Strona używa cookies (ciasteczek). Dowiedz się więcej o celu ich używania i zmianach ustawień. Korzystając ze strony wyrażasz zgodę na używanie cookies, zgodnie z aktualnymi ustawieniami przeglądarki.    X

Live Essential Platinium i UKASH. Podejście pierwsze

i ostatnie miejmy nadzieję.

Ostrzeżenie. Wpis powstał pod wpływem emocji.

Prolog czas zacząć

Wpis ten powstał w wyniku spotkania z pewnym gościem, który zawitał nie wiedzieć czemu do mojego, jakże znienawidzonego, wróć ukochanego systemu od firmy Redmont. Dokładniej do Windows 7 w wersji 32 bitowej. System legalny, antywirus też (THX Dobreprogramy za Trustporta), więc obecność mojego koleżki była podwójnie niespodziewana. Jedyne co wskazywało na jego obecność była aktywność antywirusa. Nie wiedzieć czemu antywir wywalił ładne okienko, czy ma zablokować niezidentyfikowany program. Dałem blokuj raz, drugi i kolejny. I mam spokój. Plik nosił nazwę 2vs2.exe i znajdował się w folderze AppData\Local\Temp.
Po za tym znajdowały się tam jeszcze dwa pliki o wiele mówiącym rozszerzeniu TMP. Pierwsza myśl. Coś tu nie gra, ale Trustport regularnie rzuca takimi dymkami. Więc myślę, że sprawdzę ten pliczek. Skaner mojego Trustporta sprawdził raz, drugi, dziesiąty. Pusta, zwykła aplikacja. Więc ekspresowo gonię na VirusTotal. Wrzucam mój pliczek, błyska kolorowy paseczek postępu i zaraz wyskakuje raport.

6/49 silników wykryło, że coś tu nie gra. Dziwne, zwłaszcza, że jedynym bardziej znanym z nich był Kaspersky. Potem chwila spokoju. Ponowne uruchomienie kompa. Wyskoczyła chmura dymków. Z głupoty (własnej, a jakże mea maxima culpa) kliknąłem przepuść. Nie zauważyłem tego. Monitor mignął ze dwa razy imoim oczom ukazał się ON.

Wirus,tak to on

Wielki baner, screena nie mam. Właściwie jedyna działająca cześć systemu był przycisk dalej. Baner informował, że dla ochrony przed zagrożeniem zablokował mi kompa. Klikam przycisk dalej, a tam znajoma skąd niekąd prośba o kod UKASH lub PayPal. Coś tu mi nie gra

  • Który AV każe sobie płacić. FAŁSZYWY AV
  • Skąd u licha u mnie antywirus MSE. Jak, ja tego chłamu w życiu nie zainstaluje. FAŁSZYWY AV
  • Kto rząda kodu UKASH. FAŁSZYWY AV

Trochę nerwów później. Recepta

Po dłuższej chwili nerwów wykombinowałem (dzięki poradnikowi z cert.pl), jak go wywalić. Najpierw restart i wybór jedynego właściwego i zawsze działającego (za wyjątkiem chwil, gdy nie działa) systemu Pear OS. Dla nie znających go dorzucę, że to całkiem udana modyfikacja Ubuntu. Może nie jest odkrywcza, ale działa, na medal. Potem ściągnąłem i rozpakowałem pakiet SysInternals Autoruns stąd. Pobrany zip należy wypakować na Pendrive. Jak ktoś nie ma linuxa to radź sobie i szukaj innego kompa. Potem kolejny reset odpalenie Windowsa z obsługą terminala. Wróć. Wiersza poleceń (nazwanie windowsowego cmd terminalem to bzdura. Nawet sh ma bez dodatków większe możliwości). Należy to zrobić naciskając wściekle przycisk F8 przy starcie systemu. Dalej jest z górki. Wybieramy strzałkami i zatwierdzamy właściwy tryb. A voile`a. Następnie wkładamy pendrive do właściwego otworu (wierzcie mi niektórzy wsadzają pendrivy do różnych dziwnych miejsc. Mam na myśli oczywiście Ethernet. ). I wpisujemy w to czarne okienko po kolei

wmic logicaldisk get caption,volumename

Potem wyskoczy lista dysków. Odszukujemy nasz pendrive.

X: X - litera oznaczająca nasz pendrive. Autoruns.exe

Pojawi się okienko. Wybieramy options -> Filter Options -> Hide Microsoft Entry i odptaszamy tą opcję. Potem wchodzimy w zakładkę Logon i/lub Schedule Task i odszukujemy dziwnie wyglądające procesy. Tj. taki, które w image path mają folder AppData lub ProgramData lub mają w nazwie losowo wybrany ciąg liter i cyfr zakończony .exe lub .EXE. U mnie był w Logon pod koniec. Na obrazku oznaczyłem interesujące nas rzeczy. Jeśli znajdziemy taki proces odznaczamy go w miejscu oznaczonym 3. Potem restart systemu. Odpalamy sprzęt normalnie. Wszystko działa. Ale czy na pewno. Pobieramy z tego portalu Malwarebytes Anti-Malware Free i po instalacji w wersji darmowej przeprowadzamy szybko skan. Później postępując zgodnie z komunikatami kulturalnie wywalamy gościa z systemu. Później warto przeskanować system jeszcze jeden raz. U mnie za pierwszym razem przegapił jeden plik. I po resecie dla pewności jeszcze jeden. A co. Do tego polecam skorzystać z HijackThis i jakiegoś renomowanego skanera online. Np. Kaspersky`ego i skanerem SuperAntiSpyware dla pewności (ten ostatni pięknie czyści pliki cookie, które mimo,że bezpieczne to jednak przypominające w internecie tarcze strzelecką dla reklamodawców)

1. Image Path
2. Zakładka (tutaj tylko Logon)
3. Pole do odptaszenia dziwnego procesu
4. Opcje
5. Po resecie ten przycisk usunie nam kompletnie wirusa z autostartu

Dziękuje za uwagę. Może i skrypt w OTL na forum byłby krótszy i ładniejszy niż ten wpis, ale czyż nie lepiej pewnych rzeczy zrobić samemu.

PS. Słowo wirus w tym wpisie to tylko skrót myślowy. Powinienem pisać Ransomware lub Malware, ale który Kowalski wie, co te pojęcia znaczą ręka w górę.  

windows bezpieczeństwo porady

Komentarze

0 nowych
Frankfurterium   9 #1 18.08.2012 14:57

Nawet jako skrót myślowy określenie "wirus" osobom nieco bardziej zorientowanym nie powinno przechodzić przez gardło. To jakby każdego, kto ma kłopoty z prawem (złodziei, zalegających alimenciarzy, ludzi przekraczających prędkość), dla uproszczenia nazywać gwałcicielem albo mordercą, bo wszyscy, nawet przybysze z kosmosu, wiedzą kto to.

Można to zgrabnie i mało technicznie nazwać złośliwym oprogramowaniem. No chyba że to coś rzeczywiście ma zdolność autoreplikacji i przenoszenia się drogą cyferkową.

Semtex   17 #2 19.08.2012 15:22

Czy masz jakieś podejrzenie gdzie mogłeś złapać tego syfka?

  #3 21.08.2012 09:58

Witam Sam przeszedłem atak złośliwego oprogramowania UKASH, Aplikacja zablokowała komputer i wyświetliła że Film pobrany jest skradziony i że jeżeli nie zapłacę to komornik się ta sprawą zainteresuje.
ale co najciekawsze strona wyglądała jak by była przygotowana perze pewne ministerstwo zawierała Flagę naszego Państwa i Godło, Za podszywanie się grożą niezłe kary gdyż posiadam znajomego prawnika.
Blokada wyglądała następująco: http://www.openservice.waw.pl/images/ukash2.jpg , By usunąć aplikacje wystarczy z poziomu Trybu awaryjnego wyłączyć podejrzana aplikację a autostartu. I następnie z poziomu systemu windows przeskanować AV (polecam avirę). Ps. Program znajdował się w filmie z 1998 który już był publikowany przez TVP

NRN   9 #4 27.08.2012 12:46

@luk7 (niezalogowany), "Za podszywanie się grożą niezłe kary gdyż posiadam znajomego prawnika.". Za nielegalnie pobierane filmy grożą jeszcze większe kary, mimo, że masz znajomego prawnika :D

@Demagog, ja przebiłem się przez DenyAccess, który zainstalował się razem z 3 paskami dodanymi "gratis" do legalnego klienta jakiejś gry online u znajomej. No tyle syfu co wtedy jeszcze zdalnie nie wywalałem. O dziwo, o ile koleżanka nie mogła nic zrobić, jakimś cudem mi się udało obejść zabezpieczenia tego dziwactwa :D Ciekawe...

Axles   16 #5 27.08.2012 13:41

To skoro można ten syf wywalić spod trybu awaryjnego to po co tyle kombinowania co autor opisywał?

  #6 28.08.2012 01:29

@luk7
Nie wiem, czy zauważyłeś, że orzełek w godle NIE MA KORONY, czyli pochodzi z czasów PRL-u..? Jakieś chińskie/ukraińskie pajace to przeoczyły!!!

  #7 04.11.2012 15:19

USUNĄŁEM WSZYSTKO ZGODNIE Z POWYŻSZĄ INSTRUKCJĄ I G......... DALEJ SIEDZI..