Новый вирус при попытке его остановить выключает ПК

В интернете появился агрессивный вирус, написанный на JavaScript, который выключает компьютер, если пользователь пытается прервать исполнение скрипта вручную. После включения компьютера скрипт сразу же возобновляет работу, поскольку находится в папке автозагрузки.

В сети появилась вредоносная программа, написанная на JavaScript, которая выключает зараженный компьютер сразу, как только пользователь пытается завершить выполняемый ею процесс. Угрозу обнаружили эксперты ресурса Kahu Security.

По данным Kahu Security, программы такого типа существуют с 2014 г., однако редко демонстрируют настолько агрессивное поведение и такую степень запутанности кода. Программа распространяется через спам, приходящий на электронный ящик. Несмотря на то, что она написана на JavaScript, ее выполняет Windows Script Host, а не браузер.

Проблема запутанности кода

Вирус отличается сложным кодом. Скрипт состоит из переменных и функций, но понять, где заканчивается один фрагмент и начинается другой, затруднительно из-за отсутствия пробелов. Кроме обычных методов запутывания в коде использованы зашифрованные символы, поиск и перемещение регулярных выражений, иносказания и т. д. Функция декодирования unescape делает его несколько более читаемым, но не намного. Код выстраивает цепочки букв и цифр, чтобы впоследствии генерировать строки случайных символов.

Агрессивный JavaScript-вирус выключает компьютер, когда пользователь пытается его остановить

Эксперты Kahu Security приводят особенно удачный с их точки зрения пример запутывания кода. Речь идет о фрагменте:

Для начала нужно сфокусироваться на данной части:

Эта часть трансформируется следующим образом:

5 + 38 * 932840649 = 35447944667.

Теперь следует рассмотреть другую часть:

Она трансформируется вот так:

Сочетание этих частей превращает длинный номер в текст, который дает слово «replace»:

Таким образом, первоначальный вариант фрагмента может быть сведен к следующему виду:

Как действует вирус

Вредоносная программа начинает работу с копирования, переименования и перемещения файла wscript.exe. Новая папка, куда помещается файл, находится в AppData\Roaming. В этой же папке вирус создает собственную копию и запускает исполнение скрипта с помощью копии wscript.exe. Чтобы спрятать папку, он использует следующий ключ регистрации:

Далее в папке Startupпрограмма создает ярлык под названием Start, который указывает на нее саму. Для графического обозначения ярлыка используется иконка папки, поэтому пользователь не догадывается, что перед ним файл. Попытка открыть папку приводит к запуску скрипта.

На следующем этапе работы вирус проверяет подключение к интернету, связавшись с Microsoft, Google или Bing. Далее программа устанавливает соединение с адресом urchintelemetry.com и отсылает туда все идентификационные данные зараженного компьютера. Одновременно вирус связывается с адресом 95.153.31.22, чтобы скачать с него зашифрованный файл, тоже написанный на JavaScript.

Этот файл заменяет домашнюю страницу интернет-браузера на адрес login.hhtxnet.com с последующей переадресацией на ресурс portalne.ws. Открыв браузер, пользователь попадает на эту страницу. При попытке зайти на сайт модели CnC, посещаемый сайт выглядит нерабочим. При использовании корректного метода запроса POST пользователь получает ответ от сайтов, но не видит его — он спрятан в теге основного текста.

Кроме того, второй файл на JavaScriptпроводит поиск инструментов защиты на компьютере с помощью WindowsManagementInstrumentation. Если какой-то инструмент представляет для него опасность, вирус завершает его работу, выдав поддельное сообщение об ошибке. Если же пользователь посчитает процесс wscript.exe подозрительным и попытается его прервать вручную, скрипт отдаст команду выключить компьютер. Повторный запуск машины повлечет за собой немедленное возобновление работы Start, поскольку он находится в папке автозагрузки.

Советы пользователю

Побороть вирус можно, только перейдя в безопасный режим или войдя в систему с другой учетной записи. После этого нужно вручную удалить ярлык Start и папку в AppData\Roaming. Если пользователь хочет исследовать скрипт в процессе его работы, придется переименовать используемый инструмент защиты во что-то безобидное.

Невидимый вирус выключает компьютер

Звучит жутко, знаю)
Всем доброго дня, надеюсь на помощь, уже все перепробовал.

Несколько дней поймал вирус при установке софта, и при заходе в игры (а позднее, как выяснилось, и просто при открытии многих задач) стал выключаться ноутбук. Не завершением сеанса, а именно вырубанием, словно из розетки. Это НЕ перегрев, так как температуру я проверяю в Speedfan.

Дело вот в чем — поначалу он казался простым майнером, так как проскакивал в диспетчере и пропадал. Прогнав ноут с CureIt, Eset Online Scanner и AVZ я удалил кучу разного мусора и, видимо, часть этого вируса. Майнер больше не появляется и не светится ни в одном диспетчере, включая AIDA64 и Process Explorer.

Ограничения на установку антивирусов остались, их снял через реестр. Установил сначала Avast, провел скан, ничего не нашел. Проблема с вырубанием сохраняется.
Решил снести винду и создать образ новой на флешке, переустановил с форматированием жесткого диска(системного). Ноль эффекта.
Сегодня поставил на новую винду Каспера и почистил реестр парой программ.

Ноут все равно вырубается, пару раз даже было при установке Windows. Это явно не перегрев, так как буквально за пару часов до ситуации с вирусом я успешно играл не один час. Выключение происходит спустя 5-10 минут нахождения в игре.

Просьба помочь. Кто-нибудь сталкивался с подобным? Что это за зараза?

Невидимый вирус
Доброго времени суток. У меня возникла следующая проблема. Я сбрасываю файл word на флешку, затем.

Какая программа выключает компьютер?
Какая программа выключает компьютер? Что нужно запустить чтобы компьютер перезагрузился? Если.

Как написать программу, которая выключает компьютер?
Как написать программу, которая выключает компьютер? Какие программы можно написать на С++, типа.

Компьютер выключает и не хочет включатся пока не выключить питание
Ребята приветствую вас. Купил себе компьютер: процессор fx8350 мать Gigabyte GA-970A-UD3P.

Вирус выключает комп при проверке CureIt’ом

#1 colodas

Members

2 Сообщений:

Прощу прощения из-за большого объема текста, постарался детально описать проблему для принятия эффективного решения.

Ноутбук, 2 системы: 1-ая » XP «, 2-ая «Семерка».

При работе на XP был пойман вирус, который полностью «положил» систему: после биоса черный экран с сообщением, что система не может быть запущена, «С:\ nltdr » и предложением вставить диск с системой с целью попытки восстановления (диска конечно же нет).

Удалить вирус, переустановить систему («Семерку»).

В установленную «Семерку» заходит стабильно без проблем.

При сканировании системы CureIt’ ом, в безопасном режиме, в процессе проверки — ноут сам выключается (было 4-5 попыток в том числе с принудительных охлаждением, выключение не из-за перегрева);

При сканировании системы CureIt’ ом, в обычном режиме — изначально найдено 25 вирусов, последующие сканирования проходят успешно и ничего не находит.

• Эксперимент № 1: При попытке поставить новую систему с USB — флэшки (с ISO образа через Rufus ): вылезает окно след. содержания: » Windows не удается установить необходимые файлы. Убедитесь, что имеются все файлы необходимы для установки и перезапустите установку. Код ошибки 0 x8007025D «. (скрин приложен).

Было предпринято 3 «подхода к снаряду» с разных флэшек с разными сборками винды — содержимое окна во всех случаях одно и тоже.

• Эксперимент № 2: При попытке установки с DVD : на этапе пункта «Установка обновлений»: DVD — ROM начинает издавать странные звуки, диск начинает вращается туда-сюда (как диск-жокей на дискотеке) как будто диск «втрирают» с DVD-ROM с характерным писком напоминающим пение сверчка. В конечном итоге установка также оканчивается неудачей, появляется окно, надпись на котором гласит : «Не удалось обновить конфигурацию загрузки компьютера. Невозможно продолжить установку». (скрин приложен).

• Эксперимент № 3: Я извлек из ноута HDD и подключил его к системному блоку, попытался поставить систему: повторились результаты экспериментов № 1 и № 2. Причем у меня в системнике новый DVD , также начал «петь те самые песни» как и тот, что в ноутбуке (!).

• Эксперимент № 4: Я извлек из старого (допотопного) ноута HDD , подключил его к тому же системнику и поставил винду с того же самого DVD- диска, который участвовал в предыдущих экспериментах. Винда стала без проблем

• Эксперимент № 5: решил проверить проблемный HDD программой Victoria v3.52 , результат: » HD not ready «, » Status : Отсутствует DRSC+DRDY или винт не снимает BUSY … работа не возможна»

Снял все необходимые логи, прикладываю.

С такой проблемой сталкиваюсь в первые.

Я полагаю, что это действия вируса, попавшего и живущего на HDD , очень смущает отключение компа при проверке в безопасном режиме.

Но в тоже время, этот HDD обеспечивает полную функциональность работающей «Семерки», почему я не могу поставить на него систему? Что делать в данном случае? Какие пути решения и средства?

Поможет ли решить вопрос, к примеру подключить HDD к системнику, отформатировать его полностью и попытаться заново поставить систему? Но есть подозрение, что снесу работающую систему, а новая не встанет

HELP ! Подскажите, плиз, что делать?

Прикрепленные файлы:

• Victoria 3.52.png423,56К 0 Скачано раз
• cureit.rar1,5Мб 1 Скачано раз
• cureit_(проверка проблемного HDD с другого компа).rar1,4Мб 0 Скачано раз
• gmer.rar4,12К 1 Скачано раз
• hijackthis.rar2,39К 3 Скачано раз
• RootRepeal report 11-21-16 (01-10-13).rar310байт 1 Скачано раз
• Ошибка 1.png780,37К 0 Скачано раз
• Ошибка 2.png554,53К 0 Скачано раз

#2 Dr.Robot

Helpers

2 796 Сообщений:

1. Если Вы подозреваете у себя на компьютере вирусную активность и хотите получить помощь в этом разделе,

Вам необходимо кроме описания проблемы приложить к письму логи работы трёх программ — сканера Dr. Web (или CureIt!, если антивирус Dr. Web не установлен на Вашем ПК), Hijackthis и DrWeb SysInfo. Где найти эти программы и как сделать логи описано в Инструкции. Без логов помочь Вам не сможет даже самый квалифицированный специалист.

2. Если у Вас при включении компьютера появляется окно с требованием перечислить некоторую сумму денег и при этом блокируется доступ к рабочему столу,

— попытайтесь найти коды разблокировки здесь https://www.drweb.com/xperf/unlocker/
— детально опишите как выглядит это окно (цвет, текст, количество кнопок, появляется ли оно до появления окна приветствия Windows или сразу же после включении компьютера);
— дождаться ответа аналитика или хелпера;

3. Если у Вас зашифрованы файлы,

Внимание! Услуга по расшифровке файлов предоставляется только лицензионным пользователям продуктов Dr.Web, у которых на момент заражения была установлена коммерческая лицензия Dr.Web Security Space не ниже версии 9.0, Антивирус Dr.Web для Windows не ниже версии 9.0 или Dr.Web Enterprise Security Suite не ниже версии 6.0. подробнее.

Что НЕ нужно делать:
— лечить и удалять найденные антивирусом вирусы в автоматическом режиме или самостоятельно. Можно переместить всё найденное в карантин, а после спросить специалистов или не предпринимать никаких действий, а просто сообщить название найденных вирусов;
— переустанавливать операционную систему;
— менять расширение у зашифрованных файлов;
— очищать папки с временными файлами, а также историю браузера;
— использовать самостоятельно без консультации с вирусным аналитиком Dr. Web дешифраторы из «Аптечки сисадмина» Dr. Web;
— использовать дешифраторы рекомендуемые в других темах с аналогичной проблемой.

Что необходимо сделать:
— прислать в вирусную лабораторию Dr. Web https://support.drweb.com/new/free_unlocker/?keyno=&for_decode=1 несколько зашифрованных файлов и, если есть, их не зашифрованные копии в категорию Запрос на лечение. Дожидаться ответа на Вашу почту вирусного аналитика и далее следовать его указаниям ведя с ним переписку по почте. На форуме рекомендуется указать номер тикета вирлаба — это номер Вашего запроса, содержащий строку вида [drweb.com #3219200];

4. При возникновении проблем с интернетом, таких как «не открываются сайты», в браузерах появляются картинки с порно или рекламным содержанием там, где раньше ничего подобного не было, появляются надписи типа «Содержание сайта заблокировано» и пр. нестандартные уведомления необходимо выложить дополнительно к логам из п.1 лог команды ipconfig

Для этого проделайте следующее:

Компьютер выключается сам по себе

Самопроизвольное выключение компьютера — довольно распространенная проблема, с которой сталкивается большое количество пользователей. Постоянно при работе на компьютере происходит выключение или перезагрузка. Здесь указаны наиболее распространенные причины выключения компьютера и пути их решения.

Компьютер выключается сам по себе: Возможные причины.

Причина №1: Компьютерные Вирусы

Если Ваш компьютер неожиданно выключается, то причиной этого могут быть компьютерные вирусы. Компьютерные вирусы являются наиболее распространенной причиной периодического выключенияили перезагрузки компьютерных систем. Как только Ваша операционная система «заразится» компьютерным вирусом, то компьютер начинает «глючить», зависать, перезагружаться, выключаться.

Установить хороший антивирус, если он у Вас не установлен. Хорошие антивирусы: Kaspersky, DrWeb. Постоянно обновлять антивирусные базы. Проводить сканирование компьютера на вирусы. Для сканирования на вирусы, можно воспользоваться бесплатной утилитой CureIt от DrWeba, которая постоянно обновляется на сайте DrWeb.

Всякий раз, когда Вы подключаете флешки к USB порту, проводите сканирование флешки на вирусы. В случае, если Вы используете Интернет используйте специальное программное обеспечение, которое предупредит Вас о сайтах содержащих вредоносный код.

Причина №2: Неправильно установленное программное обеспечение

Если Вы недавно подключали дополнительные устройства или устанавливали какие-либо программы, то попробуйте их удалить.

Причина №3: Блок питания

Неисправный блок питания является распространенной причиной выключения или перезагрузки компьютера.

Попробуйте заменить блок питания на другой. Протестируйте работу компьютера с другим блоком питания несколько дней.

Причина №4: Перегрев компьютера

Если компьютер выключается сам по себе, то перегрев компьютера также может стать причиной этого. Если у Вас Ноутбук, то на большинстве ноутбуков стоят датчики температуры, которые отключают компьютер при достижение определенной температуры.

Есть много способов избежать перегрева компьютера. Если у Вас Ноутбук, то лучше всего отнести его к специалисту по компьютерам, чтобы он устранил проблему. Если есть пыль внутри компьютера, то следует пропылесосить на выдув запыленные места. Затем проверить вращение вентиляторов. Если вентилятор плохо вращается, то следует его заменить. Также можно поменять термопасту на процессоре. Иногда процессор и материнская плата сильно перегреваются, если у Вас одновременно запущенно много приложений . Чтобы избежать этого, запускайте приложения по одному.

Если ничего из этого не помогло, попробуйте переустановить Windows.