Перейти к содержанию
AngryUser

Winlocker "знает" персональные данные

Recommended Posts

AngryUser

Уважаемые форумчане ! Помогите, пожалуйста, прояснить ситуацию. Вылезло в Firefox окошко - типичный winlocker, якобы МВД Украины,что я, значит, занимаюсь хранением и распространением порнографии, в течении 12 часов компьютер будет блокирован и данные переданы (точной формулировки не помню). Нужно оплатить штраф 1500грн через терминал, получить код разблокировки. Удалить бы эту дрянь с компа, и ладно - но как могло случиться, что кроме моего IP(статический) ТАМ БЫЛО МОЁ ИМЯ И ФАМИЛИЯ ?? Может, новый вирус извлекает данные из профиля Вконтакте ? Или у провайдера проблемы с безопасностью ? Стоит Avira Internet Security + Superantispyware. Даже не знаю, как жить дальше, делать покупки в инете и т.д. Подскажите, может кто сталкивался с подобным ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Касательно винлокера мыслю так:

1. Если в тот момент вы были залогинены в какой-то соц.сети, где указаны ваши настоящие ФИО, то нельзя исключить то, что скрипт на форуме мог получить доступ к этим данным (как-то хитро их считать или отобразить в айфрейме кусок из соцсети и т.д).

2. Чисто в теории возможна и такая "фича" у провайдера. По крайней мере помню на некоторых мобильных провах сайт мог хитрым способом получить номер телефона зашедшего юзера просто сделав соответствующий гет-запрос к сайту опсоса.

3. Но, все вышеперечисленное - гадание на кофейной гуще. В идеале нужно знать адрес сайта, желательно (на случай если закроется сайт) сохранить в html-виде содержимое, когда вы на том сайте (кое-что может быть видно - то, что реализовано в виде джава-скрипт кода), скриншоты тоже неплохо бы. Если скрываете свои фио, то их можно замазать или заредактировать.

Третий пункт - желательно постить на форум. Ссылку - с нижним подчеркиванием вначале (чтоб она была неактивной) и предупреждением, что эта ссылка ведет на винлок. Содержимое - в архив под пароль, на файлообменник, а ссылку и пароль - в тему на форуме. --> тогда больше шансов, что придем к какой-то истине...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AngryUser

Спасибо Вам за ответ ! Сложил 2+2, в браузере действительно была открыта вкладка Вконтакте (вход был выполнен). Насчет ссылки или скриншота я тогда не подумал - всё из головы вылетело :lol: Просто обалдел от такой наглости :angry: Теперь хоть Вконтакт не заходи.. Ещё вариант - запущенный фоном vksaver мог слить данные.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Скорее всего из профиля в соцсети подтянулось. Бывает уже покруче http://www.anti-malware.ru/forum/index.php?showtopic=28681 Там профиль Вконтакте модифицируется на лету в браузере, порно вместо фотографий профиля) и требуют у юзера деньги за возврат к первоначальному виду :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
safensoft1

бывают хитрые локеры, которые лочат не винду, а сам вконтакте. всплывает окошко с надписью - "ваш аккаунт временно заморожен, с него шла спам-рассылка, нужно подтвердить ваш номер путем отправки смс" и т.п., и что так пользователь этого вообще не заметит

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      причем хорошая такая защита, тут скорее всего только виртуализацией его выковыривать, если защиты и то нее нет, заморозка только на потоки в uVS работает, да и я не факт что именно поток защищает процесс.
    • santy
      похоже впервые по данному типу майнера используются потоки для защиты от удаления файлов. по крайней мере, в октябрьском варианте по этому распространенному на нек форумах майнеру нет потоков. C:\PROGRAMDATA\REALTEKHD\TASKHOSTW.EXE. может заморозку потоков делать перед  созданием образа автозапуска? по кройней мере в том случае, если они обнаружены  
    • demkd
      потому что файлы защищены: (!) Невозможно открыть процесс: dllhost.exe [6856]
      (!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\PROGRAMDATA\REALTEKHD\TASKHOSTW.EXE [7424], tid=7428
      Не удалось открыть файл: C:\PROGRAMDATA\REALTEKHD\TASKHOST.EXE
      Не удалось открыть файл: C:\PROGRAMDATA\REALTEKHD\TASKHOSTW.EXE
    • PR55.RP55
      C:\PROGRAMDATA\REALTEKHD\TASKHOST.EXE C:\PROGRAMDATA\REALTEKHD\TASKHOSTW.EXE Хэш файла не найден http://www.tehnari.ru/f35/t270519/
    • PR55.RP55
      cinquefoil2014 На anti-malware.ru нет раздела по лечению. Обратиться за помощью можно на любой из этих форумов: https://virusinfo.info/forumdisplay.php?f=46 https://forum.kasperskyclub.ru/index.php?showforum=26 http://www.cyberforum.ru/viruses/ https://safezone.cc/forums/viruses/
×