https://www.virustot...sis/1342206176/ https://www.virustot...sis/1342206169/ Не се справят с класифицирането по репутация на Симантек.Същото е и с това https://www.virustotal.com/file/cb6ce4c350e91ede74ec72e94ece82ef1f71d9d6670f5e79ee96241108ab863c/analysis/1342206783/

Редактирано 13 юли 201214 г. от NEY (преглед на промените)

Насъбеседвах се със съфорумци в темата за ESET и сега ми е интересно какво ще споделят те за това тук. Естествено - могат и всички останали да споделят преценка и мнение http://www.mediafire.com/?7nt3y0io90qyh1w При Вирустотал само Симантек реагира по репутация - аз допускам, че и други ще реагират.

Редактирано 15 юли 201214 г. от NEY (преглед на промените)

Насъбеседвах се със съфорумци в темата за ESET и сега ми е интересно какво ще споделят те за това тук. Естествено - могат и всички останали да споделят преценка и мнение http://www.mediafire...7nt3y0io90qyh1w При Вирустотал само Симантек реагира по репутация - аз допускам, че и други ще реагират.

Тодоре, някой от модераторите трябва да ти направи забележка, тия линкове да ги даваш като код!!

Тодоре, някой от модераторите трябва да ти направи забележка, тия линкове да ги даваш като код!!

Няколко пъти редактирах поста - за да имате достъп.... Познавайки мисленето ти - това едва ли ще го оцениш. Нямам високо мнение за страхуващите се да свалят всякакви файлчета. NIS съвсем не е SEP. В тази тема случайно попаднали е добре да няма. Поздрави

В тази тема случайно попаднали е добре да няма. Поздрави

Но линка ти ще се индексира в Гугъла....

оставените от нод - пратени.

Не знам дали няма някой счупен файл...

При старт на guware, защитата на Комодо реагира

Нод-не.

.txt

Редактирано 16 юли 201214 г. от М. Дамянов (преглед на промените)

Но линка ти ще се индексира в Гугъла....

Той си бе предварително индексиран в Гугъла и точно с тази търсачка съм го намерил. Защо ли обаче нещо на никой не му се пробва точно тази буба? Хубаво е тя да се изпраща и да и се противодейства. Ако това не се случва - няма смисъл да се пробвам като пишман-търсач. Най-много пак да си докарам нова серия връхлитащи любопитковци... И като си изключа този компютър - те нека още да си "любопитстват"...

Днес ми попадна поредната заразена флашка. Интересното тука е,че флашката се ползва за платежни нареждания. Вместо бланки носят флашката в банката и т.н. Във всяка папка имаше файл с разширение .exe със същото име като папката. Папките не се отваряха нормално а,чрез този изпълним файл...та толкова за защитата на банките,пък какво остава обикновенните потребители. Те и хал хабер си нямат,къде им отиват отчетите,сметките и данните :D

8 от 8

Редактирано 17 юли 201214 г. от hUstle (преглед на промените)

delete

:D

Редактирано 17 юли 201214 г. от nikssi (преглед на промените)

Ах ти ..., къде се ровиш из нещата ми

Редактирано 17 юли 201214 г. от nikval (преглед на промените)

Днес ми попадна поредната заразена флашка. Интересното тука е,че флашката се ползва за платежни нареждания. Вместо бланки носят флашката в банката и т.н. Във всяка папка имаше файл с разширение .exe със същото име като папката. Папките не се отваряха нормално а,чрез този изпълним файл...та толкова за защитата на банките,пък какво остава обикновенните потребители. Те и хал хабер си нямат,къде им отиват отчетите,сметките и данните :D

Редактирано 17 юли 201214 г. от Highagain (преглед на промените)

Виждате,че всички ги засичат тия файлове http://www.kaldata.com/forums/topic/192967-%d0%bf%d0%be%d0%b4%d0%bf%d0%be%d0%bc%d0%b0%d0%b3%d0%b0%d0%bd%d0%b5-%d0%bd%d0%b0-%d0%b0%d0%b2-%d0%bf%d1%80%d0%be%d0%b3%d1%80%d0%b0%d0%bc%d0%b8%d1%82%d0%b5-%d1%81-%d0%b4%d0%b5%d1%84%d0%b8%d0%bd%d0%b8%d1%86%d0%b8%d0%b8%d0%be%d1%82%d0%ba%d1%80%d0%b8/page__st__1100#entry2284997

Сканирайте си флашките преди да ги носите в банките!

Айде малко и от мен....4 файла...единия е коварен - rootkit.necurs.A Става за тестове...Добавя ред в BCD, който осигурява зареждането на цифрово неподписани драйвъри под Windows 7 x64. Макар файловете да се засичат от повечето неща, взимането на rootkit-a стана в офлайн среда чрез xPud, защото той забранява достъпа до собствения си файл по всякакъв начин...

4x samples.txt

Макар файловете да се засичат от повечето неща, взимането на rootkit-a стана в офлайн среда чрез xPud, защото той забранява достъпа до собствения си файл по всякакъв начин...

Пробва ли да го копираш/вземеш с помоща на XueTr ?

Пробва ли да го копираш/вземеш с помоща на XueTr ?

Ако беше моя компютър щях да си експериментирам...но не. В malware removal форумите нямам право на експерименти.

exe-то се защитава от услуга...с която и Gmer не може да се справи.

От автоматичните инструменти действат - EsetNecursRemover, HitManPro и в частност TDSSKiller/Combofix/RegRun Reanimator. От ръчните - FRST (но то е логично, защото бачка от Recovery Environment).

Тествай сам...Само да предупредя, че BCD трябва да се поправи едновременно заедно с премахването на рууткит услугата иначе може да се стигне до небуутваща ОС.

Днес ми попадна поредната заразена флашка. Интересното тука е,че флашката се ползва за платежни нареждания. Вместо бланки носят флашката в банката и т.н. Във всяка папка имаше файл с разширение .exe със същото име като папката.

Е що си мислиш, че тия файлове са заразени, въпреки множественото засичане от АВ програми? До колкото разбирам от написаното- това е флашка с личен цифров подпис, който наистина служи за плащания в банки , а и не само, и удостоверява, че този, който превежда е истинския собственик. Аз преди време бях решил да си правя такъв пдпис. Съвсем нормално е тези подписи да се специално защитени, така, че е твръде вероятно да се засичат фалшиво от всички АВ програми. Да припомням ли прословутия файл kiip.exе (разработка на ВИАС), който се засичаше / и още се засича/ от над 30% от ВТ!

В случая едно не ми стана ясно- ти "случайно" попадаш на флашката, или идва при теб човек, който ти се оплаква, че флашката е заразане, или пък от банката са казали, че флашката е заразена? кое от трите е вярното???

Редактирано 18 юли 201214 г. от Проектанта (преглед на промените)

Липсите на нод, пратени. Остави: L2Walker.exe, AryanRATServer.exe и setup.exe Първия може да е фп... Нещо му липсва при стартиране...

%%%%.txt.txt

Редактирано 18 юли 201214 г. от М. Дамянов (преглед на промените)

Е що си мислиш, че тия файлове са заразени, въпреки множественото засичане от АВ програми? До колкото разбирам от написаното- това е флашка с личен цифров подпис, който наистина служи за плащания в банки , а и не само, и удостоверява, че този, който превежда е истинския собственик. Аз преди време бях решил да си правя такъв пдпис. Съвсем нормално е тези подписи да се специално защитени, така, че е твръде вероятно да се засичат фалшиво от всички АВ програми. Да припомням ли прословутия файл kiip.exе (разработка на ВИАС), който се засичаше / и още се засича/ от над 30% от ВТ!

В случая едно не ми стана ясно- ти "случайно" попадаш на флашката, или идва при теб човек, който ти се оплаква, че флашката е заразане, или пък от банката са казали, че флашката е заразена? кое от трите е вярното???

Е,чак пък 100% да има засичане не е ли малко странно за фалшиво засичане.

Клиента идва два пъти с оплакване,че са му скрити папките със снимките и се наложи да ги извадя по-нестандартният начин.

пп. Стартирах файлчета системата зацикли ето и резултата с МВАМ

Malwarebytes Anti-Malware 1.62.0.1300

www.malwarebytes.org

Database version: v2012.07.18.04

Windows XP Service Pack 3 x86 NTFS

Internet Explorer 8.0.6001.18702

Administrator :: NIKSSI-956936A9 [administrator]

18.7.2012 г. 12:26:11

mbam-log-2012-07-18 (12-29-17).txt

Scan type: Quick scan

Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM

Scan options disabled: P2P

Objects scanned: 180092

Time elapsed: 2 minute(s), 24 second(s)

Memory Processes Detected: 0

(No malicious items detected)

Memory Modules Detected: 0

(No malicious items detected)

Registry Keys Detected: 6

HKCRCLSID{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612} (Malware.Packer.Gen) -> No action taken.

HKLMSOFTWAREMicrosoftActive SetupInstalled Components{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612} (Malware.Packer.Gen) -> No action taken.

HKCRCLSID{48B1E5C2-79CB-21CF-AYXW-11401C648513} (Worm.Autorun.B) -> No action taken.

HKLMSOFTWAREMicrosoftActive SetupInstalled Components{48B1E5C2-79CB-21CF-AYXW-11401C648513} (Worm.Autorun.B) -> No action taken.

HKLMSOFTWAREMicrosoftActive SetupInstalled Components{67EFG7H6-8IJL-56YT-KLH4-76WE2D3RAM87} (Worm.AutoRun) -> No action taken.

HKCRCLSID{67EFG7H6-8IJL-56YT-KLH4-76WE2D3RAM87} (Worm.AutoRun) -> No action taken.

Registry Values Detected: 0

(No malicious items detected)

Registry Data Items Detected: 3

HKCUSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvanced|Start_ShowHelp (PUM.Hijack.StartMenu) -> Bad: (0) Good: (1) -> No action taken.

HKCUSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvanced|Start_ShowSearch (PUM.Hijack.StartMenu) -> Bad: (0) Good: (1) -> No action taken.

HKLMSOFTWAREMicrosoftSecurity Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

Folders Detected: 3

C:CONFIGS-1-5-21-1482476501-1644491937-682003330-1013 (Backdoor.IRCBot) -> No action taken.

C:RECYCLERS-1-5-21-1482476501-1644491937-682003330-1013 (Trojan.Agent) -> No action taken.

C:RESTORES-1-5-21-1482476501-1644491937-682003330-1013 (Backdoor.IRCBot) -> No action taken.

Files Detected: 7

C:RECYCLERS-1-5-21-1482476501-1644491937-682003330-1013isew32.exe (Malware.Packer.Gen) -> No action taken.

C:RECYCLERS-1-5-21-1482476501-1644491937-682003330-1013lsass.exe (Worm.Autorun.B) -> No action taken.

C:CONFIGS-1-5-21-1482476501-1644491937-682003330-1013ConfDriver.exe (Worm.AutoRun) -> No action taken.

C:CONFIGS-1-5-21-1482476501-1644491937-682003330-1013Desktop.ini (Backdoor.IRCBot) -> No action taken.

C:RECYCLERS-1-5-21-1482476501-1644491937-682003330-1013Desktop.ini (Trojan.Agent) -> No action taken.

C:RESTORES-1-5-21-1482476501-1644491937-682003330-1013Desktop.ini (Backdoor.IRCBot) -> No action taken.

C:RESTORES-1-5-21-1482476501-1644491937-682003330-1013ise32.exe (Backdoor.IRCBot) -> No action taken.

(end)

Нека да кажат спецовете зарази ли са или не. Радио не ми се слуша,особенно пък Витоша

Редактирано 18 юли 201214 г. от nikssi (преглед на промените)

Хайде по-весело - тук http://www.filecrop.com/43765676/index.html има ли заплаха? Резултати https://www.virustotal.com/file/d0503af33cb8589a7702b9dca24c093ac51d5eca552dc2b3139b985dd2980cfb/analysis/1342605908/

Инсталирах Есет да пробвам от първите 10 линка 5 ги пропусна.

http://rghost.net/39276002

-

Симантек тук намира бубулечка дали има заплаха или не? Защото този софтуер се използва от хиляди юзери а само те имат дефиниция странно.

http://rghost.net/39276417

https://www.virustot...sis/1342574343/

Ето го и безопасният файл с който са като близнаци.

http://rghost.net/39277251

https://www.virustot...sis/1942618786/

За съжаление Есет не ме предпази от тази заплаха и сега системата ми е заразена.

Редактирано 18 юли 201214 г. от Highagain (преглед на промените)

Suspicious.Cloud.5 понякога може да е и FP. FP е и постнатото от мен в пост 1123. Symantec също не са безгрешни. Техен фен като домашен и служебен ползвател съм - но нямам желание да изопачавам реалности. Това го правят нерядко тези, които продават програми, но аз не им завиждам за професията...