Маскировка гей-порно вируса

03.10.2011

Сегодня я принял вызов на лечение гей-порно вымогателя и с ещё большей уверенность заявляю, что создатели троянов читают статьи по борьбе с их «детищем». Такой вывод я сделал по полному разрыву шаблонов, вызванному сегодняшним вирусом. В двух словах:

Если верить преданиям, троян, который грузится вместо рабочего стола, прописан в shell вместо explorer.exe, а троян, размещающийся поверх рабочего стола, прописан в автозагрузке и прочих userinitах. Сегодняшний бацилл, а был он на красном фоне поверх рабочего стола, оказался полной противоположностью. Я, зная, что это вызовет синий экран смерти, все-таки решил загрузиться в безопасном режиме с поддержкой командной строки. Каково же было мое удивление, когда я увидел милый эмулятор консоли и мигающий курсор! Ну, раз такое дело, проверил я RUNы (как HKCU, так и HKLM) и конечно же ничего в них не нашел, а вот shell был таки изменен.

Логичный вопрос заказчицы: «Как лечить — не мое дело, но как избежать?» Да, поцепить сию заразу можно далеко не на порно-сайтах, а и на самых безобидных новостниках и обменниках. Выбор антивирусника роли не играет, ведь решающий клик остается за пользователем. Я в этом случае рекомендую скачать бесплатную версию антивируса, но очень тщательно подходить к выбору сайтов, которые вы посещаете.

Хотелось бы в комментариях прочитать хоть пару примеров сайтов, с которых гей-порно вымогатели могут переселиться на компьютер пользователей. Список таких сайтов поможет сисадминам для составления бан-листов, а пользователям — для безопасного посещения просторов интернета.