Борьба с вирусом VIRUS.WIN32.Sality.z

Дата: Суббота, 11.10.2008, 16:42 | Сообщение # 1

Наблюдатель

Сообщений: 8669

Последние несколько месяцев в Рунете свирепствует вирус, который Kaspersky определяет как VIRUS.WIN32.Sality.z, а Dr. Web - win32.sector.5, win32.sector.7 (подробное описание). Даже у опытных пользователей его уничтожение вызывает трудности. Я же приведу простой и эффективный способ. smile

Симптомы

1. Большинство программ перестают работать и "вылетают" с критической ошибкой
2. Загрузка в безопасном режиме невозможна - вирус портит ветки реестра
3. Сайты kaspersky.ru, drweb.ru, viruslist.ru и пр. не загружаются
4. Значительно снижается производительность компьютера

Лечение

1. Отключаем сеть. Т.е. отключаем ADSLm Dial-up, LAN - любые сетевые подключения. Просто выдергиваем кабель.
2. Идем к неинфицированному компьютеру (в крайнем случае интернет-кафе), т.к. на инфицированном не удастся получить доступ к сайту, и скачиваем Dr.Web CureIt!. Это бесплатное приложение, которое может работать даже без установки. Скачанное приложение по возможности записываем на CD/DVD или флешку с защитой - дабы вирус не мог испортить программу. Если испортит - вместо приветственного окошка вы увидите окно стандартного распаковщика WinRAR SFX.
3. Чиним реестр с помощью установки ключа. Соглашаемся с внесением изменений в реестр.
4. Загружаемся в безопасном режиме, удерживая длительное время сразу после включения компьютера клавишу F8. Должно появиться меню с выбором вариантов загрузки. Нам нужен "Безопасный режим".
5. Лечим компьютер от вирусов. Для этого вставляем диск с записанным Dr.Web CureIt! и проводим полную проверку компьютера.
6. Перезагружаемся в обычном режиме.
7. Вновь проводим полную проверку.
8. Устанавливаем нормальный антивирус со свежими базами. smile

Не молчи на меня.
Правила форума
К чему приводят споры с модератором

STATIK

Дата: Воскресенье, 28.12.2008, 15:43 | Сообщение # 2

Посетитель

Сообщений: 95

Показать медали

Так воот где я его подцепиил... biggrin

У меня пол компа было инфицировано...Но Касперским лечится...Слава Касперу smile

Дата: Пятница, 14.08.2009, 13:54 | Сообщение # 3

Уважаемый

Сообщений: 5542

Показать медали

Позавчера попала мне на комп одна мерзкая дрянь...Вручную оказалось удалить просто не реал,эта падла прописалась где только смогла...Оказались заражены некоторые эксешники...Удалял антивирусом все что он нашел...но эта зараза через несколько секунд всплывала еще где-нибудь...
Вот описание этого паразита:

"Virus.Win32.Sality - файловый вирус. Заражает исполнимые *.exe файлы размером более 100 кб с увеличением их длины. Иконка файла сохраняется. Вирус заражает файлы, которые запускаются пользователем (иногда вместо заражения файл портится и после этого не запускается), и некоторые случайные файлы. Системные файлы остаются нетронутыми.
Для собственной защиты вирус создает драйвер abp470n5 с путем к файлу system32\drivers\*.sys. После загрузки драйвера файл удаляется. Дамп памяти драйвера имеет размер 8192 байта и детектируется некоторыми антивирусами как Rootkit.Sality.A.
Вирус включает некоторые потенциально опасные службы Windows и разрешает отправку сообщения удаленному помощнику. Безопасный режим блокируется. Запрещается запуск диспетчера задач и редактора реестра. На всех съемных и сетевых дисках вирус создает файл autorun.inf и экземпляр тела с расширением exe или pif. Также вирус выполняет функции трояна-загрузчика, шпиона и кейлоггера.
Лечение вируса возможно в безопасном режиме, если его удастся запустить, или с чистой системы (загрузочного диска). Некоторые антивирусы не умеют лечить зараженные файлы и предлагают их удалить."

Модифицирует (удаляет) файлы антивирусных продуктов с целью препятствия их работе:

%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Agnitum\Outpost Firewall\outpost.exe (Agnitum, Outpost Personal Firewall)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\AntiVir PersonalEdition Classic\avguard.exe (Avira, AntiVir PersonalEdition Classic Service)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Common Files\KAV Shared Files\Avpupd.exe (Kaspersky, Kaspersky Anti-Virus Auto-Updater)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Eset\nod32krn.exe (Eset, NOD32 Virus-Scanner)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Eset\nod32kui.exe (Eset, NOD32 Virus-Scanner)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Kaspersky Lab\Kaspersky Anti–Virus Personal\Avp32.exe (Kaspersky, Kaspersky Anti-Virus)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Kaspersky Lab\Kaspersky Anti–Virus Personal\Avpcc.exe (Kaspersky, Kaspersky Anti-Virus)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Kaspersky Lab\Kaspersky Anti–Virus Personal\Avpm.exe (Kaspersky, Kaspersky Anti-Virus)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Kaspersky Lab\Kaspersky Anti–Virus Personal\kavsvc.exe (Kaspersky, Kaspersky Anti-Virus)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Kaspersky Lab\Kaspersky Anti–Virus Personal Pro 5\kavmm.exe (Kaspersky, Kaspersky Anti-Virus)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe (Kaspersky, Kaspersky Anti-Virus)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\KAV6\KavPFW.exe (Kaspersky, Kaspersky Anti-Virus)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\KAV6\KAVSvc.EXE (Kaspersky, Kaspersky Anti-Virus)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Norton Internet Security\Norton AntiVirus\SAVScan.exe (Symantec, Norton AntiVirus)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Symantec AntiVirus\Rtvscan.exe (Symantec, Norton AntiVirus)
%Program Files%
Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)
\Zone Labs\ZoneAlarm\zonealarm.exe (Zone Labs, ZoneAlarm)

Прочие действия
Изменяет следующие ключи системного реестра:

[ HKCU
Ветка системного реестра HKEY_CURRENT_USER
\Software\Microsoft\Windows\CurrentVersion\Internet Settings ]
"GlobalUserOffline" = "0"

Удаляет следующие файлы на зараженном компьютере:

C:\KUKU300a
E:\KUKU300a

Обращается к следующим адресам в Интернете:

Для определения своего присутствия в системе создает уникальные идентификаторы "mutex"

Другие названия ( http://www.securelist.com/ru/descrip...in32.Sality.aa )
Virus.Win32.Sality.aa («Лаборатория Касперского») также известен как:
Virus.Win32.Sality.af («Лаборатория Касперского»)
Worm.Win32.Agent.vu («Лаборатория Касперского»)
Trojan-GameThief.Win32.Magania.gen («Лаборатория Касперского»)
Virus.Win32.Sality.ab («Лаборатория Касперского»)
Virus.Win32.Sality.ab («Лаборатория Касперского»)
Virus.Win32.Sality.ad («Лаборатория Касперского»)
Virus.Win32.Sality.ac («Лаборатория Касперского»)
Worm.Win32.AutoRun.eiy («Лаборатория Касперского»),
Virus: W32/Sality.gen (McAfee)
W32/Sality-AM (Sophos)
W32/Sality.AH (Panda)
W32/Sality.AK (Panda)
W32/Sality.AK (FPROT)
W32/Backdoor2.DAFQ (FPROT)
Virus:Win32/Sality.AM (MS(OneCare))
BackDoor.IRC.Flood.8 (DrWeb)
Win32.Sector.17 (DrWeb)
Win32/Sality.NAU virus (Nod32)
Win32.Sality.OG (BitDef7)
Win32.Sality.AO.Gen (VirusBuster)
Win32.Sality.AP.Gen (VirusBuster)
Win32:Sality (AVAST)
Virus.W32.Sality (Ikarus)
Worm.Win32.Hamweq (Ikarus)
TR/Inject.kcm (AVIRA)
W32.Sality.AE (NAV)
W32/Sality.AQ (Norman)
W32/Sality.AN (Norman)
Win32.KUKU.GEN (Rising)
PE_SALITY.DAM (TrendMicro)
PE_SALITY.EN-1 (TrendMicro)

Вот по этому поводу выкладываю утилитку SalityKiller.exe.Вроде почистила нормально от мода W32/Sality.Q
Скачать можно либо из прикрепления либо вот ссылка на ЛК.
Может кому-то пригодится...

Прикрепления: salitykiller.zip (130.3 Kb)

Так называемые парадоксы автора, шокирующие читателя,
находятся часто не в книге автора, а в голове читателя.

Сообщение отредактировал RQ - Пятница, 14.08.2009, 20:57

Kanaplist

Дата: Пятница, 14.08.2009, 17:08 | Сообщение # 4

Опытный

Сообщений: 1443

Показать медали

Запустил на всякий случай утилитку. Сразу что то мне пофиксило, хотя я и не знал что у меня этот вирус...

GO VAPE - жидкость для электронных сигарет по минимальной цене!

Дата: Пятница, 14.08.2009, 20:57 | Сообщение # 5

Уважаемый

Сообщений: 5542

Показать медали

Еще инфа...
(Virus.Win32.Sality.y, System error, Virus.Win32.Sality.2, Virus.Win32.Sality.aa, Mal_Sality, New Win32.s, PE_SALITY.M, Win32/Tanatos.A, Win32/Sality.AM, PE_SALITY.EN, Win32.Sality.OE, Trojan.Generic.367064, Win32.Sality.OG, Trojan.Generic.367603, Virus:Win32/Sality.AM!corrupt, Virus:Win32/Sality.AM, W32/Sality, New Malware.ew, Generic5.ICD, Trojan.Agent.AINJ, Win32.Sality.NX, W32/Sality.gen, W32/Sality.Y)

Добавлен в вирусную базу Dr.Web: 2008-04-17 19:41:10

Тип вируса: Файловый вирус

Уязвимые ОС: Windows

Размер: 57 344 байт

Упакован: —

Техническая информация

* При своём запуске переводит Internet Explorer в режим online:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
\Internet Settings\
GlobalUserOffline=0

* Отключает User Access Control в Windows Vista:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion
\policies\system
EnableLUA=0

* Прописывает себя в список разрешенных для доступа в сеть в WindowsFirewall
SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters
\FirewallPolicy\StandardProfile\AuthorizedApplications\List
"c:\virus.exe"="c:\virus.exe:*:Enabled:ipsec"

* Для хранение своих настроек создаёт ключ в реестре:
HKEY_CURRENT_USER\Software\<имя пользователя>914

* Добавляет в system.ini случайное значение
[MCIDRV_VER]
DEVICEMB=116402342188

* Внедряет свой код в память всех активных процессов.

* Удаляет ветки реестра
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SafeBoot
HKEY_CURRENT_USER\System\CurrentControlSet\Control\SafeBoot
после этого загрузка в Безопасный режим невозможна.

* Заражает файлы с расширением .exe и .scr на всех доступных дисках, и сетевых ресурсах для ускорения распространения заражает файлы прописаные в автозагрузку и файлы наиболее часто запускаемые в системе.

* Не заражает системные файлы и файлы в папках содержащих в имени "SYSTEM" или "AHEAD".

* В процессе сканирования дисков удаляет файлы *.vdb, *.avc, drw*.key.
Кроме того, удаляет файлы и процессы с именами содержащими:

"_AVPM."
"A2GUARD."
"AAVSHIELD."
"AVAST"
"ADVCHK."
"AHNSD."
"AIRDEFENSE"
"ALERTSVC"
"ALMON."
"ALOGSERV"
"ALSVC."
"AMON."
"ANTI-TROJAN."
"AVZ."
"ANTIVIR"
"ANTS."
"APVXDWIN."
"ARMOR2NET."
"ASHAVAST."
"ASHDISP."
"ASHENHCD."
"ASHMAISV."
"ASHPOPWZ."
"ASHSERV."
"ASHSIMPL."
"ASHSKPCK."
"ASHWEBSV."
"ASWUPDSV."
"ATCON."
"ATUPDATER."
"ATWATCH."
"AUPDATE."
"AUTODOWN."
"AUTOTRACE."
"AUTOUPDATE."
"AVCIMAN."
"AVCONSOL."
"AVENGINE."
"AVGAMSVR."
"AVGCC."
"AVGCC32."
"AVGCTRL."
"AVGEMC."
"AVGFWSRV."
"AVGNT."
"AVGNTDD"
"AVGNTMGR"
"AVGSERV."
"AVGUARD."
"AVGUPSVC."
"AVINITNT."
"AVKSERV."
"AVKSERVICE."
"AVKWCTL."
"AVP."
"AVP32."
"AVPCC."
"AVPM."
"AVAST"
"AVSCHED32."
"AVSYNMGR."
"AVWUPD32."
"AVWUPSRV."
"AVXMONITOR9X."
"AVXMONITORNT."
"AVXQUAR."
"BACKWEB-4476822."
"BDMCON."
"BDNEWS."
"BDOESRV."
"BDSS."
"BDSUBMIT."
"BDSWITCH."
"BLACKD."
"BLACKICE."
"CAFIX."
"CCAPP."
"CCEVTMGR."
"CCPROXY."
"CCSETMGR."
"CFIAUDIT."
"CLAMTRAY."
"CLAMWIN."
"CLAW95."
"CLAW95CF."
"CLEANER."
"CLEANER3."
"CLISVC."
"CMGRDIAN."
"CUREIT"
"DEFWATCH."
"DOORS."
"DRVIRUS."
"DRWADINS."
"DRWEB32W."
"DRWEBSCD."
"DRWEBUPW."
"ESCANH95."
"ESCANHNT."
"EWIDOCTRL."
"EZANTIVIRUSREGISTRATIONCHECK."
"F-AGNT95."
"FAMEH32."
"FAST."
"FCH32."
"FILEMON"
"FIRESVC."
"FIRETRAY."
"FIREWALL."
"FPAVUPDM."
"F-PROT95."
"FRESHCLAM."
"FRW."
"FSAV32."
"FSAVGUI."
"FSBWSYS."
"F-SCHED."
"FSDFWD."
"FSGK32."
"FSGK32ST."
"FSGUIEXE."
"FSM32."
"FSMA32."
"FSMB32."
"FSPEX."
"FSSM32."
"F-STOPW."
"GCASDTSERV."
"GCASSERV."
"GIANTANTISPYWAREMAIN."
"GIANTANTISPYWAREUPDATER."
"GUARDGUI."
"GUARDNT."
"HREGMON."
"HRRES."
"HSOCKPE."
"HUPDATE."
"IAMAPP."
"IAMSERV."
"ICLOAD95."
"ICLOADNT."
"ICMON."
"ICSSUPPNT."
"ICSUPP95."
"ICSUPPNT."
"IFACE."
"INETUPD."
"INOCIT."
"INORPC."
"INORT."
"INOTASK."
"INOUPTNG."
"IOMON98."
"ISAFE."
"ISATRAY."
"ISRV95."
"ISSVC."
"KAV."
"KAVMM."
"KAVPF."
"KAVPFW."
"KAVSTART."
"KAVSVC."
"KAVSVCUI."
"KMAILMON."
"KPFWSVC."
"KWATCH."
"LOCKDOWN2000."
"LOGWATNT."
"LUALL."
"LUCOMSERVER."
"LUUPDATE."
"MCAGENT."
"MCMNHDLR."
"MCREGWIZ."
"MCUPDATE."
"MCVSSHLD."
"MINILOG."
"MYAGTSVC."
"MYAGTTRY."
"NAVAPSVC."
"NAVAPW32."
"NAVLU32."
"NAVW32."
"NOD32."
"NEOWATCHLOG."
"NEOWATCHTRAY."
"NISSERV"
"NISUM."
"NMAIN."
"NOD32"
"NORMIST."
"NOTSTART."
"NPAVTRAY."
"NPFMNTOR."
"NPFMSG."
"NPROTECT."
"NSCHED32."
"NSMDTR."
"NSSSERV."
"NSSTRAY."
"NTRTSCAN."
"NTXCONFIG."
"NUPGRADE."
"NVC95."
"NVCOD."
"NVCTE."
"NVCUT."
"NWSERVICE."
"OFCPFWSVC."
"OUTPOST."
"PAV."
"PAVFIRES."
"PAVFNSVR."
"PAVKRE."
"PAVPROT."
"PAVPROXY."
"PAVPRSRV."
"PAVSRV51."
"PAVSS."
"PCCGUIDE."
"PCCIOMON."
"PCCNTMON."
"PCCPFW."
"PCCTLCOM."
"PCTAV."
"PERSFW."
"PERTSK."
"PERVAC."
"PNMSRV."
"POP3TRAP."
"POPROXY."
"PREVSRV."
"PSIMSVC."
"QHM32."
"QHONLINE."
"QHONSVC."
"QHPF."
"QHWSCSVC."
"RAVMON."
"RAVTIMER."
"REALMON."
"REALMON95."
"RFWMAIN."
"RTVSCAN."
"RTVSCN95."
"RULAUNCH."
"SAVADMINSERVICE."
"SAVMAIN."
"SAVPROGRESS."
"SAVSCAN."
"SCAN32."
"SCANNINGPROCESS."
"CUREIT."
"SDHELP."
"SHSTAT."
"SITECLI."
"SPBBCSVC."
"SPHINX."
"SPIDERML."
"SPIDERNT."
"SPIDERUI."
"SPYBOTSD."
"SPYXX."
"SS3EDIT."
"STOPSIGNAV."
"SWAGENT."
"SWDOCTOR."
"SWNETSUP."
"SYMLCSVC."
"SYMPROXYSVC."
"SYMSPORT."
"SYMWSC."
"SYNMGR."
"TAUMON."
"TBMON."
"AVAST"
"TCA."
"TCM."
"TDS-3."
"TEATIMER."
"TFAK."
"THAV."
"THSM."
"TMAS."
"TMLISTEN."
"TMNTSRV."
"TMPFW."
"TMPROXY."
"TNBUTIL."
"TRJSCAN."
"UP2DATE."
"VBA32ECM."
"VBA32IFS."
"VBA32LDR."
"VBA32PP3."
"VBSNTW."
"VCHK."
"VCRMON."
"VETTRAY."
"VIRUSKEEPER."
"VPTRAY."
"VRFWSVC."
"VRMONNT."
"VRMONSVC."
"VRRW32."
"VSECOMR."
"VSHWIN32."
"VSMON."
"VSSERV."
"VSSTAT."
"WATCHDOG."
"WEBPROXY."
"WEBSCANX."
"WEBTRAP."
"WGFE95."
"WINAW32."
"WINROUTE."
"WINSS."
"WINSSNOTIFY."
"WRADMIN."
"WRCTRL."
"XCOMMSVR."
"ZATUTOR."
"ZAUINST."
"ZLCLIENT."
"ZONEALARM."

* Завершает приложения, окна которых содержат подстроки "dr.web" и "cureit".

* Cкачивает и запускает другие вредоносные программы из сети.

* В зависимости от модификации может при помощи своего драйвера блокировать доступ к сайтам содержащим в названии:

"kaspersky"
"eset.com"
"f-secure."
"mcafee."
"symantec."
"etrust.com"
"trendmicro."
"sophos."
"virustotal."
"agnmitum."
"pandasoftware."
"bitdefender."
"spywareguide."
"windowsecurity."
"virusscan."
"ewido."
"spywareinfo."
"onlinescan."
"drweb."
"cureit."

Так называемые парадоксы автора, шокирующие читателя,
находятся часто не в книге автора, а в голове читателя.

Дата: Пятница, 14.08.2009, 21:06 | Сообщение # 6

Уважаемый

Сообщений: 5542

Показать медали

Еще дополнительно инфа для лечения
http://alalife.livejournal.com/6395.html

Так называемые парадоксы автора, шокирующие читателя,
находятся часто не в книге автора, а в голове читателя.

Дата: Пятница, 14.08.2009, 21:33 | Сообщение # 7

Уважаемый

Сообщений: 5542

Показать медали

И еще кое-что что может понадобится:
Очистка реестра зараженных компьютеров

Прикрепления: sality_regkeys.zip (6.2 Kb)

Так называемые парадоксы автора, шокирующие читателя,
находятся часто не в книге автора, а в голове читателя.

Fill

Дата: Суббота, 15.08.2009, 03:23 | Сообщение # 8

Уважаемый

Сообщений: 2231

Показать медали

Этот SalityKiller при проверке только NOD мой спровоцировал, что тот половину кряков к прогам убрал... А сам SalityKiller ничего не нашел.

Дата: Суббота, 15.08.2009, 03:47 | Сообщение # 9

Уважаемый

Сообщений: 5542

Показать медали

Quote (Fill)

А сам SalityKiller ничего не нашел.

Это просто здорово,что не нашел biggrin

...ну его на...еле избавился,и то еще пару проверок на всякий сделаю т.к. дрянь ну очень охамевшая...Такое говно еще не попадалось...

Так называемые парадоксы автора, шокирующие читателя,
находятся часто не в книге автора, а в голове читателя.

Fill

Дата: Суббота, 15.08.2009, 13:36 | Сообщение # 10

Уважаемый

Сообщений: 2231

Показать медали

RQ, та она походу была когда то эта дрянь, у меня, короче заразились все мои *.exe файлы до единого, дело было так, короче раз нод кричит вирус на одну прогу, я убрал, потом на вторую, третью... И я понял что дело не чисто, давай сканировать нодом, а он гад лечить не хотит, только удалить предлагает, ну я тогда взял поставил касперского, этот вылечил вроде бы.

Дата: Суббота, 15.08.2009, 17:02 | Сообщение # 11

Уважаемый

Сообщений: 5542

Показать медали

Quote (Fill)

ились все мои *.exe файлы до единого

У меня только часть...но захватил пару системных утилит...антивир не лечит...пришлось сделать им Del... sad

Такая паскудная я ж грю еще не попадалась...Обычно если че-то прлезало мы его сразу прибивали...а тут.. angry

Так называемые парадоксы автора, шокирующие читателя,
находятся часто не в книге автора, а в голове читателя.

Дата: Вторник, 18.08.2009, 00:24 | Сообщение # 12

Уважаемый

Сообщений: 5542

Показать медали

Как оказалось,не заметил я что этот вопрос уже рассматривался раньше..
Объединил темы

Так называемые парадоксы автора, шокирующие читателя,
находятся часто не в книге автора, а в голове читателя.

Дата: Пятница, 02.12.2011, 03:16 | Сообщение # 13

Уважаемый

Сообщений: 5542

Показать медали

интересно...
файлы из прикреплений убиты angry

Так называемые парадоксы автора, шокирующие читателя,
находятся часто не в книге автора, а в голове читателя.

		Среда, 22.01.2025
	Рубежное .com Социальный ресурс города