13 ответов в этой теме

[Алексей.]

Доэксперементировался. Включаю комп, а в середине экрана небольшой розовенький порно баннер с 3 картинками. Как у все:отправить СМС ...на номер...
В безопасном режиме удалил в Еverest из автозагрузки Plugin.exe. Перевел время вперед на год,на всякий случай. В обычном режиме окно исчезло, все вроде запускается,сделал логи.Может остатки остались. С:Program files/plugin.exe - здесь вирь сидел:на вирус тотале
тикет: [ #1122221].

[YVS]

Сделайте полный лог RkU

[Алексей.]

Лог РКУ со сканом файлов

[Алексей.]

А это было еще давно, до скачки плагина:

Driver: unknown_irp_handler
Address: 0x89BCC1F8
Size: 3592 bytes

Driver: unknown_irp_handler
Address: 0x89A2A1F8
Size: 3592 bytes

Driver: unknown_irp_handler
Address: 0x89BCE1F8
Size: 3592 bytes

Driver: unknown_irp_handler
Address: 0x89B5F1F8
Size: 3592 bytes

Driver: unknown_irp_handler
Address: 0x89BCD1F8
Size: 3592 bytes

Driver: unknown_irp_handler
Address: 0x887131F8
Size: 3592 bytes

Driver: unknown_irp_handler
Address: 0x89A03500
Size: 2816 bytes

Driver: unknown_irp_handler
Address: 0x88723500
Size: 2816 bytes

Driver: unknown_irp_handler
Address: 0x899F0500
Size: 2816 bytes

Driver: unknown_irp_handler
Address: 0x8878E500
Size: 2816 bytes

[YVS]

А это было еще давно, до скачки плагина

Это скорее всего от Deamon Tools/Alcohol

[Алексей.]

Интересно, что сразу после загрузки красного флэшплеера с порносайта, в автозагрузке Plugin.exe не было. Баннер вылез позже.После нескольких перезагрузок компа через 1-2 дня . мой розовый баннер так выглядел

[Алексей.]

А меня логи то чистые? Кто-нибудь откликнется

[mrbelyash]

Интересно, что сразу после загрузки красного флэшплеера с порносайта, в автозагрузке Plugin.exe не было. Баннер вылез позже.После нескольких перезагрузок компа через 1-2 дня . мой розовый баннер так выглядел

Что-то там докачивается у меня на виртуалке через пару дней картинка превратилась в белый фон со строгим оформлением.
А можно еще лог Gmer?

[Алексей.]

Когда Gmer делаю у меня BSOD и перезагрузка, но это до заражения было еще так.

[michon]

Рискну предположить, что еще должен быть hssogo.exe (в темпах) - вроде как загрузчик.

[stalin]

Мне уже 3 модификации этого plugin.exe попалось. Вот буквально полчаса назад отправил запрос в лабораторию на исследование очередного plugin.exe

[Dima_K]

6 числа отправлял аналогичный plugin.exe, вроде приняли к рассмотрению, #1123526, а в базах до сих пор не детектится. Сошлемся на праздники конечно...

Прописан был банально в автозапуске HKLM\...\Run. Дал удалить эту запись и самого себя без проблем. Если его запускать отдельно потом - никуда не прописывается - значит устанавилвался при помощи другого модуля. Судя по исследованию реестра ничего больше не нашлось - значит установщик выполнен по принципу обычного инсталлятора, а не маскирующегося троянца. Загружается, извлекает этот плугин и прописывает его в автозапуск.

[Алексей.]

6 числа отправлял аналогичный plugin.exe, вроде приняли к рассмотрению, #1123526, а в базах до сих пор не детектится. Сошлемся на праздники конечно...

этот номер тикета сюда

[Алексей.]

Не так просто, у меня после установки этого плагина и выключения вэбстрима, он сам собой начинал подключаться к нету, пока модем не выключил