Вирус!

Компания «Доктор Веб» информирует о широком распространении опасного сетевого червя Win32.HLLW.Shadow.based, который использует несколько альтернативных методов распространения, один из которых — уязвимости операционной системы Windows, которой подвержены Windows 2000 и более поздние версии, вплоть до беты Windows 7. Для упаковки своих файлов Win32.HLLW.Shadow.based применяет постоянно видоизменяющийся (полиморфный) упаковщик, что затрудняет его анализ. Сетевой червь Win32.HLLW.Shadow.based, некоторые образцы которого также могут определяться антивирусом Dr.Web как Win32.HLLW.Autorunner.5555, использует для своего распространения сразу несколько способов. Прежде всего — съёмные носители и сетевые диски посредством встроенного в Windows механизма автозапуска. В этом случае имя вредоносного файла является случайным и содержится в папке вида RECYCLERS-x-x-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxx-xxxx. Такую же структуру папок использует Корзина Windows для хранения удалённых файлов, что позволяет вирусу оставаться незаметным для пользователя.

Кроме того, червь может распространяться по сети с использованием стандартного для Windows-сетей протокола SMB. При этом для организации удалённого доступа к компьютеру Win32.HLLW.Shadow.based перебирает наиболее часто встречающиеся способы задания пароля, а также пароли из своего словаря. При положительном результате поиска червь копирует себя в системную папку компьютера-жертвы и создаёт задание на запуск через определённый промежуток времени.

Наконец, вирус распространяется по сети с использованием уязвимости, которая устраняется с помощью критичного обновления, описанного в бюллетене Microsoft MS08-067. На целевой компьютер отправляется специально сформированный запрос, приводящий к переполнению буфера. В результате данных действий компьютер-жертва загружает вредоносный файл по протоколу HTTP.

После запуска Win32.HLLW.Shadow.based проверяет, в каком процессе он находится, и если это процесс rundll32.exe, то внедряет свой код в системные процессы svchost.exe и explorer.exe. Затем вирус открывает в Проводнике текущую папку и прекращает свою работу.

Если Win32.HLLW.Shadow.based определяет, что он находится не в процессе rundll32.exe, то он создает свою копию со случайным именем и прописывает её в качестве службы Windows, а также в реестр для обеспечения автозапуска после перезагрузки компьютера и останавливает работу службы обновления Windows. Далее в системе устанавливается собственная реализация HTTP-сервера, с помощью которого начинается распространение вируса по сети.

Если вирус определяет, что он находится в процессе svchost.exe, запущенном в качестве DNS-клиента, то внедряет свой код в функции работы DNS на компьютере, тем самым блокируя доступ к сайтам множества антивирусных компаний.

В состав Win32.HLLW.Shadow.based входит драйвер, который изменяет в памяти системный файл tcpip.sys с целью увеличения стандартного ограничения системы на количество одновременных сетевых подключений.

Данная вредоносная программа была создана с целью формирования очередной бот-сети. В ходе работы вируса делаются запросы на загрузку исполняемых файлов со специально созданных для этого серверов, установку и запуск этих программ на компьютерах, входящих в эту бот-сеть. Целью преступников может быть как самостоятельное извлечение прибыли из построенной бот-сети, так и её продажа. К сожалению, недостатка в спросе на работающие бот-сети в настоящее время нет.

Для лечения системы от Win32.HLLW.Shadow.based и профилактики заражения рекомендуется установить патчи, указанные в следующих информационных бюллетенях Microsoft: MS08-067, MS08-068, MS09-001. Также необходимо отключить компьютер от локальной сети и от Интернета. Если компьютеры подсоединены к локальной сети, то вылеченный компьютер необходимо подключать обратно к локальной сети лишь после того, как будут вылечены все компьютеры, находящиеся в сети. Лечение системы можно произвести при помощи бесплатной утилиты Dr.Web CureIt!.

Специалисты «Доктор Веб» недавно опубликовании информацию о широком распространении опасного сетевого червя Win32.HLLW.Shadow.based, который использует несколько альтернативных методов распространения, один из которых — уязвимости операционной системы Windows, которой подвержены Windows 2000 и более поздние версии, вплоть до бета-версии Windows 7. Для упаковки своих файлов Win32.HLLW.Shadow.based применяет постоянно видоизменяющийся (полиморфный) упаковщик, что затрудняет его анализ.

Данная вредоносная программа была создана с целью формирования очередной бот-сети. В ходе работы вируса делаются запросы на загрузку исполняемых файлов со специально созданных для этого серверов, установку и запуск этих программ на компьютерах, входящих в эту бот-сеть. Целью преступников может быть как самостоятельное извлечение прибыли из построенной бот-сети, так и её продажа. К сожалению, недостатка в спросе на работающие бот-сети в настоящее время нет.

Процедура лечения системы от Win32.HLLW.Shadow.based и меры по профилактике подобных методов заражений выглядит так: для начала нужно установить патчи, указанные в следующих информационных бюллетенях Microsoft:

MS08-067;http://www.microsoft.com/technet/security/bulletin/ms08-067.mspx
MS08-068;http://www.microsoft.com/technet/security/bulletin/ms08-068.mspx
MS09-001.http://www.microsoft.com/technet/security/bulletin/ms09-001.mspx

Затем нужно отключить компьютер от локальной сети и от интернета. Если компьютеры подсоединены к локальной сети, то вылеченный ПК необходимо подключать обратно к локальной сети лишь после того, как будут вылечены все компьютеры, находящиеся в сети. В самом конце необходимо скачать текущую версию утилиты Dr.Web CureIt! и просканировать все диски.

5 июня 2009 года

Компания «Доктор Веб» - российский разработчик средств информационной безопасности – сообщает о появлении в Интернете опасного троянца, уничтожающего все файлы и папки на зараженном компьютере. Первые случаи инфицирования Trojan.KillFiles.904 зафиксированы в начале июня 2009 года.

Проникая в компьютер жертвы, Trojan.KillFiles.904 перебирает локальные и съемные диски в порядке от Z до A. В найденном диске троянец начинает удалять папки и файлы, перебирая их названия по алфавиту. Если удалить файл не удается, к примеру, по причине его использования, троянец делает его скрытым. Особая опасность заключается в том, что действия Trojan.KillFiles.904 касаются всех файлов и папок, находящихся на жестком диске компьютера жертвы, за исключением системных. Таким образом, пользователь может потерять все данные на дисках, при этом его операционная система продолжит свою работу.

Уникальным для современных вредоносных программ свойством данного троянца является нанесение максимального урона пользователю. В отличие от получивших в последнее время широкое распространение программ-вымогателей, Trojan.KillFiles.904 не просит о каких-либо финансовых вложениях и не пытается что-либо украсть – он просто уничтожает всю информацию, хранящуюся в зараженной системе.

Можно предположить, что данный троянец, появившийся в начале июня 2009 года, продолжает традицию вируса Win32.HLLW.Kati, также известного как Penetrator, который повреждает файлы форматов Microsoft Word и Excel, а также фотографии и мультимедийные файлы. За тем исключением, что Trojan.KillFiles.904 представляет еще большую угрозу.

Что-то я непонял, это таки предупреждние или пиар/реклама Dr. Web?

Вирусов боятся - в интернетах не сидеть, уже их было, да было. Я наученый горьким опытом сохраняю всю критичную информацию на DVD или логическом разделе, поэтому с чистой совестью случ-чего могу отформатировать диск С:. Очень сомневаюсь, что сей грозный червь это переживет

Неужели еще до сих пор кто-то умеет писать полиморфы?
А я думал уже все кулхацкеры перешли на макровирусы.

Fighter а шо ето за хрень шо выдает себя за систему защиты от вирусов виндовую?хотя у меня все службы обновление удаленный реестр брандмауэр и система защиты отключены в службах,малой вчера клацнул мне помог тока фаерфол и  ЦКлинер НОД его не брал и фаерфол тоже но я там просто назапрещал много а клинером убрал всякую лабуду с автозагрузки эта хрень вроде притихла)))но чует мое серце она гдето там еще сидит?

Fighter а шо ето за хрень шо выдает себя за систему защиты от вирусов виндовую?хотя у меня все службы обновление удаленный реестр брандмауэр и система защиты отключены в службах,малой вчера клацнул мне помог тока фаерфол и  ЦКлинер НОД его не брал и фаерфол тоже но я там просто назапрещал много а клинером убрал всякую лабуду с автозагрузки эта хрень вроде притихла)))но чует мое серце она гдето там еще сидит?

Я не знаю вашей Оп.системы,но если ХР то можно проверить диск вот этой утилитой,она не требует установки,и денег) Но перед проверкой,отключите другой антивирус,возможны конфликты при работе двух антивирусов одновременно!

я сколько не сижу в инете вирусы лет с 16 перестал ловить ^_^

я сколько не сижу в инете вирусы лет с 16 перестал ловить ^_^

Однажды я тоже думал, что перестал)

Если вы думаете, что на вашем компе нет вирусов, для начала попробуйте сменить антивирус, а затем уже говорите об этом Учитывая, что сейчас рынок антивирусов не однороден, их качество сильно разнится. Например, попсовый NOD32 на деле дырявее дрюшлака, а вот не очень известный Norton, а также не любимый за тормоза Касперский - наоборот, ловят довольно качественно.

Vanok
Fighter
Вы не понимаете =)
У меня просто НЕТ антивируса XDD

Gargul
На лине сидишь что ли? Или на маке?

Gargul
На лине сидишь что ли? Или на маке?

На пороховой бочке он сидит

нортон вроде как довольно известный, у меня раньше стоял, надоел щас аваст поставил больше нравится

Vanok
Ну это разве что, если ему сейчас 16 лет и несколько месяцев=)))

Fighter у меня ХР антивирь я всетаки скачал завтра поюзаю)))
Gargul я понял что ты хотел сказать как ты крут но всетаки о чем ты?
Vanok я нод тоже не люблю это на деск топе поставил по просьбе трудящихся а так я каспер интернет сикьюрити 6  на ноуте юзаю защита максимум+проактивная защита тоже на максимум)вобщем тихо и спокойно)

да на обычной винде сижу. И никаких прогрузов, непонятных лагов, загрузски линии инета нету.

Tamplar
Ну..лазить нада там где знаешь что нет вирусняков.

Damon
не...мне еще +2 и 11 месяцев пожалста =)

Gargul и как ты узнаешь где есть вирусня а где нет???учитывая что вирусня бывает ВЕЗДЕ лол

Tamplar
Уш поверь узнаю. К моему компу зацепиться сложно. Вирусняк словить то это да. Но я уверен просто что у меня их нет. Специально установлю на днях касперского. Посмотрим.

Gargul ты будешь неприятно удивлен)))

Да уж, Касперыч большой мастер находить вирусы там, где ими даже и не пахнет. Ну надо же имидж самого эффективного вируса антивирусника поддерживать=)))
А вообще, идеального антивирусника-файрволла-монитора-и-все-такое-в-одном не существует, зато существует комбинация оных, которую каждый подбирает для себя сам. У меня лично эту комбинацию образуют AVG antivirus+Comodo Firewall+AVZ+xp-Antispy+trojan remover+прямые руки и работающий моск=минимум проблем.

Damon очень знакомый набор, но строчка короче AVG antivirus+Firewall+AVZ+Ad-aware 6... все это под  2000рrо, не жалуюсь (руки и моск использую своей жены, дипломированный специалист )

Да уж, Касперыч большой мастер находить вирусы там, где ими даже и не пахнет.
Приведи пример? вот НОД грешит такой фигней это факт все фиксы кряки и тд там вирусы)))

Chekan ты в РМ не играл случайно?)))

никогда антивирусники не любил, но года полтора назад брат уговорил поставить AVG Free Edition... ан доволен... ща и дома и на работе стоит...

Tamplar последних пару лет играл... на обоих серваках
з.ы. кстати пасиб, переставлюсь

Одааааа...Словил касперыч вирусняки..мдя..

Поймал пока два. Да и то это был файлик от NFSMW, который реестр хакал. =) и какойто файл рекламный.

Chekan я так и понял)))а меня шо не узнал?
Gargul  а настройки какие?