М-да... Нет, я ещё утром 17-го декабря понял, что мой год был -- тот, который прошёл. В тот день у меня, как говорит Вадим,
всё случилось: огромные интервалы в метро, сломанный лифт на работе, очередь за тортиками в магазине, тортики купил, пешком на 12-й этаж припёр -- выяснилось, что воды нет, и поэтому чай либо кофе приготовить невозможно -- пришлось опять идти в магазин и покупать воду...
Вот и в эти дни: тридцать три несчастья. Из-под ванны всё-таки течёт, причём как чинить - я не понимаю, разве что просто перевязать чем-то. Стиральная машина сегодня утром сломалась (мама оперативно вызвала дядьку, который к вечеру её починил). Сегодня интернет пропал, пришлось звонить в техподдержку Стрима. А ещё
вирус этот... Касперский его до сих пор не узнаёт и не лечит, так что я его методично убивал просто руками, на что и были потрачены почти без остатка двое суток: вчерашний и сегодняшний день.
Как я понял, вирусов была целая компания, как это теперь часто бывает, пачкой: некий троян это всё доставил мне на машину, и немедленно был вычищен Касперским -- но свою задачу выполнить успел. Подозреваю, он был чем-то вроде
этого) -- оно и правда создавало какие-то файлы в корне C:\ и в папке %UserProfile% (C:\NTDETECT.EXE, C:\Documents and Settings\...\X.exe). Но так или иначе оно было удалено и больше не возвращалось. Ещё была некая хрень, замаскированная под драйвер (SYSTEM32\DRIVERS\ONHKJK.SYS), которая, как я понимаю, вытирала базы Касперского -- сегодня она наконец была опознана антивирусом как
Trojan.Win32.KillAV.en, но к этому времени уже ничего не делала довольно давно. кто-то ещё тёр мне cookies (наверное, в надежде, что удастся перехватить ввод пароля) и обращался по TCP к каким-то, кажется, банковским сайтам из разных процессов (например, пришлось создать правило в firewall, запрещающее внешние обращения из EXPLORER.EXE).
Наконец осталось самое живучее. Занималось оно тем, что в папке SYSTEM32 создавало файлы "??745504.dll" (первые два символа -- две произвольные буквы, а номер почему-то сохранялся неизменным всегда), и эти DLL присоединялись ко всем буквально запущенным в системе процессам в качестве отдельных потоков -- то есть вирус не запускался в системе как отдельный процесс, а прятался в "легальных" процессах, причём во всех сразу -- как я понимаю, в том числе и в тех, файлы которых не были заражены (например, EXPLORER.EXE заражён не был, но thread ??745504.dll там был, и я сам наблюдал в FileMonitor, как из него происходило заражение). То же самое было даже и с самим Касперским - KAV.EXE, KAVSVC.EXE. Сидя в памяти, вирус сканировал диск и заражал EXE-файлы - не все, но порядка 70%. Не заражал он модули, упакованные чем-то (UPX и т.д.) и как правило не заражал инсталляторы и деинсталляторы. В системе заражению подверглись в том числе CMD.EXE, FIXMAPI.EXE, GRPCONV.EXE, LOGAGENT.EXE, MMC.EXE, MSHTA.EXE, MSTINST.EXE - с помощью кого-то из них (скорее всего CMD) вирус распаковывал свои DLL, так что когда я эти файлы переименовал, запуск любого заражённого приложения приводил к ошибке "файл не найден". Потом я все системные модули восстановил из DLLCACHE. Заражённые EXE-файлы отличались тем, что имели длину строго кратную 16-и, и последние 0xE000 байт такого файла представляли собой код вируса - по-видимому чем-то упакованный, так как выглядел очень "плотно": ни повторений, ни нулевых символов, ни строковых констант. То есть заражение заключалось в дописывании в конец этих примерно 57300 байт и изменении нескольких байт в других местах файла - надо думать, для того, чтобы передать управление на добавленный код. От файла к файлу добавки эти различались, так что он ещё и полиморфный был. Запуск такого EXE-шника приводил к появлению ещё одной DLL в SYSTEM32 и перезапуску вируса. Когда мне таки однажды удалось убить все процессы, в которых он угнездился, я занялся дурной работой: в FAR'е просматривал все EXE-файлы на компьютере, и подозрительные переименовывал... и потом переустанавливал продукты, где были найдены подозрительные файлы... В итоге победа за мной. Правда, заражённые файлы заменил ещё пока не все - много всего переустанавливать приходится. Да беда ещё в том, что он и дистрибутивы попортил - отсюда урок: храните ваши дистрибутивы в запароленных архивах или на отдельных носителях, господа!
А ещё кто-то из них создал мне новое модемное соединение. Оно должно было звонить по телефону 9373478 -- но у меня нет модема, так что испытать, что вирус собирался с этим соединением делать, мне не удалось.
Так и развлекаемся. Только что в театр давеча сходили. На простой развлекательный спектакль по Агате Кристи. Без претензий на глубину и психологизм. Ну и хорошо.
upd 14.01.2008. Касперский нашёл наконец Trojan.Win32.Dialer.zz и Trojan.Win32.KillAV.nk.
Также см.
http://virusinfo.info/showthread.php?s=cabb839f37764cc65ce55a93956235b2&t=16054&page=2upd 16.01.2008. Все заражённые файлы Касперский опознаёт как заражённые Email-Worm.Tanatos.r. Не лечит, предлагает удалять (что странно -- та как файлы не переписывались вирусом полностью, а только дописывались вирусным кодом). Описания вируса пока нет, так что непонятно, то ли он пытается отправлять себя по почте, то ли через почту приходит... Я, честно говоря, не помню никаких подозрительных писем, которые я бы открывал - не говоря уже о запуске каких-то вложений.
upd 18.01.2008. А теперь оно опознаётся как Virus.Win32.Sality.v (последняя версия, имеющая описание у Касперского -
Virus.Win32.Sality.t - да, очень похоже).
"Поскольку ручное удаление не представляется возможным, для лечения зараженных файлов рекомендуется произвести полную проверку компьютера Антивирусом Касперского..." Ха!
Однако DLL, которые оно выгружало и с помощью которых, как я подозреваю, размножалось, по-прежнему опознаются как Trojan.Win32.KillAV.nk.
upd. 18.01.2008 вечер. А теперь Касперский определяет эти dll-ки (которые KillAv.nk) даже в зажатом Expand'ом виде. О, сколь славно торжество высоких технологий! Понять не могу: если я сам руками мог распаковать эти DLL, почему Касперский смог это сделать только сегодня???