Paczki, malware, złośliwe pliki, linki itp.

[zord]

a ma moze ktos z was jakis inny link do tego rotkita , bo podany tu mi sie nie laduje?

prosze bardzo hasło sg

[Aby zobaczyć linki, zarejestruj się tutaj]

[McAlex]

a ma moze ktos z was jakis inny link do tego rotkita , bo podany tu mi sie nie laduje?

prosze bardzo hasło sg

[Aby zobaczyć linki, zarejestruj się tutaj]

Dziekuję.

[morphiusz]

Dobra, dałem spokój i zrobiłem format. Dzięki kamil za wrzutkę.

Co ciekawe, gdy szukasz jakiegoś narzędzia do usunięcia ZA przekierowuje Cię na fake YT z jakimś filmikiem i karze pobrać flash playera.
Flash player to plik diskscan.bat
Po uruchomieniu system się zawiesza, po restarcie jest wręcz zniszczony. Pousuwałmi połączenia sieciowe, wyłączył podstawowe funkcje systemu itd.
Co za zemsta

[tachion]

nie źle coraz to bardziej skuteczniejsze gadziny

[andrzej76]

Dobra, dałem spokój i zrobiłem format.

Ty to jesteś dopiero samobójca, odpalać takie ścierwa na fizycznym.

[Flash999]

Wooooh, prawie i bym się tym zainfekował <!-- s-->.

[andrzej76]

AutoSandbox to wykrył i anulowałem otwieranie <!-- s--> <!-- s-->.

No Avast stoi na straży i bardzo dobrze.

[Flash999]

Na szczęście, w tym przypadku zadziałał. Pewnie przy pobieraniu z poprzedniego linku i otworzeniu zareagował by - otworzył by w Sandboxie i zmniejszył skutki infekcji, lub przy dużym szczęściu wszystko by zostało w piasku.

[polak900]

niezły badziew, ma bardzo łebskiego twórce

[tachion]

wlaśnie sprawdziłem na wirtualu emsi i pctoolsa firewalla zareagowal ale co z tego jak i tak system został zainfekowany,ani pctoolsa ani emsi nie idzie odpalić

aj cofam to odpaliło się normalnie nie ma w procesach nic troche dłużej trwało ale odpaliło czyli widać że badziew musi miEć połączenie z siecią inaczej ZA się nie ładuje

[Aby zobaczyć linki, zarejestruj się tutaj]

sprawdziłem samego emsi bez zapory też sobie z tym radzi

[zord]

Endpoint na szczęście sobie radzi

[Aby zobaczyć linki, zarejestruj się tutaj]

po przywruceniu z kwarantanny blokuje SONArem

[Aby zobaczyć linki, zarejestruj się tutaj]

[morphiusz]

I ponownie malware szalejący w Rumunii (na forum w malware lab [niewidoczny dla smiertelnikow]jest właśnie Rumun, który zamieszcza nowinki)

Treść widoczna jedynie dla zarejestrowanych użytkowników

[andrzej76]

Jakie hasło do pliku?

[Waves]

Uwaga!
Zrobiłem test tego nowego zagrożenia z facebooka.
Mała analiza i wnioski są rozpaczliwe:

1. Poprzednia wersja tego zagrożenia realizowała złośliwe zadania, na które głownie składały się:
- usunięcie programu zabezpieczającego z systemu,
- zmiana pliku hosts i blokowanie dostępu do facebook.com
- obecność kilku złośliwych procesów,
- unieszkodliwianie instalacji softu zabezpieczającego,

Wygląda, że nowa wersja jest na 100% powiązana z rootkitem ZeroAccess.
Albo: oprócz swoich poprzednich zadań pobiera ZeroAccessa.

Jest to rodzaj jakiejś symbiozy - ZA ochronia facebookowego wirka przed usunięciem, a facebookowy wirus zapewnia mu popularność (łatwe rozprzestrzenianie via facebook).

Jak przystąpiłem do testu:
1. Na realnej maszynie uruchomiłem plik (byłem spokojny na pokładzie z CTM, nie miałem zainstalwoanego CISa),
2. KillSwitch pokazywał 2 złośliwe procesy,
3. Uruchomiłem ponownie system - KillSwitch i aż około 8 złośliwych procesów,
4. Nagłe zamknięcie i zniszczenie KilSwitcha,
5. Uruchomiłem CCE pod Aggressive Mode - uruchomił się (mówie sobię: victoria).. aktualizacja poszła gładko, wykrył 12 zagrożeń gdy nagle się wyłączył.
6. To już zadziałało na mnie alarmująco: jaki proces przetrwał Aggressive Mode i zabija programy zabezpieczające: ZeroAccess!
7. Restart systemu i charakterystyczny proces dla ZA (załączony).

Podsumowując: Nowe zagrożenie rozprzestrzeniane via Facebook stanie się masakrycznie trudne do usunięcie poprzez unieszkodliwianiekażdorazowo softu zabezpieczającego przez osłoniającego rootkita.

Jeeeee...
Teraz wszelkie problemy rozwiąże format.

[morphiusz]

Jakie hasło do pliku?

hasło: 123

[jasiekkidawa]

Wykrywany jest zaledwie przez kilka AV -

[Aby zobaczyć linki, zarejestruj się tutaj]

[Waves]

Można prosic o re-upa wirusa z Fejsbuka? Link wygasł a chciałbym coś sprawdzić.

[morphiusz]

Tu jest

[Aby zobaczyć linki, zarejestruj się tutaj]

[Borzuck]

Będzie dziś jakaś paczka? ;>

[morphiusz]

Wstawię paczkę, a że jestesm leniwy to będzie ta z rodzaju ekstremalnych.