В этом топике происходит исследование малвари: вирусни, троянов, как их вычистить и тд.

| Сообщение посчитали полезным:

добрый день

поймал в сети это вирус
Pinit.ab .. eset его так называет, помогите избавится

он меняет user32.dll, создает ещё несколько файлов c:\windows\system32\
поудалял все что нашел, но все равно вылазит

2db3_26.08.2009_CRACKLAB.rU.tgz - MarioForever.rar

| Сообщение посчитали полезным:

hack4life пасс забыл указать на архив

-----
Nulla aetas ad discendum sera

| Сообщение посчитали полезным:

Flint, пасс "cracklab"

-----
-=истина где-то рядом=-

| Сообщение посчитали полезным:

[q]все равно вылазит[/q]

Это означает, что вирус записался в автозагрузку (проверить службы WINDOWS NT, XP, реестр, файлы C:\boot.ini, system.ini на наличие подозрительных строк) или же добавился в файлы, запускаемые при старте системы (службы, файлы драйверов, kernel32.dll, user32.dll и.т.д).

Загрузите компьютер с LiveCD. Проверьте наличие файла C:\WINDOWS\system32\user32.dll
Если его нет, то запишите с работающего компьютера.

http://www.threatexpert.com/report.aspx?md5=43a6f707cdc2a0f2e567308c7c 6494c5 <-- описание активности
http://support.kaspersky.ru/downloads/utils/readmeru.txt <-- может быть использование этой тулзы поможет и там написано на какие ключи реестра можно обратить внимание

| Сообщение посчитали полезным:

hack4life пишет:
добрый день

поймал в сети это вирус
Pinit.ab .. eset его так называет, помогите избавится

он меняет user32.dll, создает ещё несколько файлов c:\windows\system32\
поудалял все что нашел, но все равно вылазит


Написан с использованием mfc, сжат Mystic Compressor (по крайне мере, такие строки встретил в коде, но про такой пакер ни разу не слышал)


Заменяет оригинальную user32.dll в двух местах:
C:\WINDOWS\system32\user32.DLL
C:\WINDOWS\system32\dllcache\user32.dll

Делает свою копию:
C:\WINDOWS\system32\cooper.mine

Также делает dll:
C:\WINDOWS\system32\nvrtm.dll

И таким ключом видимо ставит ее на автозапуск:



До этого ключ Appinzt_Dlls был пустым!

-----
Nulla aetas ad discendum sera

| Сообщение посчитали полезным:

Имя файла: MarioForever.exe
Размер: 149 Kb
Date/Time Stamp(GMT): 05.07.2009 13:28:28
--> virustotal.com<--
--> threatexpert.com<--
Файл запакован Mystic Compressor. Написан на C++ c RTL. Вначале копирует себя в файл system32\cooper.mine. Затем копирует оригинальный user32.dll в файл с рандомным именем из букв, затем модифицирует user32.dll меняя всего два байта в строке “AppInit_DLLs” на что то типа “Appinvw_DLLs” после этого во все процессы будет грузится, то что указанно в ключе “Appinvw_DLLs”. Копирует измененный user32.dll в system32\dllcache\.

Оригинал файла легко найти по дате изменения user32.dll. Затем извлекает из ресурсов и сохраняет файл system32\nvrtm.dll.

| Сообщение посчитали полезным:

Друзья!
У меня некоторая беда!
появляется окно s51.radikal.ru/i131/0910/c4/11be1564c9a3.png через какое то время.
Я не имею знаний 99.9 % этого форума. Прошу помощи!
Все возможные загрузочные лечебные диски испробовал.

| Сообщение посчитали полезным:

tuip
Хочу тебя обрадовать. Ловил я эту дрянь (точнее мне ловили, пока я был не за компом). И знакомые мои ловили.

Короче ставь AVZ. Запускай стандартные скрипты номера 2 и 3. Логи закинь мне на мыло или обменник. Всё через личку.

Вот так называется первый файл:
C:\Documents and Settings\<YOUR NAME>\Application Data\CMedia\CMedia.dll
Вот так второй:
C:\Documents and Settings\<YOUR NAME>\Application Data\FieryAds\FieryAds.dll
У второго надо удалить эту CLSID (сразу написан скрипт для AVZ):
begin
DelCLSID('{6B830884-20E3-4AB6-B672-2629F0F72071}');
end.

P.S. Вирь не палится почти ничем. Отправлял трём антивирусным компаниям по почте. Ответа до сих пор нет. Видимо работы у них до фига...

| Сообщение посчитали полезным:

progopis пишет:
P.S. Вирь не палится почти ничем. Отправлял трём антивирусным компаниям по почте. Ответа до сих пор нет. Видимо работы у них до фига...
месяца 2 назад отсылал др.вебу - сказали файлы чистые
PS. коммерческий поймал с лицензионным обновляемым др.вебом на ноуте

| Сообщение посчитали полезным:

obfuskator
Ну один из этих файлов (не помню точно какой именно) уже определяется 40/41 на virustotal, если мне не изменяет память.

А по поводу "файлы чистые". Ну "улыбок тебе дед макар", пускай и дальше ребята работают в этом направлении...

| Сообщение посчитали полезным:

Спасибо progopis!

| Сообщение посчитали полезным:

Скачал с какого-то сайта электронных книг, типа агент, книги не качает зато рекламой задолбал от которой отделатся тяжело, и за отказ от рекламы требует деньги по смс, покрыт аспром, хотел сам поковырять, но надоело импорт восстанавливать, я его у себя удалил, но похоже он все равно что то оставил в системе, кому интересно поковыряйте.

-->http://letitbit.net/download/8402.a81decff57951096c67a0904f/Book_50 80.rar.html<--

-----
Надежда - есть худшее из зол, ибо она продлевает наши страдания.© Ф. Ницше

| Сообщение посчитали полезным:

gena-m
ссылка нерабочая

MasterSoft
Странно, фигня какая-то. Я точно также почистил ссылку от лишнего - не открывалась ни в какую. А тут вдруг взяла и открылась ... Мистика ...

| Сообщение посчитали полезным:

tihiy_grom пишет:
ссылка нерабочая

Пробуй эту: letitbit.net/download/8402.a81decff57951096c67a0904f/Book_5080.rar.html

| Сообщение посчитали полезным:

Залил на другой обменник тоже
--> ifolder.ru/14518614<--

-----
Надежда - есть худшее из зол, ибо она продлевает наши страдания.© Ф. Ницше

| Сообщение посчитали полезным:

gena-m
Слепок реестра не пробовали делать, перед установкой софта( lurkmore.ru/Неведомая_Хуйня) не известного происхождения.. Большинство приложений, вирусов, пакеров и пр. кода имеют отвратительную реализацию(из тысяч лишь единицы можно оценить как не плохой код)
Если отсутствуют базовые понятия, то удалитесь из инетов, вы рассадник заразы, а аверы вам ничем не помогут .

| Сообщение посчитали полезным:

после удаления xorex-a наркрылся доктор веб.не отключается само защита,невозможно перустановить,удавить восстановить,обновить.веб грузит систему почти на 100%.замораживаю в system от него threads его агунте, и все начинает оживать.
как удалить его?кто подскажет?

| Сообщение посчитали полезным:

на вики была статья по ручному удалению, но лучше все же зайти к ним на форум

| Сообщение посчитали полезным:

терпения не хватило,ноут отдал клиенту.сука над душой 2 часа стаяла...нашел drw_remover,а проверить не на чем...

| Сообщение посчитали полезным:

Топик закрыт. Новый здесь: https://cracklab.ru/f/action=vthread&forum=2&topic=15227

| Сообщение посчитали полезным: