Кто нить слышал о новом ком.вирусе? | мазда (mazda) форум | 01 фев 2006 12:44

сегодня смотрел тв, типа 3-го февраля активируется червь, который уничтожит word,p/point ну и так далее файлы на компах...чё за фигня?типа после вхождения в комп, червь уже послал подтверждение на один из сайтов. на котором уже число зараженных компов перевалило за миллион....

Nyxem.e: 3 февраля может стать Судным днем для сотен тысяч компьютеров

«Лаборатория Касперского», ведущий российский разработчик систем защиты от вирусов, хакерских атак и спама, сообщает о серьезной опасности, которую представляет недавно обнаруженный почтовый червь Email-Worm.Win32.Nyxem.e. Вредоносная программа распространяется через интернет в виде вложений в зараженные электронные письма, а также файлов, расположенных на открытых сетевых ресурсах. По данным специалистов, на данный момент количество зараженных компьютеров равно нескольким сотням тысяч. Их число продолжает расти, что заставляет говорить о серьезности масштаба распространения данной вредоносной программы.

Это делает особенно опасной характерную особенность Nyxem.e, состоящую в частичном уничтожении хранимой на зараженном компьютере информации каждого третьего числа месяца. Таким образом, 3 февраля 2006 года может стать последним днем для сотен тысяч ПК, пораженных Nyxem.e.

Червь представляет собой исполняемый в среде Windows файл размером 95 Кб, приложенный к письму с заголовком из заранее созданного автором списка, насчитывающего около 25 позиций. При этом текст письма и наименование приложенного файла также имеют около 20 разнообразных вариантов исполнения, что затрудняет оперативное обнаружение зараженного письма пользователем.

Активизация червя производится пользователем при самостоятельном запуске зараженного файла. После запуска Nyxem.e принимает дополнительные меры для дезориентации пользователя: червь скрывает свою основную функциональность, создавая в системном каталоге Windows ZIP-архив с тем же именем, что и изначально запущенный файл, а затем открывая этот архив. При инсталляции червь копирует себя под несколькими именами в корневой и системный каталоги Windows, а также каталог автозагрузки, после чего регистрирует себя в ключе автозапуска системного реестра. Таким образом, при каждой следующей загрузке Windows автоматически запускает вредоносный процесс.

Затем Nyxem.e сканирует файловую систему пораженного компьютера и рассылает себя по всем найденным адресам электронной почты. Для отправления зараженных писем червь пытается установить прямое соединение с SMTP-сервером. Параллельно червь копирует себя в доступные с пораженного компьютера сетевые ресурсы под именем Winzip_TMP.exe, таким образом увеличивая масштаб своего распространения за счет пользователей, загрузивших данный файл.

При этом вредоносная программа прерывает процессы, осуществляющие персональную защиту компьютера, и предотвращает их повторный запуск, оставляя атакованный ПК незащищенным. Располагая полным контролем над зараженной машиной, Nyxem.e также способен самостоятельно загружать свои собственные обновления из интернета, изменяясь в зависимости от воли автора.

В дополнение к указанным выше, особую опасность представляет также содержащаяся в Nyxem.e деструктивная функция. В соответствие с ней, червь регулярно сверяется с системной датой компьютера и в случае, если она соответствует третьему числу, через 30 минут после загрузки ПК уничтожает информацию в файлах наиболее распространенных форматов, замещая ее бессмысленным набором символов.

«Судя по присутствию червя в мировом интернет-трафике и все возрастающему потоку жалоб от пользователей, заражению Nyxem.e подверглось значительное число компьютеров по всему миру, количество которых может оцениваться в сотни тысяч. Это означает только одно – 3 февраля может стать Судным днем для многих беспечных пользователей, которые могут потерять ценные данные в случае, если их компьютеры подверглись заражению Nyxem.e. Поэтому я обращаюсь ко всем пользователям компьютеров с просьбой принять простые меры для предотвращения заражения данным червем: не запускать объекты, вложенные в любые письма, получение которых не ожидалось, обновить антивирусные базы установленной на ПК антивирусной защиты и затем провести полную проверку компьютера», - сказал Евгений Касперский, руководитель антивирусных исследований «Лаборатории Касперского».

Процедуры защиты от Email-Worm.Win32.Nyxem.e уже добавлены в базу данных Антивируса Касперского®. Более подробная информация о данной вредоносной программе доступна в Вирусной энциклопедии Касперского.

Рекомендации по удалению опбуликованы на Viruslist.

Ни на одном из компьютеров, находящихся под моим наблюдением этот вирус замечен не был, даже в письмах входящих, думаю эта паника нагнетается с целью рекламы антивирусов.
Вообще для борьбы с большинством вирусов такого типа достаточно регулярно запускать программу msconfig.exe которая есть в каждом установленном виндовсе и контролировать что прописано в автозапуске!

Главная / Вирусы / Вирусная энциклопедия / Типы вредоносных программ / Сетевые черви / Email-черви
Email-Worm.Win32.Nyxem.e
Другие версии: .a

Детектирование добавлено 17 янв 2006
Описание опубликовано 20 янв 2006
Поведение Email-Worm, почтовый червь

* Технические детали
* Рекомендации по удалению

Технические детали

Вирус-червь, распространяющийся через интернет в виде вложений в зараженные электронные письма, а также по открытым сетевым ресурсам.

Рассылается по всем найденным на зараженном компьютере адресам электронной почты.

Червь представляет собой PE EXE-файл. Написан на языке Visual Basic. Упакован UPX. Размер в упакованном виде — около 95 КБ, размер в распакованном виде — около 176 КБ.
Инсталляция

После запуска, скрывая свою основную функциональность, червь создает в системном каталоге Windows и затем открывает ZIP-архив с тем же именем, что и запускаемый файл. Например:

%System%\Sample.zip

При инсталляции червь копирует себя в корневой и системный каталоги Windows и каталог автозагруски со следующими именами:

%System%\New WinZip File.exe
%System%\scanregw.exe
%System%\Update.exe
%System%\Winzip.exe
%System%\WINZIP_TMP.EXE
%User Profile%\Start Menu\Programs\Startup\WinZip Quick Pick.exe
%Windir%\rundll16.exe

После чего червь регистрирует себя в ключе автозапуска системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"ScanRegistry"="scanregw.exe /scan"

При каждой следующей загрузке Windows автоматически запустит файл червя.

Также червь изменяет следующие ключи реестра:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"WebView"="0"
"ShowSuperHidden"="0"

Распространение через email

Для поиска адресов жертв червь сканирует файлы, имеющие следующие расширения:

dbx
eml
htm
imh
mbx
msf
msg
nws
oft
txt
vc

Червь также сканирует файлы, имеющие в своем имени следующие подстроки:

content
temporary

При рассылке зараженных писем червь пытается осуществить прямое подключение к SMTP-серверам.
Характеристики зараженных писем
Тема письма:

* *Hot Movie*
* A Great Video
* Arab sex DSC-00465.jpg
* eBook.pdf
* Fuckin Kama Sutra pics
* Fw:
* Fw: DSC-00465.jpg
* Fw: Funny
* Fw: Picturs
* Fw: Real show
* Fw: SeX.mpg
* Fw: Sexy
* Fwd: Crazy illegal Sex!
* Fwd: image.jpg
* Fwd: Photo
* give me a kiss
* Miss Lebanon 2006
* My photos
* Part 1 of 6 Video clipe
* Photos
* Re:
* Re: Sex Video
* School girl fantasies gone bad
* The Best Videoclip Ever
* You Must View This Videoclipe!

Текст письма:

* ----- forwarded message -----
* >> forwarded message
* forwarded message attached.
* Fuckin Kama Sutra pics
* hello, i send the file. Bye
* Hot XXX Yahoo Groups
* how are you? i send the details.
* i attached the details. Thank you.
* i just any one see my photos. It's Free
* Note: forwarded message attached. You Must View This Videoclip!
* Please see the file.
* Re: Sex Video
* ready to be FUCKED
* The Best Videoclip Ever
* VIDEOS! FREE! (US$ 0,00)
* What?

Имя файла-вложения:

* 007.pif
* 04.pif
* 3.92315089702606E02.UUE
* 677.pif
* Attachments[001].B64
* document.pif
* DSC-00465.Pif
* DSC-00465.pIf
* eBook.PIF
* eBook.Uu
* image04.pif
* New_Document_file.pif
* Original Message.B64
* photo.pif
* School.pif
* SeX.mim
* WinZip.BHX
* Word_Document.hqx
* Word_Document.uu

Распространение через открытые сетевые ресурсы

Червь копирует себя в следующие доступные сетевые ресурсы с именем Winzip_TMP.exe:

ADMIN$
C$

Прочее

В случае обнаружения на зараженном компьютере червь удаляет следующие записи в системном реестре:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
[HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"APVXDWIN"
"avast!"
"AVG_CC"
"AVG7_CC"
"AVG7_EMC"
"AVG7_Run"
"Avgserv9.exe"
"AVGW"
"BearShare"
"ccApp"
"CleanUp"
"defwatch"
"DownloadAccelerator"
"kaspersky"
"KAVPersonal50"
"McAfeeVirusScanService"
"MCAgentExe"
"McRegWiz"
"MCUpdateExe"
"McVsRte"
"MPFExe"
"MSKAGENTEXE"
"MSKDetectorExe"
"NAV Agent"
"NPROTECT"
"OfficeScanNT Monitor"
"PCCClient.exe"
"pccguide.exe"
"PCCIOMON.exe"
"PccPfw"
"Pop3trap.exe"
"rtvscn95"
"ScanInicio"
"ScriptBlocking"
"SSDPSRV"
"TM Outbreak Agent"
"tmproxy"
"Vet Alert"
"VetTray"
"VirusScan Online"
"vptray"
"VSOCheckTask"

Также червь выгружает из системы запущенные приложения, в именах которых присутствуют следующие строки:

fix
kaspersky
mcafee
norton
removal
scan
symantec
trend micro
virus

Червь удаляет все найденные файлы из следующих папок:
%ProgramFiles%\Alwil Software\Avast4\*.exe %ProgramFiles%\BearShare\*.dll
%ProgramFiles%\DAP\*.dll
%ProgramFiles%\Grisoft\AVG7\*.dll
%ProgramFiles%\Kaspersky Lab\Kaspersky Anti-Virus Personal\*.exe
%ProgramFiles%\Kaspersky Lab\Kaspersky Anti-Virus Personal\*.ppl
%ProgramFiles%\LimeWire\LimeWire 4.2.6\LimeWire.jar
%ProgramFiles%\McAfee.com\Agent\*.*
%ProgramFiles%\McAfee.com\shared\*.*
%ProgramFiles%\McAfee.com\VSO\*.exe
%ProgramFiles%\Morpheus\*.dll
%ProgramFiles%\NavNT\*.exe
%ProgramFiles%\Norton AntiVirus\*.exe
%ProgramFiles%\Symantec\Common Files\Symantec Shared\*.*
%ProgramFiles%\Symantec\LiveUpdate\*.*
%ProgramFiles%\Trend Micro\Internet Security\*.exe
%ProgramFiles%\Trend Micro\OfficeScan Client\*.exe
%ProgramFiles%\TREND MICRO\OfficeScan\*.dll
%ProgramFiles%\Trend Micro\PC-cillin 2002\*.exe
%ProgramFiles%\Trend Micro\PC-cillin 2003\*.exe

Все перечисленные действия червя делают систему более уязвимой для последующих атак.

Также червь может загружать из интернета свои обновления без ведома пользователя.

Также на зараженном компьютере червь может блокировать работу мыши и клавиатуры.

Третьего числа каждого месяца через 30 минут после загрузки зараженного компьютера червь перезаписывает файлы, имеющие следующие расширения:

dmp
doc
mdb
mde
pdf
pps
ppt
psd
rar
xls
zip

Испорченные файлы содержат следующий текст:

DATA Error [47 0F 94 93 F4 F5]

Рекомендации по удалению

1. Перезагрузите компьютер в «безопасном режиме» (в самом начале загрузки компьютера нажмите и удерживайте F8, а затем выберите пункт Safe Mode в меню загрузки Windows).
2. В диспетчере задач найдите процесс с одним из следующих имен:

New WinZip File.exe
rundll16.exe
scanregw.exe
Update.exe
Winzip.exe
WINZIP_TMP.EXE
WinZip Quick Pick.exe

Если обнаружите такой процесс — завершите его.
3. Вручную удалите следующие файлы из корневого и системного каталогов Windows и каталога автозагрузки:

%System%\New WinZip File.exe
%System%\scanregw.exe
%System%\Update.exe
%System%\Winzip.exe
%System%\WINZIP_TMP.EXE
%User Profile%\Start Menu\Programs\Startup\WinZip Quick Pick.exe
%Windir%\rundll16.exe

4. Удалите из системного реестра следующую запись:
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"ScanRegistry"="scanregw.exe /scan"
5. Перезагрузите компьютер в нормальном режиме и убедитесь, что вы удалили все зараженные письма из всех почтовых папок.
6. В случае если были повреждены ваши персональные программы (в большинстве случаев это антивирусные программы и межсетевые экраны), заново установите требуемое программное обеспечение.
7. Произведите полную проверку компьютера Антивирусом Касперского (скачать пробную версию).

У Касперского упали продажи?

Great_Me, в msconfig показывается далеко не всё, что прописано в автостарте.

Great_Me, серьезное исследование... в мемориз... мож пригодится... спасибо.

evgenyat, для большинства случаев и этого достаточно

Айс Вентура, это с сайта каспера, сам давно ниче такое подробно не тестил. последнее что родил на эту тему - http://privacy-tech.ru/publications/?publication=2

вообще году в 2000 увлекался плотно троянами и вирусами, того что поузнавал и попридумывали с ребятами тогда хватает чтоб большинство этой нечисти сносить сходу до сих пор

сильно попахивает скрытой рекламой для поднятия продаж от касперского. а так конечно нужно быть осторожней.

bes-govorun, MAZDA 626 (GE) `92 г. твоей машине уже 11 месяцев? класс!

evgenyat, со дня покупки.

bes-govorun, Хорошая машина может быть только -ЯПОНСКОЙ

c этим согласен полностью!

Том, как всегда, задвинул тему....: ))))) Грейт Ми своим постом тему порюхал, Айс поумничал, соврав, что ему может пригодиться что-то из того цифрового кошмара, ну тут и пацаны подтянулись с посторонней ерундой....: )))))

Ком. червь. 666.

Твентин все абабщил, шоб было за что выпить!

жду не дождусь третьего:))))

Для недоверчивых:
http://security.compulenta.ru/249869/?r1=yandex&r2=news

Microsoft предупреждает о высокой опасности червя Nyxem.e
01 февраля 2006 года, 15:52
Текст: Владимир Парамонов
Корпорация Microsoft опубликовала бюллетень, в котором предупреждает пользователей своих операционных систем Windows о высокой опасности червя Nyxem.e.

Вредоносная программа Email-Worm.Win32.Nyxem.e (другие названия Win32/Mywife.E@mm, WORM_GREW.A) распространяется по электронной почте в виде вложений в письма с различными заголовками и текстом. Заражение происходит только в том случае, если пользователь самостоятельно запускает инфицированный файл. После активации вирус создает на жёстком диске ПК несколько своих копий, регистрируется в ключе автозапуска реестра Windows и затем рассылает себя по всем найденным на машине адресам электронной почты.

Основная же опасность червя заключается в том, что 3 числа каждого месяца он уничтожает информацию на винчестере, перезаписывая файлы с расширениями doc, mdb, pdf, ppt, rar, xls, zip и другие. Содержимое этих файлов заменяется совершенно бесполезной текстовой строкой: DATA Error [47 0F 94 93 F4 F5]. По данным "Лаборатории Касперского", на данный момент вирусом инфицированы несколько сотен тысяч компьютеров.

Корпорация Microsoft призывает пользователей Windows как можно скорее обновить антивирусные базы данных или обратиться за помощью к своим поставщикам антивирусного ПО. Кроме того, проверить компьютер на наличие Nyxem.e можно через службу Windows Live Safety Center Beta.

Компания Trend Micro отмечает, что Nyxem.e представляет глобальную угрозу, потому что уже успел заразить компьютеры более чем в 150 странах. В том, что многие пользователи лишатся своих документов, сомневаться не приходится. Однако у потенциальных жертв еще есть время, чтобы очистить машины от заразы - первый удар Nyxem.e нанесет в пятницу, 3 февраля.

НЕ ВЕРЮ!!! ДАЙТИ МНЕ ЕГО, ПУСТЬ ПОПРОБУЕТ!

Инкубационный период для компьютерного вируса, заразившего на прошлой неделе несколько тысяч компьютеров, должен был закончиться лишь третьего февраля. Однако, вопреки ожиданиям экспертов, эпидемия началась гораздо раньше.


По данным ZDNet UK, ссылающегося на финскую компанию F-Secure, вирус Nyxem уже приступил к удалению файлов, сохраненных в формате Word, Excel, PowerPoint и PDF.

Как утверждает в своем блоге директор антивирусного подразделения компании Микко Хиппонен (Mikko Hypponen), преждевременная активизация вируса произошла на компьютерах с неправильно выставленными системными часами. Заблудившись во времени, вирус принялся удалять файлы и рассылать свои копии по сети.

Несмотря на то, что основная часть зараженных компьютеров находится в странах третьего мира, вроде Индии, Турции и Перу, эксперты опасаются, что в случае начала в эту пятницу массовой эпидемии трудно придется всем, поскольку каналы будут буквально забиты мусорным трафиком.


СТАЛИН (1250), лови

получается, если перевести часы сразу на 4 феваля....)))

Уже 3 февраля наступило а оно не работает:((( По НТВ сказали, что вирус в почтовых рассылках с порнухой. Мне их около 20 приходит за сутки. Надеюсь быть поражённым чисто из спортивного интереса. Письма иногда открывал, всё просматривал:))) . А вот кстати антивирус их убивает? У меня Нортон 2006.

Нортон бьет на подлете, окошки постоянно сегодня высвечиваются о присутствии вируса!

Sasha-HB626GD, а вот у меня ничего не происходит. Я аж оскорбилсо, чем я хуже людей???

А можно вопросик тем, кто в антивирусах разбирается??? Вот какой антивирус лучше всех? И какой файерволл???

Какая резина лучшая?
А какая машина лучшая?

Ответ на твой вопрос - твоя голова + периодические обновления

А оборот с часами конечно поможет. Дней на 30 Он не только от этого вируса, но и от многих других помогает.