Каким антивирусом пользуетесь?

[Talgat Ravilov]

Сообщение от JH

И добавить MSSE

[norma762]

В сеть попал червяк Stuxnet.A - как его обозвал NOD32, вроде бы удалил, а нет время от времени то на одной машине, то на другой - обнаруживает и удаляет. А на одном компе вообще появился файл в C:\WINDOWS\system32 под названием winista.exe и такой растущий файл, что вырос до 15Гб пока я его безболезнено не удалил. Кто в курсе, как его уничтожить под корень? Понятно, что он задействует расширение lnk, т.е. ярлычки - но убирать из реестра красоту ярлычков не хотелось бы.

[Timurline]

Сообщение от Tatyana Belyakova

Это одно и то же. Agnitum — компания, Outpost — торговая марка их продуктов.

В голове одно, а написал другое, Зон Аларм или Агнитум Оутпост?

[Concerned]

Сообщение от norma762

В сеть попал червяк Stuxnet.A - как его обозвал NOD32, вроде бы удалил, а нет время от времени то на одной машине, то на другой - обнаруживает и удаляет. А на одном компе вообще появился файл в C:\WINDOWS\system32 под названием winista.exe и такой растущий файл, что вырос до 15Гб пока я его безболезнено не удалил. Кто в курсе, как его уничтожить под корень? Понятно, что он задействует расширение lnk, т.е. ярлычки - но убирать из реестра красоту ярлычков не хотелось бы.

Если была включена служба востановления виндовс - попробуйте на начало месяца откатить систему, этот вирус очень быстро распространяется, и изменяет реестр (не написано где именно), судя по описанию в гугле.
Вы бы провели чистку дисков из встроенного в контекстное меню пункта "очистить"

И еще... обнаружен он где то в 15 числах - обновитесь обязательно.

[Timurline]

Сообщение от Red

И еще... обнаружен он где то в 15 числах - обновитесь обязательно.

Свежий курейт его обнаруживает и удаляет, а касперский обновленный даже что то не приметил (или с обновлениями зеркала NNM.uz что то не так)

[JH]

Оффтоп:

Почему CureIt называют "курейтом"? Вроде "кьюрит"

[Talgat Ravilov]

Сообщение от JH

Оффтоп:

Почему CureIt называют "курейтом"? Вроде "кьюрит"

Или просто курит. Выкуривает вирусы

[norma762]

Сообщение от Red

Вы бы провели чистку дисков из встроенного в контекстное меню пункта "очистить"

Этот вирус разбегается и при помощи флешек и именно файлов с расширением .tmp и не только .lnk так, что очистка диска может и помочь. А кто знает насколько опасен Stuxnet. A скоро он и к Вам придет.

[Sunny]

Уязвимые системы

Microsoft Windows XP SP2/SP3
Microsoft Windows 2003 SP2
Microsoft Windows Vista SP1/SP2
Microsoft Windows 2008 SP0/SP2
Microsoft Windows 7
Windows Server 2008 R2 for x64-based Systems

В настоящий момент антивирусы распознают червя следующим образом:
Symantec: W32.Temphid
Kaspersky: Rootkit.Win32.Stuxnet.a
Bitdefender: Rootkit.Stuxnet.A
Avast: Win32:Stuxnet-B
Microsoft: Trojan:WinNT/Stuxnet.A
AVG: Rootkit-Pakes.AG
Eset: Win32/Stuxnet.A
DrWeb: Trojan.Stuxnet.1
Norman: W32/Stuxnet.D

Основной метод распространения – USB носители.

Уязвимость заключается в ошибке при обработке ярлыков (.lnk и .pif файлов). Червь распространяется через инфицированные USB устройства. Заражение происходит, когда пользователь открывает диск автоматически с помощью функционала автозапуска, либо при открытии диска непосредственно в Windows Explorer или аналогичном менеджере файлов. Специально сформированный ярлык заставляет Windows Shell подгрузить внешнюю динамическую библиотеку, которая выполняет произвольный код с привилегиями пользователя, запустившего Windows Explorer.

Текущий вариант червя осуществляет следующие действия на системе:

1. Червь копирует себя в файлы:

%System%\drivers\mrxcls.sys

%System%\drivers\mrxnet.sys

Некоторые образцы имеют цифровую подпись Realtek Semiconductor Corporation.

2. Регистрирует себя (mrxcls.sys) в качестве службы под названим MRXCLS.

3. Создает ключ в реестре
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\MRxCls\"ImagePath" = "%System%\drivers\mrxcls.sys"

4. Регистрирует файл mrxnet.sys в качестве службы под названием MRXNET

5. Создает ключ в реестре
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\MRxNet\"ImagePath" = "%System%\drivers\mrxnet.sys"

6. Скрывает файлы под именами:
%DriveLetter%\~WTR[FOUR NUMBERS].tmp

После успешного запуска червь завершает работу служб, содержащих следующие имена:

vp.exe
Mcshield.exe
avguard.exe
bdagent.exe
UmxCfg.exe
fsdfwd.exe,
rtvscan.exe
ccSvcHst.exe
ekrn.exe
tmpproxy.exe

Червь собирает информацию о сетевых настройках и серверах в локальной сети. Может подключаться к следующим адресам:

ww.windowsupdate.com
www.msn.com
www.mypremierfutbol.com
www.todaysfutbol.com

Червь распространяется путем создания файлов:

%DriveLetter%\~WTR4132.tmp
%DriveLetter%\~WTR4141.tmp
%DriveLetter%\Copy of Shortcut to.lnk
%DriveLetter%\Copy of Copy of Shortcut to.lnk
%DriveLetter%\Copy of Copy of Copy of Shortcut to.lnk
%DriveLetter%\Copy of Copy of Copy of Copy of Shortcut to.lnk

[YUU]

а что плохого делает Stuxnet, кроме распространения?