Перейти к содержанию
AM_Bot

Новый винлокер насмешил специалистов

Recommended Posts

AM_Bot

19 февраля 2013 года

Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — уже неоднократно публиковала новостные материалы, посвященные вредоносным программам семейства Trojan.Winlock. Подобные троянцы-вымогатели, блокирующие нормальную работу операционной системы и требующие у жертвы заплатить определенную сумму за ее разблокировку, известны уже довольно давно. Тем не менее, одна из недавно обнаруженных версий данного троянца удивила даже повидавших всякое специалистов «Доктор Веб».

Троянцы-блокировщики семейства Trojan.Winlock демонстрируют своим жертвам требования об оплате на разных языках: например, в феврале 2012 года специалистами компании «Доктор Веб» была обнаружена вредоносная программа Trojan.Winlock.5490, угрожающая шариатским судом арабским пользователям, незадолго до этого в вирусные базы были добавлены винлоки на французском, немецком и итальянском языках. Однако вредоносная программа, получившая обозначение Trojan.Winlock.8026, озадачила вирусных аналитиков «Доктор Веб» прежде всего тем, что они так и не смогли определить, на каком языке написано отображаемое на экране заблокированного компьютера сообщение:

shaitanama.1.png

Троянец представляет собой примитивную форму, созданную с использованием среды разработки Delphi, код которой содержит не меньше нелепых ошибок, чем демонстрируемый на экране текст. Форма разработана с помощью стандартного конструктора Delphi, ничем не упакована, исполняемый файл вредоносной программы занимает более 7 Мб, а все ресурсы (включая код разблокировки) хранятся в приложении в открытом виде. По всей видимости, коварный злоумышленник создавал эту грозную вредоносную программу второпях, пока родители не вернулись с работы и не заставили его делать домашнее задание по русскому языку. В качестве альтернативы можно предположить, что перед нами проявление итогов либерализации российского законодательства в области миграционной политики, благодаря которому трудовые мигранты из ближнего зарубежья, пока еще не в достаточной степени владеющие русским языком, постепенно осваивают все новые и новые специальности.

Сигнатура Trojan.Winlock.8026 успешно добавлена в вирусные базы, и потому троянец не представляет опасности для пользователей антивирусного ПО Dr.Web. Впрочем, он не представляет серьезной опасности и сам по себе: если по ошибке или в силу роковой случайности вы запустили данную вредоносную программу на своем компьютере, то, хорошенько отсмеявшись, воспользуйтесь кодом 141989081989 для его разблокировки.

Источник

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

воспользуйтесь кодом 141989081989 для его разблокировки.

14 августа 1989 года. Ну не такой уж и школьник, кстати.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

на второй год 10 раз оставался? .. ))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Milord

Блокер легко закрывается по Alt+F4) и самое странное, что в самом сообщении блокера, работает поиск)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
B .
14 августа 1989 года. Ну не такой уж и школьник, кстати.

Значит, второй вариант. Есть еще ненулевая вероятность, что аффтар троянца был конкретно упорот. Кстати, если в окошке локера набрать неправильный код, то он вот так делает:

5e1d73c9203e41949a41b01baa9c3ce4.png

[x] не смотреть на работе

[x] страшный албанский вирус

[x] ржали фсем офесом

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • Alushaa
      Весьма удобное приложение, с помощью  которого можно смотреть расписание электричек. Это очень интересный вариант, можете присмотреться, он действительно крутой и я там все спокойно скачиваю)
    • PR55.RP55
      SQx То, что я выше написал сделать можно -  если есть доступ к PC. Однако не при работе со скриптом. Я  для Demkd  написал. В скрипт добавлять команды типа: adds criterion delref   fuckyoumm2_filter Checks the list by criterion т.е. добавлен критерий ( с выбором типа команды ) >  проверяется список > найденный по критерию объект удаляется.      
    • SQx
      Ранее с критериями не дружил, попробую в следующий раз, спасибо.
    • SQx
      Спасибо за информацию, но чтобы на верняка не испортить ОС пользователя, удалил спомощью FRST.
      В следующий раз попробую через uVS.
       
    • PR55.RP55
      Однако это не решение вопроса. ------------ Можно удалять объект ориентируясь не на имя, а на поисковый критерий. Оператор задаёт поисковый критерий > проверяет по нему список  > при необходимости корректирует критерий  > задаёт тип команды - на удаление > Команда ( автоматически ) пишется в скрипт.
×