Антивирусная безопасность и Администрирование: 2009

WORM.WIN32.AUTORUN.soq (KASPERSKY) ОНЖЕ WIN32/FlyStudio.NAQ (NOD32)

Worm.Win32.AutoRun.soq (Kaspersky)
Win32.HLLW.Autoruner.2665 (DrWeb)
Win32/FlyStudio.NAQ (NOD32)

Вес: 1,43 МБ (1 509 591 байт)
MD5: fc21bca4422d199799a4dacded4ae2e6
Упаковщик: Nothing found [Overlay] *

Обьяснение принципа работы трояна

Заражая флешку, он скрывает например папку под названием "Фото" с фотографиями пользователя, создает свой файл трояна под названием "фото.exe" когда пользователь нажимает на "фото.exe" (думая что он нажимает на свою папку) троян открывает папку пользователя под названием "фото" которую он скрыл. Таким образом пользователь не подозревает о подвохе и заражении системы. По умолчанию насколько Вы знаете показ срытых файлов и расширения для зарегистрированных типов файлов в Windows скрыт, поэтому пользователь нажимая на файл трояна с иконкой папки и названием папки пользователя, ни о чем не подозревает (нажимая на то что мы привыкли видеть папкой мы всегда как правило привыкли что это папка, а не ".exe" файл логично? Тем более с тем названием которое мы дали ей сами)

Техническое описание о работе данного трояна, лечении ОС и флешки.

При запуске файла трояна он сразу копируется в директорию \ system32 с атрибутами скрытый, по адресу C:\Windows\system32\ название файла трояна XP-C8544A34.EXE или XP-9ED95EA3.EXE или XP-9B941947.EXE или XP-9FB9279E.EXE Названия случайны, могут отличаться, но! На подобии этих! Смотрите внимательно! Например: XP-C8544A34.EXE Т.Е. начало XP- далее случайный набор 8 ми латинских букв и цифр C8544A34 и расширение файла .EXE Далее для примера, файл трояна я буду называть XP-C8544A34.EXE потому как он под таким названием скопиравался мне в систему. Хочу сказать что в папке \system32 такого типа названия файлов ".exe" нет! Поэтому не бойтесь удалить что то серьезное :) К тому же не забывайте, этот файл трояна имеет иконку папки! Поэтому Вы не ошибетесь при удалении, если название файла будет наподобие XP-C8544A34.EXE и иконкой папки!
Вес трояна 1,43 МБ (1 509 591 байт) Флешка заражается в момент присоединения ее к инфицированному компьютеру. Троян на флешке выборочно скрывает некоторые папки пользователя, и копирует свои файлы с расширением ".exe" с иконкой папки и названием той папки которую он скрыл + троян копирует на флеш еще один скрытый файл "себя" под названием Recycled.exe который имеет иконку папки (так что не забутье удалить еще и этот файл) В диспетчере приложений появляется новый процесс:

При наличии интернет соединения активно соединяется через ниже приведенные IP адреса .

222.73.26.253 CHINA

BEIJING BEIJING CHINANET SHANGHAI PROVINCE NETWORK

202.108.23.231 CHINA

BEIJING BEIJING CHINA UNICOM BEIJING PROVINCE NETWORK

220.181.6.175 CHINA

BEIJING BEIJING CHINANET BEIJING PROVINCE NETWORK

Так же этот зверь при работе с браузером периодически "выбрасывает" браузер на страничку

Запуск себя вместе с системой он себе обеспечивает с помощью ключа реестра:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\XP-C8544A34

А также размещает свой ярлык в папке Автозагрузка.

ЛЕЧЕНИЕ

ЛЕЧЕНИЕ: ОС

1) Отключаем восстановление системы!

2) Отключаем сеть! (выдергиваем сетевой кабель из карты)

3) Удаляем все точки восстановления системы.

4) Заходим в любую папку, кликаем сервис > свойства папки > вкладка "Вид" ставим галку на "Отображать содержимое системных папок" > убираем галку на "Скрывать защищенные системные файлы" > ставим галку на "Показывать скрытые файлы и папки" > убираем галку на "Скрывать расширения для зарегестрированных типов файлов" и нажимаем "ОК"

5) Завершаем в ручную в диспетчере задач процесс XP-C8544A34.EXE Иначе не даст себя удалить в папке \system32 Возможно таких процессов будет несколько, заканчиваем все (возможен глюк в работе трояна)

6) Удаляем файл XP-C8544A34.EXE по адресу С:\Windows\system32\ (файл трояна находится почти в самом низу)

7) ОС чиста.

ЛЕЧЕНИЕ: Флеш

1) Присоединяем флешки к компьютеру, которые как Вы думаете могут быть заражены (проверяем все флешки в вашем наличии)

Троян не ставит на запрет показ скрытых файлов и запрет на просмотр расширения файла. Поэтому почистить флешку можно и в ручную (без антивирусных программ) разрешив при этом показ срытых файлов и расширения для зарегестрированных типов файлов в сервисе папки (что мы уже с вами сделали)

Чситим флешку

Далее от вас требуется только внимание, внимание, и еще раз внимание!! Никаких спец навыков и знаний!

2) Открываем флешку привычным нам способом через "Мой компьютер"
Для того что б вам было удобнее чистить флешку необходимо, когда Вы зашли на флеш, сделать в ней вид папки "таблицей"

3) Ищем полупрозрачный (скрытый) файл с названием Recycled расширением ".exe" и иконкой папки, удаляем через Shift+Del

4) Далее Ищем все полупрозрачные папки (скрытые) Записываем их название на бумажку. Как понять что это папка а не файл? Просто! Присмотритесь внимательно, напротив нее написано "Папка с файлами" :)

5) Дальше ищем файлы с иконкой папки, расширением .exe и названием тех полупрозрачных папок (скрытых) название которых Вы записали на бумагу. Нашли? удаляем их через Shift+Del Боитесь что удаляете ваши папки с информацией? Присмотритесь в конце названия "папки" идет ".exe" и надпись напротив нее "Приложение" это исполнительный файл трояна, а не папка, удаляем!

Вот так в общем то без антивирусных утилит мы с вами почистили систему и флешку от трояна. Если Вы все сделали как написано, и почистили все от заразы, можете собой гордится Вы вступили в ряды борцов с компьютерной нечистью! Если переживаете все таки, что возможно Вы что то пропустили, скачайте Dr.Web Cureit! и просканируйте полностью систему со всеми флешками что у вас есть в наличии. В настройках Dr.Web Cureit! в окне сканера поставьте точку "Полное сканирование" а в настройках сканера выставьте "инфецированное > удалить" в этом случае такую настройку можно спокойно ставить. Если у вас возникнут вопросы то воспользуйтесь в блоге новым сервисом прямой связи со мной, или оставьте комментарий на который я всегда отвечу.

© Нестеров Игорь Владимирович 2009 год

TROJAN.WIN32.AUTOIT.dr (KASPERSKY) ОНЖЕ WIN32.HLLW.AUTORUNER.2691 (Dr.WEB) ИЛИ ОЧЕРЕДНОЙ CSRCS.EXE

Trojan.Win32.Autoit.dr (Kaspersky)
Win32.HLLW.Autoruner.2691 (DrWeb)
Win32/Autoit.DW (NOD32)
Вес 443 КБ (453 724 байт)
MD5 d2c895094e5fb3cca195ef1ac9d2465c
Упаковщик UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo [Overlay]

При запуске с инфицированной флешки червь копирует свои файлы в директорию System32\ с атрибутами скрытый системный:

csrcs.exe
autorun.inf

C:\Documents and Settings\All Users\Документы\

(random_name.exe) vupohn.exe

Метка вируса, файл нулевой длинны "khq" с атрибутами скрытый системный.

Запрещает отображение скрытых файлов.

Запуск с системой обеспечивает себе с помощью ключа реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon Shell Explorer.exe csrcs.exe

Создает файлы метки в корне локальных дисков, файлы нулевой длинны (пустые) под названием "khq"

Расспостраняется по сети посредством сканирования удаленных хостов и наличия на них открытого tcp\445 порта.

При присоеденении "чистого" USB Flash-накопителя, копирует свое тело и файл запуска (random_name.exe) vupohn.exe и Autorun.inf в корень USB-Flash

Инструкция автозапуска червя Autorun.inf:

************************************************************************

;mXpYfEQUwdKBttgvjkFhKvsULyX
[AutoRun]
;NPsmncvgzTJyRupJEokYetVlaBmeEqFypoIo
open=vupohn.exe
;CavACCePgwwWaWWInPpJDFpkOpOQg
shell\open\Command=vupohn.exe
;KFLJhzZFykRMxZXGlcTjHIOApFwYvJfaxALtYGd
shell\open\Default=1
;45F27A231FB5BAE1D81F01290841BED88E8F0F9AB727D2C7BFC81571
;sDCckNLMacnSONhKQrsbavhOKwnuBhBGhiMTgCJJqmCrccPlABXMiyRGJqRBZMxglSG
shell\explore\Command=vupohn.exe
;siGDcPSwxsgsaZIIrSEIFjCXfZqBcgluRCpFHwnFGCvKvEJnLePSlBtqMzobfWCDLAtyW

**********************************************************************

Если убрать мусор то получается вот такая инструкция автозапуска:

[AutoRun]
open=vupohn.exe
shell\open\Command=vupohn.exe
shell\open\Default=1
shell\explore\Command=vupohn.exe

ЛЕЧЕНИЕ:

1) Отключаем сеть! (выдергиваем сетевой кабель из карты)

2) Отключаем восстановление системы идем по пути ПУСК>СВОЙСТВА МОЙ КОМПЬЮТЕР>ВКЛАДКА ВОССТАНОВЛЕНИЕ СИСТЕМЫ>СТАВИМ ГАЛКУ НА "ОТКЛЮЧИТЬ ВОССТАНОВЛЕНИЕ СИСТЕМЫ НА ВСЕХ ДИСКАХ" нажимаем ОК

3) Завершаем в ручную в "Диспетчере задач" процесс "csrcs.exe" Иначе не даст себя удалить в папке \system32

4) Так как отображение скрытых файлов заблокированно червем, нужно это дело восстановить. Качаем AVZ 4.3

Запускаем ее, далее кликаем > файл>восстановление системы>ставим галочку на пункте №8 и нажимаем "Выполнить отмеченные операции" дожидаемся окончания выполнения задачи, закрываем программу.

Отображение скрытых файлов восстановлено.

5) Далее заходим в любую папку, кликаем сервис > свойства папки > вкладка "Вид" ставим галку на "Отображать содержимое системных папок" > убираем галку на "Скрывать защищенные системные файлы" > ставим галку на "Показывать скрытые файлы и папки" > убираем галку на "Скрывать расширения для зарегестрированных типов файлов" и нажимаем "ОК" Теперь мы видим срытые файлы и системные папки.

6) Идем по пути Пуск>Мой компьютер>Локальный диск С:\WINDOWS\system32\
Находим и удаляем файл червя csrcs.exe (не перепутайте с csrss.exe это системный файл!!)

7) Удаляем все точки восстановления системы (Загружаемся из под Windows Live CD Качаем например Hiren's BootCD 9.8 в нем есть Windows Live CD При загрузке Hiren'sa его можно выбрать для запуска, на мой взгляд самый быстрый. После загрузки Windows Live CD заходим в корень каждого локального диска в папку "System Volume Information" и полностью удаляем содержимое папки)

8) Далее качаем файл реестра, для отключения автозапуска с флешек ЗДЕСЬ Нажимаем на него двойным кликом, и соглашаемся с внесением изменений в реестр системы нажатием на кнопку "ОК" После этого обязательно перезагружаем систему!!!

9) Присоединяем флешки к компьютеру, которые как Вы думаете могут быть заражены.

10) Открываем флешку, и смотрим ее на предмет зараженности.

Ищем и удаляем в корне флеш накопителя файл запуска вируса "Autorun.inf"

Ищем и удаляем в корне флеш накопителя файл наподобии "vupohn.exe" (случайное имя.ехе)

11) Заходим на каждый раздел жесткого диска и удаляем файлы под названием "khq"

12) Далее правим ключи реестра которые изменил червь:

HKEY_LOCAL_MACHINE\SOFWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\
Имя Shell тип REG_SZ значение Explorer.exe csrcs.exe на

HKEY_LOCAL_MACHINE\SOFWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\
Имя Shell тип REG_SZ значение Explorer.exe (нажимаем на имени Shell правой клавишей, кликаем "Изменить" и оставляем в поле только значение Explorer.exe)

Если боитесь страшного слова "СИСТЕМНЫЙ РЕЕСТР" можете воспользоваться написанным мною скриптом, для восстановления изменений в реестре сделанных червем, скачать ЗДЕСЬ

Если не почистить реестр в ручную или не исправить ключ реестра с помощью скрипта то при каждом запуске Windows система будет выдавать сообщение

13) Включаем восстановление системы.

14) Перезагружаем операционную систему.

Все система чиста!

Профилактика:

Просто скачайте и установите в систему и на флеш накопители мою последнюю версию комплексной защиты против вирусов типа Autoruner ЗДЕСЬ

К слову данный червь, ломает зубы об мою защиту! атрибуты скрытый системный снимает с защитной папки Autorun.inf а вот удалить ее не может :) копирует на флешку только себя, но толку? Заразить он уже не сможет систему без файла запуска, он будет просто тихонечко лежать до ближайшего антивируса :)

Профилактика для скептиков относительно моей защиты ЗДЕСЬ :)

© Нестеров Игорь Владимирович 2009 год

CSRCS.EXE ОНЖЕ PACKED.WIN32.KLONE.bj (Kaspersky) ОНЖЕ WIN32.HLLW.AUTOHIT.3438 (DrWeb)

Win32/Packed.Autoit.Gen NOD32
Packed.Win32.Klone.bj Kaspersky
Win32.HLLW.Autohit.3438 DrWeb

Вес 484 КБ (495 410 байт)
MD5 b9768f238205fc347a914562762cd27f
Упаковщик UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo

При запуске с инфицированной флешки червь копирует свои файлы в директорию System32\ с атрибутами скрытый системный:

csrcs.exe
autorun.i
autorun.in

C:\Documents and Settings\All Users\Документы\

(random_name.exe) uawdmt.exe

Метка вируса, файл нулевой длинны "kht" с атрибутами скрытый системный.

Запрещает отображение скрытых файлов.

Запуск с системой обеспечивает себе с помощью ключа реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon Shell Explorer.exe csrcs.exe

Создает файлы метки в корне локальных дисков, файлы нулевой длинны (пустые) под названием "kht"

При наличии соединения с "Internet" связывается по следующему адресу:

Порт жертвы_________IP_________Удаленный порт
___2404________72.233.89.200 ____________80________

72.233.89.200 - US UNITED STATES US TEXAS PLANO LAYERED TECHNOLOGIES INC

Ссылка на описание IP

Расспостраняется по сети посредством сканирования удаленных хостов и наличия на них открытого tcp\445 порта.

При присоеденении "чистого" USB Flash-накопителя, копирует свое тело и файл запуска (random_name.exe) uawdmt.exe и Autorun.inf в корень USB-Flash

Инструкция автозапуска червя Autorun.inf:

************************************************************************
;nGIhYSFJxybXZUgAzTTIPCLCIPdQJtnGTdRrVRRxZFFdCvfGrHovnoZmA
;avfzViKVKrqDjrblAtaISvvQCGKwNxgMKFUZuBoFfewDQUEULebsABNhamzMiYidXVbcxKohg
;jteFHSalaBBxLniLxYKsRJVoQjThCnZjHhiJvzJWJBMUet
;SleBPbOpmCZMiQNYhBRYMyoUcj
[AutoRun]
;NtgFwopIIHLrGwnMWDiwTbxkOiDdsmUubBFayrFZFgrpgpzAUFApYmqWGGwruoczJIBz
;fbvpvmLmpleOCBKMSZQJxxWVlLnjDmRRQP
;xwfJnHQjYyGrRPlaSpVOUmSPczrXcmgnnlClrTKnoTJCXgBryLUOfhjGbUENV
;45F27A231FB2BAE1D81E002D083DBEAA8E8A0EE9B727D2C7BFC81571
;NQHYzB
open=uawdmt.exe
;bMxdnLDRIKtqkRAHIeUFagIcAsLlKyIBFdyYpRBnPkTPDWRJaSZKxQAYazTQcQRr
;vsYg
;TqGhBsLBrStLGCtbeyyOVMpWWHdugbvDcYUnsfFLQYuqs
Icon=%system%\shell32.dll,7
UseAutoPlay=1
action=Open Drive
;KqDKAXtQKajxUqCRPKrtxkevrcWLFuCWImQLigbV
;DhPZGrzvlONUwVCWFakXdsNzBilsmEWoOQTaQBiPVTALhDQIaeWqWIE
;mYaeuOdjVGCzavNk
action= @uawdmt.exe
;NolrtTegEJquwyWhemNdhMKKHUOL
;huozspcPTFrxsfIFiOLAcikTCPRQtYCXDAxwlwxskdeyPE
shell\open\Command=uawdmt.exe
;cWupueuWglMeftJKwSRowqRnWN
;sMxiozuaDpZQfGQMWBRktEAIZhlqKUxyGwgoXFqhmCuwtGOoEicTAmIqZVqgbrjssViFhNw
;OaLZpYJEfqYrOzAMAShqYhGOCUYhpfjTFlVdjOlQKPXMzOtaqfLreFwplqoe
;GEfxxrYjboRMftpZgOLpSeSfNqdYDPWNOfqOilc
;bnxttuoleLlFCnCyvsOt
;MxbSXjzuGzlWlfbWktFoRF
shell\open\Default=1
shell\explore\Command=uawdmt.exe
;xayyEXiYrohDOELQsqKnLjpPsnhEHnOcOMbGNYjOm
**********************************************************************

Если убрать мусор то получается вот такая инструкция автозапуска:

[AutoRun]
open=uawdmt.exe
Icon=%system%\shell32.dll,7
UseAutoPlay=1
action=Open Drive
action= @uawdmt.exe
shell\open\Command=uawdmt.exe
shell\open\Default=1
shell\explore\Command=uawdmt.exe

Интересная особенность:

Если запустить файл червя на выполнение например на рабочем столе, то инсталляция в систему не произойдет, а если запустить файл червя на самой флешке, то начнется инсталляция червя в систему. Я так понимаю некая система безопасности (что б не сразу вычислили :) )

ЛЕЧЕНИЕ:

1) Отключаем сеть! (выдергиваем сетевой кабель из карты)

2) Отключаем восстановление системы идем по пути ПУСК>СВОЙСТВА МОЙ КОМПЬЮТЕР>ВКЛАДКА ВОССТАНОВЛЕНИЕ СИСТЕМЫ>СТАВИМ ГАЛКУ НА "ОТКЛЮЧИТЬ ВОССТАНОВЛЕНИЕ СИСТЕМЫ НА ВСЕХ ДИСКАХ" нажимаем ОК

3) Завершаем в ручную в "Диспетчере задач" процесс "csrcs.exe" Иначе не даст себя удалить в папке \system32

7) Удаляем все точки восстановления системы (Загружаемся из под Windows Live CD Качаем например Hiren's BootCD 9.9 в нем есть Windows Live CD При загрузке Hiren'sa его можно выбрать для запуска, на мой взгляд самый быстрый. После загрузки Windows Live CD заходим в корень каждого локального диска в папку "System Volume Information" и полностью удаляем содержимое папки)

8) Далее качаем файл реестра, для отключения автозапуска с флешек ЗДЕСЬ Нажимаем на него двойным кликом, и соглашаемся с внесением изменений в реестр системы нажатием на кнопку "ОК" После этого обязательно перезагружаем систему!!!

9) Присоединяем флешки к компьютеру, которые как Вы думаете могут быть заражены.

10) Открываем флешку, и смотрим ее на предмет зараженности.

Ищем и удаляем в корне флеш накопителя файл запуска вируса "Autorun.inf"

Ищем и удаляем в корне флеш накопителя файл наподобии "uawdmt.exe" (случайное имя.ехе)

11) Заходим на каждый раздел жесткого диска и удаляем файлы под названием "kht"

12) Далее правим ключи реестра которые изменил червь:

HKEY_LOCAL_MACHINE\SOFWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\
Имя Shell тип REG_SZ значение Explorer.exe csrcs.exe на

HKEY_LOCAL_MACHINE\SOFWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\
Имя Shell тип REG_SZ значение Explorer.exe (нажимаем на имени Shell правой клавишей, кликаем "Изменить" и оставляем в поле только значение Explorer.exe)

Если боитесь страшного слова "СИСТЕМНЫЙ РЕЕСТР" можете воспользоваться написанным мною скриптом, для восстановления изменений в реестре сделанных червем скачать ЗДЕСЬ

Если не почистить реестр в ручную или не исправить ключ реестра с помощью скрипта то при каждом запуске Windows система будет выдавать сообщение

SYSTEM_V.EXE ИЛИ WORM.WIN32.AUTORUN.acm

Worm.Win32.AutoRun.acm (Kaspersky)
Win32.HLLW.Autoruner.767 (DrWeb)
Win32/AutoRun.NS (NOD32)

Вес червя 128 КБ (131 072 байт)
Упаковщик UPX 2.90
Протектор Yoda Crypter
MD5-сумма f9426d1f7bc4e2f33317c6aa6a34c5db
Программа написана на Delphi
Год написания программы 2007

При первом запуске червя с инфицированной флешки, червь копирует следующие файлы в директории системы

\system32

system_v.exe - Win32.HLLW.Autoruner.937 (Dr.Web) (отвечает за монторинг, копирование файла Autorun.inf и файла червя в корень локальных дисков и флэшек)
oeminf.exe - Trojan Spirt (Dr.Web)
oeminfo.exe - Trojan Spirt (Dr.Web)
oeminfo.ini - червь подменяет системный файл своим и меняет в нем информацию (сведения о производстве и поддержке ОС)
rmv.exe - Win32.HLLW.Autoruner.767 (Dr.Web) (основное тело червя)
rmv.txt - Win32.HLLW.Autoruner.767 (Dr.Web) (основное тело червя с расширением файла .txt)

\windows\temp\

system_v.exe - Win32.HLLW.Autoruner.937 (Dr.Web) (отвечает за мониторинг и копирование Autorun.inf и файла червя "system_v.exe" в корень жестких дисков и флэшек)

Также червь копирует следующие файлы в корень всех локальных дисков и USB-Flash накопителей.
system_v.exe - Win32.HLLW.Autoruner.767 (Dr.Web) (основное тело червя)
Autorun.inf - файл запуска червя

Червь обеспечивает себе запуск каждый раз со стартом системы с помощью ключа реестра:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit = userinit.exe,C:\WINDOWS\system32\rmv.exe

В диспетчере задач в процессах появляется два процесса "system_v.exe" (отвечают за мониторинг и копирование Autorun.inf и файла червя "system_v.exe" в корень жестких дисков и флэшек)

Они просто снимаются в диспетчере, и после их завершения не возобновляются, соответственно до следующего перезапуска системы или открытия локального диска в проводнике (если включен автозапуск при его открытии в проводнике запускается тело червя)

Интересная особенность червя заключается в том что если на флешке нет ни одной папки, то червь не заражает флешку, но как только на флешке появляется хоть одна папка (копируется или создается) он сразу копирует свои файлы Autorun.inf и system_v.exe на флеш. Если же снова удалить папку и файлы червя с флешки, то червь не заражает флешку (не копирует свои файлы Autorun.inf и system_v.exe на флеш) Вот такие причуды автора червя :) Интересно еще и то что червь не делает запрет на просмотр скрытых файлов и папок. Его файлы видны в корне флешки и локальных дисков, если просто включить в сервисе папки, показ скрытых файлов и папок и убрать галку скрывать защищенные системные файлы.

Червь перезаписывает системный файл по адресу \windows\system32\oeminfo.ini Данный файл отображает сведения о "производстве и поддержке ОС" Путь Пуск> свойства Мой клмпьютер > вкладка "Общие" Весьма самоуверенно, такое детство может написать только ребенок, ряды вирмейкеров очень молодеют.

Дело в том что даже после полного лечения системы, данная неприятная запись остается. Антивирус удаляет червя и все его компоненты, но такие вот "неприятные" сведения о производстве и поддержке ОС остаются. Что не может не раздражать! Поэтому я написал утилиту для лечения от данного червя, которую можно скачать здесь Утилита не только полностью удаляет червя из системы и флеш накопителей, но и убирает не лицеприятную запись о "производстве и поддержке ОС"
Для защиты и профилактики от Autorun вирусов используйте мою комплексную защиту дабы Autorun черви и вирусы не имели больше никакого шанса заразить вашу систему!

Лечение:

В общем то на момент написания этой статьи, этого червя "на ура" лечат утилиты AVPTool (Касперски) и CureIT! (Dr.Web) С этим червем за 2 секунды справляется и скрипт который написал я, специально для него. Одну из этих утилит можно сразу на зараженном компьютере скачать, и запустить с рабочего стола. Первая, вторая и третяя утилита с лечением справляется очень хорошо, находя при этом все состовляющие червя. Единственное НО! Заключается в том что ни одна из антивирусных утилит (AVPTool и CureIT!) не убирает "гадости" написанные червем в сведениях о "производстве и поддержке ОС" которые я показал выше в скриншотах. С этим положением я был категорически не согласен! И написал скриптик который это все очень быстро правит. Его можно скачать ЗДЕСЬ

Ну, а если есть те, кто хочет "забить" червячка в ручную для них я напишу ниже, как это сделать быстро и без пыли. Как говорится, для тех кто не понял как.

1) Запускаем диспетчер задач, рубим два процесса под названием "system_v.exe"

2) Создаем на рбочем столе пустой RARовский архив ( чтоб видеть скрытые системные файлы, или же можно разрешить просмотр скрытых системных файлов в свойствах папки Этот червь не блокирует их показ)

3) Открываем архив и через него идем в папочку С:\Windows\system32\

4) Ищем и удаляем следующие файлы

system_v.exe
oeminf.exe
oeminfo.exe
oeminfo.ini
rmv.exe
rmv.txt

5) Через тот же архив открываем папочку С:\windows\temp\

6) Удаляем файлик "system_v.exe"

7) Далее через тот же пустой архив заходим на каждый локальный диск и в корне каждого,
ищем два файла:

system_v.exe
Autorun.inf

Нашли? Удаляем.

8) Присоеденяем все ваши флешки к компьютеру, и каждую из них по очереди открываем через тот же наш пустой архив, и ищем и удаляем файлики

system_v.exe
Autorun.inf

9) Создаем текстовый документ и туда копируем строки

[General]
Manufacturer=.

Сохраняем этот текстовый документ, меняем его название на oeminfo и даем разширешение файла .ini

10) Копируем этот файл в папку С:\Windows\system32\

11) Далее нам необходимо убрать, вернее поправить один ключик реестра, который нам изменил червь.

12) Создаем текстовый документ и копируем туда строку

Reg add "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit /t REG_SZ /d userinit.exe, /f

Сохраняем текстовый документ, и меняем его расширение вместо .TXT на .BAT
Запускаем наш батник двойным счелчком.

13) Все! Система чиста как в первозданном виде!! )))

© Нестеров Игорь Владимирович 2009 год

WORM.WIN32.AUTORUN.acm (KASPERSKY) WIN32/AUTORUN.NS (NOD32) WIN32.HLLW.AUTORUNER.767 (DR.WEB) ИЛИ БЕСПЛАТНАЯ УТИЛИТА ДЛЯ ЛЕЧЕНИЯ!

Сегодня я написал утилиту для лечения ОС WINDOWS и USB-Flash накопителей от червя

Win32.HLLW.Autoruner.767 (Dr.Web)
Worm.Win32.AutoRun.acm (Kaspersky)
Win32/AutoRun.NS (NOD32)

Данная утилита полностью лечит систему и очищает флешки от вышеуказанного червя. Попутно готовлю статью описания и лечения от данного зверя которую скоро опубликую в блоге. Решил первым делом выложить утилиту, так как понимаю что у многих с ним могут быть проблемы. Утилита не только полностью удаляет червя из системы и флеш накопителей, но и убирает не лицеприятную запись о "производстве и поддержке ОС" сделанную червем. Данную утилиту можно скачать ЗДЕСЬ

TROJAN-DOWNLOADER.WIN32.VB.hkq ОН ЖЕ WIN32.FLYSTUDIO.NNJ

В последнее время все чаще на флешках клиентов (да и на работе) я начал встречать
Trojan-Downloader.Win32.VB.hkq (Кассперски) он же
Win32.HLLW.Autoruner.2855 (Dr.Web) он же
Win32.FlyStudio.NNJ (NOD32)

Не знаю как по миру или СНГ, но в городе котором я живу он распостранился достаточно сильно. Решил поискать толковое описание на него, но не тут то было! Как всегда в сигнатурах антивирусных компаний он есть, а вот толкового описания как всегда нет, и появится оно как всегда, наверно через пару лет :)

Попутно в сети видел даже такие бредовые названия постов по типу "Троян преобразующий папки в .ехе" :) Вот и решил я в очередной раз сделать свое описание :) думаю получится ничем не хуже чем у антивирусных компаний, хотя конечно же, судить вам мои читатели :) Установил я на тестовый винчестер Windows SP-3 высадил зверюгу на рабочий стол, запустил его, итак приступим...
Сразу же после его запуска мне высветилась таблица проводника

Думаю в чем загвоздка, и тут меня осенило :) Создал рядом с файлом трояна каталог (папку) с таким же названием, и снова нажал на трояна, открылся созданный каталог :) принцип понемногу мне начал становится понятен. Подключил флешку. Через минуту троян скрыл некоторые мои папки, и создал свои копии ".EXE" с иконкой папки, и названием моих папок, которые он скрыл. При нажатии на файл трояна с иконкой папки "Фото.exe" открылась моя скрытая папка с фотографиями под названием "Фото" :) Теперь принцип роботы и заражения мне стал полностью понятен!

Обьяснение принципа работы трояна

Заражая флешку, он скрывает например папку под названием "Фото" с фотографиями пользователя, создает свой файл трояна под названием "фото.exe" когда пользователь нажимает на "фото.exe" (думая что он нажимает на свою папку) троян открывает папку пользователя под названием "фото" которую он скрыл. Таким образом пользователь не подозревает о подвохе и заражении системы. По умолчанию насколько Вы знаете показ срытых файлов и расширения для зарегистрированных типов файлов в Windows скрыт, поэтому пользователь нажимая на файл трояна с иконкой папки и названием папки пользователя, ни о чем не подозревает (нажимая на то что мы привыкли видеть папкой мы всегда как правило привыкли что это папка, а не ".exe" файл логично? Тем более с тем названием которое мы дали ей сами)

Далее я приведу техническое описание о работе данного трояна, лечении ОС и флешки.

При запуске файла трояна он сразу копируется в директорию \ system32 с атрибутами скрытый, по адресу C:\Windows\system32\ название файла трояна XP-C8544A34.EXE или XP-9ED95EA3.EXE или XP-9B941947.EXE или XP-9FB9279E.EXE Названия случайны, могут отличаться, но! На подобии этих! Смотрите внимательно! Например: XP-C8544A34.EXE Т.Е. начало XP- далее случайный набор 8 ми латинских букв и цифр C8544A34 и расширение файла .EXE Далее для примера, файл трояна я буду называть XP-C8544A34.EXE потому как он под таким названием скопиравался мне в систему. Хочу сказать что в папке \system32 такого типа названия файлов ".exe" нет! Поэтому не бойтесь удалить что то серьезное :) К тому же не забывайте, этот файл трояна имеет иконку папки! Поэтому Вы не ошибетесь при удалении, если название файла будет наподобие XP-C8544A34.EXE и иконкой папки!
Вес трояна 1,223 КБ. Флешка заражается в момент присоединения ее к инфицированному компьютеру. Троян на флешке выборочно скрывает некоторые папки пользователя, и копирует свои файлы с расширением ".exe" с иконкой папки и названием той папки которую он скрыл + троян копирует на флеш еще один скрытый файл "себя" под названием Recycled.exe который имеет иконку папки (так что не забутье удалить еще и этот файл) В диспетчере приложений появляется новый процесс:

В реестре делает следующие изменения:

Изменения в реестре настолько не критичны, что можно даже не лезть в реестр и не удалять эти ключи. Если для вас это принципиально важно, то эти ключи можно просто убрать утилитой CCleaner или альтернативной "чистилкой " реестра, но после удаления файла трояна из системы.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\XP-C8544A34 = C:\WINDOWS\system32\XP-C8544A34.EXE

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\*\g = C:\WINDOWS\system32\XP-C8544A34.EXE

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\EXE\a = C:\WINDOWS\system32\XP-C8544A34.EXE

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\ShellNoRoam\MUICache\C:\WINDOWS\system32\XP-C8544A34.EXE =

HKEY_USERS\S-1-5-21-1957994488-764733703-1060284298-500\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\*\g = C:\WINDOWS\system32\XP-C8544A34.EXE

HKEY_USERS\S-1-5-21-1957994488-764733703-1060284298-500\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\EXE\a = C:\WINDOWS\system32\XP-C8544A34.EXE

HKEY_USERS\S-1-5-21-1957994488-764733703-1060284298-500\SOFTWARE\Microsoft\Windows\ShellNoRoam\MUICache\C:\WINDOWS\system32\XP-C8544A34.EXE =

При наличии интернет соединения активно соединяется через ниже приведенные IP адреса и порты.

Запуск себя вместе с системой он себе обеспечивает с помощью ключа реестра

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\XP-C8544A34

А также размещает свой ярлык в папке Автозагрузка.

ЛЕЧЕНИЕ

ЛЕЧЕНИЕ: ОС

1) Отключаем восстановление системы!

2) Отключаем сеть! (выдергиваем сетевой кабель из карты)

3) Удаляем все точки восстановления системы.

4) Заходим в любую папку, кликаем сервис > свойства папки > вкладка "Вид" ставим галку на "Отображать содержимое системных папок" > убираем галку на "Скрывать защищенные системные файлы" > ставим галку на "Показывать скрытые файлы и папки" > убираем галку на "Скрывать расширения для зарегестрированных типов файлов" и нажимаем "ОК"

5) Завершаем в ручную в диспетчере задач процесс XP-C8544A34.EXE Иначе не даст себя удалить в папке \system32 Возможно таких процессов будет несколько, заканчиваем все (возможен глюк в работе трояна)

6) Удаляем файл XP-C8544A34.EXE по адресу С:\Windows\system32\ (файл трояна находится почти в самом низу)

7) ОС чиста.

ЛЕЧЕНИЕ: Флеш

1) Присоединяем флешки к компьютеру, которые как Вы думаете могут быть заражены (проверяем все флешки в вашем наличии)

Троян не ставит на запрет показ скрытых файлов и запрет на просмотр расширения файла. Поэтому почистить флешку можно и в ручную (без антивирусных программ) разрешив при этом показ срытых файлов и расширения для зарегестрированных типов файлов в сервисе папки (что мы уже с вами сделали)

Чситим флешку

Далее от вас требуется только внимание, внимание, и еще раз внимание!! Никаких спец навыков и знаний!

2) Открываем флешку привычным нам способом через "Мой компьютер"
Для того что б вам было удобнее чистить флешку необходимо, когда Вы зашли на флеш, сделать в ней вид папки "таблицей"

3) Ищем полупрозрачный (скрытый) файл с названием Recycled расширением ".exe" и иконкой папки, удаляем через Shift+Del

ЗАЩИТА ФЛЕШКИ ОТ ВИРУСОВ ИЛИ AUTORUNERAM БОЙ!

Компания Panda выпустила утилиту под названием Panda USB and Autorun Vaccine. (Выпустила давненько но только вот вот дошли руки что-б написать обзор :) ) Данная утилита устанавливает защиту в систему и на флеш накопители против вирусов типа Autorun Может быть я и пропустил бы эту программу мимо, если бы не одно НО! Но обо всем по порядку. Интерфейс утилиты выглядит очень простым, даже не смотря на то что он Англоязычный, разобраться в нем не составит труда даже плохо знающему английский язык.
Версия 1.0.1.4 от 08.10.2009 устанавливается в систему.
Вес установочного дистрибутива 828 kb.
Утилита предназначена для комплексной защиты, поэтому кроме защиты флешек, она ставит защиту и в систему. Систему программа защищает посредством внесения в реестр ключа:

REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"

С внесением этого ключа в реестр, система просто забывает что такое файл запуска Autorun.inf Защита на флеш накопители устанавливается посредством создания в нем файла под названием Autorun с расширением файла .inf который невозможно ни удалить, ни переименовать, ни открыть. Вы спросите, а в чем новость если многие скрипты, в том числе и мой делают это? Дело в том, что все эти пункты есть во многих скриптах, кроме одного пункта! ПЕРЕИМЕНОВАТЬ! Т.Е. файл Autorun.inf созданный утилитой от компании Panda кроме невозможности удаления, еще и невозможно переименовать! На данный момент достаточно видов, червей и троянов которые переименовуют защитный файл или папку под названием Autorun.inf если не могут удалить, и тем самым имеют возможность скопировать свой файл запуска Autorun.inf на флешку. А файл Autorun.inf созданный программой компании Panda возможно удалить только двумя способами!! 1) Форматирование флешки 2) Внесение изменений в файловую систему флешки. В других вариантах с этим файлом созданным утилитой от Panda сделать ничего не возможно! Еще одна особенность утилиты состоит в том, что она может установить защиту на флешку с файловой системой NTFS !! Поэтому по моему глубокому убеждению, данная пассивная антивирусная защита против вирусов типа Autorun самая лучшая для флешек на сегодняшний момент! Соответственно для вирусмейкеров это вопрос времени :) Но битва снова выиграна, а вместе с ней и время :) На панели управления программой, две кнопки :) "Vaccinate computer" (защитить компьютер) и "Vaccinate USB" (установить защиту на флешку) Данная программа имеет возможность запускаться вместе с системой (данную опцию необходимо указать при установке приложения) и как только в компьютер вставляется новая флешка программа сразу устанавливает на нее защиту(данную опцию необходимо указать при установке приложения) Это конешно не панацея, но как на сегодняшний момент лучшее! Поэтому вооружайтесь :)

КАК ЛЕЧИТЬ ВИРУСЫ? ИЛИ ПРОСТЕЙШИЙ СПОСОБ ЛЕЧЕНИЯ ВИРУСОВ...

Многие не знают с какой стороны подойти к вопросу лечения вирусов и троянов, попросту говоря не знают что делать. Как лечить вирусы? Чем лечить?
Поэтому приходится обращаться к более продвинутым юзерам, или в сервисные центры, но это бывает не всегда удобно и зачастую накладно. Есть вредоносные программы к которым этот стандартный подход не совсем применим, но для многих вредоносных программ, нижеизложенной схемы лечения достаточно.

И так, если Вы заподозрили, что в вашем компьютере вирус:

1) Пойти в магазин и купить две CD болванки :)

2) Посидеть у себя дома или у друга на кухне перед началом лечения, попить чаю, покурить и свыкнутся с мыслью что «Не боги горшки обжигают» и что у вас все
обязательно получится :)

3) Необходимо пройти по ссылке http://www.freedrweb.com/cureit/ и скачать утилиту для лечения вредоносных программ Dr.Web CureIt! Но перед этим необходимо соблюсти условия!! Данную утилиту скачивать и записывать на болванку только на чистой машине! А не на той, которую Вы хотите лечить!!! Так как вирус может испортить или заразить саму программу лечения! Далее, записываем ее на первую болванку, записываем просто, как файл.

4) Идем далее, необходимо скачать на чистой машине и записать на диск, как образ .ISO утилиту под названием Dr.Web Live CD.
Записать любой программой записи дисков, имейте в виду что образ нужно записать, нажав на соответствующюю опцию «Записать образ диска» Данная загрузочная утилита находится по адресу http://www.freedrweb.com/livecd/

5) Ну что пока не сложно? Тогда идем дальше!

6) Приступаем к лечению вирусов! По моему мнению, всегда нужно начинать с утилиты Dr.Web Live CD Так как принцип ее работы максимально благоприятствует для лечения. Данная утилита для своей загрузки использует оперативную память компьютера, а не жесткий диск.

7) Далее привожу мануал по работе с утилитой Dr.Web Live CD

КАК ЭТО РАБОТАЕТ?

Загрузите образ Dr.Web LiveCD.

Запишите сохраненный образ на CD или DVD. Например, если вы используете Nero Burning ROM вам необходимо:

1) Вставте чистый CD/DVD компакт-диск в пишущий привод

2) В меню "Файл" выбрать команду "Открыть"

3) Найти и выбрать сохраненный образ.

4) Нажать кнопку "Прожиг" и дождаться окончания процесса записи.

Убедитесь, что проверяемый компьютер загружается в первую очередь с CD-привода, в котором находится диск Dr.Web LiveCD.
В случае необходимости внесите необходимые настройки в BIOS вашего компьютера .

ВАЖНО! ПЕРЕД ЗАГРУЗКОЙ ДИСКА ВСТАВЬТЕ В КОМПЬЮТЕР ВАШИ ФЛЕШКИ ДАБЫ СКАНЕР ПРОВЕРИЛ И ИХ!

При загрузке Dr.Web LiveCD, на экран выводится диалоговое окно, в котором предоставляется возможность выбрать между обычным и безопасным (safe mode) режимом запуска программы.

• С помощью стрелочек на клавиатуре выберите нужный пункт меню и нажмите [Enter]

• Чтобы запустить версию сканера с графическим интерфейсом, выберите обычный режим загрузки DrWeb-LiveCD (Default)

• Чтобы запустить сканер с интерфейсом командной строки (консольный сканер), выберите режим DrWeb-LiveCD (Safe Mode)

• Выберите Start Local HDD, если вы желаете загрузить компьютер с жесткого диска и не запускать Dr.Web LiveCD

• Выберете Testing Memory для запуска утилиты проверки памяти компьютера Memtest86+

• В случае выбора режима DrWeb-LiveCD (Default) операционная система автоматически найдет все имеющиеся разделы жесткого диска и настроит подключение к локальной сети, если это возможно.

После окончания загрузки диска, на рабочем столе сразу появится открытое окно сканера, выберите (отметьте) те диски или папки, которые вы хотите проверить и нажмите на кнопку Start

После полного сканирования, все найденные обьекты будут отображены в нижней части окна сканера. Найденные обьекты сканером, можно удалить или лечить (Delete\Cure) Например: найден вирус, файл под названием "ergh.exe" Действия: выделяете его в окошке сканера мышью, и для начала нажимаете на "Cure" (лечить) Если лечение не возможно (а сканер об этом напишет) тогда "Delete" (удалить) И так с каждым найденным обьектом. В сканере возможно выставить на "автомат" лечение\удаление для этого необходимо зайти в настройки, нажав в верху на кнопочку "Settings"далее вкладка "действие" И выставить настройки лечения следуйщим образом Infected>Cure (зараженные-лечить) Incureble>Delete (неизлечимые-удалить) и на той же вкладке внизу снять галочку запроса подтверждения действия, дабы при сканировании, когда сканер найдет зараженный обьект он делал все на автомате, а не постоянно спрашивал "что делать с обьектом?" В целом интерфейс программы логически понятен.

Есть и такой вариант что у вас по каким то причинам не получилось воспользоваться загрузочным диском (что очень жаль, так как это был и есть один из самых продуктивных вариантов лечения вирусов и вредоносных программ) Например было у меня несколько случаев, что практически в середине сканирования или даже в конце компьютер сам по себе перезагружался, и сканирование прерывалось (редко но бывает) Тогда есть еще один вариант!

Помните в начале статьи мы с вами записали утилиту Dr.Web CureIt! На CD диск?
Так вот, если не сработал первый вариант то второй должен! Вот что мы с вами в таком случае делаем:

ВАЖНО! ПЕРЕД ЗАГРУЗКОЙ ДИСКА ВСТАВЬТЕ В КОМПЬЮТЕР ВАШИ ФЛЕШКИ ДАБЫ СКАНЕР ПРОВЕРИЛ И ИХ!

1) При запуске компьютера сразу жмем клавишу на клавиатуре F8 заходим в безопасный режим.

2) Заходим под своей учетной записью.

3) Вставляем диск с записанной утилитой, и запускаем ее с диска.

4) Не копируйте ее с диска на рабочий стол, а именно запускайте записанную утилиту с диска!!!

5) Краткое описание как пользоваться утилитой:

Двойным щелчком запускаем утилиту на диске. В появившейся таблице, если нужно, жмете отмена. Если предложит обновить утилиту отказывайтесь, так как вам нужна именно та утилита которая записана на болванку, на зеленой таблице жмете «ПУСК» после этого «ОК» Начнется быстрая проверка компьютера. После быстрой проверки необходимо проверить все разделы жесткого диска компьютера. Для этого в окне сканера Dr.Web Cureit! Ставим галку в опции «полная проверка» и жмете пуск

При сканировании если будет найден зараженный обьект, то для начала Cureit! Попытается его вылечить, если лечение будет невозможным то он переместит его в карантин по адресу %USERPROFILE%\DoctorWeb\Quarantine\ с которого можно будет потом в ручную удалить зараженные файлы через Shift+Del

Вот в общем и все :) как видите ничего сложного. Можете сохранить или распечатать эту статью положить рядом с собой и делать все пошагово.

© Нестеров Игорь Владимирович 2009 год

КТО ПИШЕТ ВИРУСЫ?

Очень часто, я слышу вопросы: Кто пишет вирусы? Зачем? Почему? Для кого-то, эти вопросы будут очень смешны, потому что этот предмет знают "как дважды два" а кто-то и духом не ведает, что такого рода проблема, существует рядом, в параллельном мире, и имеет масштабы эпидемии. Много статей читал в сети обо всем этом, когда начинал самостоятельно изучать вопрос защиты и лечения вирусов. Везде написано по-разному, где то слишком заумно, где-то слишком примитивно... Я не стану "копипастить" с других сайтов и придумывать колесо, напишу так, как считаю...

Как правило, это молодые люди. Многих из них затягивает мир создания своего кода, который бы работал, жил, имел свой разум, нетривиальность. Многим нравится, просто ночью, под светом настольной лампы, посидеть пописать код, так для себя, осознавая, что пишешь, что-то не совсем обычное. Кто-то пишет для себя, кто-то для денег, кто-то навредить. Каждый пишет их по разным причинам. Хочу еще сказать, что не каждый Вирмейкер отпускает «погулять» на волю свое творение, многие пишут для себя, и дальше болванки их творчество не идет. У каждого Вирмейкера свои причины, почему он занимается именно этим, вот например мой один знакомый пишет их, а потом обратно-таки использует эти приобретенные знания в работе, для удаления и лечения вирусов в зараженных системах, написание вирусов дает ему развитие и знания, как с ними бороться, а вроде бы, и он Вирмейкер…

© Нестеров Игорь Владимирович 2009 год

Политика конфиденциальности.

В соответствии со статьей 8 закона Украины «О защите персональных данных» мой блог – www.antivirusfagot.blogspot.com осуществляет необходимые меры, направленные на обеспечение конфиденциальности частной информации. Полностью уважаю и защищаю вашу конфиденциальную информацию.

Личная информация Пользователей, собранная при использовании форм обратной связи (или любым другим способом) используется исключительно для оказания услуг в соответствии с вашими потребностями. Ваша информация не будет передана или продана третьим сторонам. Однако, сохраняю за собой право частично раскрывать личную информацию в особых случаях, связанных с исполнением требований законодательства. При этом, придерживаюсь принципов, провозглашенных Нюрнбергским трибуналом:

https://ru.wikipedia.org/wiki/Нюрнбергские_принципы

Персональная информация.

Персональные данные, переданные на данный сайт, используются исключительно в целях, указанных Пользователю при передаче этих данных.

Не предаю ваши персональные данные другим лицам, за исключением тех случаев, когда это необходимо для выполнения запроса пользователя (что будет подробно объяснено пользователю) или имеются достаточные основания полагать, что предоставление такой информации необходимо для исполнения требований соответствующих законов и норм или для выявления и предотвращения мошенничества, технических неполадок или для обеспечения безопасности. Пользуясь данным сайтом, вы тем самым даете свое согласие на разглашение вашей персональной информации третьим лицам только в вышеуказанных случаях. Никакая часть переданных вами персональных данных ни при каких условиях не будет продаваться или предоставляться в платное/бесплатное пользование.

Третьи лица.

Данный сайт содержит ссылки на сайты третьих лиц (например, ссылки на дополнительные источники информации, ссылки на первоисточники информации, которые используются при создании материала для данного сайта), а также на сторонние сервисы социальных сетей ВКонтакте, Instagram, Facebook… Ссылки на платёжные системы Приват24, LiqPay, Google Формы... Вы сможете узнать, что находитесь на сайте третьего лица, по адресной строке вашего браузера. Прежде чем воспользоваться информацией третьих лиц, тщательно проверяю уровень надёжности, размещённой ими информации и степень обеспечения ими безопасности данных, чтобы убедиться в том, что они придерживаются тех же стандартов, что и я. Если у вас есть какие-либо вопросы о политике третьих лиц, пожалуйста, прочитайте информацию об этом на их сайте.

Безопасность.

Очень серьезно отношусь к вопросу безопасности ваших персональных данных. При передаче данных на моём сайте, защищаю вашу персональную информацию с помощью протоколов шифрования, таких как Transport Layer Security (TLS). Сайт полностью доступен исключительно по зашифрованному соединению, что позволяет предельно безопасно пользоваться моим сайтом, даже в общественных точках доступа Wi-Fi (точки доступа к Сети Интернет посредством Wi-Fi расположенных в кафе, гостиницах, станциях метро, парках…).

Полученные данные в ходе заполнения формы обратной связи на сайте.

Адрес электронной почты, указанный вами при создании своего обращения через форму обратной связи на этом сайте, будет использоваться для связи с вами в случае необходимости. Указанные вами Имена/Ники/Псевдонимы, будут использованы мной, для удобного к вам обращения с моей стороны.

Ваши данные, полученные через личные сообщения ВКонтакте, обрабатываются, используются и храниться в соответствии с правилами социальной сети ВКонтакте: https://vk.com/terms. Со своей стороны, не использую ваши данные, полученные в ходе использования социальной сети ВКонтакте и других социальных сетей, для рассылки новостей, акций, спама и не передаю/не продаю третьим лицам.

Также, на сайте имеются виджеты для обратной связи, использующие возможности социальной сети ВКонтакте, Facebook, Instagram, Твиттер, Pinterest и другие... Пользуясь данными виджетами и службами, вы полностью соглашаетесь с правилами данных социальных сетей. Подробней, ознакомьтесь с политикой конфиденциальности данных социальных сетей, на их официальных страницах:

ВКонтакте: https://vk.com/terms

Facebook: https://ru-ru.facebook.com/privacy/explanation

Instagram: https://www.instagram.com/legal/privacy

Твиттер: https://twitter.com/privacy

Pinterest: https://ru.pinterest.com/_/_/about/privacy/plain.html

Другая информация.

На данном сайте собирается, хранится и используется полученная информация (электронные адреса, имена, ники пользователей социальной сети ВКонтакте, переписка, платёжные реквизиты) исключительно в целях, для которых вы ее предоставляете, и так долго, как это необходимо. Полученные контактные данные, не использую для рассылки новостей, акций, спама и не передаю/не продаю третьим лицам.

Cookie и аналогичные технологии.

Когда вы посещаете мой сайт, на нём происходит сбор определенной информации с помощью автоматизированных средств. Произвожу данный сбор данных, посредством собственных и сторонних файлов cookie, веб-маяков и подобных технологий. Слово «cookie» в данном документе используется в широком смысле, и под ним подразумеваются аналогичные технологии, например, локальное хранилище.

Cookie. При посещении данного сайта, как и многих других, небольшая часть информации, известная как файлы cookie, может быть сохранена на жестком диске вашего мобильного телефона, планшета или компьютера. Существуют различные виды файлов cookie, каждый из которых выполняет определенные функции, призванные улучшить вашу работу с сайтом. Мой сайт, не использует cookie в рекламных целях.

Ниже описаны три категории файлов cookie, которые используются на данном сайте:

Строго необходимые cookie. Они позволяют вам пользоваться определенными функциями сайта, например, входить на сайт или заполнять форму обратной связи. Эти файлы cookie не собирают вашу личную информацию.

Функциональные cookie. Они позволяют сайту «запоминать» выбранные вами настройки (например, язык, ваше местонахождение) и предоставлять расширенные функции, которые облегчают использование сайта.

Аналитические cookie. Они необходимы для сбора информации о том, как посетители используют данный сайт. Например, собирается информация о количестве или средней продолжительности визитов. Эта информация используется исключительно для улучшения работы сайта.

Некоторые cookie являются сторонними и относятся к другим доменам. Использую только свои cookie, за исключением сторонних cookie, связанных с Google reCAPTCHA, Google Analytics, Яндекс Метрика. Google reCAPTCHA, Google Analytics, Яндекс Метрика используется для того, чтобы отличить реальных пользователей от так называемых роботов, которые рассылают спам и для более детального мониторинга своего сайта. С политикой конфиденциальности Google и Яндекс можно ознакомиться по этим адресам:

Политика конфиденциальности Google: https://www.google.com/intl/ru/policies/privacy

Политика конфиденциальности Яндекс: https://legal.yandex.ua/metrica_termsofuse

Веб-маяки. Страницы моего сайта могут содержать небольшие файлы, так называемые веб-маяки, которые позволяют мне записывать некоторые действия, например, посещение вами определенных страниц сайта. Веб-маяки необходимы для того, чтобы видеть, как используется данный сайт, и отслеживать его работоспособность.

Сторонние сервисы статистики Яндекс Метрика и Google Analytics. Мой сайт, использует сторонние сервисы для анализа работы сайта.

Политика конфиденциальности Google: https://www.google.com/intl/ru/policies/privacy

Политика конфиденциальности Яндекс: https://legal.yandex.ua/metrica_termsofuse

Использование IP-адресов. IP-адрес — это цифровой код, который идентифицирует ваш компьютер в Сети Интернет. Использую системы определения IP-адреса и типа браузера для того, чтобы анализировать действия пользователей и выявлять проблемы в работе сайта, а также для того, чтобы улучшать качество работы своего сайта. Полученные данные, не использую для установки вашего точного местонахождения и не переедаю/не продаю их третьим лицам.

Выбор за вами.

Большинство браузеров позволяют пользователям отключить cookie или спрашивают разрешение, перед тем как сохранить их на вашем устройстве. Чтобы узнать о том, как настроить cookie, обратитесь к справочной документации вашего браузера. Также, можете использовать дополнительное ПО для блокировки сервисов учёта статистики и социальной активности (NoScript, Adblock Plus, анонимайзеры, VPN…).

Обратите внимание: если cookie отключены, а также, используются дополнительные сторонние программы для блокировки некоторых сервисов, перечисленных выше (в том числе используется ПО для блокирования выполнения Java-сценариев и сбора данных Яндекс Метрика и Google Analytics), вы не сможете в полной мере воспользоваться всеми функциями моего сайта. Корректность функционирования сайта в таком случае, не гарантируется.

Активные сценарии (JavaScript).

Сценарии используются на сайте для улучшения его работы. Благодаря использованию этой технологии сайт способен быстрее реагировать на запросы пользователя. Сайт не использует сценарии для установки на компьютер пользователя программного обеспечения или для несанкционированного сбора информации пользователя.

Для правильной работы некоторых разделов сайта требуется разрешить в настройках браузера активные сценарии (JavaScript). Большинство браузеров позволяют разрешить или запретить эту функцию для конкретных сайтов. О том, как разрешить сценарии на выбранных сайтах, читайте в документации к своему браузеру. Учтите, мой сайт, полностью перестанет корректно функционировать, при отключении в вашем Интернет-браузере поддержания/выполнения Java-скриптов. При блокировке Яндекс Метрика и Google Analytics, могут перестать отображаться некоторые гаджеты социальных сетей и могут наблюдаться проблемы в использовании формы обратной связи.

Google Формы.

Информация указанная при заполнении Google Форм, используется исключительно для регистрации нового пользователя и осуществления платежей, за предоставленные услуги. Информация из Google Форм, не используется для распространения спама и рекламных сообщений. Также, достоверная информация, предоставленная пользователем при заполнении Google Форм, позволяет обеспечить безопасность аккаунт пользователя, если пользователем будет утерян логин и пароль от аккаунта. Данная информация, позволит восстановить доступ к аккаунту только его настоящему владельцу. В случае, если данные в Google Форме будут указанны неверно, восстановить доступ к аккаунту, будет невозможно.

Также, мы не используем данные из Google Формы, для выявления точного местонахождения пользователя, Данные из Google Фом, позволяют в спорных ситуациях, произвести точную идентификацию владельца аккаунта и защитить аккаунт от злоумышленников.

Пользуясь данными Google Формами и службами, вы полностью соглашаетесь с правилами Google. Подробней, ознакомьтесь с политикой конфиденциальности на их официальных страницах:

Условия использования Google

Политика конфиденциальности Google

Вся информация, указанная в Google Формах, хранится в зашифрованном виде и защищена.

Платежи.

На блоге www.antivirusfagot.blogspot.com имеются формы, виджеты и страницы платёжных систем. Данный блог на домене www.antivirusfagot.blogspot.com, не производит приём платежей и их обработку. Все операции с оплатой и приём платежей, производится на стороне той платёжной системы, которую вы выберете.

Пользуясь выбранными платёжными системами и службами, вы полностью соглашаетесь с их правилами. Подробней, ознакомьтесь с политикой конфиденциальности на их официальных страницах.

Реклама Google AdSense.

На сайте есть рекламные блоки Google AdSense.

Ознакомьтесь с политикой конфиденциальности Google AdSense: https://www.google.com/intl/ru/policies/privacy

И условиями использования Google AdSense: https://www.google.com/adsense/localized-terms?rc=UA&ce=2

Ваши права.

Вы можете пользоваться этим сайтом бесплатно. Для того чтобы пользоваться этим сайтом, вам не нужно создавать учетную запись, делать пожертвования или каким-либо образом делиться со мной своей личной информацией. Однако, если вы решили воспользоваться формой обратной связи или каким-либо другим способом воспользовались моим сайтом, при этом предоставив свою личную информацию, вы тем самым выражаете свое согласие с положениями этой политики конфиденциальности и использования cookie. Ваше согласие также распространяется на хранение информации на серверах, на сбор, обработку, пересылку и хранение ваших персональных данных моим сайтом.

Если в политику конфиденциальности будут внесены изменения, они будут опубликованы на этой странице. Таким образом, вы всегда будете знать, какие данные собирает мой сайт и как они используются.

В зависимости от законодательства вашей страны вы можете иметь дополнительные права, касающиеся ваших персональных данных. Эти права могут касаться доступа к информации, которую вы предоставили мне через этот сайт, а также возможности ее изменить или удалить.

С уважением, Администратор и Владелец блога www.antivirusfagot.blogspot.com.

Данная политика конфиденциальности, доступна по ссылке:

Связь: