
VideosCodec,
WinMediaCodec
X Password Generator
X Password Manager
ZipCodec

Список далеко не полный. Что делать если доброжелатели Вас уже надули и как избавиться от напасти?
Подробная инструкция по очистке системы находится ]]>здесь]]>"

[-=LeKtoR=-]

Хмм....у меня он в онлайне иногда торчит.Один раз какой то экзешник сувал,но так как не описал его,я проигнорировал его.

[berch]

Ребят причём тут я никак не пойму...
я в асе сидел последний раз недели две назад, ибо не было денег на нете.
мне самому все контакты заполонили этим сообщением. Я сразу понял что вирь новый, не открывал. Первое такое я получил от Shad'a и понеслось... у нас в локальной сети на уши посталены все. Выпустили заплатки. Если кому-то надо то вот ]]>ссылка]]>

[Ялтинец]

berch, хорошо, ситуация болеее или менее ясна. Спасибо за правильную реакцию

[Nerfair]

berch, дело не в тебе .. а в том что вирус с твоей аськи посылается ... все понимают что ты не причем .. не парься

[Ялтинец]

berch, ссылка твоя рабочая? Я, к примеру, открыть не могу...

[berch]

Да всегда рабочая...
p.s. никого из контактов не удалял... а вы уже все меня перебанили да удалили

[Ялтинец]

berch, а ты думал?! Я тебя не удалял, но по другой причине - вовремя информировать наших юзеров о надвигающейся мировой угрозе
Напиши вкратце, что по той ссылке, выложи инструкции - если есть...

[berch]

21 ноября 2006 22:32 — ВНИМАНИЕ!!! Вирусная атака.

Сегодня (21.11.2006) приблизительно в 22 часа был масштабно активирован вирус который опять же негативно сказался на работе нашей сети В связи с чем были забанены некоторые личности, до выяснения обстоятельств. Для остальных же пользователей просьба обновить свою винду с сервера апдейта ]]>http://www.itcn.ru/support/updates/files/l...cal_updates.reg]]> , так как на прошлой неделе вышло много критических обновлений. В противном случае больные будут наказаны.

Предварительные симптомы наличия вируса: наличие скрытой кучки EXEшников в папке Documents and Settings\ЮЗВЕР\Local Settings\Temp
или WINDOWS\Temp

[Ялтинец]

berch, скрытой кучки EXEшников не имею. Апдейтюсь регулярно.

[Denton]

Мне тоже приходило

[Ялтинец]

berch, сделай что-нибудь со своей ICQ. Я за сегодняшний вечер дважды получил от тебя ссылки. Либо в игнор посажу, либо с кантакт-листа уберу... Шевелись, пожалуйста.

[Rezak]

Странно мне от Берча никогда такой гадости не приходило

[berch]

У меняя на компе нет вирей и ася норм.

innavrncva (08:36 PM) :
check this
]]>httphttp#$://60&&&.^^^^unyesdea.com/1/9***4/]]>


OlegatoR (10:56 PM) :
my picture
]]>http#$://4&&&.s%%%%a.com/2/681***3/picture.pif]]>

Yaltinez (09:47 PM) :
my picture
]]>http#$://4&&&.s%%%%a.com/2/681***3/picture.pif]]>

ссылки переделал

Сообщение отредактировал berch - 07.12.2006, 23:29

[OlegatoR]

вот сколько уже берч онлайн, еще ни одной ссылки от него не получил (я его снова добавил в контакт лист )

Was added in 3 minutes 36 seconds:

пишу ему - не отвечает

Сообщение отредактировал OlegatoR - 07.12.2006, 23:36

[berch]

Я просто отошёл... Всё это ересь. Бред. я не боюсь.

[Лохотрон]

меняй прова, походу у вас тама конкретно его хакнули

[Ялтинец]

20:49 Berch: check this
]]>http://492.saderuikuntunyesdea.com/1/8865/****]]>
22:00 Yaltinez: Привет! От тебя опять какая-то ссылка пришла
22:07 Berch: my picture
]]>http://219.saderuikuntunyesdea.com/2/7243/picture.***]]>
22:08 Yaltinez: Берч, кончай вирусяки слать

Ересь говоришь?

[Shot]

А вы какую версию аси юзаете?

[OlegatoR]

5.101 - bigmirnet icq

[Ялтинец]

Zelebob`овская сборка Miranda на последнем ядре.

[-=LeKtoR=-]

berch Продолжает слатьм не сообщения на англ. языке. с ссылкой
Тока что к нему подключилась Avail
Кто следующий?

[Пилот]

Я вот не понимаю....неужели кто-то действительно верит в то, что русские люди будут по аське писать на английском языке о какой-то корпоративной вечеринке?

[-=LeKtoR=-]

то русские люди будут по аське писать на английском языке о какой-то корпоративной вечеринке?

Дык при+_том, они шлют это тогда,когда "Настоящий" пользователь в оффлайне

Was added in 1 minute 8 seconds:

ЕЩё приколы из моей аськию
Ник "Андрей"
НАписано:Привет,я Лена,хочешь посмотреть на мои голенькие фото,кликай сюды


Сообщение отредактировал -=LeKtoR=- - 16.01.2007, 15:09

[Moonlit Angel]

ох блин... у меня таже фигня(((( пока ничего страшного не приосходит, но эти сообщения напягают((((

[Ялтинец]

Аналогично. Получил от Берча мессагу с призывом. Остался равнодушен.

[fen1x]

А почему бы вам всем, кто получает от Берча мессаги с вирусом, не занести его в игнор, а еще лучше просто удалить его номер к чертям собачьим?
Берчу же советую немедленно проверить свой комп на вирусы и заменить номер аськи, предварительно всем сообщив причину замены и просьбу авторизовать новый номер с гарантией, что новый номер уже не будет рассылать вирусы.

[Undertaker]

fen1x,

А почему бы вам всем, кто получает от Берча мессаги с вирусом, не занести его в игнор, а еще лучше просто удалить его номер к чертям собачьим?
Берчу же советую немедленно проверить свой комп на вирусы и заменить номер аськи, предварительно всем сообщив причину замены и просьбу авторизовать новый номер с гарантией, что новый номер уже не будет рассылать вирусы

Даже если его удалить из контакта, то ася все равно будет слать вирусы. Так как контакты находятся в его асе.

[Ялтинец]

Undertaker, можно удалить себя из списка его контактов.

[Rezak]

Я сегодня тоже получил от него мессагу на английском со ссылкой...Берч припух совсем , я думаю это он спецом так как я недавно с ним сильно поругался.

[Ялтинец]

Rezak, ваши разборки не интересны сторонним людям. Однако получают все, и дело не в ваших отношениях.

[OlegatoR]

хм... я уже ДААВНО ничего не получал от Берча. Может это от клиента зависит, который у вас установлен?
У меня SIM

[MAN2]

Undertaker,

Даже если его удалить из контакта, то ася все равно будет слать вирусы. Так как контакты находятся в его асе.

Можно отключить приём сообщений от тех, кто не в листе.

[Пилот]

Пилот,

Я вот не понимаю....неужели кто-то действительно верит в то, что русские люди будут по аське писать на английском языке о какой-то корпоративной вечеринке? 

цитирую сам себя
видимо, люди стали умнее Вчера получил подобный пост только на русском.
типа
хай
мои фотки в этом архиве. *ссылочка*

открывать не стал, но то, что что-то нехорошее,уверен. Аккуратнее

[Alter Mann]

ACHTUNG:у миня пробрался какаота троянец autorun.vbs.нужна помощь!ниодин антивирус меня пока от него не избавил.

симтомы:я не могу зайти ни на один из дисков.даже диск с не открывается!после него даже сталкер начал работать через жопу.сталкера...проверьтесь на наличие!!!

[Ялтинец]

кровоЖАДНЫЙ, ]]>читай]]>, а вообще такие вопросы обсуждаются не здесь.

[Alter Mann]

Ялтинец, спс!