Поиск по этому блогу

вторник, 31 января 2012 г.

Sandboxie. Будем знакомы.

в процессе редактирования....

      Предлагаю Вам на рассмотрение одну из так называемых программ песочниц , а именно Sandboxie.

Песо́чница (англ. sandbox) — в компьютерной безопасности механизм для безопасного исполнения программ.
Как правило, песочницы используют для запуска непроверенного кода из неизвестных источников, как средство проактивной защиты от вредоносного кода, а также для обнаружения и анализа вредоносных программ. Также, зачастую, песочницы используются в процессе разработки программного обеспечения для запуска «сырого» кода, который может случайно повредить систему или испортить сложную конфигурацию. Такие «тестировочные» песочницы копируют основные элементы среды, для которой пишется код, и позволяют разработчикам быстро и безболезненно экспериментировать с неотлаженным кодом.
http://ru.wikipedia.org/wiki/Песочница_(безопасность)

Установка

1) Скачиваем с сайта  http://www.sandboxie.com/index.php?DownloadSandboxie

2) Устанвливаем . Сразу же указываем язык приложения


И принимаем лицензионное соглашение.


3) Устанавливаем драйвер


Внимание. Если у Вас установлен какой-либо антивирус, его необходимо  временно остановить. Как правило это касается различных проактивных плюшек, используемых в антивирусе.
Например если у вас установлена последняя версия антивируса Dr.Web 7.0 то эта галочка должна быть снята.



4) Завершение установки. Желательно сразу же перезагрузиться.

Настройка

При первом запуске программы может появиться вот такое окошко


Просто нажимаем ОК.

Щелкаем Настройка-Интеграция в Проводник.




Зачем это нужно?
    Это очень удобная фишка. В Проводнике правой кнопкой мышки щелкаем по любому исполняемому файлу (или например текстовому документу) и выбираем Запустить в Песочнице.




Если это был вирус или например в вордовском документе был макровирус-они запустятся в песочнице и ничего вашей системе сделать не смогут.

Работа

Есть несколько вариантов запустить приложение в Песочнице.
Например из трея. Там находится значок


 Щелкаем правой кнопкой по значку, далее по DefaulBox (это профиль Песочницы по умолчанию, содержит все настройки именнно для него. Можно создать новый профиль с другим именем и другими настройками).



И выбираем например пункт Запустить Web-браузер. 



У меня по-умолчанию установлен Chrome. Если подвести мышку к краю приложения (Chrome), то мы увидим желтую окантовку окошка-это означает что приложение запущено в Песочнице.

Тестирование

1) Заходим на зараженный сайт, предлагающий нам клубничку
2) Скачиваем от-туда видеоролик и сохраняем его.




Возможно появится вот такое окошко


Нажимаем Закрыть. Зачем это нужно?
А в данном случае файл сохранится сразу в Песочнице и не попадет к нам на диск.  А потом мы его сразу же в Песочнице и запустим.

Щелкаем по значку Sanboxie и выбираем Запустить Windows Explorer


Появляется Проводник и он тоже будет заключен в желтую рамочку, а значит он сейчас в Песочнице.


Находим наш скачаный файлик и запускаем его.
Как видим в проводнике расширение файла avi , то есть это видео файл. Однако на самом деле это не так. У файла двойное расширение


best-ru-porno.avi.exe


Просто Проводник нам его не показывает.
А значит это уже не безобидный видео ролик.

Запускаем его.


 И получаем баннер, блокирующий рабочий стол.

Что же делать?
Просто перезагружаем машину кнопкой на системном блоке.


    После перезагрузки наша система грузится без баннера. Т.е. песочница не дала ему изменить реестр и файлы на Вашей системе

Копирование файлов

Чтобы скопировать файл из Песочницы на Вашу систему- нужно:

1) Щелкаем по значку Sanboxie и выбираем Запустить Windows Explorer
2) Выделяем там нужный файл или группу файлов

3) Щелкаем правой кнопкой мышки-Копировать


4) Выйти за пределы желтой рамки и у себя на Рабочем столе щелкнуть правой кнопкой мышки -Вставить.

Очистка Песочницы

    Щелкаем по значку Sanboxie и выбираем DefaulBox -Удалить содержимое.



После этого все сохраненные файлы в песочнице будут удалены.

Закрыть зависшее приложение

Иногда бывает, что какое-либо приложение зависает. Чтобы закрыть его/их необходимо  щелкнуть по значку Sanboxie и выбрать Закрыть Все программы.



Вот вроде бы и все что я хотел рассказать про это замечательное приложение.
Комментарии и жалобы приветствуются.

P.S.

     После окончания триального/бесплатного срока использования программа продолжает полнофункционально работать. Но каждый раз при запуске выводит окошко с напоминанием и кнопкой с таймером 5 сек.
После прошествия указанного срока щелкаем на кнопочку и пользуемся дальше.

----------------

Дополнение

Решил протестировать Песочницу и Энкодер (троян шифрующий файлы...и меняющий расширение например на mrbelyash)

Без Песочницы все наши файлы шифруются на ура.



А вот если мы по незнанию запустим троян в Песочнице то ничего не произойдет.
Нас даже предупредят о попытке смены обоев.




Как видим наши файлы в целости и сохранности.
И это радует ;)


Trojan.Winlock.5487 на номер U159263256925

https://www.virustotal.com/file/567e12f44778ff1729cbe6f2736a778bbed60d02e37e818afcd68d7f0869061c/analysis/




U378896933868
U626495612813
U284533115072
U259258595601
U159263256925
U858318028574
U293878336397
U385984220340
U753670445291
U343538475462

код: newnew




P.S.

Чтобы ввести буквенный код необходимо:
1. щелкнуть мышью на поле ввода блокера
2. нажать комбинацию CTRL+SHIFT+ESC
После этого в поле ввода блокера можно вводить текст с клавиатуры. Если ввод текста все равно невозможен повторить действия 1 и 2 несколько раз.


Видео как удалить вручную....




Trojan.MbrLock.6 на номер 380635723869

Внимание! Ваш ПК заблокирован за просмотр и тиражирование порнографии с
участием несовершеннолетних гомосексуалистов, элементами извращений.
Для разблокировки, Вам необходимо оплатить штраф в размере 320 гривен
в любом терминале оплаты. Выберите на экране терминала категорию
"Электронные деньги"или подобный раздел. Найдите эмблему платежной
системы QIWI . Пополните кошелек QIWI, для этого - введите
номер кошелька(12 цифр) - 380635723869 и пополните его на 320 гривен.
По завершению оплаты, на выданном терминалом чеке оплаты, Вам будет
выдан персональный код, после ввода которого, Ваш ПК будет автоматически
разблокирован. В случае отказа от оплаты, операционная система
будет уничтожена, без возможности восстановления.

380635723869
380635723732
380635723755
380635723740

код: 112221

понедельник, 30 января 2012 г.

Trojan.Winlock.5310 на номер 79091576647

https://www.virustotal.com/file/88562ffdfb298a693fef46938f37b50802339d894f33c92f1e257588f11c748d/analysis/




79096504284
79091618106
79091618439
79099360330
79036726322
79067982878
79651597360
79067716100
79091576647
79067716100

код: 459652018

Trojan.MbrLock.6 на номер 079670699021

https://www.virustotal.com/file/5e0e77d7433f6ddabb87099a892be603defe4e315aae289ab180d81ec5a1e20e/analysis/

Внимание! Ваш ПК заблокирован за просмотр и распространение порнографии с
участием несовершеннолетних, элементами насилия, педофилии. Для дальнейшей
работы Вам необходимо оплатить штраф в размере 500 рублей в любом терминале
оплаты. Выберите на экране терминала категорию "Электронная коммерция",
"Электронные деньги" и т.п. Найдите эмблему платежной системы WebMoney.
Введите номер R кошелька (12 цифр) - 079670699021
Внесите сумму 500 рублей. Внимание: учитывайте комиссию терминала.
По завершении платежа, в случае оплаты суммы равной штрафу, либо ее
превышающей, на фискальном чеке терминала оплаты Вы найдете
персональный код, после ввода которого Ваш ПК будет автоматически
разблокирован. Любые попытки разблокировки без оплаты и ввода персонального
кода, приведут к уничтожению операционной системы и всех хранящихся файлов.

R079670699021
079670699021

код: 00018312

Trojan.MbrLock.6 на номер 380635904688

Внимание! Ваш ПК заблокирован за просмотр и тиражирование порнографии с
участием несовершеннолетних гомосексуалистов, элементами извращений.
Для разблокировки, Вам необходимо оплатить штраф в размере 320 гривен
в любом терминале оплаты. Выберите на экране терминала категорию
"Электронные деньги"или подобный раздел. Найдите эмблему платежной
системы QIWI . Пополните кошелек QIWI, для этого - введите
номер кошелька(12 цифр) - 380635904688 и пополните его на 320 гривен.
По завершению оплаты, на выданном терминалом чеке оплаты, Вам будет
выдан персональный код, после ввода которого, Ваш ПК будет автоматически
разблокирован. В случае отказа от оплаты, операционная система
будет уничтожена, без возможности восстановления.

380635904688
380635904697
380635904640
380635904728
380635904731

код: 112221

Trojan.WinLock.2741 на номер U100788695649

md5: 55D4F838B36F4173BF8B5A8187250638




U216039400429
U454380125946
U100788695649
U387778251945
U226529881887
U260238455286
U347965245760
U406269072923
U130454088348
U303055133778

код: 9109101313

Trojan.WinLock.2741 на номер 89613156030

md5: 994F066E3D80C46DF6432C7C5F396C35




89613156030
89061853391
код: 222222

Trojan.MbrLock.6 на номер 380635723185

Внимание! Ваш ПК заблокирован за просмотр и тиражирование порнографии с
участием несовершеннолетних гомосексуалистов, элементами извращений.
Для разблокировки, Вам необходимо оплатить штраф в размере 320 гривен
в любом терминале оплаты. Выберите на экране терминала категорию
"Электронные деньги"или подобный раздел. Найдите эмблему платежной
системы QIWI . Пополните кошелек QIWI, для этого - введите
номер кошелька(12 цифр) - 380635723185 и пополните его на 320 гривен.
По завершению оплаты, на выданном терминалом чеке оплаты, Вам будет
выдан персональный код, после ввода которого, Ваш ПК будет автоматически
разблокирован. В случае отказа от оплаты, операционная система
будет уничтожена, без возможности восстановления.



380635723185
код: 115551

Trojan.MbrLock.6 на номер 380635904631

Внимание! Ваш ПК заблокирован за просмотр и тиражирование порнографии с
участием несовершеннолетних гомосексуалистов, элементами извращений.
Для разблокировки, Вам необходимо оплатить штраф в размере 320 гривен
в любом терминале оплаты. Выберите на экране терминала категорию
"Электронные деньги"или подобный раздел. Найдите эмблему платежной
системы QIWI . Пополните кошелек QIWI, для этого - введите
номер кошелька(12 цифр) - 380635904631 и пополните его на 320 гривен.
По завершению оплаты, на выданном терминалом чеке оплаты, Вам будет
выдан персональный код, после ввода которого, Ваш ПК будет автоматически
разблокирован. В случае отказа от оплаты, операционная система
будет уничтожена, без возможности восстановления.


380635904702
380635904752
380635904756
380635904587
380635904631

код: 112221


Trojan.MbrLock.6 на номер 079670769405

md5:DA75F9171713BDFFDEDA814B4EABE551

Внимание! Ваш ПК заблокирован за просмотр и распространение порнографии с
участием несовершеннолетних, элементами насилия, педофилии. Для дальнейшей
работы Вам необходимо оплатить штраф в размере 500 рублей в любом терминале
оплаты. Выберите на экране терминала категорию "Электронная коммерция",
"Электронные деньги" и т.п. Найдите эмблему платежной системы WebMoney.
Введите номер R кошелька (12 цифр) - 079670769405
Внесите сумму 500 рублей. Внимание: учитывайте комиссию терминала.
По завершении платежа, в случае оплаты суммы равной штрафу, либо ее
превышающей, на фискальном чеке терминала оплаты Вы найдете
персональный код, после ввода которого Ваш ПК будет автоматически
разблокирован. Любые попытки разблокировки без оплаты и ввода персонального
кода, приведут к уничтожению операционной системы и всех хранящихся файлов.


R079670769405
079670769405
код: 89876561

Trojan.MulDrop3.31434 на номер U350275071540

http://anubis.iseclab.org/?action=result&task_id=149f3954fe9a94e94c9cd50f5dad9b582&format=html

https://www.virustotal.com/file/3ece4b22d74529fc3cf1219f160be0b150a0a4c77770103017461932c1e5964a/analysis/


1)Создает ключи
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"antolka"="C:\\antolka.bat"

Возможно создаст ключ ( S-.....может быть другим)
[HKEY_USERS\S-1-5-21-1482476501-602609370-839522115-500\Software\Microsoft\Windows\CurrentVersion\Run]
"antolka"="C:\\antolka.bat"

2)Содержимое  antolka.bat

@echo off
Title antolka
start antolka.exe
3)Файл  antolka.exe находится в корне диска с атрибутом скрытый, системный.


Видео как удалить в Безопасном режиме


Trojan.MbrLock.6 на номер 380635904740

Внимание! Ваш ПК заблокирован за просмотр и тиражирование порнографии с
участием несовершеннолетних гомосексуалистов, элементами извращений.
Для разблокировки, Вам необходимо оплатить штраф в размере 320 гривен
в любом терминале оплаты. Выберите на экране терминала категорию
"Электронные деньги"или подобный раздел. Найдите эмблему платежной
системы QIWI . Пополните кошелек QIWI, для этого - введите
номер кошелька(12 цифр) - 380635904740 и пополните его на 320 гривен.
По завершению оплаты, на выданном терминалом чеке оплаты, Вам будет
выдан персональный код, после ввода которого, Ваш ПК будет автоматически
разблокирован. В случае отказа от оплаты, операционная система
будет уничтожена, без возможности восстановления.

380635904712
380635904735
380635904719
380635904738
380635904740

код: 113331

воскресенье, 29 января 2012 г.

Trojan.Winlock.5487 на номер U196688363771

md5: 7F49B68BC25E49550B86F3C9CF86922E





U103549809876
U196688363771
U729334739136
U352099928444
U160851763061
U171065093354

код: samp2


P.S.


Чтобы ввести буквенный код необходимо:
1. щелкнуть мышью на поле ввода блокера
2. нажать комбинацию CTRL+SHIFT+ESC
После этого в поле ввода блокера можно вводить текст с клавиатуры. Если ввод текста все равно невозможен повторить действия 1 и 2 несколько раз.


Видео как удалить вручную....


Trojan.WinLock.2741 на номер 89613154020







89613154020
код: 222222

Trojan.WinLock с текстом 59583 9795297

md5:FC1E39FCFD2BBBD4A060D0A20C9E0657


h**p://crossfirehacks.ru
номера: 9395
               8916
               1017

текст: 59583 9795297



1)Включить машину
2)Нажать и держать клавишу F8
   Выбрать Безопасный режим
3)Когда загрузиться операционная система-щелкнуть по кнопке Пуск.
4)Щелкнуть по Выполнить.


5)Ввести msconfig
6)Перейти на вкладку Автозагрузка
7)Снять галку с ключа keygen



8)Нажать Применить. Потом ОК.
9)Перезагрузиться.
10)Скачать свеий Dr.Web CureIT! и проверить систему.

Trojan.WinLock.2741 на номер 89064150767


md5:EF1A944CADD56B0CAC3C7C63A097D8ED




89064150767
89034328021
89613156020
89064279712
89164278918

код:  2012

Trojan.WinLock.3333 на номер 89061875660

md5:E1F9C37C4FCC0800B85FD21B1FFAD485





89061875660
код: 555957955767311

Trojan.WinLock.2741 на номер 89064278918

md5:1968F1030A73028C8CB1F7A1451DA055


89064278918
89613156020
код: 2012

Trojan.MbrLock.6 на номер 89037093518

Компьютер заблокирован! Ваш компьютер заблокирован за просмотр, копирование и
тиражирование видеоматериалов. Для снятия блокировки Вам необходимо оплатить
штраф в размере 500 рублей на номер телефона Билайн 89037093518. В случае
оплаты суммы равной штрафу, либо превышающей ее, на фискальном чеке терминала
будет напечатан код разблокировки. Его нужно ввести в поле в нижней части окна.
После снятия блокировки Вы должны удалить все материалы, содержащие элементы
насилия и педофилии. Если в течение 5 часов штраф не будет оплачен, все данные
на Вашем персональном компьютере будут безвозвратно уничтожены.

89037093518
код: w34w22

Trojan.MbrLock.6 на номер 89037080732

Компьютер заблокирован! Ваш компьютер заблокирован за просмотр, копирование и
тиражирование видеоматериалов. Для снятия блокировки Вам необходимо оплатить
штраф в размере 500 рублей на номер телефона Билайн 89037080732. В случае
оплаты суммы равной штрафу, либо превышающей ее, на фискальном чеке терминала
будет напечатан код разблокировки. Его нужно ввести в поле в нижней части окна.
После снятия блокировки Вы должны удалить все материалы, содержащие элементы
насилия и педофилии. Если в течение 5 часов штраф не будет оплачен, все данные
на Вашем персональном компьютере будут безвозвратно уничтожены.

89037080732
код: plq4902

Trojan.MbrLock.6 на номер 380633352540


Внимание! Ваш ПК заблокирован за просмотр и тиражирование порнографии с
участием несовершеннолетних гомосексуалистов, элементами извращений.
Для разблокировки, Вам необходимо оплатить штраф в размере 320 гривен
в любом терминале оплаты. Выберите на экране терминала категорию
"Электронные деньги"или подобный раздел. Найдите эмблему платежной
системы Webmoney. Пополните кошелек Webmoney, для этого - введите
номер U кошелька(12 цифр) - 380633352540 и пополните его на 320 гривен.
По завершению оплаты, на выданном терминалом чеке оплаты, Вам будет
выдан персональный код, после ввода которого, Ваш ПК будет автоматически
разблокирован. В случае отказа от оплаты, операционная система
будет уничтожена, без возможности восстановления.

380633352540
код: 117771


суббота, 28 января 2012 г.

Trojan.MBRlock.14 с текстом 79kopilka4828

Windows Заблокирован!!
За просмотр гей-порно для разблокировки не обходимо

Отправь SMS сообщение:
Для россии:
------------
Билайн и мегафон
C текстом: 79kopilka4828
На номер: 1350
------------
МТС:
C текстом: 79kopilka4828
На номер: 8510
------------
Для Украины:
------------
Kyivstar,life:) и MTC (UMC)
C текстом: 79kopilka4828
На номер: 3855
--------------------
Стоимость смс: 150 рублей

код: 1337

Trojan.Winlock.5310 на номер 79060970574

md5:79A4C930C705F3A4DB3535C6534DC733



79629412985
79645314126
79060970574
79670134229
79654101828
79654101746
79653299650
79032383986
79653975458
79032383986

код: 487874589

Trojan.Winlock.5310 на номер 79671021528




79091573281
79096516265
79671021528
79032028901
79096507487
79067982260
79639739972
79653781823
79637246591
79653781823

код: 408965254

Trojan.MbrLock.6 на номер 380632189323

Внимание! Ваш ПК заблокирован за просмотр и тиражирование порнографии с
участием несовершеннолетних гомосексуалистов, элементами извращений.
Для разблокировки, Вам необходимо оплатить штраф в размере 320 гривен
в любом терминале оплаты. Выберите на экране терминала категорию
"Электронные деньги"или подобный раздел. Найдите эмблему платежной
системы Webmoney. Пополните кошелек Webmoney, для этого - введите
номер U кошелька(12 цифр) - 380632189323 и пополните его на 320 гривен.
По завершению оплаты, на выданном терминалом чеке оплаты, Вам будет
выдан персональный код, после ввода которого, Ваш ПК будет автоматически
разблокирован. В случае отказа от оплаты, операционная система
будет уничтожена, без возможности восстановления.

380635723846
380632189323
код: 114441

Trojan.WinLock.2741 на номер 89613158060

md5:0261DADF06564EAE35F4C23B3549CFFD





89613158060
код: 212121

Trojan.Winlock.5310 на номер 79653395054

md5:0BB4C2FCD1A1616A1C1E8A8B1E1C13FA



79035078896
79653752470
79060966233
79091577235
79096508297
79653395054
79099863791
79096508274
79670416998
79096508274

код: 409856584

пЕши на почту!

Что необходимо сделать для получения помощи

1) Пишите на почту mrbelyash@yandex.ru или stop-winlock@yandex.ru
2)Укажите как выглядит троян (вот фотки баннеров)


Если там отсутствует картинка, то подробно опишите ваш блокировщик, просто укажите ответы на вопросы

а)появляется до окна приветствия
б)цвет и текст
в)есть ли какие-то кнопки
г)рисунок(опишите его)

Trojan.Winlock.5310 на номер 79060967737

md5: FF988BE30C04A57C8F55FC2CD0C56699



79091578395
79091613663
79060967737
79091511792
79067980527
79096507677
79629809810
79091615623
79067983270
79091615623

код: 459855820

пятница, 27 января 2012 г.

Trojan.MbrLock.6 на номер 380682699808

Внимание! Ваш ПК заблокирован за просмотр и тиражирование порнографии с
участием несовершеннолетних гомосексуалистов, элементами извращений.
Для разблокировки, Вам необходимо оплатить штраф в размере 320 гривен
в любом терминале оплаты. Выберите на экране терминала категорию
"Электронные деньги"или подобный раздел. Найдите эмблему платежной
системы QIWI . Пополните кошелек QIWI, для этого - введите
номер кошелька(12 цифр) - 380682699808 и пополните его на 320 гривен.
По завершению оплаты, на выданном терминалом чеке оплаты, Вам будет
выдан персональный код, после ввода которого, Ваш ПК будет автоматически
разблокирован. В случае отказа от оплаты, операционная система
будет уничтожена, без возможности восстановления.


380682699808
380689132715
380684827573
380682699821

код: 113331


Trojan.WinLock.2741 на номер U288886648290





U238885300913
U628731664595
U104026894221
U516376892966
U288886648290
U181646785294
U371243989917
U360093498122
U343762129529
U269751461944

код: 9109101313

Trojan.MbrLock.6 на номер 380632177244

Внимание! Ваш ПК заблокирован за просмотр и тиражирование порнографии с
участием несовершеннолетних гомосексуалистов, элементами извращений.
Для разблокировки, Вам необходимо оплатить штраф в размере 320 гривен
в любом терминале оплаты. Выберите на экране терминала категорию
"Электронные деньги"или подобный раздел. Найдите эмблему платежной
системы Webmoney. Пополните кошелек Webmoney, для этого - введите
номер U кошелька(12 цифр) - 380632177244 и пополните его на 320 гривен.
По завершению оплаты, на выданном терминалом чеке оплаты, Вам будет
выдан персональный код, после ввода которого, Ваш ПК будет автоматически
разблокирован. В случае отказа от оплаты, операционная система
будет уничтожена, без возможности восстановления.

380632177244
код: 113361

Trojan.Winlock.5310 на номер 79653686311

https://www.virustotal.com/file/35dc32da768bef8418115e74614adc7923b76deb80c70dac16f66c284073a7a2/analysis/




79629739493
79067256248
79688378247
79636623757
79091612827
79653686311
79091618298
79091615639
79091678790
79091615639

код: 469850259

Trojan.MbrLock.6 на номер 380632177252

md5: F827FA03CFC544FC0D37128FDBB7891F

Внимание! Ваш ПК заблокирован за просмотр и тиражирование порнографии с
участием несовершеннолетних гомосексуалистов, элементами извращений.
Для разблокировки, Вам необходимо оплатить штраф в размере 320 гривен
в любом терминале оплаты. Выберите на экране терминала категорию
"Электронные деньги"или подобный раздел. Найдите эмблему платежной
системы Webmoney. Пополните кошелек Webmoney, для этого - введите
номер U кошелька(12 цифр) - 380632177252 и пополните его на 320 гривен.
По завершению оплаты, на выданном терминалом чеке оплаты, Вам будет
выдан персональный код, после ввода которого, Ваш ПК будет автоматически
разблокирован. В случае отказа от оплаты, операционная система
будет уничтожена, без возможности восстановления.


380632177252
380632177235
380632177144
380632182773
380632142191

код: 123451

Trojan.WinLock.2741 на номер U272844157062





U915753909403
U118045450108
U248201071148
U249657509001
U272844157062
U316096018699
U463244638610
U158117345653
U383373452338
U156297315215

код: 9109101313

Trojan.Winlock.5310 на номер 79067308969






79096507665
79096503898
79055921290
79060971442
79060967925
79096507963
79067308969
79067311539
79653979282
79067311539

код: 464649522