KaAd

Компания «Доктор Веб» — российский разработчик средств информационной безопасности — сообщает о появлении
нового троянца-блокировщика, добавленного в вирусные базы под именем Trojan.Winlock.5729. Особенность этой
программы-вымогателя заключается в том, что она блокирует операционную систему, используя штатные средства
Windows, путем изменения пароля локальных пользователей.

Традиционно программы-вымогатели используют для блокировки входа в операционную систему специальное
приложение, заменяющее собой стандартную оболочку (shell) Windows или файл userinit.exe и демонстрирующее на
экране компьютера соответствующий текст. Одновременно вредоносная программа обычно отслеживает и
предотвращает запуск различных вспомогательных утилит, таких как Диспетчер задач, Командная строка,
Редактор реестра и т. д. Совершенно по иному, гораздо более простому, но весьма оригинальному пути пошли
авторы Trojan.Winlock.5729.

Троянец скрывается в установочном дистрибутиве популярной программы Artmoney, предназначенной для
«накрутки» различных ресурсов в компьютерных играх. Помимо реального установщика Artmoney, инсталлятор
содержит три файла: измененный файл logonui.exe с именем iogonui.exe (этот файл отвечает за демонстрацию
графического интерфейса при входе пользователя в Windows XP) и два самораспаковывающихся архива,
содержащих bat-файлы. При загрузке инфицированного инсталлятора запускается первый из них, password_on.bat.
Данный файл содержит набор команд, выполняющих проверку операционной системы: если на жестком диске
присутствует папка c:\users\, что является характерным признаком операционной системы Windows Vista и Windows 7,
вредоносные компоненты удаляются, если же такая папка отсутствует, троянец считает, что он запущен в
Windows XP. В этом случае Trojan.Winlock.5729 модифицирует системный реестр, подменяя при загрузке Windows
стандартный logonui.exe собственным файлом iogonui.exe, и меняет пароль учетной записи Windows для текущего
пользователя и локальных пользователей с именами «admin», «administrator», «админ», «администратор». Если
текущий пользователь работает в ограниченной учетной записи, работа троянца прекращается. Еще один
bat-файл — password_off.bat — удаляет все пароли и возвращает в системном реестре оригинальное значение UIHost.

Файл iogonui.exe представляет собой настоящий аутентичный файл logonui.exe из комплекта поставки Windows XP, в
котором с помощью редактора ресурсов была изменена стандартная строка приветствия Windows на требование
отправить платное СМС-сообщение.



Таким образом, выполнив выход из системы или перезагрузку, пользователь уже не сможет осуществить вход,
поскольку пароли всех учетных записей пользователей были изменены.

Сигнатура данной угрозы добавлена в вирусные базы Dr.Web. Если вы стали жертвой этого троянца, для входа
в систему используйте пароль «Спасибо!» (без кавычек), после чего Trojan.Winlock.5729 автоматически сбросит
пароли учетных записей. Если этого не произошло, можно вручную изменить значение параметра UIHost в ветви
реестра HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon на logonui.exe.

источник

Deamon222

поэтому нужно использовать W7

Tom Ahawk

Можно просто создать папку
и спокойно работать в ХР.

Linus

ммм новый вирус? хотя чего его боятца? не ходите на неизвестные сайты и не скайчвайте какието неизвестные файлы. и даже антивирус Вам будет не нужен будет

Андрей13

разработчики с юмором)))

miraclePC

Ну и вывод - НЕ ЧИТЕРИТЬ!

vladrti

я делаю так и не один банер не пройдет даже самый новенький смотреть

Myxa86

конвеер налажн, сейччас как понисутся модификации... теперь хоть в скачивании порно не будут обвинять?!

Myxa86

ох уже эти любители "взлома игр", нужно играть честно

Escabaro

У меня старенький артмани,давно с плейграунда качал,а что,работает,мне другого и не надо)

A-Lexx

А то для "Семерки" не сделают. Еще как сделают, если уже не сделали, эти сволочи не дремлют
P.S. Читерство - зло

Ip_MEN

А Ердом сбросить пароль получиться?

KRАB

странно, что не "Спасибо, КЭП!"

---------- Добавлено в 20:38 ---------- Предыдущее сообщение было написано в 20:37 ----------

P.S. - Offtop:Escabaro,
ГДЕ ЛОГИКА? O_O... этот проц даже 460 не раскроет полностью...

skart45

LogonUI.exe через Resourse Hacker открыт? А кто классическую оболочку использует, у него такое тоже может вылезти(вместо рисунка Windows XP)?

---------- Добавлено в 13:09 ---------- Предыдущее сообщение было написано в 13:08 ----------

Проверю.

Hotab

Работайте с правами юзера..и будет вам счастье...