Зараза, распространяемая по Skype

[mike]

Приветствую!
Обнаружилось распространение зловреда через Skype.
Инициация происходить через сообщение от какого-либо контакта с тривиальным сообщением и ссылкой типа http://goo.gl/<рандомный текст>. В тексте возможно упоминание слова "аватар".
Если данное сообщение получено, тогда "поздравляю"! (сильно не огорчаться, всё поправимо).
Вирус копирует/клонирует себя в  C:\Documents and Settings\<имя пользователя>\Application Data. с именами типа 11.exe, 5D.exe, Skype.exe, 48.exe  и подобными. Если нашли - удалять, предварительно проверив в "Диспетчере процессов" выполняется ли один из них, что лежит по указанному пути. Если выполняется - то завершите его и потом удаляйте эту нечисть. Далее необходимо удалить всё, что лежит в:
1) C:\Documents and Settings\<имя пользователя>\Local Settings\Temp
2) C:\Documents and Settings\<имя пользователя>\Local Settings\Temporary Internet Files
3) Использующие FireFox - C:\Documents and Settings\<имя пользователя>\Local Settings\Application Data\Mozilla\Firefox\Profiles\<какие-то буквы и цифры>.default\Cache\
4) Снести к едрене-фене скайповский профиль.
5) В реестре, по пути HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache удалить всё, что ссылается на временные папки профиля пользователя (типа C:\Documents and Settings\<имя пользователя>\Local Settings\Temp ) и обратить особое внимание на значение тех ключей, сто имеют именем Skype
6) Администраторам!!! Закрыть входящие и исходящие соединения на подсеть 74.125.0.0/16 тотально по всем протоколам!!!
7) Удалить нафик Skype всегде

Замеченные сбои.
Отказывается работать 1С с ошибкой при запуске на невозможность выполнить инструкции Microsoft Visual C++ <версия> Redistributable
На подключенных флешках образуются ярлыки на уже существующие папки. Сами папки принимают свойство "скрытая".
Замечены сбои в работе приложений КриптоПро CSP - то бишь, клиент банков
Резидентные антивирусы не обнаруживают запись зловреда в профиль пользователя, но при прямом указании на папку с ним,  успешно удаляют.

... вроде всё, что вспомнил.

[mike]

... да, забыл добавить, что это относиться к системе на Windows XP, на семёрке и висте не проверял за неимением оных.

[Wint0rez]

Файервол в помощь,у меня касперыч (11го года,с "вечным" триалом) даже половину легальных ссылок выбраковывает,но я не в обиде

[Fabula_4x4]

Если данное сообщение получено, тогда "поздравляю"!

Главное не то, что оно получено, а не клацать по полученной ссылке, вот и все.

[Anti55]

http://www.freedrweb.com/show/?i=2845&c=19&lng=ru

[mike]

а не клацать по полученной ссылке, вот и все.

Из около 50 человек у меня в конторе, пользующиеся скайпом, не клацнул только один! Делаем выводы.

[B.Mike]

Я так понимаю, такую ссылку можно и на мыло получить, и на аську, и на форуме в личку... А дальше скачивается ZIP, который пользователь должен сам распаковать и запустить? Какая прелесть
Неужто на такое ещё кто-то ведётся?! А в напёрстки на рынке не пробовали играть?

[Пиночет]

в напёрстки на рынке не пробовали играть?

И деньги в МММ носить...

[Fabula_4x4]

Неужто на такое ещё кто-то ведётся?

Да ты че, пол фирмы клацнули... сисадмин чуть массовый расстрел юзверей не устроил...

[salt]

Давно ушел в линукс от подобных проблем. Правда, на предприятиях это не всегда возможно.

[Wint0rez]

У нас прикол был,когда сисадмин просил держать флешку вертикально,чтоб данные быстрее скачивались,так пол конторы дружно подтвердили,что действительно отчеты "капают" быстрее
Но на ссылки с архивами действительно ведутся только впервые севшие за комп...