Stop WinLock

понедельник, 5 декабря 2011 г.

Trojan.WinLock.3333 на номер 89156411525

http://www.virustotal.com/file-scan/report.html?id=d5ba92248835f4971fc9a0edcc85fea6cd212a8a819f67461950b839f0ba506b-1315054756

89156411525
код: 7300

9199943353
код: 773585325427589

Trojan.WinLock.3333 на номер 9650141776

http://www.virustotal.com/file-scan/report.html?id=d11db8475a2e0af54c4ff27c4fe02a871300a63e0f148ec03875e951e3a2d88c-1322703874

9650141776
код: 53764

Trojan.WinLock.2741 на номер 79171577352

http://www.virustotal.com/file-scan/report.html?id=96386cd42dccc7898b98b18b1a6450a4e611469c4f271ee32b350311501a33ff-1323085183

79171577352

код: 444433303
или
код: 99885522

------------------
89897142203
код: 070707

Trojan.Packed.21756 на номер 9670696439

http://www.virustotal.com/file-scan/report.html?id=2d53f7ef7f874dca607f3b53821e314a2ceae7f3aa2230a3b381d266a6ba6d5d-1309400005

9670696439
код: LAND

Еще коды к такому баннеру

9670233638====>код:IDES OF MARCH
9670850268====>код:IDES OF MARCH
9645972905====>код:IDDQD
89096236911====>код TDTHP
9653251183====>код:11-22
89653987655====>код:11-22
9653251183====>код:11-22
9671275984====>код:11-22
9645221264====>код:11-22
9653251178====>код:11-22
9637873236====>код: SHOW ME THE MONEY
9670850574====>код:DTLP
9670850269====>код:DTLP
9636391082====>код:DTLP
9057065521====>код:DTLP
9651655506====>код:GAME OVER MAN
9652665827====>код:GAME OVER MAN
9653253908====>код:GAME OVER MAN
9645221024====>код:11-22
9099561205====>код:IDSPISPOPD
9037527851====>код:IDSPISPOPD
9099561380====>код:IDSPISPOPD или 11-22
9645223223====>код:11-22
9652112510====>код:IDSPISPOPD
9099561196====>код:IDSPISPOPD
9645221024====>код:IDSPISPOPD
9099561205====>код:IDSPISPOPD
9037527851====>код:IDSPISPOPD
9099561380====>код:IDSPISPOPD
9645223223====>код:IDSPISPOPD
9652112510====>код:IDSPISPOPD
9099561196====>код:IDSPISPOPD
9099561150====>код:IDSPISPOPD
89154751007====>код:IDSPISPOPD
9672655824====>код:IDSPISPOPD
9636724892====>код:OPERATION CWAL
9651027784====>код:OPERATION CWAL
9639250458====>код:OPERATION CWAL
9039636359====>код:OPERATION CWAL
9636724892====>код:OPERATION CWAL
9035324662====>код:OPERATION CWAL
9639250458====>код:CORWIN OF AMBER
9636724892====>код:CORWIN OF AMBER
9039636376====>код:BLACK SHEEP WALL
9636256259====>код:BLACK SHEEP WALL
9645971701====>код:BLACK SHEEP WALL
9057446349====>код:BLACK SHEEP WALL
9055255286====>код:BLACK SHEEP WALL
9032445925====>код:BLACK SHEEP WALL
9653694347====>код:BLACK SHEEP WALL
9652452363====>код:EYE OF NEWT
9645972345====>код:EYE OF NEWT
9645972905====>код:EYE OF NEWT
9645972331====>код:EYE OF NEWT
9645972390====>код:EYE OF NEWT
9645972340====>код:EYE OF NEWT
9646287343====>код:EYE OF NEWT
9653694352====>Код:IDKFA или IDCLIP
9037527437====>Код:IDKFA или IDCLIP
9653249983====>Код:IDKFA или IDCLIP
9037527351====>Код:IDKFA или IDCLIP
9653694352====>Код:IDKFA или IDCLIP
9672942996====>Код:IDKFA или IDCLIP
9653694347====>Код:IDKFA или IDCLIP
9060469003====>код:IRON FORGE
9060469104====>код:IRON FORGE
9060469003====>код:IRON FORGE
90605877493====>код:IRON FORGE
9037527847====>код:IRON FORGE
9036614154====>код:IRON FORGE
9652112558====>код:IRON FORGE
9060468857====>код:IDCHOPPERS
9653251208====>код:IDCHOPPERS
89060468935====>код:IDCHOPPERS
9653251459====>код:IDCHOPPERS
9652665581====>код:RADIO FREE ZERG
9647731346====>код:RADIO FREE ZERG
9653491447====>код:SALLY SHEARS
9652417085====>код:SALLY SHEARS
9670537232====>код:SALLY SHEARS
9652665573====>код:SALLY SHEARS
9652417077====>код:SALLY SHEARS
9653491448====>код:SALLY SHEARS
9652417086====>код:SALLY SHEARS
9639777024====>код:SALLY SHEARS
9652417086====>код:SALLY SHEARS
9652112514====>код: HURRY UP GUYS
89037527591====>код: HURRY UP GUYS
9652112513====>код: HURRY UP GUYS
9645221024====>код: HURRY UP GUYS
9653253898====>код: HURRY UP GUYS
9651211805====>код:THERE IS NO COW LEVEL
9672547908====>код:THERE IS NO COW LEVEL
9096876514====>код:THERE IS NO COW LEVEL
9672547909====>код:THERE IS NO COW LEVEL
9672614480====>код:THERE IS NO COW LEVEL
9672942993====>код:POT OF GOLD
9637873247====>код:POT OF GOLD
9637873234====>код:POT OF GOLD
9645972955====>код:POT OF GOLD
9652520436====>код: BREATHE DEEP
8965252043637====>код: BREATHE DEEP
9652417250====>код: BREATHE DEEP
9651633035====>код:WHATS MINE IS MINE
9647631557====>код:DNITEMS
9647628277====>код:DNITEMS
9670735360====>код:DNITEMS
89670735778====>код:DNITEMS
9637619361====>код:DNITEMS
9670734440====>код:SHAZAM
9647628380====>код:SHAZAM
9030086741====>код:SHAZAM
9647631536====>код:DNRATE
9629456907====>код: DNKEYS
9645213490====>код: DNKEYS
9099010810====>код: DNKEYS
9099010759====>код: DNKEYS
9629463283====>код: DNKEYS
9099010809====>код:VALDEZ
9653919160====>код:NOGLUES
9653909089====>код: WE ROCK
9653909535====>код: WE ROCK
9653985797====>код: WE ROCK
9645214599====>код: WE ROCK
9652750705====>код: WE ROCK
9653919227====>код: FEED MY HEAD
9645211891====>код: FEED MY HEAD
9646287477====>код: PLANET HELL
9652857355====>код: PLANET HELL
9652750711====>код: PLANET HELL
9652857296====>код: PLANET HELL
9671979528====>код: PLANET HELL
9671979549====>код: PLANET HELL
9652869510====>код: ELVENPATH
9645211826====>код: ELVENPATH
9645215166====>код: ELVENPATH
9645212294====>код: ELVENPATH
9645211482====>код: ELVENPATH
9652869510====>код: ELVENPATH
9645211826====>код: ELVENPATH
9652867322====>код: ELVENPATH
9652869504====>код: ELVENPATH
9645215166====>код: ELVENPATH
9645212294====>код: ELVENPATH
9652867455====>код:RAMMSTEIN
9652867450====>код:RAMMSTEIN
9652869479====>код:RAMMSTEIN
9652750720====>код:RAMMSTEIN
9652750722====>код:RAMMSTEIN
9629459542====>код: FRANK HERBERT
9653919221====>код:NOGLUES
9099561196====>код:IDSPISPOPD
9652750720====>код:RAMMSTEIN
9633240014====>код:PROTOSS
9670696982====>код:PROTOSS
9670999434====>код:PROTOSS
9652523916====>код:THE TROOPER
9637734686====>код:THE TROOPER
9652537545====>код:THE TROOPER
9670955653====>код:THE TROOPER
9652537359====>код:THE TROOPER
9637733439====>код:THERION
9688919806====>код:MUSTGO
9688919810====>код:MUSTDIE
9688919810====>код:MUSTDIE
9688919834====>код:MUSTDIE
9670958242====>код:MUSTDIE
9637734657====>код:MUSTDIE
9637734662====>код:MUSTDIE
9670964990====>код:MUSTDIE
9688920521====>код:MUSTDIE
9670696367====>код:MUSTDIE
9688919817====>код:MUSTDIE
9671979590====>код:VALDEZ

Trojan.WinLock.2741 на номер 89179525609

http://www.virustotal.com/file-scan/report.html?id=63492c7262dfbc8a528b388af578adc4c4e4b7f44968c058286513646e2f44a0-1306124602

89179525609
89179525547
89179525264
89879476221
89179517981

код:935318445
или
код:99885522

Trojan.WinLock.2741 на номер 89816885547

http://www.virustotal.com/file-scan/report.html?id=d60cc8b61f870980464f819780901c9e4d02f3275c69edd70ab51a503c14b637-1316677002

89816885547
89816885571
89816885575
89816885537
89816885539

код: abcdefgh

суббота, 3 декабря 2011 г.

Trojan.WinLock.3300 или Trojan.WinLock.3278

Как-то забыл сюда добавить описание этого винлока.
Инструкция как его удалить уже давно есть в сети http://rghost.ru/9324771

Особенности заражения этим видом Винлока.

-Код разблокировки отсутствует. Автор его просто не делал. Так что отправлять мошенникам деньги безсмысленно.
-Файл C:\Windows\System32\userinit.exe как правило переименовывается в 03014D3F.exe (или вообще удаляется...тогда необходимо будет брать копии файлов с другой машины).
А на место userinit.exe троян ложит свою копию. А т.к. userinit.exe всегда грузиться при старте ОС Windows-заражение обеспечено.
-Также троян подменяет файлы
C:\Windows\System32\dllcache\taskmgr.exe
C:\Windows\System32\dllcache\userinit.exe
C:\Windows\System32\taskmgr.exe
-Копирует себя сюда C:\Documents and Settings\All Users\Application Data\22CC6C32.exe
-В папке C:\Documents and Settings\All Users\Application Data возможна еще одна копия этого файла,но уже с другим именем(например yyyy21.exe или lvFPZ9jtDNX.exe)
-Очень часто идет на пару с Backdoor.Butirat
C:\Documents and Settings\All Users\Application Data\netprotocol.exe
-Прописывается в реестре

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon

Shell="C:\Documents and Settings\All Users\Application Data\22CC6C32.exe"

Windows 7/Vista

-Файл C:\Windows\System32\userinit.exe как правило не заменяется,т.к. не хватает прав
-Копирует себя сюда C:\ProgramData\22CC6C32.exe
-Прописывается в реестре

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon

Shell="C:\ProgramData\22CC6C32.exe "

Trojan.MBRlock.12 на номер 079637566972

http://www.virustotal.com/file-scan/report.html?id=4898aba90f0eab70a292287b0936f2ed0bb0d9d6595d7d00724008fc2b040cfb-1322810570

Внимание! Ваш ПК заблокирован за просмотр и распространение порнографии с

участием несовершеннолетних, элементами насилия, педофилии. Все данные

зашифровны и не подлежат к использованию без разблокировки. Для дальнейшей

работы Вам необходимо оплатить штраф в размере 500 рублей в любом терминале

оплаты. Выберите на экране терминала категорию "Электронные деньги",

"Webmoney" и т.д. Найдите эмблему платежной системы WebMoney.

Введите номер R кошелька (12 цифр) - 079637566972

Внесите сумму 500 рублей. Внимание: учитывайте комиссию терминала.

По завершению оплаты на выданном терминалом чеке оплаты Вы найдете

персональный код, после ввода которого Ваш ПК будет автоматически

разблокирован. Любые попытки разблокировки без оплаты и ввода персонального

кода, приведут к уничтожению операционной системы и всех хранящихся файлов.

079637566972
код:12865490410

пятница, 2 декабря 2011 г.

Trojan.WinLock.2741 на номер 89897151936

http://www.virustotal.com/file-scan/report.html?id=51adb33964caf6aa3e9474df69f389974dae4ff225fd0e546df1479d96dbd50d-1322833993

89897151936
код: 13910

четверг, 1 декабря 2011 г.

Trojan.Winlock.2741 на номер 89885735271

http://www.virustotal.com/file-scan/report.html?id=e7ddf9ef51a5d7b6bdf5ef9028cd86306690a6ad138831c0a3d06073b75f77cc-1322740592

89885735271
код: 1313910

Trojan.WinLock.2471 на номер 89185697468

http://www.virustotal.com/file-scan/report.html?id=f32e49fd5478422a3615db715aea0197a25cb2291c8afc5172d006699a590570-1322731183

89185697468
код: 20202011

вторник, 29 ноября 2011 г.

Trojan.WinLock.3333 на номер 89156423283

http://www.virustotal.com/file-scan/report.html?id=8eaa7fd428ceb0f87b65b08a17159a6d4db64800fdf193da8cf6f01ac3c475ca-1322418241

8-(915)-642-32-83
89156423283

код: 023807855749273

UpdatusUser

Только что смотрел логи (Просмотр событий) и выпал в осадок.

Оказывается у меня появилась скрытная учетная запись. Шок.
Гуглим, находим информацию...угадайте кто.

Так и до Кондратия не далеко ;)

Trojan.Winlock.3333 на номер 89101194920

http://www.virustotal.com/file-scan/report.html?id=9be2f7ceca13360ee836eef28d10bb983f8a10c97e1c9f1c8b76cade5951252b-1322527560

8-(910)-119-49-20
89101194920

код: 816908

понедельник, 28 ноября 2011 г.

в_мемориз

Trojan.WinLock.2741 на номер 79179558911

http://www.virustotal.com/file-scan/report.html?id=206995865c6130044105119dbd0b0c6e4597d8d06fbc693d7d2ed8a690448728-1309860184

79179558911

код: 99885522
или
код: 111222333

Техническое задание на разработку программы (WinLock)

Скопипастил у XyliBox

http://xylibox.blogspot.com/2011/11/fakeavfakepolicealert-source-code-for.html

Техническое задание на разработку программы PLock.
Необходимо разработать программу, которая сделает невозможной или затрудненной работу пользователя с компьютером; вынудит пользователя отправить платежные данные по электронной почте; после проверки платежных данных оператором, данный компьютер должен быть разблокирован, программа должна вернуть состояние компьютера в первоначальное состояние и самоудалиться.

Необходимые особенности.
1. Невозможный вызов диспетчера задач и редактора реестра.
2. Окно программы имеет фокус все время, нет возможности переключиться на другое окно. Не закрывается по ALT+F4.
3. Не дает антивирусам обновить базы сигнатур и обращаться на сайты компаний.
4. Автозагрузка, в безопасном режиме тоже.
5. Самоудаление, если много дней прошло - и оплаты нет

Технические требования.
1. Язык программирования — C/C++.
2. Код должен компилироваться MS-компилятором.
3. Платформа — Windows x86/x64
4. Отсуствие CRT, для уменьшения размеров

Заметки о реализации.
При запуске программа должна проверить версию операционной системы, если версия выше, чем Windows Vista, нужно проверить http://msdn.microsoft.com/en-us/library/bb250462%28v=vs.85%29.aspx.
Если версия ниже, но нет прав, то тоже самое.
Если он включен, то можно ничего не делать и самоудалиться.
При создании интерфейса будут использоваться картинки, чем больше размер картинки тем больше размер в итоге exe,
поэтому нужно свести использование картинок к минимуму.
При запуске, если есть все условия программа создает окно на весь экран:
Должна содержаться информация о данных компьютера и IP/провайдере.
Необходимо где-то брать эти данные – как вариант делать запрос на наш сайт, где будет находиться скрипт, который по IP будет выдавать инфо.
Логотип какой-то организации, которая грозит чем-то.
Должно содержаться после ввода пароля, который будет разблокировать компьютер и удалять программу.
Пароль будет присылаться по электронной почте, этот пароль будет генерироваться каждый день, при сборке билда.

BUNDESPOLIZEI
Техническое задание на разработку программы-заставки PMessage.
Необходимо разработать программу, которая создает одно окно, отображает картинки и текст, содержит поля ввода и прочие элементы.

Необходимые особенности.
1. Созданное окно не должно содержать верхнего меню, окно не должно двигаться и увеличиваться/уменьшаться в размерах.
Окно программы имеет фокус все время, нет возможности переключиться на другое окно. Размер окна 1024x768. При нажатии правой кнопкой мыши
на окне должен создаваться диалог о подтверждении закрытия окна.
при введении данных в поле ввода, должна вызываться функция-заглушка.
2. Используемые картинки должны содержаться в ресурсах исполняемого файла, в формате отличном от bmp.
Возможно 1-2 картинки буду рисоваться с помощью GDI+.

Технические требования.
1. Язык программирования — C/C++, с использованием только WINAPI функций, включая GDI+.
2. Платформа — Windows x86/x64, начиная с Windows XP SP1
3. Исходный код должен быть откоментирован.

ver, os, id, sub, ip, loc, isp, code (start, voucher), data
type, num
Необходимые доработки.
1. Контроль ввода пользователем данных, длина и цифры только.
2. Шифрование RC4 отправленных данных.
3. Разблокировка машины.
1. Проверить данные автоматически не выйдет, только вручном режиме.
После ввода кода и разблокировкой машины должно пройти время, когда чек провериться/заналиться.
Может быть реализовано так - чел отправил данные, через день-два когда чеки заналятся
в админке введут айпи и когда бот обратится в админку - его разбанят. Минусы это схемы в том. что бот должен обращатся
периодически на сайт, что будет вести к увеличеснию абуз на сайты. Еще минус - время нужное на написание кода этого
и отладки и тестов. Плюсы сомнительные, может быть какой-то процент чеков будет дольше жить не 1-2-3 дня а 2-3 или может
дольше.

4. Контроль виртуальных машин.
5. Шифрование всех строк в EXE
+

Trojan.Winlock.3170

http://www.virustotal.com/file-scan/report.html?id=83a9718720581e4f6938fa9d5e6872639bd308cfff7ea4419c8af3fd789ca337-1300331835

http://camas.comodo.com/cgi-bin/submit?file=83a9718720581e4f6938fa9d5e6872639bd308cfff7ea4419c8af3fd789ca337

http://anubis.iseclab.org/?action=result&task_id=13ea1f3ae98914b24119437451f500994&format=html

номер: 00261221000183 ~ +261221000183
номер: 002392216469 ~ +2392216469
номер: 002392216464 ~ +2392216464
номер: 00261221000181 ~ +261221000181
номер: 00881935211841 ~ +881935211841
номер: 0088213090406 ~ +88213090406
номер: 002392216368 ~ +2392216368
номер: 004525970180 ~ +4525970180
номер: 0088213090406 ~ +2392216469
номер: 002392216368 ~ +261221000183
номер: 004525970180 ~ +2392216368
номер: 002392216469 ~ +23922216464
номер: 002392216464 ~ +4525970180
номер: 00261221000183 ~ +261221000181
~ +881935211841
~ +88213090406

002392216368
002392216469
00261221000183
002392216469
00881935211841
004525970180
0088213090406
002612221000181
002392216368
002392216464
002392216469
0037190100548
00261221000183
+4525970180
+881935211841
+261221000181
+37190100548
+88213090406
00261221000181
002392216469
002392216464
+88213090406
+4525970180
+261221000181
+37190100548
+261221000183
+2392216469
+2392216368
+881935211841
+2392216469
+2392216464
+2392216464
+2392216469
+4525970180
+881935211841
+2392216368
+8821300406
+261221000181
+261221000183
261221000183
88213090406
4525970180
2392216464
2392216368
2392216469
261221000181
881935211841
88213090406
4525970180
261221000181

код: 1351236