Компьютер заблокирован пополнить счет 89096507737
Автор Scorpio 15 Июн 2011 г.
2 Комментариев
Рубрика [ Безопасность, Интернет ]
Принесли компьютер и снова баннер: “ Заблокирован компьютер пополнить счет 89096507737 на 500 рублей”.
Cureit не нашел зловреда. AVZ тоже безрезультатно. Нашел с помощью uVS в темпах пользователя 2k412g23.exe и в папке винды .dll-ку.
В дистрибутивах на глаза попался файл xxx_video.exe весом 25 кб. Что это может быть?
2 Comments к записи “Компьютер заблокирован пополнить счет 89096507737”
Удаляй это тоже зловред. Еще в реестре почисти Winlogon.
xxx_video.exe это дроппер “кодека для просмотра видео” на сайтах определённого содержания.
Запускаешь и получаешь баннер “компьютер заблокирован пополните счет” или что-то похуже.
Вчера такого «пациента» успешно пользовал.
Обошёлся Hiren’s BootCD 14.0. Меняет %systemroot%\system32\userinit.exe и
%systemroot%\system32\dllcache\userinit.exe на своё тело, размещает копию в
All Users\ с указанием в реестре вместо
HKEY_LOCAL_MACHINE\software\Microsoft\WindowsNT\CurrentVersion\Winlogon\Shell=Explorer.exe. Благо, что не вирус, ничего не шифрует и безопасный режим не выключает (хотя грузится и в нём, т.к. стартует вместо проводника), оригинальный userinit.exe переименовывает, а не удаляет.