"Virus.Win32.Sality - файловый вирус. Заражает исполнимые *.exe файлы размером более 100 кб с увеличением их длины. Иконка файла сохраняется. Вирус заражает файлы, которые запускаются пользователем (иногда вместо заражения файл портится и после этого не запускается), и некоторые случайные файлы. Системные файлы остаются нетронутыми.
Для собственной защиты вирус создает драйвер abp470n5 с путем к файлу system32\drivers\*.sys. После загрузки драйвера файл удаляется. Дамп памяти драйвера имеет размер 8192 байта и детектируется некоторыми антивирусами как Rootkit.Sality.A.
Вирус включает некоторые потенциально опасные службы Windows и разрешает отправку сообщения удаленному помощнику. Безопасный режим блокируется. Запрещается запуск диспетчера задач и редактора реестра. На всех съемных и сетевых дисках вирус создает файл autorun.inf и экземпляр тела с расширением exe или pif. Также вирус выполняет функции трояна-загрузчика, шпиона и кейлоггера.
Лечение вируса возможно в безопасном режиме, если его удастся запустить, или с чистой системы (загрузочного диска). Некоторые антивирусы не умеют лечить зараженные файлы и предлагают их удалить."

Модифицирует (удаляет) файлы антивирусных продуктов с целью препятствия их работе:

%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Agnitum\Outpost Firewall\outpost.exe (Agnitum, Outpost Personal Firewall)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\AntiVir PersonalEdition Classic\avguard.exe (Avira, AntiVir PersonalEdition Classic Service)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Common Files\KAV Shared Files\Avpupd.exe (Kaspersky, Kaspersky Anti-Virus Auto-Updater)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Eset\nod32krn.exe (Eset, NOD32 Virus-Scanner)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Eset\nod32kui.exe (Eset, NOD32 Virus-Scanner)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Kaspersky Lab\Kaspersky Anti–Virus Personal\Avp32.exe (Kaspersky, Kaspersky Anti-Virus)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Kaspersky Lab\Kaspersky Anti–Virus Personal\Avpcc.exe (Kaspersky, Kaspersky Anti-Virus)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Kaspersky Lab\Kaspersky Anti–Virus Personal\Avpm.exe (Kaspersky, Kaspersky Anti-Virus)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Kaspersky Lab\Kaspersky Anti–Virus Personal\kavsvc.exe (Kaspersky, Kaspersky Anti-Virus)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Kaspersky Lab\Kaspersky Anti–Virus Personal Pro 5\kavmm.exe (Kaspersky, Kaspersky Anti-Virus)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe (Kaspersky, Kaspersky Anti-Virus)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\KAV6\KavPFW.exe (Kaspersky, Kaspersky Anti-Virus)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\KAV6\KAVSvc.EXE (Kaspersky, Kaspersky Anti-Virus)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Norton Internet Security\Norton AntiVirus\SAVScan.exe (Symantec, Norton AntiVirus)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Symantec AntiVirus\Rtvscan.exe (Symantec, Norton AntiVirus)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Zone Labs\ZoneAlarm\zonealarm.exe (Zone Labs, ZoneAlarm)

Прочие действия
Изменяет следующие ключи системного реестра:

[ HKCU
Ветка системного реестра HKEY_CURRENT_USER
\Software\Microsoft\Windows\CurrentVersion\Internet Settings ]
"GlobalUserOffline" = "0"

Удаляет следующие файлы на зараженном компьютере:

C:\KUKU300a
E:\KUKU300a

Обращается к следующим адресам в Интернете:

http://www.***ns1k.info/mrow309/?id110277578srqqud13416&rnd=110289875
http://www.***q02.com/mrow309/?id110277578srqqud13416&rnd=110294000
http://www.***inator1.com/?id110277578srqqud13416&rnd=110298109
http://www.***ns1k.info/mrow309/?id110277578srqqud13416&rnd=110302218
http://www.***kdcvns3sdsal.info/mrow309....0306328
http://www.***ormat1onupd.info/mrow309....0310437
http://www.***s1jkkk4d.info/mrow309....0314546
http://www.***ki6nd2kdnc.info/mrow309....0318656
http://www.***mcnrwlsdn34fgv.info/mrow309....0322765
http://www.***kud123ncs.info/mrow309....0326875
http://www.***utrustnet.com/?id110277578srqqud13416&rnd=110330984
http://www.***utrustnet.info/?id110277578srqqud13416&rnd=110335093
http://www.***ns1k.info/mrow309/?id110277578srqqud13416&rnd=111021187
http://www.***q02.com/mrow309/?id110277578srqqud13416&rnd=111025296
http://www.***inator1.com/?id110277578srqqud13416&rnd=111029406
http://www.***ns1k.info/mrow309/?id110277578srqqud13416&rnd=111033500
http://www.***kdcvns3sdsal.info/mrow309....1037609
http://www.***ormat1onupd.info/mrow309....1041718
http://www.***s1jkkk4d.info/mrow309....1045828
http://www.***ki6nd2kdnc.info/mrow309....1049937
http://www.***mcnrwlsdn34fgv.info/mrow309....1054031

Для определения своего присутствия в системе создает уникальные идентификаторы "mutex"

Другие названия ( http://www.securelist.com/ru/descrip...in32.Sality.aa )
Virus.Win32.Sality.aa («Лаборатория Касперского») также известен как:
Virus.Win32.Sality.af («Лаборатория Касперского»)
Worm.Win32.Agent.vu («Лаборатория Касперского»)
Trojan-GameThief.Win32.Magania.gen («Лаборатория Касперского»)
Virus.Win32.Sality.ab («Лаборатория Касперского»)
Virus.Win32.Sality.ab («Лаборатория Касперского»)
Virus.Win32.Sality.ad («Лаборатория Касперского»)
Virus.Win32.Sality.ac («Лаборатория Касперского»)
Worm.Win32.AutoRun.eiy («Лаборатория Касперского»),
Virus: W32/Sality.gen (McAfee)
W32/Sality-AM (Sophos)
W32/Sality.AH (Panda)
W32/Sality.AK (Panda)
W32/Sality.AK (FPROT)
W32/Backdoor2.DAFQ (FPROT)
Virus:Win32/Sality.AM (MS(OneCare))
BackDoor.IRC.Flood.8 (DrWeb)
Win32.Sector.17 (DrWeb)
Win32/Sality.NAU virus (Nod32)
Win32.Sality.OG (BitDef7)
Win32.Sality.AO.Gen (VirusBuster)
Win32.Sality.AP.Gen (VirusBuster)
Win32:Sality (AVAST)
Virus.W32.Sality (Ikarus)
Worm.Win32.Hamweq (Ikarus)
TR/Inject.kcm (AVIRA)
W32.Sality.AE (NAV)
W32/Sality.AQ (Norman)
W32/Sality.AN (Norman)
Win32.KUKU.GEN (Rising)
PE_SALITY.DAM (TrendMicro)
PE_SALITY.EN-1 (TrendMicro)

Вот по этому поводу выкладываю утилитку SalityKiller.exe.Вроде почистила нормально от мода W32/Sality.Q
Скачать можно либо из прикрепления либо вот ссылка на ЛК.
Может кому-то пригодится...

Добавлен в вирусную базу Dr.Web: 2008-04-17 19:41:10

Тип вируса: Файловый вирус

Уязвимые ОС: Windows

Размер: 57 344 байт

Упакован: —

Техническая информация

* При своём запуске переводит Internet Explorer в режим online:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
\Internet Settings\
GlobalUserOffline=0

* Отключает User Access Control в Windows Vista:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion
\policies\system
EnableLUA=0

* Прописывает себя в список разрешенных для доступа в сеть в WindowsFirewall
SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters
\FirewallPolicy\StandardProfile\AuthorizedApplications\List
"c:\virus.exe"="c:\virus.exe:*:Enabled:ipsec"

* Для хранение своих настроек создаёт ключ в реестре:
HKEY_CURRENT_USER\Software\<имя пользователя>914

* Добавляет в system.ini случайное значение
[MCIDRV_VER]
DEVICEMB=116402342188

* Внедряет свой код в память всех активных процессов.

* Удаляет ветки реестра
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SafeBoot
HKEY_CURRENT_USER\System\CurrentControlSet\Control\SafeBoot
после этого загрузка в Безопасный режим невозможна.

* Заражает файлы с расширением .exe и .scr на всех доступных дисках, и сетевых ресурсах для ускорения распространения заражает файлы прописаные в автозагрузку и файлы наиболее часто запускаемые в системе.

* Не заражает системные файлы и файлы в папках содержащих в имени "SYSTEM" или "AHEAD".

* В процессе сканирования дисков удаляет файлы *.vdb, *.avc, drw*.key.
Кроме того, удаляет файлы и процессы с именами содержащими:

"_AVPM."
"A2GUARD."
"AAVSHIELD."
"AVAST"
"ADVCHK."
"AHNSD."
"AIRDEFENSE"
"ALERTSVC"
"ALMON."
"ALOGSERV"
"ALSVC."
"AMON."
"ANTI-TROJAN."
"AVZ."
"ANTIVIR"
"ANTS."
"APVXDWIN."
"ARMOR2NET."
"ASHAVAST."
"ASHDISP."
"ASHENHCD."
"ASHMAISV."
"ASHPOPWZ."
"ASHSERV."
"ASHSIMPL."
"ASHSKPCK."
"ASHWEBSV."
"ASWUPDSV."
"ATCON."
"ATUPDATER."
"ATWATCH."
"AUPDATE."
"AUTODOWN."
"AUTOTRACE."
"AUTOUPDATE."
"AVCIMAN."
"AVCONSOL."
"AVENGINE."
"AVGAMSVR."
"AVGCC."
"AVGCC32."
"AVGCTRL."
"AVGEMC."
"AVGFWSRV."
"AVGNT."
"AVGNTDD"
"AVGNTMGR"
"AVGSERV."
"AVGUARD."
"AVGUPSVC."
"AVINITNT."
"AVKSERV."
"AVKSERVICE."
"AVKWCTL."
"AVP."
"AVP32."
"AVPCC."
"AVPM."
"AVAST"
"AVSCHED32."
"AVSYNMGR."
"AVWUPD32."
"AVWUPSRV."
"AVXMONITOR9X."
"AVXMONITORNT."
"AVXQUAR."
"BACKWEB-4476822."
"BDMCON."
"BDNEWS."
"BDOESRV."
"BDSS."
"BDSUBMIT."
"BDSWITCH."
"BLACKD."
"BLACKICE."
"CAFIX."
"CCAPP."
"CCEVTMGR."
"CCPROXY."
"CCSETMGR."
"CFIAUDIT."
"CLAMTRAY."
"CLAMWIN."
"CLAW95."
"CLAW95CF."
"CLEANER."
"CLEANER3."
"CLISVC."
"CMGRDIAN."
"CUREIT"
"DEFWATCH."
"DOORS."
"DRVIRUS."
"DRWADINS."
"DRWEB32W."
"DRWEBSCD."
"DRWEBUPW."
"ESCANH95."
"ESCANHNT."
"EWIDOCTRL."
"EZANTIVIRUSREGISTRATIONCHECK."
"F-AGNT95."
"FAMEH32."
"FAST."
"FCH32."
"FILEMON"
"FIRESVC."
"FIRETRAY."
"FIREWALL."
"FPAVUPDM."
"F-PROT95."
"FRESHCLAM."
"FRW."
"FSAV32."
"FSAVGUI."
"FSBWSYS."
"F-SCHED."
"FSDFWD."
"FSGK32."
"FSGK32ST."
"FSGUIEXE."
"FSM32."
"FSMA32."
"FSMB32."
"FSPEX."
"FSSM32."
"F-STOPW."
"GCASDTSERV."
"GCASSERV."
"GIANTANTISPYWAREMAIN."
"GIANTANTISPYWAREUPDATER."
"GUARDGUI."
"GUARDNT."
"HREGMON."
"HRRES."
"HSOCKPE."
"HUPDATE."
"IAMAPP."
"IAMSERV."
"ICLOAD95."
"ICLOADNT."
"ICMON."
"ICSSUPPNT."
"ICSUPP95."
"ICSUPPNT."
"IFACE."
"INETUPD."
"INOCIT."
"INORPC."
"INORT."
"INOTASK."
"INOUPTNG."
"IOMON98."
"ISAFE."
"ISATRAY."
"ISRV95."
"ISSVC."
"KAV."
"KAVMM."
"KAVPF."
"KAVPFW."
"KAVSTART."
"KAVSVC."
"KAVSVCUI."
"KMAILMON."
"KPFWSVC."
"KWATCH."
"LOCKDOWN2000."
"LOGWATNT."
"LUALL."
"LUCOMSERVER."
"LUUPDATE."
"MCAGENT."
"MCMNHDLR."
"MCREGWIZ."
"MCUPDATE."
"MCVSSHLD."
"MINILOG."
"MYAGTSVC."
"MYAGTTRY."
"NAVAPSVC."
"NAVAPW32."
"NAVLU32."
"NAVW32."
"NOD32."
"NEOWATCHLOG."
"NEOWATCHTRAY."
"NISSERV"
"NISUM."
"NMAIN."
"NOD32"
"NORMIST."
"NOTSTART."
"NPAVTRAY."
"NPFMNTOR."
"NPFMSG."
"NPROTECT."
"NSCHED32."
"NSMDTR."
"NSSSERV."
"NSSTRAY."
"NTRTSCAN."
"NTXCONFIG."
"NUPGRADE."
"NVC95."
"NVCOD."
"NVCTE."
"NVCUT."
"NWSERVICE."
"OFCPFWSVC."
"OUTPOST."
"PAV."
"PAVFIRES."
"PAVFNSVR."
"PAVKRE."
"PAVPROT."
"PAVPROXY."
"PAVPRSRV."
"PAVSRV51."
"PAVSS."
"PCCGUIDE."
"PCCIOMON."
"PCCNTMON."
"PCCPFW."
"PCCTLCOM."
"PCTAV."
"PERSFW."
"PERTSK."
"PERVAC."
"PNMSRV."
"POP3TRAP."
"POPROXY."
"PREVSRV."
"PSIMSVC."
"QHM32."
"QHONLINE."
"QHONSVC."
"QHPF."
"QHWSCSVC."
"RAVMON."
"RAVTIMER."
"REALMON."
"REALMON95."
"RFWMAIN."
"RTVSCAN."
"RTVSCN95."
"RULAUNCH."
"SAVADMINSERVICE."
"SAVMAIN."
"SAVPROGRESS."
"SAVSCAN."
"SCAN32."
"SCANNINGPROCESS."
"CUREIT."
"SDHELP."
"SHSTAT."
"SITECLI."
"SPBBCSVC."
"SPHINX."
"SPIDERML."
"SPIDERNT."
"SPIDERUI."
"SPYBOTSD."
"SPYXX."
"SS3EDIT."
"STOPSIGNAV."
"SWAGENT."
"SWDOCTOR."
"SWNETSUP."
"SYMLCSVC."
"SYMPROXYSVC."
"SYMSPORT."
"SYMWSC."
"SYNMGR."
"TAUMON."
"TBMON."
"AVAST"
"TCA."
"TCM."
"TDS-3."
"TEATIMER."
"TFAK."
"THAV."
"THSM."
"TMAS."
"TMLISTEN."
"TMNTSRV."
"TMPFW."
"TMPROXY."
"TNBUTIL."
"TRJSCAN."
"UP2DATE."
"VBA32ECM."
"VBA32IFS."
"VBA32LDR."
"VBA32PP3."
"VBSNTW."
"VCHK."
"VCRMON."
"VETTRAY."
"VIRUSKEEPER."
"VPTRAY."
"VRFWSVC."
"VRMONNT."
"VRMONSVC."
"VRRW32."
"VSECOMR."
"VSHWIN32."
"VSMON."
"VSSERV."
"VSSTAT."
"WATCHDOG."
"WEBPROXY."
"WEBSCANX."
"WEBTRAP."
"WGFE95."
"WINAW32."
"WINROUTE."
"WINSS."
"WINSSNOTIFY."
"WRADMIN."
"WRCTRL."
"XCOMMSVR."
"ZATUTOR."
"ZAUINST."
"ZLCLIENT."
"ZONEALARM."

* Завершает приложения, окна которых содержат подстроки "dr.web" и "cureit".

* Cкачивает и запускает другие вредоносные программы из сети.

* В зависимости от модификации может при помощи своего драйвера блокировать доступ к сайтам содержащим в названии:

"kaspersky"
"eset.com"
"f-secure."
"mcafee."
"symantec."
"etrust.com"
"trendmicro."
"sophos."
"virustotal."
"agnmitum."
"pandasoftware."
"bitdefender."
"spywareguide."
"windowsecurity."
"virusscan."
"ewido."
"spywareinfo."
"onlinescan."
"drweb."
"cureit."