Общаемся

После его срабатывания блокируется доступ к антивирусным сайтам и предлагается воспользоваться «бесплатными» смс.

Особенностью трояна является то, что он маскируется под сообщение от пользователя, который находится в вашем списке контактов. Т.е. оно может прийти от человека, которому вы доверяете. Как распространяется троян: к вам приходит сообщение следующего содержания «ey eto vasha novaya kartina profil?», далее идет ссылка с адресом адресата. После того как пользователь переходит по ссылке, на компьютер устанавливается вредоносное ПО, которое блокирует доступ ко многим сайтам производителей антивирусов и многих других, а затем начинает рассылку по контактному листу уже попавшегося в руки мошенников пользователя Skype.

Ссылка ведет на сайт файлообменника. Троян блокирует следующие серверы : kaspersky., virusbuster.nprotect., sunbeltsoftware., f-secure., onecare.live., fortinet., garyshood., symantec, bullguard., onlinemalwarescanner., sophos., trendmicro., precisesecurity., gdatasoftware., virscan., norton., lavasoft., virustotal., avast., viruschief., iseclab., heck.tc, webroot., clamav., malwarebytes., mcafee., comodo., emsisoft., pandasecurity., norman., bitdefender., novirusthanks., avg., jotti., avira., virus., threatexpert., eset.

Как бороться с трояном уже обсуждают на форуме Skype и на Хабрахабре.

Дмитрий Ледяев, специалист IT компании, сообщил, что вирусные аналитики уже изучают это вредоносное ПО. А пока пользователям интернета рекомендуют не переходить по неизвестным ссылкам, а также обязательно проверить настройки Skype на наличие в нем подозрительных приложений. Если такие имеются, необходимо их тут же удалить.
Есть лечилка:

По ссылке пользователю предлагается скачать архив ZIP, содержащий .exe файл. Этот файл представляет из себя сетевой червь Worm.NgrBot (или Dorkbot), известный уже достаточно давно. Он содержит в себе бэкдор-компоненту для подключения заражённого компьютера в ботнет. Команды от управляющего сервера передаются по IRC протоколу. Крадёт пароли к учётным записям от таких сервисов, как YouTube, Gmail, Facebook, Letitbit, Sms4file, Vip-file, и др. Содержит функционал для проведения DDoS-атаки и перенаправления пользователя на вредоносные сайты.

Характерная черта Worm.NgrBot – для определения IP-адреса заражённого компьютера обращается на сайт api.wipmania.com.

Распространяется он через социальные сети, отправляя ссылки на себя в популярных социальных сетях и сервисах обмена мгновенными и сообщениями (Vkontakte, Facebook, Twitter и т.д.).

Может распространяться через флэш-носители, используя широко известный механизм автозапуска посредством файла autorun.inf. При этом вредоносный файл располагается в скрытой папке RECYCLER"

Один из вариантов лечения

Так как файл вредоносной программы скрыт от обнаружения стандартными средствами Windows благодаря установленным в системе перехватам API функций, для его обнаружения и удаления можно использовать специальные утилиты, например Vba32 AntiRootkit.

1. После запуска антируткита в появившемся диалоге ответить “No” и дождаться его загрузки;

2. Выбрать в меню Tools > Low Level Disk Access Tool;

3. В левой части окна утилиты "Level Disk Access Tool" выбрать путь к папке %APPDATA%. Например, в ОС Windows XP путь к %APPDATA% имеет вид "Х:\Documents and Settings\Username\Application Data", в Windows Vista и 7 – “X:\Users\Username\AppData\Roaming”, где X: - имя системного диска, Username – имя пользователя;

4. При этом в правой панели утилиты станет виден вредоносный файл с бессмысленным именем наподобие Yojwju.exe;

5. Щелчком правой кнопки мыши по файлу вызвать контекстное меню, в котором нужно выбрать команду "Delete File"

6. В появившемся диалоге подтвердить удаление файла нажатием на кнопку "Yes";

7. Выйти из антируткита и перезагрузить компьютер.

Всемирный день мужчин (нашим женщинам на заметку).