Smerig Jan 23 2011 at 17:09

Предлагается для вскрытия свеженький винлокер

1 min

3.1K

Lumber room

+10

Comments 35

agul Jan 23 2011 at 17:15

У меня касперский даже архив скачать не дал.

P.S. Поставьте жене нормальный браузер.

Smerig Jan 23 2011 at 17:16

Надо будет поставить. До этого проблем не было. Антивирус: Microsoft Security Essentials. Кстати, это первый инцидент с антивирусом от МС. И он вирус до сих пор не определяет.

entze Jan 23 2011 at 20:19

Было пару раз, когда каспер и докторвеб еще не определяли заразу, а MSE уже ругался. Как повезет. Симантек вот вообще однажды забил на 100% заразу.

hotach Jan 23 2011 at 19:51

Кстати, кто-нибудь может объяснить, как касперский смог проверить запароленный архив?

Smerig Jan 23 2011 at 20:10

Вот я не знаю, залил на яндекс, так дрвеб так и не смог проверить.

entze Jan 23 2011 at 20:17

видимо в архиве хранится хэш исходного файла необходимый для проверки корректности распаковки и расшифровки, и по нему находится.

gjf Jan 24 2011 at 15:22

Имя файла не паролилось при сжатии, в итого сумма CRC видна — по ней и банится.

Coderr Jan 23 2011 at 17:20

Давайте про каждый %винлокер% писать топики, ага?

У меня Kaspersky не пустил вирус даже, да и IE8 юзать — изврат, скачайте ей Firefox/Google Chrome, и поставьте Kaspersky

-1

Smerig Jan 23 2011 at 17:25

Ну ладно, может кого-то предупредил. Заодно многие будут знать, что антивирь от МС не поспевает немного за свежаком. Да и в персональный блог засунул. Видят не все. На главную попадать естесственно не собираюсь. А больше всего мне хочется, чтобы кто-нибуль разобрался с вирусом. Многие всегда изъявляли желание получить сам вирус и исследовать его.

К тому же, я даже написал, что он делает. Так что, если у кого словится. то уже известно, что удалять и править.

Coderr Jan 23 2011 at 17:27

Я не думаю, что кто-то на хабре будет ставить антивирус от МС, обычно ставят kaspersky, и вообще, во избежание бед, поставьте жене linux, к примеру, Ubuntu, ей будет не сложно перейти после винды, да и всякие винлокеры не будут мешать ;)

-13

jeje Jan 23 2011 at 17:32

Я вижу вы просто авторитет, говорите за всех. А касперский у самого не палененький случайно?

Coderr Jan 23 2011 at 17:46

Я не говорю за всех, я высказываю свое мнение.

Нет, не палененький 30-дневный триал.

-5

jeje Jan 23 2011 at 17:49

Что после 30ти дней будете делать? Security Essentials бесплатен, Avast Home, Avira Home бесплатны. Но многие продолжают настаивать на касперском — вот дела. И да нет никакой панацеи, и нет лучшего, все обновляют базы по мере возможностей икричать, что кто-то лидер в этом деле — глупо

Coderr Jan 23 2011 at 17:52

Я считаю, что есть несколько хороших антивирусов, один из них — касперский. поверьте, ради безопасности мне не жалко купить лицензию. Да и виндой я пользуюсь редко, обычно на линуксе, там антивирус не нужен ;)

-10

AmoN Jan 24 2011 at 09:06

Понедельник станет для тебя днем открытий, но антивирус от MS — да же очень хорош, а по потреблению памяти он стоит на одном уровне с Nod32. Так что это действительно достойный антивирус.

kurd Jan 23 2011 at 20:08

Каждые 30 дней, 30-дневный триал да)

make_luv Jan 23 2011 at 17:58

как раз пользователям хабры антивирус от мс наиболее показан, т.к. аудитория в основном тёртая, левые ссылки не щёлкает, список процессов в диспетчере задач наизусть помнит и в антивире по большому счету не нуждается, а антивирус от мс в силу своей ненавязчивости и нетребовательности к ресурсам в данном случае оптимален. И, кстати, локеры умеют блочить ФФ, лично видел. И вот еще вопрос, вы линукс кроме убунты какой-нибудь знаете?

grcool Jan 23 2011 at 18:58

Я лучше вирусов побольше накачаю, чем касперского поставлю.

Trotil Jan 23 2011 at 17:21

www.virustotal.com
Поиск по хэшу: 714a522266d3c9b8acd134ccf4b5ec57
Даёт 5 из 43.
Причём DrWeb и Касперский видят этот блокировщик.

olololog Jan 24 2011 at 03:22

Уже 7.
www.virustotal.com/file-scan/report.html?id=e91f847b5a07eae1217c3bb71900e2b12af7334979bf5547f283a2e22538a9ae-1295828395

AmoN Jan 24 2011 at 09:10

Приятно, что и антивирус Comodo среди них. А то какой обзор не почитай, фаерволу равных нет, а антивирус ругают на лево и право.

-1

ldv290384e Jan 23 2011 at 17:57

А давайте все отправим по одной смке на указанный номер? тупо через сайт билайна ;)

UFO just landed and posted this here

ldv290384e Jan 23 2011 at 23:03

может и нет, но dos номера не отменяется =)

NYMEZIDE Jan 23 2011 at 19:04

Жду тему «Предлагается для вскрытия автор свеженького винлокера».

LMaster Jan 23 2011 at 19:06

Упакован UPX'ом. Написан на VB. Автозапуск через ключ Winlogon\Shell при помощи батника (и батник и троян лежат в %windir%).

Smerig Jan 23 2011 at 19:17

Сначала, когда читал стринги, тоже увидел, что он на VB написан. Но кроме этого еще в стрингах есть код на паскале. Так же прописаны пути к делфи и есть списки компонент делфийских.

LMaster Jan 23 2011 at 19:37

Запускает сам себя же с флагом CREATE_SUSPENDED, пишет в новый процесс некоторые данные и вызывает ResumeThread();

Smerig Jan 23 2011 at 19:22

Кстати, есть дамп памяти. Могу тоже залить, если кому-то нужно.

plin2s Jan 23 2011 at 20:17

Попробуйте поставить www.mlin.net/StartupMonitor.shtml и домочадцев научите жать «нет»
Маленькая програмка, которая контролирует добавление файлов в автозапуск, способна отсеять 98% блокеров.

Smerig Jan 23 2011 at 20:33

Спасибо, гляну :)

bondbig Jan 23 2011 at 20:19

А моя жена пользуется linux'ом, чему я несказанно рад. Linlocker'ов пока в природе не существует, к счастью.

entze Jan 23 2011 at 20:21

Когда поставите Касперского 2011 — выполните «поиск уязвимостей» и закройте все дырки.

-2

gjf Jan 24 2011 at 16:44

Что бы хотелось сейчас: т.к. я не умею делать вскрытие файлов, прошу кого-нибудь исследовать винлокер, а после написать интересный топик на хабре :)

Упакован UPX. Написан на Visual Basic 6, поэтому требует наличия библиотеки MSVBVM60.DLL. Анализ ресурсов файла создаёт впечатление, что происхождение вируса — Тайвань, однако это может быть недостоверно.
Распакованный файл на момент написания детектился эвристически, имеет сигнатурный детект продуктами Касперского как Trojan-Ransom.Win32.PornoCodec.bl.

Предсталяется как архиватор WinRar:

publisher....: Alexander Roshal
copyright....: Copyright © Alexander Roshal 1993-2010
product......: WinRAR
description..: WinRAR archiver
original name: WinRAR.exe
internal name: WinRAR
file version.: 3.93.0

Цифровой подписи нет.

Всё остальное уже рассказал автор: после запуска создаёт копию себя в %Windir%\nvcvc32.exe, создаёт %Windir%\RUNDLL.BAT. Модифицирует следующие ветки реестра:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run

подменяя путь к explorer.exe на батник. Кстати, добавление выполняется через комнаду

reg add HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon /v Shell /t REG_SZ /d EXPLORER.EXE %WINDIR%\RUNDLL.BAT /f

Также запускается через winlogon:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

 o Shell = EXPLORER.EXE %WINDIR%\RUNDLL.BAT

Cоздаёт ещё такой параметр:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]

 o wininet = ".exe"

Никакой сетевой активности не проявляет.

По винлокерам писать отдельный топ имхо нет смысла — там мало чего интересного: запустить прогу, прописать её в куче автозагрузок, самой прогой заблочить возможность работы в системе.

Smerig Jan 24 2011 at 19:18

Ок, спасибо :)

Могу поделиться, как я от него избавился даже не перезагружая комп. Запустил больше сотни диспетчеров задач (по одному вирус их убивал). Система стала подвисать, через меню диспетчера (Alt + стрелки) выбрал показать окна каскадом. Т.о. получил доступ к десктопу. Ну а дальше дело техники и спец софта.

Show the best of all time