Эпидемия Trojan.Winlock и ее реальный масштаб

[Winny 10]

Русток? Не упоминайте всуе Эпидемия? Да. Наблюдается в основном в паре разделов форума др.веб от любителей CP и скачать фильм за пять секунд.

Набрал в гугле trojan winlock - получил 587000 ссылок.

Это всё на форум DrWeb?

Вы им льстите...

OF

А не могли бы Вы всё-таки сделать, чтобы RKU не пристреливался на взлёте троем Trojan.AuxSpy (по терминилогии DrWeb)?

А то я как-то привык пользоваться RKU, а тут такой облом.

[Burbulator 146]

Кстати, кто не в курсе- типа "эпидемия" куда то испарилась... Причем еще в начале недели. Что же произошло то? Может перестанем уже обсуждать прошлое? А посмотрим что нас ждет дальше.

Только что зашел в раздел "Борьба с вирусами" у ЛК: из 25 тем на первой странице не менее 9-ти посвящено отправке смс. Эпидемии не было или кому-то проще ее игнорировать ?

[Valery Ledovskoy 1082]

Зачем Dr. Web «заказал» операторов и агрегаторов?

Правильный вопрос такой: кто заказал эту статью. Столько в ней чуши. Никто никого не заказывал, а даже начал сотрудничать.

Кто человек, который "это" написал?

Конечно, на широкую нашу пропаганду должна была появиться хоть одна подобная статья. Хотя бы на каком-нибудь хабре.

Кстати, если почитать комменты к "этому", то можно увидеть, что множество людей с автором не согласны.

Почему-то те же самые якобы ущемлённые операторы и агрегаторы в центральных изданиях пишут про сотрудничество с нами. А отрицательных эмоций по поводу нас в центральных изданиях нет.

sww, так сколько всего компьютеров по вашей статистике было заражено Ransom в январе (по вашей терминологии)? И ещё вопрос. Все ли блокировщики Windows у вас детектятся так?

У нас иногда оно детектится как Trojan.Muldrop.

Остальные все измышления - мусор, не заслуживающий внимания. Статистики от вас так и нет по блокировщикам.

Кстати, кто не в курсе- типа "эпидемия" куда то испарилась... Причем еще в начале недели. Что же произошло то? biggrin.gif Может перестанем уже обсуждать прошлое? А посмотрим что нас ждет дальше.

Это слишком просто - "испарилась". Для этого было потрачено немало усилий, хотя некоторые немаленькие, и при этом всё равно гордые компании этого не признают.

Действительно, наблюдается спад. Хотя в отдельные дни (например, 4 февраля) был локальный всплеск. Но если в январе эти всплески были до 130.000 детектов в день (с нескольких десятков тысяч), то 4 февраля - до 19.000 с нескольких тысяч в сутки. По количеству обращений в техподдержку эти всплески тоже хорошо видны.

Тема помирает.

Winlock? Аминь.

Может быть, да. А может быть, это перегруппировка. Сложно что-то определённое сказать. Возможно, будет оплата не SMS-ками, но там тогда доход у злоумышленников будет меньше (ибо тех, кто получает доход с SMS-ок начали потихоньку прижимать, а другие способы передачи денег от жертв априори менее эффективные), но при этом распространённость блокировщиков может быть больше (возможны попытки покрыть больше компьютеров, чтобы деньги отправлял хоть кто-то - через WebMoney там или карточками какими-нибудь, как автор Trojan.Encoder).

Может быть просто один АВ не может защитить от винлока, а второй может?

Ок, другой антивирус (не Dr.Web) защищает от Винлоков. Но он же для этого детектит попытку заражения? Такая статистика на их сервера не отправляется? Не аргумент.

[Danilka 678]

Burbulator

Дату создания тем также стоит смотреть, это так к слову.... Если у одного вендора эпидемия, а у остальных ее нет, в чем причина? Что из этого следует?

[Burbulator 146]

Burbulator

Дату создания тем также стоит смотреть, это так к слову.... Если у одного вендора эпидемия, а у остальных ее нет, в чем причина? Что из этого следует?

неужели на первой странице висят темы открытые еще в 2009 году?

P.S. большинство тем создано вчера или сегодня, одна 30 января. На что еще нужно посмотреть?

[Danilka 678]

Это слишком просто - "испарилась". Для этого было потрачено немало усилий, хотя некоторые немаленькие, и при этом всё равно гордые компании этого не признают.

Так это все известно. Но, эти усилия потратила не одна компания. И тем более не одна АВ компания.

Ок, другой антивирус (не Dr.Web) защищает от Винлоков. Но он же для этого детектит попытку заражения? Такая статистика на их сервера не отправляется? Не аргумент.

http://www.kaspersky.ru/news?id=207733172 что то я тут не вижу ничего эпидемиологического..

[Burbulator 146]

Danilka

а в какие месяцы 2009 года Trojan-Ransom попадал в 20-ку по рейтингу ЛК?

[Danilka 678]

неужели на первой странице висят темы открытые еще в 2009 году?

P.S. большинство тем создано вчера или сегодня, одна 30 января. На что еще нужно посмотреть?

9 тем - это эпидемия? Вы не учитываете тот факт, что человек мог заразить ПК раньше, а обратиться сейчас+ нужно не просто глядеть на даты первого топа но и на остальные моменты. Но все равно- 9 тем- это слишком мало. Я знаю статистику своего раздела и могу оперировать данными. Поэтому все это не показатель чего либо.

Лучше на ВИ зайдите, там статистика есть. И все там видно..

Danilka

а в какие месяцы 2009 года Trojan-Ransom попадал в 20-ку по рейтингу ЛК?

Я не знаю- мне все равно. Если интересно- посмотрите сами.

[Burbulator 146]

Danilka

вы писали, что в 2009 году было несколько эпидемий Trojan-Ransom. Под эпидемией вы признаете только топ-20 ЛК. Я его там не нашел, поэтому прошу помочь найти месяцы эпидемий

[Danilka 678]

Burbulator

Эта статистика: http://www.kaspersky.ru/news?id=207733172 показывает одно - меньше 30000 пользователей продуктов ЛК у которых включен KSN заразись или качали блокеры.. Выводы делайте сами..

Danilka

вы писали, что в 2009 году было несколько эпидемий Trojan-Ransom. Под эпидемией вы признаете только топ-20 ЛК. Я его там не нашел, поэтому прошу помочь найти месяцы эпидемий

Это гдей то я такое писал? Ссыль можно....

[Winny 10]

Winny

Может быть просто один АВ не может защитить от винлока, а второй может?

Ну, раз Вы так подставились, то грех этим не воспользоваться.

Может быть Вы и правы, но это не повод отрицать эпидемию.

http://forum.sape.ru/showpost.php?p=712339&postcount=5

Код - РАЗВОД! толку от него - ноль!

Фишка в том, что после ввода кода

(код я не покупал, а позвонил с претензией в "Каспер", типа у меня лицензия KIS, а тут - такая хрень. КСТАТИ, они знали об этом, и никого не проинформировали по почте.)

пропадает сообщение, а не ВИРУС! На следующий день - история повторяется!!!

Кстати, ПЕРВЫЙ РАЗ за два года работы с KIS, хочется сказать, что этот, KIS 2010 - лажа, т.к.

после получения кода я, естественно, проверил в "жестком" режиме весь комп. В итоге - "вирусов = 0 заражений =0 подозрительных программ =0". Понимаете??? А на следующий день история повторилась, звоню в офис - они молчат.

Далее из службы поддержки KIS мне выслали супер-пупер прогу, которая работает в safe mode и убивает всё подрят. Запустил я эту прогу. Включил проверку. Итог: вирусов = 0 заражений =0 подозрительных программ =0.

Вечером включил комп - а экране красивая менюшка "Вы заражены....ля-ля-ля...отправьте sms".

http://forum.sape.ru/showpost.php?p=712366&postcount=10

Цитата:

Сообщение от Vladek

Dr.Web CureIt!

Честно говоря, я после этого задумался о смене антивирусника,

НО!!

с Каспером это впервые, так что не знаю - судить его или нет?

Планировать установку дополнительного антивирусника?

p/s

этот самый CureIt попутно нашёл у меня ещё два трояна. Неужели KIS - такой "дырявый"?

Ещё поискать или не надо?

[Burbulator 146]

Это гдей то я такое писал? Ссыль можно....

30.12.2009 17:24

В течение 2009 года эксперты «Лаборатории Касперского» зафиксировали несколько эпидемий троянцев-вымогателей класса Trojan-Ransom. По словам специалистов компании, на данный момент отмечается новый всплеск активности этих зловредных программ.

http://forum.kaspersky.com/index.php?showtopic=151520

[Valery Ledovskoy 1082]

Если у одного вендора эпидемия, а у остальных ее нет, в чем причина? Что из этого следует?

Вот и я хочу выяснить, что из этого следует. ЛК статистику по Ransom, например, никак не хочет давать.

что то я тут не вижу ничего эпидемиологического..

И не увидите. В сумме Ransom, предполагаю, много, но ни одна из модификаций до топа не добралась. У нас тоже одна из модификаций только добралась до 20-го места. Но, видимо, той записью детектится несколько больше одной модификации.

показывает одно - меньше 30000 пользователей продуктов ЛК у которых включен KSN заразись или качали блокеры.

Нет, неверный вывод. Та же ошибка, что и у Сергея Ильина, и у sww.

Правильно так: менее 30 000 пользователей заразились наиболее распространённой модификацией Ransom. Но дело в том, что каждый день появляются новые модификации (чтобы противодействовать антивирусам), и самая распространённая модификация Ransom за январь не дотянула поэтому до 30 000. Из-за того же, что модификаций Ransom очень много, общее количество заражённых всеми модификациями компьютеров может быть весьма велико. Вот мне и интересно, сколько это компьютеров по статистике ЛК (всего заражённых всеми модификациями Ransom за январь)?

[Danilka 678]

Burbulator

Это вопрос не ко мне, а к тем, кто составлял эту новость. Я говорю исключительно за себя. Повторюсь, что это нельзя назвать эпидемией, как с тем же KIDO.

Winny

Оставьте эти ссылки для себя- это все не показатель. Можно писать что угодно и где угодно- но это не отражает реальное положение дел.

Valery Ledovskoy

Валера, а Вы правы.. Я как раз этот момент то и упустил. Спасибо за намек. Тогда согласен с Вами- в сумме, может быть и больше. Да, нужно смотреть статистику по конкретному семейству, потом уже идти далее.

[kvit.v 45]

Winny

Может быть просто один АВ не может защитить от винлока, а второй может?

второй - это как показывает практика сайт Доктора с номерами...

[Danilka 678]

kvit.v

Речь шла вообще не о Dr.Web или ЛК. Это просто рассуждение. И на месте первого и второго может быть любой АВ. Не надо тут никчемные эти намеки писать.

[kvit.v 45]

kvit.v

Не надо тут никчемные эти намеки писать.

причем тут намеки, я говорю о реалиях, когда мне звонят знакомые... во всех случаях помогах сайт Доктора с номерами, сейчас кстати звонков стало меньше, а были времена когда один человек в день ловил по паре разновидностей...

[Андрей-001 1099]

Эта статистика: http://www.kaspersky.ru/news?id=207733172 показывает одно - меньше 30000 пользователей продуктов ЛК у которых включен KSN заразись или качали блокеры.

Маленькая поправочка по "Рейтинг вредоносных программ, январь 2010"

К винлокам также относится Packed.Win32.Krap. - 38944 (это тот, что делает быстрый скан от "лица" Internet Security, блокирует всё что можно и в некоторых случаях "гасит экран").

Он же часто "сотрудничает" с Trojan-Dropper.Win32.Flystud. - 35883. Во всяком случае у меня было несколько таких случаев, когда на разных компах разных юзеров были только эти двое. Последний случай только вчера, скрины делать не стал, т.к. уже это "дело" неново.

[Danilka 678]

Андрей-001

Его версия Packed.Win32.Krap.w

[Андрей-001 1099]

Его версия Packed.Win32.Krap.w

Да. На предыдущих моих скринах именно буковка W стоит. Спасибо за пояснение.

А что в таком случае означает буква L у "крапа" в "Рейтинг вредоносных программ, январь 2010"?

[Danilka 678]

Андрей-001

Я не могу сказать ничего про него, не сталкивался, но Dr.Web его детектит как Win32.HLLW.Autohit.3438- может представители Dr.Web расскажут.

[SDA 750]

Зайдите сюда и почитайте http://virusinfo.info/forumdisplay.php?f=46 90% обратившихся с заражением WinLock. "Нормальными" троянами, почти не заражаются Я думаю ЛК это неинтересно, потому что масштаб распространения локеров - это Россия и Украина и конечно не корпоративные пользователи. Делайте выводы.

[Андрей-001 1099]

масштаб распространения локеров - это Россия и Украина

А Казахстан? Мне знакомые из Астаны тоже жаловались.

Зайдите сюда и почитайте http://virusinfo.info/forumdisplay.php?f=46 90% обратившихся с заражением WinLock

Прочитал за 1 минуту. Ничего нового для себя не нашёл. Скупо и неинтересно.

но Dr.Web его детектит как Win32.HLLW.Autohit.3438

Кажется это не тот.

Win32.HLLW.Autohit.3438 (Dr.Web) - это Worm.Win32.AutoIt.jp (ЛК) - это W32.Harakit (Symantec)

Похоже в http://www.securelist.com/ru/descriptions/12317912/ вкралась ошибочка. Кто там поближе, сообщите, чтобы поправили.

С сравнении с http://www.securelist.com/ru/descriptions/...d.Win32.Krap.ag точно ошибочка, т.к. написано же "Другие модификации".

Описание - точно для winlock-ransom.

[SDA 750]

Прочитал за 1 минуту. Ничего нового для себя не нашёл. smile.gif Скупо и неинтересно.

А что тут должно быть? Мега -бетселер " Спасите, WinLock!" За 1 минуту можно прочитать в лучшем случае, обращений за пару часов

[Danilka 678]

Кажется это не тот.

Win32.HLLW.Autohit.3438 (Dr.Web) - это Worm.Win32.AutoIt.jp (ЛК) - это W32.Harakit (Symantec)

Похоже в http://www.securelist.com/ru/descriptions/12317912/ ошибочка.

Там нет ошибки.