Субботние консультации вирусолога

С удивлением наблюдаю, как больше половины Ужгородских интернет-клубов заражены пакостью под названием «Sexyque» (якобы Internet-Modem-Booster, «ускоритель интернета»), и совершенно безразличны к этой напасти, переадресовывающей пользователя на порнушные сервера. Сегодня меня это достало, и я решил тряхнуть стариной, разобраться с проблемой, и постараться искоренить её.

«Sexyque» — штука не опасная, но раздражающая. Подхватить ее легко. Достаточно попасть на зараженный сайт, который позволит вашему боузеру автоматически выполнить java-код, подцепляющий эту гадость к Вашему IE, или любому другому, поддерживающему полноценно Java, клиенту. Метод заражения предельно прост. Вредоносный код активизируется и изменяет в реестре, в разделе, содержащем настройки броузера, а именно «DefaultPrefix«, значение параметра переменной «www», на вот такой вот стринг «www.sexyque.com/cgi-bin/proliv/proliv.cgi?. Набор параметров «DefaultPrefix» — это указание броузеру добавлять префикс при наборе в строке ввода УРЛа конкретного сочетания букв. После заражения системы, набирая адрес www.design.ru, вашему броузеру будет отдана комманда «добавить префикс», т.к. во введенной строке есть стринг «www» (именно эту переменную меняет вирус). Броузер добавляет префикс, и УРЛ выглядит уже вот так: «www.sexyque.com/cgi-bin/proliv/proliv.cgi?www.design.ru

Далее вас перекидывают на сайт sexyque.com, который в зависимости от ситуации открывает в новом окне порнуху и потом переадресовывает Вас на запрошенный сайт.

Как мы лечим. Меню «Пуск — Выполнить». Вводим комманду «regedit». Запускается редактор реестра. Нажимаем F3. Вводим в строку поиска «defaultprefix» и нажимаем «найти». Находим срэд «URL / DefaultPrefix» и в папке «Prefixes» находим «зараженные переменные». Меняем значение переменной «www» с «http://www.sexyque.com/…», на «http://». Для этого надо кликнуть курсором по названию переменной в правом окошке.

Потом продолжаем поиск на случай если у Вас в системе несколько конфигураций окружения для разных пользователей. Все «чистим» по аналогии.

Надеюсь, эта заметка помогла Вам избавиться от давно доставшей напасти.

Сегодня с Вами был придворный вирусолог ее Величества, А. Богданов.

27 thoughts on “Субботние консультации вирусолога”

  1. О!!!Полезно будет мне.А то как раз эта х… завелась.

  4. Так усе геніальне — просто.
    Це просто супер іформація, я в її пошуках перерив півсотні сайтів. Доступно і чайнику. Щиро вдячний!!!!!!!!!

  5. Спасибо, а то я думал, что это прокси или другая хрень, к тому же это просто!

  6. Мужик!!!!!
    Спасибо!!!!!!!!!!!!!!!!!!!!!
    У нас тут завелся любитель порнухи. Подцепил всякой заразы — теперь хоть от этой х…ни избавились. А то уж думали Видус переустанавливать.

  7. Уважаемый Александр… премного благодарен за эту информацию. Я пользуюсь инетом на работе и нас жутко штрафуют за посещение порнухи. а тут кто-то в выходной пошнырял по порносайтам и подцепил эту дрянь… сделал как вы сказали и теперь все отлично..

  17. FiLimon

    2. Spybot Search & Destroy: www.safer-networking.org/index.php?page=mirrors
    Я пользуюсь обоими.
    Загружаем, устанавливаем и надолго забываем о подобных х-нях.


    Эта прога не помогает против такого вируса как sexyque. Ни Adware ни SpyBot ни даже Norton Антивирус мне не помогли. Только способ описаный выше (через regedit) спасает от невольного перекидывания на сайты с голыми тётками… =))))

  18. А я удалил его в папке Prefix по незнанию что делать И НИЧЕГО НЕ ИЗМЕНИЛОСЬ, а вот в папке DefaultPrefix до сих пор лежит хрень эта с параметром по умолчанию. Не подскажите что сделать? А еще на если пишешь в командной строке имя сайта он выдает ошибку, что не удается его найти в интернет, хотя он точно есть. И так со всеми сайтами, кроме Яндекса(почему-то). Подскажите что делать,а?

  19. 2anonymous: Все действия подробно описаны в посте. Прочитайте внимательно. Там все предельно подробно написано.

  20. 2ALL: Гы! А я каждый день с утра ее удаляю, и каждый день оно снова появляется! Что делать? Реестр почистил, из автозагрузки все(?) убрал…

  21. 2anonymous: Не ходить на зараженные сайты… Не подтверждать при посещении порносайтов установку всяких модулей в Ваш компьютер. Вычеркнуть зараженные сайты из списка «доверяемых»…

  22. Очень, конечно, здорово. Однако как бы избавиться от того скрипта, который эту самую дрянь в реестр прописывает. Потому как делает он это завидной регулярностью и весьма настойчиво. Фактически эта статья объясняет, как бороться со следствием, не затрагивая причину.

    А насчет порносайтов… Я подхватил эту дрянь, когда пошел с поисковиков по результатам «товары не подлежащие обязательной сертификации в России». Вот уж воистину порнуха какая…

    Я уж молчу про то, что в заметке не сказано, что после чистки надо комп перегрузить, иначе, ели продолжать работу — ничего не изменяется, реестр-то считывается при загрузке…

    Павел

  23. 2anonymous:

    Однако как бы избавиться от того скрипта, который эту самую дрянь в реестр прописывает.

    Не ходить на «зараженные» сайты.

  24. Установите браузер Mozilla — его эта охенея (да и не только эта) вообще не берет, хотя скорость у него почти такая же, как и у Explorerа.

  25. 2anonymous: Не в скорости дело, а качестве отображения страниц…

  26. Да если к установленному Mozilla Firefox 1.0 закачать пару модулей (ну там флэши плэйеры всякие и все такое), то он страницы отображать будет не хуже Internetа Explorerа.

Обсуждение закрыто.