Saburex … cum sa scap de el ?

Am fost rugat de un prieten sa il ajut sa scape de Saburex. Am inteles ca Bit Defender ar reusi sa faca ceva, dar nu sunt sigur ca reuseste sa scape de virus in totalitate. Eu am folostit alta metoda, e ceva mai mult lucru manual dar sunt sigur ca am scapat de el.

I: Cum aflu daca am Saburex ?

R: Nimic mai simplu daca ole16.dll se afla in c:\windows\system32\ ai Saburex.

I: Ce face Saburex ? E periculos ?

R: Saburex face PrintScreen-uri la fereastra curenta si le posteaza pe o pagina web pe un domeniu rusesc .ru (nu stiu mai multe detali despre pagina si domeniu)

I: Cum functioineaza Saburex ?

R: Virusul infecteaza fisierele cu extensia .exe la intamplare (random), virusul ignora dosare (folder) si fisiere (file) care contin urmatoarele siruri de caractere:
- program files
- documents and
- _restore
- music
Cand infecteaza un fisier, virusul se arhiveaza intr-o arhiva de tip .CAB, apoi isi scrie codul sursa la inceputul fisierului infectat. Cand fisierul infectat este lansat, corpul virusului este salvat in directorul windows/temp sub un nume temporar random cu extensia .dll.
Apoi virusul isi sterge codul sursa din fisierul infectat readucandul la forma initiala, dezarhiveaza arhiva .CAB si executabilul va fi lansat.
Extrage un alt .DLL de 7168 bytes, si il salveaza in temporare. Urmareste toate ferestrele deschise de utilizator si injecteaza un alt .DLL conectat cu aceste ferestre.

I: Bun … cum scap de el ?

R: Stergeti ole16.dll din c:\windows\system32\, e posibil ca widows-ul sa nu va lase sa il stergeti pentru ca este folosit de calculator in momentul respectiv, cautati un “unlocker” sau stergeti-l manual din MS-DOS.

Modificati registri astfel:

[HKEY_CLASSES_ROOT\CLSID\ {00021401-0000-0000-C000-000000000046}\InProcServer32]

@=”shell32.dll”
ThreadingModel=”Apartment”

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\ {00021401-0000-0000-C000-000000000046 \InProcServer32]

@=”shell32.dll”
ThreadingModel=”Apartment”

Stergeti tot din folderele temporere, in special c:\windows\temp

Instalati unul din antivirusi (update la baza de date a antivirusului):

BitDefender (numele sub care il detecteaza: “Win32.Fidcop.A”)
eSafe (numele sub care il detecteaza: “Virus.Win32.Saburex”)
F-Secure (numele sub care il detecteaza: “Saburex.A”)
Kaspersky (numele sub care il detecteaza: “Virus.Win32.Saburex.a”)
Avast (numele sub care il detecteaza: “Win32/Saburex”)
NOD32 (numele sub care il detecteaza: “Win32/Saburex.A”)
Panda (numele sub care il detecteaza: “W32/Rex.A”)
VirusBuster (numele sub care il detecteaza: “Win32.Saburex.A”)

Scanati si stergeti orice fisier .exe care este detectat de antivirus ca infectat, se vor pierde cateva aplicatii dar scapati de virus.

ATENTIE !!! reinstalarea windows-ului NU va scapa de virus, el poate reveni cand rulati una din aplicatiile infectate (de ex. kit-uri cu extensia .exe), o solutie ar fi formatarea completa a calculatorului, TOATE partitiile.