Не так давно пользователи Windows столкнулись с целой эпидемией от вируса win32.kido.

Разные антивирусные компании определяют ее по-разному. Но в основном фигурирую 3 названия :

• win32.kido
• Win32.Worm.Downadup.Gen
• Conficker

В предыдущей статье я уже указывал основные симптомы этого вируса, среди которого падение Generic.host process и периодическое «отпадание» драйвера звука.

Хотелось бы обратить внимание на комплекс мер, предлагаемый пользователю — иначе все усилия будут просто бесполезны.

По заверениям от Microsoft третий СП закрывает дыру в уязвимости или же прдлагает наложить 3 обновления.

Но не тут то было. По описаниям деструктивной и другой деятельности новая версия червя не очень претерпела изменения, но как видимо уязвимости все же остались.

Дабы не разносить все по разным местам новые (и обновленные) утилиты  выложены в старой статье.

Вот что говорит об этом сайт Касперского :

Читать запись полностью »

Хотелось бы поблагодарить Dozzik и Banga,

учавствовавших в помощи создании и

тестировании данного продукта.

Не найдя толкового описания в сети интернет, наша команда сама взялась за написание программы, удаляющую этот вирус.

Краткое описание вируса:(возможно Win32:VB-LBA[Drp]/Trojan.Win32.StartPage.def/Trojan.Win32.Buzus.aiid)

Вирус заражает файлы архивов, созданные WinRAR.Записывает свое тело множество раз (до 25 шт. и более).

Практически все антивирусы распознают архив как зараженный, но из-за сбитой crc-суммы не могут вылечить.

Описание работы программы:

Наша программа основана на самом архиваторе. Это консольное приложение. Программа при инсталяции удаляет ключи реестра, связанные с автозапуском этого вируса а так же его активную копию.

Ярлычек выведен на рабочий стол пользователя.

При запуске программы открывается консольное окно. После того как программа проверит ЛОКАЛЬНЫЕ и СЕТЕВЫЕ диски — откроется окно блокнота с отчетом.

Так как программа консольная — шрифт следует использовать Terminal.

Так как определение количества логических дисков производится с использованием утилиты WMI из поставки Windows — программа работает только под XP и выше.

В архиве есть так же версия и для 9х, но она только убивает источник и очищает реестр.

Так же в планах есть переделать механизм и для более ранних версий Windows.

Скачать программу :

Скачать с depositfiles.com

Скачать с letitbit.net

Скачать с turbobit.net

Отзывы оставляйте в комментариях.

Симптомы заражения в сети

1. При наличии зараженных компьютеров в локальной сети повышается объем сетевого трафика, поскольку с этих компьютеров начинается сетевая атака.
2. Антивирусные приложения с активным сетевым экраном сообщают об атаке Intrusion.Win.NETAPI.buffer-overflow.exploit.
3. Часто вылетают звуковые драйвера.
4. Ошибка generic host process failed.
5. Блокировка адресов автоматических обновлений , антивирусов и microsoft.com

Краткое описание семейства Net-Worm.Win32.Kido.

1. Создает на съемных носителях (иногда на сетевых дисках общего пользования) файл autorun.inf и файл RECYCLED{SID<….>}RANDOM_NAME.vmx
2. В системе червь хранится в виде dll-файла со случайным именем, состоящим из латинских букв, например c:windowssystem32zorizr.dll
3. Прописывает себя в сервисах — так же со случайным именем, состоящим из латинских букв, например knqdgsm.
4. Пытается атаковать компьютеры сети по 445 или 139 TCP порту, используя уязвимость в ОС Windows MS08-067.
5. Обращается к следующим сайтам (рекомендуем настроить на сетевом брандмауэре правило мониторинга обращения к ним):
   • http://www.getmyip.org
   • http://getmyip.co.uk
   • http://www.whatsmyipaddress.com
   • http://www.whatismyip.org
   • http://checkip.dyndns.org
   • http://schemas.xmlsoap.org/soap/envelope/
   • http://schemas.xmlsoap.org/soap/encoding/
   • http://schemas.xmlsoap.org/soap/envelope/
   • http://schemas.xmlsoap.org/soap/encoding/
   • http://trafficconverter.biz/4vir/antispyware/loadadv.exe
   • http://trafficconverter.biz
   • http://www.maxmind.com/download/geoip/database/GeoIP.dat.gz

Способы удаления

Удаление сетевого червя производится с помощью специальных утилит:

Утилита от ESET EConfickerRemover.

kidokiller_v31.

kidokiller_v333 (обновленная)

kkiller_v344 (обновленная)

Ключи для запуска утилиты KK.exe из командной строки:

Режим мониторинга потоков, заданий, сервисов.

Восстановление ветки реестра SafeBoot (при ее удалении компьютер
не может загрузиться в безопасном режиме)

Например, для сканирования flash-накопителя с записью подробного отчета в файл report.txt (который создастся в папке, где находится утилита KK.exe) используйте следующую команду:

kk.exe -r -y -l report.txt -v

А вот еще 2 утилитки

Скачать с depositfiles.com

Скачать с letitbit.net

Обновленные версии Утилиты от BitDefender :

Скачать с depositfiles

Скачать с letitbit.net

И еще утилита для Сетевого лечения:

Скачать с depositfiles

Скачать с letitbit.net

Лечит сразу несколько компьютеров в сети (требуется аутентификация)

Так же обновилось средство удаления вредоносного кода от самой Microsoft:

Скачать с depositfiles

Скачать с letitbit.net

С целью предохранения от заражения на всех рабочих станциях и серверах сети необходимо провести следующий комплекс мер:

• Установить патч, закрывающий уязвимость MS08-067. Линки на патчи ниже)
• Удостовериться, что пароль учетной записи локального администратора устойчив ко взлому  — пароль должен содержать не менее шести символов, с использованием разных регистров и/или цифр.
• Отключить автозапуск исполняемых файлов со съемных носителей.

Линки на патчи для разных ОС:

Windows XP:

Скачать с depositfiles.com

Скачать с letitbit.net

Windows XP x64 Edit:

windowsserver2003windowsxp-kb958644-x64-enu

Windows Vista:

windows60-kb958644-x86

Windows 2003 Server:

Скачать с depositfiles.com

Скачать с letitbit.net

После сканирования одной из утилит (или всемми для верности, но по идее хватит и любой из них) устанавиваем пачти из архива для Вашей ОС.

Удачи !!!

ЗЫ. От себя добавлю что на Windows Vista (SP1) и Windows 7(c WU)  эта гадость не пролезла.

ЗЫЫ. Утилиты обновлены от 14.04.09