Внимание! SMS-порно-шантаж в интернете

[AndyFirst]

На початку грудня мій комп’ютер заблокувала порнографічна картинка. Подібна проблема спіткала кількох друзів. З’ясувалося, що це вірус, який проник з Інтернету. Мобільні оператори відхрещуються від шахраїв. Але вони отримують 30 відсотків видурених грошей.
Прибрати картинку не міг. Її автори написали, що для розблокування треба вислати СМС із символами М21120000 на номер 4171, а отриманий у відповіді код вставити у спеціальне місце. Зазначили вартість повідомлення $1 — 8 грн. Вказівки виконав, але заставка не зникла. А з рахунку зняло 30 грн.
— За поширення вірусу передбачене покарання до двох років в’язниці. Плюс до восьми років за шахрайство з використанням електронно-обчислювальної техніки,— пояснює юрист Роман Головенко.
— Розробники вірусу пов’язані з тими, хто забезпечує мобільний зв’язок, — припускає інший юрист Андрій Нечипоренко.
Оператори мобільного зв’язку відмовилися назвати кількість повідомлень, надісланих на номер 4171. Відкриття такого номера у чотирьох операторів разом коштує 12 тис. 166 грн 50 коп. Аби їх повернути, треба, щоб 30-гривневі СМС надіслали 405 людей. Крім того, за користування номером щомісяця мусять платити 2 401,3 грн абонентської плати — ще 80 повідомлень щомісяця. А щоб отримати прибутки, обдурених має бути значно більше. Адже 30% прибутку треба віддати операторам, ще 5% — партнерам.
Представники мобільних операторів кажуть, що не стежать за змістом повідомлень, а лише надають свої канали іншим фірмам — контент-провайдерам. Такими були фірми «Джамп-Україна» та Polygon integration Ukraine.
Зазначена вартість повідомлення — один долар, а з рахунку зняло 30 гривень
Але найбільш причетною до номера 4171 виявилася фірма »Контент-провайдер «Перший альтернативний-Україна». Зареєстрована у Києві на вул. Кіквідзе, 18. Але за цією адресою хрущовка, у якій працює хімчистка. Телефоную на вказаний номер. Дівчина відмовилася називати реальна адресу і з’єднувати із працівниками. Порадила писати електронні листи. Надсилаю два листи директору Петрові Тугаю, відповіді немає.
Компанія «Перший альтернативний-Україна» співпрацювала з усіма операторами. З «Київстаром» і «Білайном» — як клієнт, із МТС і Life — як співкористувач їхнім каналом. Зареєстрована 7 листопада 2007 року. Засновник, російська фірма «Перший альтернативний», внесла до статутного фонду 46 тис. грн. Перед Петром Тугаєм директором працював Кирило Гороховський. Він порадив звернутися до московського офісу. Так і роблю.
«Будь-які види шахрайства демонструють провокації і протиправні дії з боку учасників ринку. Метою цього є вплив на формування негативної репутації контент-провайдерів або стільникових операторів...», — йдеться в їхньому листі-відповіді. Прохання конкретизувати проігнорували.
4171 або подібні чотиризначні номери активно використовують в інших шахрайствах. Сайт »Сексиклассники», який пропонує знайти собі секс-партнерів, закликає надіслати повідомлення на номери 3669 або 4170, щоб зареєструватися. Вартість повідомлення нібито 83 коп.
Однак реально коштує 18 гривень, кажуть в інформ-службі МТС.
— Якщо контент-провайдерів справді хочуть дискредитувати, то вони мали б оголосити про це одразу після появи шахрайських оголошень і відмежуватися від цих пропозицій, — пояснює спеціаліст із комп’ютерних систем Валерій Степаненко. — Але вони поводяться інакше. Не виключаю, що мобільні оператори теж причетні. Їм вигідно не контролювати повідомлення своїх каналів. Щоб шахрайств не було, треба законодавчо зобов’язати їх це робити.
МТС попередив провайдера, який уклав угоду з шахраями, і наклав відповідні штрафні санкції. «Київстар» розірвав стосунки з «Першим альтернативним-Україна». У Life кажуть, що вжили заходів для зупинки шахрайської діяльності. Ці мобільні оператори готові компенсувати збитки. «Білайн» не обіцяє і пропонує звертатися до правоохоронних органів. Жоден оператор не повідомив, що звернувся до міліції сам.
До чого спонукають
— надіслати СМС-повідомлення на номер з чотирьох цифр
— передзвонити на вказаний номер
— продиктувати код поповнення рахунка мобільного телефону
— перерахувати гроші на вказаний номер телефону
Жодну з цих дій не варто виконувати.
Чим заманюють
— розіграшем призів, грошей, путівок
— пропозицією допомогти хворим, дітям, знедоленим, зібрати кров
— проханням допомогти родичеві, який нібито потрапив у міліцію, лікарню
— проханням підтримати знайомого у конкурсі

Розслідування підтримане Данським фондом журналістських розслідувань SCOOP.
Источник: _http://internetua.com/vnimanie--SMS-porno-shantaj-v-internete

Как думаете, должны ли операторы следить за этим и присекать подобные лохотроны?

[Klaus]

А должен ли оператор следить за каждым номером телефона которые мы используем?
Я думаю что нет. Но то что должен отключать любые номера при поступлении запросов из органов это факт.
А тем у кого выскакивают всякие картинки надо не смс слать а антивирусами пользоваться. Или вот такие http://forum.mobilnik.ua/showthread.php?t=9523 темки читать внимательно.

[Oleg222]

AndyFirst

Засновник, російська фірма «Перший альтернативний», внесла до статутного фонду 46 тис. грн. Перед Петром Тугаєм директором працював Кирило Гороховський. Він порадив звернутися до московського офісу.

Пробують перенести методи ведення бізнесу і до України.
Але в нас ринок набагато конкурентніший і таке грубе поводження з абонентами не проходить, а дуже ж хочеться.
Ви ось тільки почитайте як вони в Росії з абонентами поводяться
_http://mobile-review.com/articles/2010/mobipage-content.shtml
Тільки не треба говорити, що наші оператори білі та пухнасті нічого не знають.
Гроші то разом заробляють і прикрити такий цирк можуть на протязі 5 хвилин.
І були випадки коли за такі коники гроші повертали без шуму та пилу. Не потрібно їм це.
Бояться розголосу.

[AndyFirst]

Сообщение от Oleg222

...
Ви ось тільки почитайте як вони в Росії з абонентами поводяться
_http://mobile-review.com/articles/2010/mobipage-content.shtml
Тільки не треба говорити, що наші оператори білі та пухнасті нічого не знають.
Гроші то разом заробляють і прикрити такий цирк можуть на протязі 5 хвилин.
І були випадки коли за такі коники гроші повертали без шуму та пилу. Не потрібно їм це.
Бояться розголосу.

Почитал статейку. Это ж какой "мозк" нужно иметь, чтоб такое придумать. Но без участия самих операторов подобные лохотроны были бы не возможны. К примеру, если бы условия и стоимость "подписок" указывались непосредственно в "подтверждающих СМС" и только через ответ на них можно было бы согласится, тогда, возможно, количество обманутых абонентов поубавилось бы.

[Shusha]

AndyFirst, зашла на _http://internetua.com/vnimanie--SMS-porno-shantaj-v-internete. Как Вы указывали у себя в тексте сообщения. Нет там такого поста (((

[AndyFirst]

Сообщение от Shusha

AndyFirst, зашла на _http://internetua.com/vnimanie--SMS-porno-shantaj-v-internete. Как Вы указывали у себя в тексте сообщения. Нет там такого поста (((

Shusha, Вы правы сейчас по этой ссылке ничего нет. Вчера я просматривал новости на сайте_http://www.ukr.net/news/tehnologii.html и с него перешел по ссылке на сайт_http://internetua.com/vnimanie--SMS-porno-shantaj-v-internete, текст и адрес которого просто скопировал из браузера. Я не знаю почему вчера этот пост был, а сегодня его нет.
P.S. Поиск в Гугле по названию статьи выдает туже ссылку, но статьи по ней нет.

[Neznajka1]

Время с момента первого упоминания о порно-вирусах прошло достаточно, но они до сих пор бороздят по просторам сети. Вот нашел методику лечения.

Удаление трояна-винлокера (Win32/LockScreen). Завершение сеанса Windows на стадии загрузки личных параметров.

Продолжение->

Как может показаться на первый взгляд, речь идет об абсолютно разных вещах. Так, в первом случае, мы однозначно имеем дело с вредоносным программным обеспечением, а во втором, может показаться, что имеет место быть, неисправность операционной системы. Но дело в том, что в обоих случаях проблема одна, но на разных стадиях. В первом случае, антивирусная программа "проспала" появление трояна, который незамедлительно приступил к выполнению своих обязанностей, а во втором, антивирусное ПО обнаружило "неприятеля", но немного припозднилось, т.к. он частично выполнился и подменил некоторые значения реестра. Троян в данном случае был благополучно удален антивирусом, но изменения в реестре исправлены не были, отсюда и появился второй заголовок у статьи. Но, обо всем по порядку.

В последнее время проблема удаления т.н. программ-блокираторов (Win32/LockScreen), которые после своей активации (запуска) блокируют работу пользователя на компьютере, а за оказание услуги возвращения прежней работоспособности ПК вымогают денежные средства посредством отправки SMS, перевода денег на счет, через терминал и т.д., стала особенно актуальна. К большому сожалению, некогда помогавшие сервисы антивирусных компаний по генерации кодов разблокировки (http://support.kaspersky.ru/viruses/deblocker, http://www.drweb.com/unlocker/index/, http://www.esetnod32.ru/.support/winlock/), сегодня оказываются практически бесполезными. В первую очередь это связано с огромным разнообразием вариантов, как программ-блокираторов, кодов разблокировки, так и отсутствием в программах механизма разблокировки. Однако, данное вредоносное ПО очень просто удалить с помощью загрузочного диска, получив доступ к реестру неактивной копии Windows. Постараюсь помочь Вам в этом деле.

Но сначала рассмотрим еще одну ситуацию, три дня назад в одной из организаций, где я зарабатываю на хлеб насущный, "забили тревогу". Поступила жалоба на один из компьютеров, который накануне благополучно отработал весь день и был, как обычно выключен, но на следующий день, по непонятным причинам, требовал выбрать пользователя, после чего, начинал загружать личные параметры и тут же завершал сеанс работы и так по кругу. Как мне сказали загрузка в "Безопасном режиме" и "Загрузка последней удачной конфигурации (с работоспособными параметрами)", не давали положительных результатов. Вход в систему стал невозможен.

Описываемый мной второй случай, есть ничто иное, как результат послевирусной активности на компьютере. Т.е. трояном был изменен раздел реестра, о котором я буду писать дальше, а сам троянец был удален антивирусным ПО, но изменения сделанные им в реестре остались. Сейчас мы и начнем разбираться во всем этом безобразии.

ВНИМАНИЕ! Не ищите легкого пути, не платите деньги за вымогательство и шантаж, не спонсируйте жуликов. После оплаты услуги, разблокировки Windows Вы не получите!!!

Итак, в обоих случаях искать причину следует с проверки файлов, отвечающих за процесс загрузки операционной системы, а именно, с файла, который ответственен за запуск оболочки Windows.

Файл userinit.exe является частью операционных систем Windows и именно он отвечает за процесс загрузки операционной системы. На этот файл возложены задачи восстановления сетевых подключений и запуска оболочки. Процесс является критическим для функционирования операционной системы. Попытки его отключить или удалить приведут к невозможности загрузки операционной системы. Так, что очень вероятно, что у нас этот файл поврежден или удален, а возможно, что были изменены некоторые ключи реестра.

Обращаю Ваше внимание на то обстоятельство, что данный процесс никогда не виден в диспетчере задач, за исключением нескольких секунд после входа в систему. А, вот, присутствие такого процесса в диспетчере задач может означать только одно - компьютер заражен вредоносным программным обеспечением.

Так как данный процесс отвечает за загрузку операционной системы, часто вирусописаки и распространители шпионского ПО скрывают свои программы в этом процессе. Например, злонамеренные файлы могут иметь такое же имя, но быть расположены вне директории %SystemRoot%\System32. Другие злонамеренные программы могут использовать похожее имя файла и т.д.

ия всех вышеперечисленных проблем нам потребуется диск, представляющий собой урезанную версию Windows XP, которая загружается с CD. Например, Windows PE Russian Live CD (11.11.2009) (торрент, 1.39 Гб), использование любого другого диска не возбраняется, важно, чтобы он умел работать с реестром неактивной копии Windows, содержал программу ERD Commander или подобную. Я буду описывать всю процедуру "лечения", на примере вышеназванной версии LiveCD. Скачал ее давным-давно и меня она пока всем устраивает. Советую держать подобные диски всегда под рукой!

1. Итак, в BIOS выбираем загрузку с компакт-диска и загружаем систему с Вашего LiveCD.

2. После загрузки Windows с диска, откройте ПУСК -> Система -> ERD Commander -> ErdRoot.



3. Укажите папку с установленной ("испорченной") Windows и нажмите ОК. Чаще всего, это C:\Windows, но на данном компьютере Windows находится на диске D, поэтому я указываю D:\Windows.



4. Возвращаемся за редактором реестра, для этого открываем ПУСК -> Система -> ERD Commander -> RegEdit. Т.е. после выполнения предыдущего шага у нас будет уверенность в том, что мы не будем править реестр LiveCD, а будем править именно реестр "испорченной" ОС Если бы мы сразу запустили RegEdit, то занялись бы тем, что правили реестр LiveCD и ни к чему бы это действие нас не привело



5. Получив доступ к реестру "испорченной" Windows, переходим к ветке реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, и проверяем ключи Shell и Userinit.



Должно быть так (стандартные значения):

Userinit = C:\Windows\system32\userinit.exe,
UIHost = logonui.exe
Shell = explorer.exe
VmApplet = rundll32 shell32,Control_RunDLL "sysdm.cpl"

Подробнее о стандартных значениях:

Shell = explorer.exe, если у Вас написано что-то другое, то это означает, что у Вас подменен проводник Windows.

Userinit = C:\Windows\system32\userinit.exe, этот ключ определяет программы (перечислены через запятую), которые Winlogon запускает, когда пользователь входит в систему. По умолчанию, Winlogon запускает файл userinit.exe, который в свою очередь стартует logon-скрипты, устанавливает сетевые подключения, а затем запускает explorer.exe, т.е. пользовательский интерфейс Windows.

Прописав путь к какой-нибудь программе ДО userinit.exe, можно запустить ее прежде, чем стартует интерфейс Windows Explorer, а, прописав путь ПОСЛЕ, – обозначить старт конкретного приложения сразу после появление пользовательского интерфейса. Блокеры очень часто изменяют этот ключ, дописывая путь до своего исполняемого файла:
Userinit = %systemfolder%\userinet.exe, [путь до исполняемого файла блокера] В моем случае было именно так.

Обратите внимание, что последнее время создатели вирусов скрывают свои творения под названиями "правильных" программ, так в ключе Shell может находиться Explorеr.exe, у которого в названии одна буква "е" - на русской раскладке или в ключе Userinit запускается userinit.exe, также содержащий русскую букву. Поэтому наберите эти строки с клавиатуры самостоятельно.

6. Исправьте значения ключей Shell и Userinit на стандартные значения, предварительно запомнив папку, из которой запускается вирус и имя файла.

Кстати, последнее время появилась новая разновидность винлокера изменяющая оба параметра: прописывая в Shell файл из C:\Documents and Settings\All Users\Application Data\, он так же не изменяя строку инициализации Userinit, подменяет сам файл userinit.exe в каталоге C:\Windows\system32\, также подменяя файл Диспетчера задач - taskmgr.exe в том же каталоге. В этом случае, исправив параметр Shell, после перезагрузки мы получим такую же заблокированную машину.

7. Чтобы этого не произошло, идем в C:\Windows\system32\ и смотрим время изменения файлов userinit.exe, Winlogon.exe и taskmgr.exe. После чего, проверяем файл explorer.exe в каталоге C:\Windows\. В случае изменения файлов, заменяем их оригиналами с рабочих компьютеров (можно взять с установочного диска Windows).

Если какого-то файла нет, попробуйте запустить обычный поиск по Вашему диску, если найдете эти файлы то скопируйте их в соответствующие директории. Если не нашли, тогда возьмите их с другой такой же копии ОС. Если не ошибаюсь, то файл userinit.exe можно также найти в папке C:\Windows\system32\dllcache\.

Можно воспользоваться установочным диском:

expand X:\i386\userinit.ex_ C:\Windows\system32\userinit.exe
где Х - буква CD установочного диска, а операционная система, предположительно, находится на диске C.

8. Запускаем проводник, переходим в каталог содержащий вирус (мы же его запоминали) и удаляем файл содержащий блокировщик.

9. Перезагружаемся.

По идее, Windows должен быть разблокирован, вирус удален, а финансы сохранены. Тем не менее, советую проверить систему свежим антивирусом, например, одноразовым Касперским, Dr.Web'ом или NOD'ом. На этом я заканчиваю свое повествование. Удачи!

Источник