Сейчас обсуждают

[SanchoZZ]

В очередной вылазке за вирусами, попал на порносайт на "народе", откуда скачивался файл "xxx_video.exe" Winlock ?
По результатам VT - этот образец скорей всего модификация ZeuS (по базам аваста).

Результаты VT

З.Ы. Образец отправлен в Avira, AVG, Sophos, Vba, Dr.Web, COMODO, ESET, Avast.

Анализ активности от COMODO

Сообщение отредактировал SanchoZZ - 8.1.2011, 6:32

[Feo]

Схожие действия с винлоком. Перезапись данных userinit и создание файла C:\WINDOWS\system32\usrinit.exe

Отослал еще в Ikarus.

Авира только в понедельник разберет все, у них в субботу и воскресенье вирлаб не работает.

Сообщение отредактировал Feo - 8.1.2011, 18:23

[Feo]

В икарус (Emsisoft) оперативно добавили.
http://www.virustotal.com/file-scan/report...5bf3-1294485020

[SanchoZZ]

Хм... он очень часто обновляется. сейчас перекачал- http://www.virustotal.com/file-scan/report...d9e7-1294488596

Отправил тем-же что и в прошлый раз(адрес вирлаба икаруса не знаю).

[Feo]

Хм... он очень часто обновляется. сейчас перекачал- http://www.virustotal.com/file-scan/report...d9e7-1294488596

Отправил тем-же что и в прошлый раз(адрес вирлаба икаруса не знаю).

Модифицируют =)

В Икарус можно отослать через мейл


Может нам тему отдельную сделать? Для обсуждения malware и подобных вопросов. А то тут, думалось, новости ):

[SanchoZZ]

А мейл вирлаба Comodo никто не знает?
Ато приходится отправлять через вэб-морду =)

[Feo]

А мейл вирлаба Comodo никто не знает?
Ато приходится отправлять через вэб-морду =)

Увы, не знаю. Разве мейлом удобней?

Поражен скорости
http://www.virustotal.com/file-scan/report...d9e7-1294494758

[SanchoZZ]

Уже 2й день не добавляют в базы winlock http://www.virustotal.com/file-scan/report...db82-1294504617
Ненавижу выходные вирлаба .

[Feo]

Угу, так же как и с этим.
Были отосланы вирлабам (хоть и не мной), а до сих пор молчание от известных
http://www.virustotal.com/file-scan/report...ac6d-1294578027

[SanchoZZ]

Угу, так же как и с этим.
Были отосланы вирлабам (хоть и не мной), а до сих пор молчание от известных
http://www.virustotal.com/file-scan/report...ac6d-1294578027

А это уже интересно =) Судя по Этому - его скачивают уже после заражения Hosts-ом.


/UPD
Этот WinLock, скачивается после заражения Vkhost-ом.
Сейчас нашел работающую ссыль , скачал и запустил в песочке

Сочетание клавиш Win+D уберет банер и разблокирует переключение по Alt+Tab, но рабочий стол не показывает
Копирует себя в папку WINDOWS\system32

Сообщение отредактировал SanchoZZ - 9.1.2011, 21:23

[Feo]

А это уже интересно =) Судя по Этому - его скачивают уже после заражения Hosts-ом.
/UPD
Этот WinLock, скачивается после заражения Vkhost-ом.
Сейчас нашел работающую ссыль <!--private_data=0-->, скачал и запустил в песочке

Сочетание клавиш Win+D уберет банер и разблокирует переключение по Alt+Tab, но рабочий стол не показывает

Не показывает приват...

[SanchoZZ]

Поправил. сейчас закрыл банер, а рабочий стол не появляется =)
Вот такой вот банер:

/upd Ушёл перезагружаться.

Сообщение отредактировал SanchoZZ - 9.1.2011, 21:04

[Feo]

Какой песок используешь?

[SanchoZZ]

Встроенный в COMODO. потом другие собираюсь пробовать, например SandBoxie.

[Feo]

А я как-то пробовал через него (Комод), так какие-то ошибки лезли о недостаточных правах.
Еще Shadow Defender часто замечал используют.

[SanchoZZ]

Потому что в Комодовской песочнице нельзязапустить прогу с правами админа. вот и лезут недостаточные права.

Сейчас virtualbox ставлю =)

[akvamistika]

А я как-то пробовал через него (Комод), так какие-то ошибки лезли о недостаточных правах.
Еще Shadow Defender часто замечал используют.

Раьше использовал WinRollBack Private , сейчас Shadow Defender

[Feo]

Надо же, от Авиры пришли результаты из вирлаба по некоторым файлам. Странно...Обработка датирована 9 января. Конечно было такое, что базы обновлялись в выходные, но такое, на моей памяти, впервые!

[Feo]

Чего только не придумают. http://forum.sibnet.ru/index.php?showtopic...iew=getlastpost
Смысл зловреда сделан тупо, но действенно.

2 файла hosts, один скрытый, другой нет. Скрытый (закрыт для записи), естественно - рабочий. Открываешь - пусто, листаешь вниз - список сайтов. В обычном - пусто.
А сделано все в SFX архиве WinRAR, с командами скриптов.



VT

Отправлен в Avira и ESET.

[SanchoZZ]

Пришел ответ от ESET по файлу http://www.virustotal.com/file-scan/report...ac6d-1294657556 добавят в базу 5774 как Win32/LockScreen.ABG

Кроме нода пока никто не ответил, ни авира, ни др.вэб, ни авг