У нас изначально требует ruToken. Есть какие то различия?

Образа системы я так и не получил.

Знать бы этого гада по имени... Кто найдет прошу озвучить, а разработчикам предлагаю выдать нашедшему какой-нибудь милый презент))

Подтвердилось предположение о вирусной природе проблемы этого топика!!!

Переносная утилита CUREIT от DRWEBa называла его Trojan.DownLoader.63553
KIS 7.0 опознал как Trojan-Downloader.Win32.Mutant.amr

HiJackThis показал строчку:
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll

примечательно, что вирус не проявлял себя (окно встав ключ носителя) с момента заражения компа, до первой работы с ключевым носителем
после первого обращения к кл.носителю, стало появляться окно при каждом запуске любого приложения

могу предположить что зловред имеет множество имен и лиц :)

поэтому не стоит отталкиваться от тех названий зловреда, что выше

вообще интерес к топику остыл, и могу предположить что народ активно борется с вирусами или же просто защита не пропускает заразу

тем же которые имеют сею проблему и не могут избавиться, могу посоветовать сменить антивирус и КАЖДОДНЕВНО обновлять антивирусные базы

P.S. так же могу предположить что сам зловред возможно не имеет к проблеме прямого отношения. А проблема возможно в неправильной прописке зловреда в реестре. Влюбом случае информации о сей заразе в инете не имеется(по этим названиям) и поэтому заострять внимание на названиях не стоит. Просто соблюдайте правила безопасности.

P2.S2. если отталкивать от предыдущего посткриптума, то можно предположить, что виной сей проблемы может быть какая-нибудь безвредная прога, которая неправильно прописывает свои параметры в реестре, а именно в Winlogon или же еще каком-нибудь разделе реестра

так что дерзайте господа

Выловил зловреда ntos.exe и протестировал его работу!!!
Да, действительно, вся проблема из-за этого гаденыша!!!
Ктобы мог подумать что такой старый маразматик, может еще как-то пакостить.
А именно, задалбывать диалогом.
Возможно он имеет в себе какой-то механизм, который не выявили.
Он же не просто так обращается к закрытым ключам?

В сообщении выше, где я говорил про трояна, я не упомянул, что на той машине тоже был и ntos!!!
Но я не западозрил его в этой проблеме.

Привожу выдержку из описания ntos:
Процесс, который использует вредоносная программа,
шифрующая файлы пользователя на зараженном компьютере.
Является приложением Windows (PE EXE-файл).
Упакована UPX. Размер в пакованом виде — 58368 байт.

После запуска вирус формирует уникальный ключ,
предназначенный для шифрования файлов, и сохраняет его в системном реестре:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion]
"WinCode" = "<ключ шифрования>"

Также вредоносная программа добавляет себя в ключ автозапуска системного реестра:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"UserInit" = "%System%\userinit.exe, %System%\ntos.exe"

Значение данного ключа периодически проверяется из системных процессов,
в которые внедрился вредоносный код (например, «Winlogon.exe»).
В случае если значение ключа меняется (удаляется «%System%\ntos.exe»),
то оно автоматически восстанавливается из системного процесса.

Кроме того, внедренный код защищает от модификации,
переименования и копирования файл,
инсталлированный в системный каталог — «%System%\ntos.exe».

Далее, если текущая дата находится в диапазоне
с 10 по 15 июля 2007 года включительно,
вирус приступает к шифрованию всех найденных
пользовательских файлов со следующими расширениями:
- в основном это архивы, документы, файлы БД
- системных и программных файлов он не трогает
- всего 233 типа

В каждый каталог, файлы которого были зашифрованы,
вредоносная программа помещает файл read_me.txt,
в котором требует выкуп. :)

Таким образом вирус абсолютно безвреден в наше время и если дата на компе стоит правильно. :)

Примечательно, что файл ntos.exe в папке system32 ни через проводник, ни через far, ни через total НЕ ВИДИТСЯ(хотя системные и скрытые вкл смотреть).

При первом запуске файл еще виден на диске в system32.
После перезагрузки файл не виден.

К томуже если удалить сертификаты из личных, окно перестает появляться. :)

При попытке прописать с дискеты сертификаты еще раз, ничего не получается.
Выводится список контейнеров на носителе и после этого не давая возможности выбрать контейнер и продолжить, криптопро начинает "протирать дырку в дискете", т.е. опять и опять обращаться к носителю.(эксперемент проводился на VMWARE)

Файл увидеть самому получилось только после загрузки BOOT Acronis DD и через ОБЗОР. Достаточно переименовать файл и все, вирус обезврежен.

P.S. Если службе поддержки интересен сам вирус, могу прислать на ВАШ страх и риск, и ВАШУ ответственность.

Отредактировано пользователем 17 июля 2008 г. 14:08:28(UTC)  | Причина: Не указана