Порнографический баннер (Trojan.Win32.Agent2.cqzi): описание и лечение

Архив на категорию: Антивирусы, Борьба с порноокнами, Борьба с порносайтами, Порноокна и порноинформеры

Автор: admin Дата: 20 мая 10 - 0 комментариев

Порнографический баннер (Trojan.Win32.Agent2.cqzi): описание и лечение

18-19 мая 2010 года Антивирусный портал VirusInfo зафиксировал вспышку инфекции.

Наименование:

Trojan.Win32.Agent2.cqzi (Лаборатория Касперского)
Trojan.DownLoad1.59108 (Dr. Web)
Gen:Variant.Oficla.2 (BitDefender)
Win32:Rootkit-gen [Rtk] (avast!)

Самоназвание:

неизвестно

Симптомы:

Вредоносное ПО отображает пользователю навязчивый рекламный баннер порнографического содержания и для его отключения предлагает отправить SMS-сообщение с определенным текстом на короткий номер 3381. Из обращений пользователей известно, что вымогатель способен противодействовать работе антивирусных инструментов.

Состав вредоносной программы:

Основным компонентом Trojan.Win32.Agent2.cqzi является объект %system32%\srnh.lto. В протоколах AVZ отображается в качестве модуля, внедренного в процесс svchost.exe; в результатах исследования системы утилитой HijackThis виден в секции F2 (ключ Winlogon / Shell):
Код:
F2 - REG:system.ini: Shell=explorer.exe rundll32.exe srnh.lto iqfnr
Также на пораженных ПК были отмечены вредоносные модификации ключа реестра
Код:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\\AppInit_DLLs
Содержимое ключа варьируется в зависимости от конкретного образца вредоносной программы.

Рекомендации в случае заражения:

Если ваш ПК заражен вредоносным ПО Trojan.Win32.Agent2.cqzi, то Антивирусный портал VirusInfo настоятельно рекомендует вам ни в коем случае не следовать указаниям мошенников и не отправлять никаких SMS-сообщений на указанный ими номер.

Так как основные антивирусные инструменты не запускаются, скрипт AVZ для удаления типичного представителя этого вредоносного программного обеспечения не может быть сформирован. Наиболее простым способом дезактивации рекламного баннера является обращение в службу поддержки компании «А1: Первый альтернативный контент-провайдер», которой принадлежит короткий номер, используемый злоумышленниками.

Телефонные номера технической поддержки поставщика услуг:

+7 800 100 7337 (федеральный)
+7 495 363 1427 (московский)

Назовите оператору необходимые сведения о вредоносном ПО, чтобы получить код разблокирования.

Обращаем ваше внимание на то, что обращение в службу поддержки компании «А1: Первый альтернативный контент-провайдер» и последующая разблокировка не позволяют полностью излечить пораженную ОС. После дезактивации вредоносного ПО мы настоятельно рекомендуем вам пройти остаточное лечение на VirusInfo, подготовив протоколы исследования системы в соответствии с Правилами оформления запроса.

Самостоятельное лечение:

Также вы можете уничтожить вредоносную программу самостоятельно с помощью загрузочного диска Kaspersky Rescue Disk 10, который позволяет вылечить компьютер, не загружая зараженную операционную систему Windows.

Скачайте образ диска.
Запишите его на CD или DVD.
Вставьте записанный диск в лоток и перезагрузите компьютер.
Следуйте указаниям программы.

Дополнительная информация о Kaspersky Rescue Disk 10: http://virusinfo.info/showthread.php?t=77717

Примеры жалоб:

http://virusinfo.info/showthread.php?t=78437
http://virusinfo.info/showthread.php?t=78620
http://virusinfo.info/showthread.php?t=78651
http://virusinfo.info/showthread.php?t=78664
http://virusinfo.info/showthread.php?t=78671

Источник: Антивирусный портал VirusInfo

__________________

Не давал вставлять коды-не давал поменять раскладку…

Воспользовался виртуальной клавой с помощью команды Win+U

код разблокировки Y61184493 [2 порнокартинки на белом фоне]

Протокол антивирусной утилиты AVZ версии 4.32
Сканирование запущено в 20.05.2010 8:28:50
Загружена база: сигнатуры - 272600, нейропрофили - 2, микропрограммы лечения - 56, база от 17.05.2010 22:28
Загружены микропрограммы эвристики: 383
Загружены микропрограммы ИПУ: 9
Загружены цифровые подписи системных файлов: 200586
Режим эвристического анализатора: Средний уровень эвристики
Режим лечения: включено
Версия Windows: 5.1.2600, ; AVZ работает с правами администратора
Восстановление системы: включено
1. Поиск RootKit и программ, перехватывающих функции API
1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
Детектирована модификация IAT: LoadLibraryA - 6602BCB3<>7C801D77
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Анализ user32.dll, таблица экспорта найдена в секции .text
Анализ advapi32.dll, таблица экспорта найдена в секции .text
Анализ ws2_32.dll, таблица экспорта найдена в секции .text
Анализ wininet.dll, таблица экспорта найдена в секции .text
Анализ rasapi32.dll, таблица экспорта найдена в секции .text
Анализ urlmon.dll, таблица экспорта найдена в секции .text
Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
Ошибка загрузки драйвера - проверка прервана [C0000034]
1.4 Поиск маскировки процессов и драйверов
Проверка не производится, так как не установлен драйвер мониторинга AVZPM
Ошибка загрузки драйвера - проверка прервана [C0000034]
2. Проверка памяти
Количество найденных процессов: 14
Количество загруженных модулей: 157
Проверка памяти завершена
3. Сканирование дисков
C:\Documents and Settings\Admin\Local Settings\Application Data\Yandex\Яндекс.Фотки\help.chm/{CHM}//htm2chm_3_0_9_3.exe >>> Опасно - исполняемый файл в CHM файле - возможно, маскировка исполняемого файла
C:\Documents and Settings\Admin\Local Settings\Temp\36.tmp >>> подозрение на Backdoor.Win32.Buterat.jj ( 0C4F9F6A 00D05EE0 002130C2 00202B3C 70144)
Файл успешно помещен в карантин (C:\Documents and Settings\Admin\Local Settings\Temp\AF.tmp)
C:\Documents and Settings\Admin\Local Settings\Temp\AF.tmp >>>>> Trojan.Win32.Agent2.cqzi успешно удален
Файл успешно помещен в карантин (C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\WPMVC5IR\netprotocol[1].exe)
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\WPMVC5IR\netprotocol[1].exe >>>>> Backdoor.Win32.Buterat.iv успешно удален
Файл успешно помещен в карантин (C:\WINDOWS\system32\g3mYd4K.exe)
C:\WINDOWS\system32\g3mYd4K.exe >>>>> Trojan.Win32.Inject.apqe успешно удален
Автоматическая чистка следов удаленных в ходе лечения программ
>> Форматирует число в виде HEX строки
>>> Форматирует число в виде HEX строки - исправлено
4. Проверка Winsock Layered Service Provider (SPI/LSP)
Ошибка LSP Protocol = "RSVP UDP Service Provider” –> отсутствует файл X:\A386\system32\rsvpsp.dll
Ошибка LSP Protocol = "RSVP TCP Service Provider” –> отсутствует файл X:\A386\system32\rsvpsp.dll
Внимание ! Обнаружены ошибки в SPI/LSP. Количество ошибок - 2
5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
Проверка отключена пользователем
7. Эвристичеcкая проверка системы
>>> X:\autorun.exe ЭПС: подозрение на Файл с подозрительным именем (высокая степень вероятности)
Нестандартный ключ реестра для системной службы: BITS ImagePath=”"
Нестандартный ключ реестра для системной службы: wuauserv ImagePath=”"
>>> X:\autorun.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
>>> X:\autorun.inf ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
Проверка завершена
8. Поиск потенциальных уязвимостей
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании …)!
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ …)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешены терминальные подключения к данному ПК
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
Проверка завершена
9. Мастер поиска и устранения проблем
>> Нарушение ассоциации EXE файлов
>> Нарушение ассоциации COM файлов
>> Нарушение ассоциации REG файлов
>> Модифицированы префиксы протоколов
>> Заблокирована возможность завершения сеанса
>> Заблокирована закладка Заставка в окне свойств экрана
>> Заблокирован доступ к настройкам принтеров
>> Меню Пуск - заблокированы элементы
>> Заблокирован пункт меню Справка и техподдержка
>> Разрешен автозапуск с HDD
>> Разрешен автозапуск с сетевых дисков
>> Разрешен автозапуск со сменных носителей
Проверка завершена
Просканировано файлов: 89547, извлечено из архивов: 36881, найдено вредоносных программ 3, подозрений - 1
Сканирование завершено в 20.05.2010 8:40:27
Сканирование длилось 00:11:38
Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам,
то Вы можете обратиться в конференцию - http://virusinfo.info

Порнографический баннер (Trojan.Win32.Agent2.cqzi): описание и лечение

Новый баннер смс M201017851 на номер 3381

Сервисы кодов разблокировки баннеров на рабочем столе (3pic.com, pornohub.com и др)