Wirus z facebooka

[Waves]

Mając chwilę czasu, zainteresowany kolejnym zamieszaniem wokół malware z serwisu Facebook postanowiłem go w swoim rodzaju rozłożyć. Mam nadzieję że jeżeli ktoś będzie miał chwilę czasu również się wypowie
Log z OTL:

[Aby zobaczyć linki, zarejestruj się tutaj]

Będę poszukiwał zainfekowanych plików i postaram się utworzyć uniwersalny skrypt do OTL pomagający usunąć wirusa
Co do tej pory znalazłem:

Kod:

C:\Documents and Settings\Administrator\Local Settings\Application Data\ovemgd.exe
https://www.virustotal.com/file/8cd14389bb78c96e20b147fd02728a1cc1d089e876ebbb535798670282ee6595/analysis/

Kod:

C:\Documents and Settings\Administrator\Start Menu\Programs\Startup\mjuet.exe
https://www.virustotal.com/file/8cd14389bb78c96e20b147fd02728a1cc1d089e876ebbb535798670282ee6595/analysis/

To dwa identycznie pliki ze zmienionymi nazwami

W miarę poszukiwań będę edytował posta.

[Flash999]

Czyli profilaktycznie i dość ryzykowanie powinno wystarczyć:

Kod:

:Files
%USERPROFILE%\Local Settings\Application Data\*.exe
%USERPROFILE%\Start Menu\Programs\Startup\*.exe

Dlaczego ryzykownie? Bo usuwa wszystkie .exe w tej lokalizacji (nie powinno zaszkodzić).
Warto wspomnieć, że to Windows XP - na 7 będzie nieco inaczej.

[Waves]

Tak mój drogi. Ryzykowanie bo przecież ktoś mógł sobie tam coś dodać Mam na myśli drugą lokalizację. Jednak szanse na to są małe bo ludzie którzy sami dodają pliki do takich lokalizacji zapewne nie otworzą linku z malware

[PascalHP]

Jakby ktoś sam coś tam dodał, to bym sam potrafił usunąć zagrożenie albo zapobiegł by mu całkowicie.

[tachion]

łap<!-- s--> <!-- s-->
[2012/06/23 19:07:33 | 000,115,204 | R-S- | C]() -- C:\Documents and Settings\Administrator\Local Settings\Application Data\ovemgd.exe

[Flash999]

Mam na myśli drugą lokalizację.

Do autostartu wrzuca się raczej skróty - tych nie usuwa, tylko .exe

@tachion
Nazwa pliku jest losowa, foldery te same.

[tachion]

He teraz zauważyłem że Waves ścieżkę podał też,szkoda że chociażby md5 się nie zmienia tylko jest takie same w obydwóch przypadkach<!-- s--> <!-- s-->