WM. Троян.

Для Аутпоста есть плагин "HTTP log". Он записывает все твои посещения. Не знаю только насколько полно.
[Зарегистрироваться?]

Кстати, что интересно.. Я посмотрел форумы по ставкам, дак там нет такой проблемы с вебманями, хотя там люди тоже их активно юзают. Так что проблем где то на форуме навреное.
Все таки люди кто уже заражался и изучил вопрос, напишите что стоит сделать для предотвращения проблемы. Типа инструкции и прилепить ее куда нить, чтоб видно было всем

Итого.

1. Вирус, укравший у меня деньги, был новым:

Trojan-Spy.Win32.banker.quo

2. По результатам проверки и чистки моего компа он включен в базу Антивируса Капсерского 7.0.

__________________
Cuius rei demonstrationem mirabilem sane setex hanc marginis exiguitas non caparet

Хорошо ,что обнаружен паразит,интересно ,у всех пострадавших этот вирус деньги украл ,или еще какой другой есть

У меня все-таки есть мысль, что другой или даже другие. Потому что механизм воровства был РАЗНЫМ в ряде описанных в этой теме случаев. Если бы все пострадавшие обратились на форум Касперского до того как форматировать винт - выявили бы всех. Но и я обратился лишь потому, что lappa подсказал, молодец (сейчас рейтинг ему поставлю). А так - и "мой" вирус не был бы включен в базу, по крайней мере, сейчас.
Поэтому еще один важный вывод: надо при любом подозрении на вирус активно юзать эту возможность проверки через форум Касперского. Верда от этого не будет точно, а польза очень даже может быть.

__________________
Cuius rei demonstrationem mirabilem sane setex hanc marginis exiguitas non caparet

Ура!
Маленькие промежуточные итоги. Я обращался ко многим пострадавшим, то было поздно, так как кто-то переставил винду, кто-то решил больше не пользоваться манями. Спасибо Булу, что он потратил кучу времени и довел дело до конца. Теперь о неприятном. Нейтрализован лишь один вирус, использующий кражу сертификатов и лайт-кипер, которому достаточно ключей-сертификатов. Второй, использующий установленный кипер, пока на свободе. Для его работы необходими, чтобы пользователь запустил программу-кипер и САМ ввел пароль. Так что эта зараза еще гуляет. Если у кого-нибудь сперли мани таким способом, стукните в личку. Еще раз напоминаю симптомы. Пользователь запускает кипер, вводит пароль. Получив сообщение о неправильности пароля, сертификаты оказываются затерты (храните на флешке). То есть невозможно зайти в кошелек. Копируйте ключи с флешки и перезапускайте кипер. Если деньги сняты, сразу и звоните, и пишите в саппорт.
пс Не было зафиксировано краж денег с рублевых кошельков, только валюта.

__________________
Патипокер-воры. Не играю на пати и bwin! В срачах не участвую, на провокации посылаю в жопу.

Тут дело вот в чем - это мог быть один вирус, но с различными модификациями.
Я посмотрел вируслист Касперского - там куча модификаций с одной основой Trojan-Spy.Win32.banker.
По-любому их десятки, а может их быть сотни :?
Вывод: это не одноразовая работа, а постоянная и делать ее вообще-то должны не мы. Во время всего этого расследования у меня возник следующий вопрос на засыпку: почему Касперский не включает утилиты, которыми дает возможность пользоваться с целью получения информации о новых вирусах и модификациях старых, в саму антивирусную программу? Тем самым он получил бы ПОСТОЯННЫЙ доступ к компьютерам, подвергающимся заражению, а владельцы этих компьютеров - оперативную защиту. То есть от сигнала о заражении новым вирусом до включения этого нового вируса в базы проходило бы всего несколько часов. Это было бы взаимополезно и взаимовыгодно. Честно говоря, до меня просто не доходит, почему бы не сделать именно так.

__________________
Cuius rei demonstrationem mirabilem sane setex hanc marginis exiguitas non caparet

Напрашивается вывод: троян в какой-то покерной программе (крякнутой или бесплатной).

__________________
Arthur Grey

У меня, например, на том компьютере, где были взломанные ВМ, нет НИ ОДНОЙ ни бесплатной, ни крякнутой покерной программы, за исключением, разумеется, самих румовских клиентов.
Да и потом, если выяснилось, что с большой вероятностью вирус был на уже известном здесь по этим событиям сайте - зачем искать другие концы?

__________________
Cuius rei demonstrationem mirabilem sane setex hanc marginis exiguitas non caparet

Я честно скажу не осилил всю тему от и до. Мне как специалисту по защите сетей представляется что:
1) Разрабатывались конкретные лица изначально
2) За их компьютерами следили достаточно долго
первые два пункта, потому как для реализации столь сложного алгоритма требовалось управление и настройка вируса дистанционно и думаю длительное время
3) Если вирус в реальности способен осуществить перевод через кипер, то снимаю перед разработчиком шляпу

и еще одно самое печальное.
4) Разработчик трояна имеет исходники кипера и если не все, то представляет как минимум как он устроен достаточно детально и владеет большей частью исходного кода так или иначе.

5) Если пункт 4 правилен, то я допускаю что ни одна существующая защита не способна поймать этот вирус, а разработчики Кипера обязаны порыться внутри себя. Думаю что вирус находиться в одной из dll кипера, которая каким то образом подменивается и написана настолько здорово, что дедовские способы проверки по контрольной сумме файла и нескольки выборрочным смещениям при запуске результата не дают.
6) Вирус почти наверняка работет через порты самого кипера.
Попробуйте включать эти порты только на короткий срок перед запуском кипера. Это должно повысить защиту.

ну и слабый совет как защититься
7)При симптомах кражи кипера немедленный ребут, через reset, сразу закрыть порты при включении компьютера, кипер не включать, звонить в саппорт.

Пахнет вообще крупной уголовкой.

это не панацея к сожалению...хотя вирусы столь хрупки что. данную версию это возможно и прибьет. Мне, как человеку, который потенциально способен написать что-то подобное представялется что админские права на компьютер мне не потребовались бы. Потребовались бы толкьо исходники кипера. Да и еще совет в догонку, ставьте все время новые версии кипера, как только они выходят.

А что насчет моего случая? тут ведь исходники кипера не нужны, правильно я понимаю?
Напомню, что деньги были украдены с лайт-версии в день, когда я НЕ выходил в сеть

__________________
Cuius rei demonstrationem mirabilem sane setex hanc marginis exiguitas non caparet

Самый смешной пункт

__________________
Cuius rei demonstrationem mirabilem sane setex hanc marginis exiguitas non caparet

прочитал и про вас...:(
Кто-то выше говорил что сертификат украсть не возможно. Практически уверен в обратном, к сожалению. Но опять же при участии человека с той стороны (разработчик софта кипера, или человек имеющий исходники)

Буду благодарен за пошаговую инструкцию.

Значит, моя версия о возможном сговоре, которую я высказал в самом начале своей истории, все-таки небезосновательна...

__________________
Cuius rei demonstrationem mirabilem sane setex hanc marginis exiguitas non caparet

О нет, саппорт там довольно толковый кстати. А так как они уже признают такие преценденты, то при надлежащей постановке вопроса, возможно, приедут даже на место. Н-р российскеие разработчики банковского софта даже просто при легком дымке, когда до пожара еще далеко, выезжают на место немедленно. На западе с этим еще строже, их законадательство о программных продуктах (я впрочем более менее знаком только с американским) отвергает саму идею того (а так прописано у нас) что разработчик ПО в любом случае не несет ответственности за свой продукт в размере большеч чем его стоимость, что позволяет халатно относиться в к проблеме безопастности во всех российсикх разработчкиках, пожалуй кроме банковских.

В любом файрволле можно просто закрыть порты, а не так как сделано у большинства - давать все права какому то екзешнику, который запускает программу. Какие порты использует кипер, написано на их сайте.

Позвольте Вам не поверить. Я читал о многих примерах наплевательсокго отношения саппорта к таким случаям, но ни одного такого, о каком Вы говорите.

А вот это интересно. А то тут у нас споры о степени ответственности ВМ. Я считаю, что можно спорить о должной СТЕПЕНИ ответственности, но считать, что вся ответственность лежит на пользователе платежной системы - это просто правовой нигилизм.

Изображения

 

__________________
Cuius rei demonstrationem mirabilem sane setex hanc marginis exiguitas non caparet

Насчет саппорта вебмани - не буду спорить - людей лично не знаю. Мне лично квалифицированно и оперативно помогали несколько раз. Насчет банковских разработчиков, поверьте, там к вопросу относяться очень трепетно, знаю и уверен лично. А насчет негилизма - купите коробку с лбюым российским коммерческим продуктом (тот же 1С) и почитайте.