Перейти к содержанию
Сергей Ильин

Эпидемия Trojan.Winlock и ее реальный масштаб

Автор Сергей Ильин, в Современные угрозы и защита от них

Recommended Posts

Winny    10

Winny
Опубликовано
Русток? Не упоминайте всуе :) Эпидемия? Да. Наблюдается в основном в паре разделов форума др.веб от любителей CP и скачать фильм за пять секунд.

Набрал в гугле trojan winlock - получил 587000 ссылок.

Это всё на форум DrWeb?

Вы им льстите... :)

OF

А не могли бы Вы всё-таки сделать, чтобы RKU не пристреливался на взлёте троем Trojan.AuxSpy (по терминилогии DrWeb)?

А то я как-то привык пользоваться RKU, а тут такой облом. :(

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Burbulator    146

Burbulator
Опубликовано
Кстати, кто не в курсе- типа "эпидемия" куда то испарилась... Причем еще в начале недели. Что же произошло то? :D Может перестанем уже обсуждать прошлое? А посмотрим что нас ждет дальше.

Только что зашел в раздел "Борьба с вирусами" у ЛК: из 25 тем на первой странице не менее 9-ти посвящено отправке смс. Эпидемии не было или кому-то проще ее игнорировать ?

  • Upvote 5

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Valery Ledovskoy    1082

Valery Ledovskoy
Опубликовано
Зачем Dr. Web «заказал» операторов и агрегаторов?

Правильный вопрос такой: кто заказал эту статью. Столько в ней чуши. Никто никого не заказывал, а даже начал сотрудничать.

Кто человек, который "это" написал?

Конечно, на широкую нашу пропаганду должна была появиться хоть одна подобная статья. Хотя бы на каком-нибудь хабре.

Кстати, если почитать комменты к "этому", то можно увидеть, что множество людей с автором не согласны.

Почему-то те же самые якобы ущемлённые операторы и агрегаторы в центральных изданиях пишут про сотрудничество с нами. А отрицательных эмоций по поводу нас в центральных изданиях нет.

sww, так сколько всего компьютеров по вашей статистике было заражено Ransom в январе (по вашей терминологии)? И ещё вопрос. Все ли блокировщики Windows у вас детектятся так?

У нас иногда оно детектится как Trojan.Muldrop.

Остальные все измышления - мусор, не заслуживающий внимания. Статистики от вас так и нет по блокировщикам.

Кстати, кто не в курсе- типа "эпидемия" куда то испарилась... Причем еще в начале недели. Что же произошло то? biggrin.gif Может перестанем уже обсуждать прошлое? А посмотрим что нас ждет дальше.

Это слишком просто - "испарилась". Для этого было потрачено немало усилий, хотя некоторые немаленькие, и при этом всё равно гордые компании этого не признают.

Действительно, наблюдается спад. Хотя в отдельные дни (например, 4 февраля) был локальный всплеск. Но если в январе эти всплески были до 130.000 детектов в день (с нескольких десятков тысяч), то 4 февраля - до 19.000 с нескольких тысяч в сутки. По количеству обращений в техподдержку эти всплески тоже хорошо видны.

Тема помирает.

Winlock? Аминь.

Может быть, да. А может быть, это перегруппировка. Сложно что-то определённое сказать. Возможно, будет оплата не SMS-ками, но там тогда доход у злоумышленников будет меньше (ибо тех, кто получает доход с SMS-ок начали потихоньку прижимать, а другие способы передачи денег от жертв априори менее эффективные), но при этом распространённость блокировщиков может быть больше (возможны попытки покрыть больше компьютеров, чтобы деньги отправлял хоть кто-то - через WebMoney там или карточками какими-нибудь, как автор Trojan.Encoder).

Может быть просто один АВ не может защитить от винлока, а второй может?

Ок, другой антивирус (не Dr.Web) защищает от Винлоков. Но он же для этого детектит попытку заражения? Такая статистика на их сервера не отправляется? Не аргумент.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Danilka    678

Danilka
Опубликовано

Burbulator

Дату создания тем также стоит смотреть, это так к слову.... Если у одного вендора эпидемия, а у остальных ее нет, в чем причина? Что из этого следует?

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Burbulator    146

Burbulator
Опубликовано
Burbulator

Дату создания тем также стоит смотреть, это так к слову.... Если у одного вендора эпидемия, а у остальных ее нет, в чем причина? Что из этого следует?

неужели на первой странице висят темы открытые еще в 2009 году?

P.S. большинство тем создано вчера или сегодня, одна 30 января. На что еще нужно посмотреть? :)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Danilka    678

Danilka
Опубликовано
Это слишком просто - "испарилась". Для этого было потрачено немало усилий, хотя некоторые немаленькие, и при этом всё равно гордые компании этого не признают.

Так это все известно. Но, эти усилия потратила не одна компания. И тем более не одна АВ компания. :)

Ок, другой антивирус (не Dr.Web) защищает от Винлоков. Но он же для этого детектит попытку заражения? Такая статистика на их сервера не отправляется? Не аргумент.

http://www.kaspersky.ru/news?id=207733172 что то я тут не вижу ничего эпидемиологического..

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Burbulator    146

Burbulator
Опубликовано

Danilka

а в какие месяцы 2009 года Trojan-Ransom попадал в 20-ку по рейтингу ЛК?

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Danilka    678

Danilka
Опубликовано
неужели на первой странице висят темы открытые еще в 2009 году?

P.S. большинство тем создано вчера или сегодня, одна 30 января. На что еще нужно посмотреть? :)

:D 9 тем - это эпидемия? Вы не учитываете тот факт, что человек мог заразить ПК раньше, а обратиться сейчас+ нужно не просто глядеть на даты первого топа но и на остальные моменты. Но все равно- 9 тем- это слишком мало. Я знаю статистику своего раздела и могу оперировать данными. Поэтому все это не показатель чего либо.

Лучше на ВИ зайдите, там статистика есть. И все там видно..

Danilka

а в какие месяцы 2009 года Trojan-Ransom попадал в 20-ку по рейтингу ЛК?

Я не знаю- мне все равно. :) Если интересно- посмотрите сами.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Burbulator    146

Burbulator
Опубликовано

Danilka

вы писали, что в 2009 году было несколько эпидемий Trojan-Ransom. Под эпидемией вы признаете только топ-20 ЛК. Я его там не нашел, поэтому прошу помочь найти месяцы эпидемий

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Danilka    678

Danilka
Опубликовано

Burbulator

Эта статистика: http://www.kaspersky.ru/news?id=207733172 показывает одно - меньше 30000 пользователей продуктов ЛК у которых включен KSN заразись или качали блокеры.. Выводы делайте сами..

Danilka

вы писали, что в 2009 году было несколько эпидемий Trojan-Ransom. Под эпидемией вы признаете только топ-20 ЛК. Я его там не нашел, поэтому прошу помочь найти месяцы эпидемий

Это гдей то я такое писал? :blink: Ссыль можно....

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Winny    10

Winny
Опубликовано
Winny

Может быть просто один АВ не может защитить от винлока, а второй может?

Ну, раз Вы так подставились, то грех этим не воспользоваться. :)

Может быть Вы и правы, но это не повод отрицать эпидемию.

http://forum.sape.ru/showpost.php?p=712339&postcount=5

Код - РАЗВОД! толку от него - ноль!

Фишка в том, что после ввода кода

(код я не покупал, а позвонил с претензией в "Каспер", типа у меня лицензия KIS, а тут - такая хрень. КСТАТИ, они знали об этом, и никого не проинформировали по почте.)

пропадает сообщение, а не ВИРУС! На следующий день - история повторяется!!!

Кстати, ПЕРВЫЙ РАЗ за два года работы с KIS, хочется сказать, что этот, KIS 2010 - лажа, т.к.

после получения кода я, естественно, проверил в "жестком" режиме весь комп. В итоге - "вирусов = 0 заражений =0 подозрительных программ =0". Понимаете??? А на следующий день история повторилась, звоню в офис - они молчат.

Далее из службы поддержки KIS мне выслали супер-пупер прогу, которая работает в safe mode и убивает всё подрят. Запустил я эту прогу. Включил проверку. Итог: вирусов = 0 заражений =0 подозрительных программ =0.

Вечером включил комп - а экране красивая менюшка "Вы заражены....ля-ля-ля...отправьте sms".

http://forum.sape.ru/showpost.php?p=712366&postcount=10

Цитата:

Сообщение от Vladek

Dr.Web CureIt!

Честно говоря, я после этого задумался о смене антивирусника,

НО!!

с Каспером это впервые, так что не знаю - судить его или нет?

Планировать установку дополнительного антивирусника?

p/s

этот самый CureIt попутно нашёл у меня ещё два трояна. Неужели KIS - такой "дырявый"?

Ещё поискать или не надо? ;)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Burbulator    146

Burbulator
Опубликовано
Это гдей то я такое писал? :blink: Ссыль можно....

30.12.2009 17:24

В течение 2009 года эксперты «Лаборатории Касперского» зафиксировали несколько эпидемий троянцев-вымогателей класса Trojan-Ransom. По словам специалистов компании, на данный момент отмечается новый всплеск активности этих зловредных программ.

http://forum.kaspersky.com/index.php?showtopic=151520

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Valery Ledovskoy    1082

Valery Ledovskoy
Опубликовано
Если у одного вендора эпидемия, а у остальных ее нет, в чем причина? Что из этого следует?

Вот и я хочу выяснить, что из этого следует. ЛК статистику по Ransom, например, никак не хочет давать.

что то я тут не вижу ничего эпидемиологического..

И не увидите. В сумме Ransom, предполагаю, много, но ни одна из модификаций до топа не добралась. У нас тоже одна из модификаций только добралась до 20-го места. Но, видимо, той записью детектится несколько больше одной модификации.

показывает одно - меньше 30000 пользователей продуктов ЛК у которых включен KSN заразись или качали блокеры.

Нет, неверный вывод. Та же ошибка, что и у Сергея Ильина, и у sww.

Правильно так: менее 30 000 пользователей заразились наиболее распространённой модификацией Ransom. Но дело в том, что каждый день появляются новые модификации (чтобы противодействовать антивирусам), и самая распространённая модификация Ransom за январь не дотянула поэтому до 30 000. Из-за того же, что модификаций Ransom очень много, общее количество заражённых всеми модификациями компьютеров может быть весьма велико. Вот мне и интересно, сколько это компьютеров по статистике ЛК (всего заражённых всеми модификациями Ransom за январь)?

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Danilka    678

Danilka
Опубликовано

Burbulator

Это вопрос не ко мне, а к тем, кто составлял эту новость. :) Я говорю исключительно за себя. Повторюсь, что это нельзя назвать эпидемией, как с тем же KIDO.

Winny

Оставьте эти ссылки для себя- это все не показатель. Можно писать что угодно и где угодно- но это не отражает реальное положение дел.

Valery Ledovskoy

Валера, а Вы правы.. Я как раз этот момент то и упустил. Спасибо за намек. Тогда согласен с Вами- в сумме, может быть и больше. :) Да, нужно смотреть статистику по конкретному семейству, потом уже идти далее.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

kvit.v    45

kvit.v
Опубликовано
Winny

Может быть просто один АВ не может защитить от винлока, а второй может?

второй - это как показывает практика сайт Доктора с номерами...

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Danilka    678

Danilka
Опубликовано

kvit.v

Речь шла вообще не о Dr.Web или ЛК. Это просто рассуждение. И на месте первого и второго может быть любой АВ. Не надо тут никчемные эти намеки писать.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

kvit.v    45

kvit.v
Опубликовано
kvit.v

Не надо тут никчемные эти намеки писать.

причем тут намеки, я говорю о реалиях, когда мне звонят знакомые... во всех случаях помогах сайт Доктора с номерами, сейчас кстати звонков стало меньше, а были времена когда один человек в день ловил по паре разновидностей...

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Андрей-001    1099

Андрей-001
Опубликовано
Эта статистика: http://www.kaspersky.ru/news?id=207733172 показывает одно - меньше 30000 пользователей продуктов ЛК у которых включен KSN заразись или качали блокеры.

Маленькая поправочка по "Рейтинг вредоносных программ, январь 2010"

К винлокам также относится Packed.Win32.Krap. - 38944 (это тот, что делает быстрый скан от "лица" Internet Security, блокирует всё что можно и в некоторых случаях "гасит экран").

Он же часто "сотрудничает" с Trojan-Dropper.Win32.Flystud. - 35883. Во всяком случае у меня было несколько таких случаев, когда на разных компах разных юзеров были только эти двое. Последний случай только вчера, скрины делать не стал, т.к. уже это "дело" неново.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Danilka    678

Danilka
Опубликовано

Андрей-001

Его версия Packed.Win32.Krap.w ;)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Андрей-001    1099

Андрей-001
Опубликовано
Его версия Packed.Win32.Krap.w

Да. На предыдущих моих скринах именно буковка W стоит. Спасибо за пояснение.

А что в таком случае означает буква L у "крапа" в "Рейтинг вредоносных программ, январь 2010"?

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Danilka    678

Danilka
Опубликовано

Андрей-001

Я не могу сказать ничего про него, не сталкивался, но Dr.Web его детектит как Win32.HLLW.Autohit.3438- может представители Dr.Web расскажут. :)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

SDA    750

SDA
Опубликовано

Зайдите сюда и почитайте http://virusinfo.info/forumdisplay.php?f=46 90% обратившихся с заражением WinLock. "Нормальными" троянами, почти не заражаются ;) Я думаю ЛК это неинтересно, потому что масштаб распространения локеров - это Россия и Украина и конечно не корпоративные пользователи. Делайте выводы.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Андрей-001    1099

Андрей-001
Опубликовано
масштаб распространения локеров - это Россия и Украина

А Казахстан? Мне знакомые из Астаны тоже жаловались. :)

Зайдите сюда и почитайте http://virusinfo.info/forumdisplay.php?f=46 90% обратившихся с заражением WinLock

Прочитал за 1 минуту. Ничего нового для себя не нашёл. :) Скупо и неинтересно.

но Dr.Web его детектит как Win32.HLLW.Autohit.3438

Кажется это не тот.

Win32.HLLW.Autohit.3438 (Dr.Web) - это Worm.Win32.AutoIt.jp (ЛК) - это W32.Harakit (Symantec)

Похоже в http://www.securelist.com/ru/descriptions/12317912/ вкралась ошибочка. Кто там поближе, сообщите, чтобы поправили.

2b90889d96d6t.jpg

С сравнении с http://www.securelist.com/ru/descriptions/...d.Win32.Krap.ag точно ошибочка, т.к. написано же "Другие модификации".

Описание - точно для winlock-ransom.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

SDA    750

SDA
Опубликовано
Прочитал за 1 минуту. Ничего нового для себя не нашёл. smile.gif Скупо и неинтересно.

А что тут должно быть? Мега -бетселер " Спасите, WinLock!" :) За 1 минуту можно прочитать в лучшем случае, обращений за пару часов :lol:

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Danilka    678

Danilka
Опубликовано
Кажется это не тот.

Win32.HLLW.Autohit.3438 (Dr.Web) - это Worm.Win32.AutoIt.jp (ЛК) - это W32.Harakit (Symantec)

Похоже в http://www.securelist.com/ru/descriptions/12317912/ ошибочка.

2b90889d96d6t.jpg

Там нет ошибки.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты
Перейти к списку тем Современные угрозы и защита от них

  • Сообщения

    • Ego Dekker
      Актуальные версии антивируса 17-го поколения

      От Ego Dekker · Опубликовано

      Домашние антивирусы для Windows были обновлены до версии 17.1.9.
    • Ego Dekker
      Новая версия бесплатного приложения ESET Online Scanner доступна пользователям

      От Ego Dekker · Опубликовано

      ESET Online Scanner был обновлён до версии 3.7.4.0.
    • PR55.RP55
      Новые функции в Universal Virus Sniffer (uVS)

      От PR55.RP55 · Опубликовано

      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      uVS - Тестирование

      От demkd · Опубликовано

      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
    • PR55.RP55
      Новые функции в Universal Virus Sniffer (uVS)

      От PR55.RP55 · Опубликовано

      Предлагаю автоматически ( при формировании скрипта  ) удалять  идентичные расширения браузеров по ID т.е. удаляем расширение из одного браузера = автоматически  удаляем это расширение из всех браузеров. https://www.comss.ru/page.php?id=12970 --------------- Возможно в Категориях по браузерам стоит собирать\ консолидировать все доступные данные по этому браузеру. т.е. не только данные о расширениях, но и назначенные задания; все подписанные или не подписанные файлы; Все файлы _которые есть в каталогах браузеров_; скрипты; ярлыки; групповые политики; сетевая активность и т.д.    
×