Skype lol is this your new profile pic?

lol is this your new profile pic? とSkypeから送られて指定されたURLに行くと
ZIPをDLされ、開くと強制的にほかの人にメッセージを送られる現象について
じょうほうが欲しい。誰から始まったかそれを知りたいし
解決方法も求む!!

>>412
外部からのアクセスkwsk

>>ノートンさんが感知したとゆうことでいいですか？

ノートンさんが外部からのアクセスを感知してはじいています。
昨日までのログにはこういったものはありませんでしたので、
ウィルスの影響であることを考えています。

アクセス元のIPアドレスは様々です。

2012年10月8日 12:40
http://hotfile.com/ がファイル削除したみたいですね。
という報告を発見しました。

>>414
感知とは違うと思う
あくまでノートンのFWがただはじいてるだけじゃないかと

外部から接続してくるIPアドレスの内、何個か調べてみると、どうも中国のようです。
様々なIPアドレスが有ることから考えると、中国が踏み台にされているのでしょうか。

超こええ

あ、イスラエルも居ました。メキシコも居ました。
これは・・・ウィルスに感染した人が踏み台にされて他のパソコンに接続しようとしているのかもしれませんね・・・

取り急ぎ、流動IPアドレスなので、一旦IPアドレスを変更しました。
今の所、外部からの接続は見当たりません。

どうもIPアドレスも持っていかれてしまうようですね。結構悪質です。
知らない間に相当蔓延して踏み台大漁状態になってしまいそうですね。

>>421
そろそろ出かけようと思っているので、今日は余り情報提供できなさそうです(´･ω･`)

>>423とりあえず、とゆうことで・・・・

逆汗中。。。需要ある？

対策してないひとからのチャットとURL送信止まりました
なにか関係があるんでしょうか？

>>426
あぁ、逆アセンブリか・・・需要はもしかしたらあるかもしれない。

３時１４分またURLと文章を確認しました

逆汗したいがファイルがない...
とりあえずスカイプ立ち上げて放置中

>>430きいていいか？
最後のチャット送信から
かなり間があいてる
これはつまりPCからの送信ではなく
ウイルス作成者からの指示で動くういるすでわ？

>>431
ダークさん最後に送信されたメッセージって何時かわかりますか？

hotfileからウィルスをダウンロードしてきてキックしてURLを送る形だから、
もしかしたらhotfileがウィルス削除した結果、ダウンロードができなくなって、
停止してしまったのかもしれないな・・・(それだったら相当軟弱な作りだが・・・ｗ)

それか友達がPC停止して寝たとか。

>>431
複数のbot→スカイプに例のURL入のメッセージ→それ踏んだやつから拡散
だろうから踏んだ奴とコンタクトとらんとダメとなるな

>>435
と言うことはまた別の垢でウイルスを配布すしてるはず

>>435
ありがとですー

なんかウイルスをセーフモードで
PC起動すると駆除できるファイル
持ってるってコメントネットサーフィンしててみました。

そういえばこれは既出?
http://pastebin.com/raw.php?i=mvTAbQBB

感染した状態でパケットキャプチャーした人いない?

>>395>>396
保護されたオペレーティング システム ファイルを
表示しないのチェックを外す
これをやってみましたが、隠されたフォルダ？等の表示がされません…

他外付けHDDのファイルを復活させる方法はないでしょうか？

>>442　隠しファイルを表示するようになっているのかい？

一度感染したけどすぐに情報集めてシステムの復元などをしたところ
外付けHDDを接続してもデータが飛ぶことはないし
IEはつながったまま途切れないし
skypeから例のURL付きメッセージもこないんだが
まだ潜伏期間でこれから発動するのかな？

誰かもともとの感染ファイル持ってる人居る？

>>444
botなら時間設定されてるかもね

>>445あります

>>443
チェック外したら表示されました
ありがとうございます

この表示された半透明のファイルを移すというのはどうすればいいのでしょうか？
この半透明ファイルを元の隠しファイルとは違う通常表示される形式に戻すのは無理なのでしょうか？

>>441
skype_0*10*0*2_********.exeで良ければ感染させてみるけど?

>>448　属性変更ツール使えば可能　コマンドでもできる

>>445
http://goo.gl/UPhHf?img=(skyp-id)
でまたダウンロードすればいいんじゃないの？

>>447
もらえません？

>>451　それもう消されてるわ

マジか　いつの間に。

451です
ウイルス対策ソフトの挙動を見たくて…

>>448
>>408のurlのサイトに解決方法がある。
urlをブラウザのアドレスバーにコピペしないと見られないっぽいので気を付けて

安価間違えた452です

何度消しても消しても何度も何度もまた出てくるんです
全く意味がわかりませんん・・・・・・・・

http://hp.vector.co.jp/authors/VA032928/
このソフト便利
通信量とか接続先が確認できるから便利

spotfluxでIP隠せないか?

今、対策ファイル持ってる方と交渉してもらった所ですが、
効いたら放流するので、いいのかな、、、、ちょっとまってください。

>>460
何故に？

>>460
多分これならIP抜かれることは無いと思う
http://www.spotflux.com/

ファイルの配布許可貰えました。

これからセーフモードはいって、
対策してみます。

とりあえず、下に書いたURLにskype_0*10*0*2_********.exeの激流ファイルを流したから。
パスは目欄な。
http://www1.axfc.net/uploader/Sc/so/384247

第二解析を開始
http://live.nicovideo.jp/watch/lv110908987?ref=community

Google Apps Scriptに関して知りたいです
これを利用して操作してるんじゃないかと

こんにちは、結果からいいますと、判断不能です、
僕のパソコンでは起動できませんでした、
ファイル受け渡し中にファイルが破損した可能性も考えられますが、
もらった人に話しかけるの話しかけづらい；

誰かこのファイル試してもらえる方いませんか？
ただ、二つつ条件あります。

・ウイルスバスターか、対策できるセキュリティーソフト持ってる方。
　（受け渡しの際の安全性も考えて。）
・以後、結果いかんにしても、条件を提示しない方。
　（安全確保）

条件を満たしていただけるようでしたら、
何らかの形でファイルお渡しします。

私が原型に近いファイルを所持し解析をおこなってもらってます
http://live.nicovideo.jp/watch/lv110908987?ref=community
ここでスカイプIDをおしえ送りたいとおもいます
よければ解析お手伝いねがいます

ぁー、例の方からメッセージ、来ました。
XP以下のPS（？）だた「このファイルいるよー」って、
もう一度試してみようかと思います。

間違い：XP以下のPS（？）だた「このファイルいるよー」って、

修正：OSがXP以下のPC（？）だと、「このファイルいるよー」って、

仮想OS持ってる方元ウイルスファイルありますので
実行してレジストリの変化確かめれる方協力願います

ごめんなさい情弱です。
セーフモードからソフトで消してみたり、色んなソフトで試してウイルスがないって出るのにパソコンがフリーズします。
助けてください…もうどうすればいいかわかりません…

>>473
システムの復元はした？

IEが「s15403588.onlinehome-server.info」(213.165.71.153)にずっと接続してる

了解です、参考にします

これは本当？
lol is this your new profile pic?から始まるメッセージのSKYPEウィルスを踏んでしまった場合
ＰＣの電源をいれた直後にF8キーをひたすら連打し　セーフモードで起動。
winキー+Ｒを押して　ファイル名指定して実行を開く
入力欄に%appdata%といれてOK　その中にある　SKYPEのアイコンを右クリックで削除
その他　1.EXEや4桁のファイルでファイルサイズが60KB、もしくは24KBのファイルを削除
PC再起動
USBメモリやほかドライブへの感染もあるようです。
アンチウィルスソフトで　すべてのドライブのフルスキャンかけてください。

おつかれさまでした


概要
実行してしまった場合、%appdata%フォルダ内にskypeのアイコンのEXEファイル（ファイル名ランダム)を作成し
そのファイルを実行後、ファイル自体が見えなくなり、コマンドラインからも消すことができなくなります。
また、レジストリのHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runに自信のファイルを起動時に
実行するように値を書き込みます。　
レジストリを消しても直後にレジストリの値が復活します。
その後　ランダムのEXEファイルを作成し、起動します。
親exeを削除することができないため　SKYPEでの連携をとめてもファイルを作成し続けます。
セーフモードで起動した場合　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runのキーの
ファイルを実行しないため　親のEXEファイルが消えません。　この状態で削除し、次回起動時に親EXEファイルを
実行させないようにして完了です。
親ファイルが作成したEXEは約60KB、もしくは24KBのランダムファイル名が作成される模様です。

関係があるかどうかわかんないけど

213.165.71.153IP広場の検索によるとドイツだそうです
213.165.71.153の情報願います
踏み台の可能性も考えられますが

>>478はさらにIPアドレスの変更で大丈夫になるかと

パケットキャプチャーで見てみると119.110.94.100ってところにつながるんだが?

74.125.235.249 アメリカにつながるw

ウイルスにかかった人はIEで確認してどこと通信しているか早期に確認お願いします

ウイルスかかった人IP変更でも無効の可能性あり！！
不正なIPからの接続を確認しました

例のファイル実行しましたが、状況改善しました。
完全かどうかはわかりませんが、ダウンロードできるようにしてみます。

下記は同意していただきたいですが、
・ウイルスバスターか、対策できるセキュリティーソフト持ってる方。
　（受け渡しの際の安全性も考えて。）
・以後、結果いかんにしても、条件を提示しない方。
　（安全確保）

60.254.154.96 a60-254-154-96.deploy.akamaitechnologies.com
192.168.3.6
203.175.180.254

>>438それよりIEからの見覚えのないIPの確認してください

かなりやばい状況です、IP対策とった状態からの現状です

放送どこでやってますか？

>482
それドワンゴ

http://live.nicovideo.jp/watch/lv110944814?ref=community
ここです

http://live.nicovideo.jp/watch/lv110944814?ref=ser&zroute=search&orig_filter=+%3Aonair%3A&date=&keyword=%E3%82%B9%E3%82%AB%E3%82%A4%E3%83%97%E3%81%A7

>>484
確認の仕方を教えてくれませんか

先ほど急に会議から消えてすいません
にわかな知識で調べてみました。
>>476の続きです

不審なプロセス
「4D99.exe *32」が実行中

実行後更新されたフォルダ
c:\windows\inf\setupapi.dev.log(1248kb)
c:\windows\inf\setupapi.ev1(4kb)
c:\windows\inf\setupapi.ev2(3kb)
c:\windows\inf\setupapi.ev3(31kb)
c:\windows\inf\usbstor.PNF(58kb)
c:\windows\System32\DriverStore\FireRepository\usbstor.inf_amd64_neutral_0725c2806a159a9d\usbstor.PNF(58kb)

IEで一瞬「w6.hotfire.com」(199.7.177.218)に接続されました。1sもなかった

Skypeプロセスを終了後も>>476と同じ接続先に接続されてまー

スレ主から緊急自体発生を確認をいたしました
まず、IEから、見知らぬIPから更新が来てます。
で、レジストリの変更さらにシステム復元、IPアドレス変更
できてます
かなりやばいです

http://live.nicovideo.jp/watch/lv110944814
こいつらが情弱すぎて　面白いｗｗ

しかもくるIPがちゃんと存在するIPです。
このウイルスの被害の抜き取り被害者？と考えられます

なんでそうなるんだよ　お前らはどうしてそこで被害者とむすびつけられるんだよ

IP偽装を１件確認
確信はありませんが早期対策ねがいます

パスワードはメールアドレス欄です。

ダウンロードする際は、
下記を同意してください、おねがいします。
・ウイルスバスターか、
　対策できるセキュリティーソフト持ってる方が望ましい。
　（受け渡しの際の安全性も考えて。）
・以後、結果いかんにしても、条件を提示しない方。
　（安全確保）


アドレスの先頭にhいれてください。
ttp://kie.nu/sEf

>>488 さん
IPですか?
特に・・・IP確認で「なんだろう」という事はないです。

>>495の続きです
関係あるか分かりませんが…
あらたに更新されたファイル
C:\Windows\System32\LogFiles\scm\eaca24ff-236c-401d-a1e7-b3d5267b8a50(1kb)

Skypeがちょくちょく落ちる

えーっと、ウイルスにかかったひとがランダムにしかも常に更新する
状態に陥るようです、ただしウイルスとの関係は９１％です

一応の改善はできた対策ソフト（？、スカイプで出回っているウイルス（？））
アップロードしました、
パスワードはメールアドレス欄に書かれています、

ダウンロードする際は
以下の点に同意お願いします。

・ウイルスバスターか、
　ウイルス系に対策できるセキュリティーソフト持ってる方が望ましい。
　（受け渡しの際の安全性も考えて。）
・以後、結果いかんにしても、条件を提示しない方。
　（安全確保）

↓ファイル保管アドレス
アドレス先頭へhをいれてください。
ttp://kie.nu/sEf

>>488さん
こんにちは、
IEでの見覚えのないIPですか、
僕の所ではそれらしきものは見当たりませんでした、
情報、ありがとうございました。

仮想PCwin7x64で昨日で1分に1回くらい>>476の接続先にアップリンクしてる

ウイルス起動後、MSSE定義アップデート。
今MSSEでフルスキャン中。

473です。
復元で9月30日の所まで戻しました。
再発防止策としてはスカイプの確認、appdate内確認以外で何かしておくほうがよいでしょうか？
問題解決にいそしんでるときに申し訳ないです…

あ、>>504は、セーフモードで、使うソフトらしいです

>>507は100%ＯＫとは言えません
　こちらは復活をかけてもどこかのＩＰから接続＆こっちからの強制介入が
みられました、そのＩＰがウイルスとの関係はまだ確認されてませんが
一様気おつけてください

http://upup.bz/j/my92975tZsYt5G-d8G9PPU_.png
作成されたexeの中身の一部

ほいもう一つ
http://upup.bz/j/my92979ZjCYtKgf_OhlfFLs.png

http://upup.bz/j/my92981lfoYtiCSBwB3CtJU.png