Antivirus 2009 - это вирус или ... ?

[KANT]

Поведаю такую историю. С месяц назад или чуть дольше, как-то в Рамблере,что-то искал. Нажал на ссылку и оба-на меня перекинули на неизвестную страничку,где незамедлительно вылезло предложение просканировать мой комп на предмет вирусов! Я изучив это предложение решил вежливо отказаться и закрыть окно,но кнопика Выход не было! Пока размышлял, началась загрузка чего-то на мой комп, закрыл просто окно браузера и всё. Опять Рамблер,клик по ссылке и опять двадцать пять! Проверим ваш комп на вирусы! Опять закрыл окно. И стал смотреть в Рамблере,что под ссылкой указано, на какую страницу меня должны отправить и куда попадаю. Оказалось,что я ищу одно а адрес страницы вообще к этому отношения не имеет.

В общем "подлые змеи" начали охоту уже не на любителей "клубнички" а на мирно пасущихся на просторах инета граждан! :D

А пару дней назад звонит мне знакомый и говорит,что словил,что-то непонятное. Вроде как какой-то антивирус,но на компе начался бардак. И окно закрыть не может,где эта гадость себя показывает и инет толком не работает и т.д.

Объяснил как всё началось и я догадался,на что он попался. Пошёл бороться с этой нечистью.

При загрузке компа вылазит на рабочий стол окно,где написано,что это Antivirus 2009 и начинает сканировать комп -быыыстро так :D Находит аж 18 троянов и прочей дряни! Предлагает вылечить,но надо зарегистрироваться на сайте и дать ему денежку!!! :D :D

На компе стоял просроченный антивирус, толку с него было мало. Работать в данной ситуации было не реально, всё буквально зависало.

Загрузился с LiveCD с операционкой Виндовс. Запустил с него Каспера и просканил папку Windows. Он нашёл мелкий троян и всё! В папке с програмными файлами тоже ничего не нашёл. Весь комп не сканировал,слишком долго получалось.

Каспер оказался на диске без лицензии и попросился зарегиться на сайте. Решил активировать пробную версию,но с Лайв СД это сделать не удалось.

Запустил Dr.WEB с того же диска, в папке Windows он нашёл такую заразу FAKEALERT 991 ! Ну надо же как извратиться в названии! :D

Доктор удалил эту гадость. Больше ничего не нашёл. Я уже подумал,что это именно оно и было и загрузил ХР. Фиг вам! Вылезло опять это окно и начало сканировать комп и опять куда заразы типа у нас на компе.

Но уже после сканирования смог закрыть окно и полазить по кмпу,виснуть он перестал. Запустил Reg Organaizer , в автозагрузке он показал такую заразу - 54733838398762337838 это вроде как название файла,дальше путь где она скрывается. Удалил из автозагрузки. Потом в Program Files обнаружил папку Antivirus 2009 в ней всего один файл в виде рисунка щита. Тупо удалить папку не получилось.

Органайзером прогнал весь реестр с названием этой гадости,нашёл одну ссылку и удалил.

Загрузился в Безопасном режиме и уже тогда удилил из Програмных файлов папку с этой дрянью.

Загрузил ХР и вроде жизнь наладилась! :) Всё заработало,ничего не висло,но винт работал странно,постоянно ёрзал как будто к нему постоянно обращались,но действий ни каких не было. Решил скачать Каспера на месяц и просканировать. Подключились к сети и набрали адрес Каспера. Результат - ФИГ ВАМ а не Каспера! :bye1:

Нет страницы! Ну думаю сервак перегружен,надо к Доктору сходить. Тоже самое!!! Нет страницы!

И все офф. сайты антивирусов оказались не доступны!

Эта дрянь хоть частично и удалилась,но оставила такие вот мины.

А товарищ её словил когда полез на институтский сайт посмотреть расписание! Его просто перекинуло на другую страницу и он не поняв ситуации успешно дождался когда эта хрень к нему установится.

Я так понял,что это ловушка для ... ну в общем и так понятно, засажывают на чистенький комп этот типа антивирь, сканируют комп (делают вид,что сканируют) и выдают массу угроз! Чел в панике начинает суетиться,мол куда мои антивири смотрели,за что бабки уплачены! Порву всех! А комп действительно виснет, при чём он виснет когда пытаешь не дать отсканировать. Чел в панике начинает связываться с сайтом заразы и платит им,чтобы они обезопасили его.

В общем лохотрон.

Вот такая грустная история. А решилась просто, восстановил образ из Акрониса и всё!

А чего тогда ковырялся? Просто интересно было. :)

Изменено 27 января, 2009 пользователем KANT

[ТроПа]

Да это лже-антивирус. Их целая серия. Их выбить в общем-то легко, при помощи антивирусных утилит. Для этого можно использвовать АВЗ, но тут нужно уметь логи АВЗ анализировать, т.к. он показывает в логе эту заразу, а автоматом не удаляет. Если анализировать не умеете, то для этого можно использовать Malwarebytes Anti-Malware, она в автоматическом режиме при сканировании выносит эту заразу и ей подобные.

Изменено 25 января, 2009 пользователем wise-wistful

[sar_64]

KANT: Если не секрет, каким браузером пользуешься? Интересно, зависит это от браузера или все туда попадают.

[DJFlint]

KANT: Если не секрет, каким браузером пользуешься? Интересно, зависит это от браузера или все туда попадают.

По опыту - от браузера не зависит.

[KANT]

sar_64:

Что я, что товарищ Лисой пользуемся. Но скорее всего действительно от браузера не зависит. Хотя в браузере есть настройка " Предупреждать о перенаправлении сайта на другую страницу или перезагрузку страницы" но насколько это эффективно не знаю,кажется всё равно перебрасывает.

Спасение одно, или закрыть сразу браузер,вырубить инет или Ресет.

[akoK]

KANT: а когда "авральные" апдейты под окна качались?

[KANT]

akoK:

а когда "авральные" апдейты под окна качались?

По определённым причинам у меня на ХР был только SP-1, иногда устанавливал заплатки,но не скажу,что регулярно. Да собственно меня Бог миловал за 6 лет пользования инетом ничего серьёзного и не ловил,так мелочь всякую которая и не вредила особо-то. Лечил подручными средствами.

А вот товарищ вообще в этом деле ноль,так,что он вообще не занимается безопасностью.

[akoK]

KANT: просто по некоторым признакам был подхвачен Net-Worm.Win32.Kido

Нужно обязательно поставить

http://www.microsoft.com/technet/security/...n/MS08-067.mspx

http://www.microsoft.com/technet/security/...n/ms08-068.mspx

http://www.microsoft.com/technet/security/...n/ms09-001.mspx

[KANT]

akoK:

просто по некоторым признакам был подхвачен Net-Worm.Win32.Kido

Так wise-wistful: дал уже ссылку на страничку антизаразы, там точно указано,что было подхвачено - Trojan.FakeAlert. Я в своём первом сообщении про эту дрянь и упоминал,что её обнаружил Dr.WEB.

[akoK]

Подключились к сети и набрали адрес Каспера. Результат - ФИГ ВАМ а не Каспера!

Нет страницы! Ну думаю сервак перегружен,надо к Доктору сходить. Тоже самое!!! Нет страницы!

И все офф. сайты антивирусов оказались не доступны!

Это не я написал :rolleyes:

Это один из признаков этого червя

Net-Worm.Win32.Kido.fx

[KANT]

akoK:

Не исключаю,что на компе было два вируса :rolleyes:

[ТроПа]

Да, не исключено. Бывет, в логах наблюдаю совместно с Antivirus 2009 других врагов. Они вообще не любят ходить только по одному, разве что последний червь, который kido, только его в логах и видно, больше никого.

[Pili]

Antivirus 2009 и подобные (напр. AntivirusXP) обычно ходят вместе с TDSSserv (он тоже блокирует антивирусные сайты и ещё редиректит обращения к google), если патчи не стояли, то возможно ещё и kido :bye1:

[Griffon Master]

Хотел эти апдейты себе поставить - не ставятся.Комп чист,вирусов нет,а жд ещё не восстанавливал,т.к. места нет.3 дня уже жду,никак не привезут.

[Pili]

Хотел эти апдейты себе поставить - не ставятся

Или апдейты не для вашей системы выбираете или система с SP1, на ней эти апдейты не встанут, нужно SP3 или хотя бы SP2

[Loader]

По опыту - от браузера не зависит.

не спорю, но у меня стоит NoScript в лисице. Думаю если что поможет....