Hoax.Win32.Renos.a-b

Файл данного Hoax именуется winlogon.exe, размер - 24064 байта, ничем не сжат.
В момент запуска проводит скрытный обен с сервером 69.50.166.196-custblock.intercage.com, откуда качает и инсталлирует программу SpywareNo объемом около 900 кб и прописывает ее в автозапуск.
После этого Hoax.Win32.Renos.a портит обои на рабочем столе, подменяя их картинкой с текстом:
"Windows Error. System has detected spyware activity. Some system functions are blocked out. Windows recommends you to clean your PC with a spyware removal tool. This has to be done as soon as possible to prevent loss of data.",
после чего делает недоступным меню смены обоев. Подмена обоев достаточна оригинальна - это собственно не обои, а HTML файл с именем desktop.html, помещаемый в папку Windows и прописанный в реестре в настройках рабочего стола (Policies\System\Wallpaper). Этот файл детектируется как Trojan-Clicker.Win32.Spywad.b, и содержит скрипты для подавления типичного для HTML меню и мигания надписью.
Программа SpywareNo, в свою очередь, показывает в трее иконку, при наведении на которую выдается сообщение "No protection" с указанием в скобках, что это черезвычайно опасно.
Щелчок по оконке открывает окно SpywareNo, в котором видны результаты сканирования - на эталонной лицензионной XP он нашел 15 троянов (несколько кейлоггеров, пару дропперов, флудеров, ...) - против всех пометка о том, что есть огромный риск от их наличия на ПК. Правда, есть тонкость - он не показывает путь и имена найденных файлов. Для лечения необходим лицензионный ключ - годичная лицензия стоит 38 евро.... При получении бесплатного ключа на три дня данная программа вылечивает выдуманные ей вирусы и устраняет подмену картинки рабочего стола, создавая видимость лечения. Программа SpywareNo.exe детектируется KAV как Hoax.Win32.Renos.b
Рекомендации по лечению:
1. Удалить с диска winlogon.exe и созданные им файлы
2. Сбросить настройки рабочего стола (AVZ/Восстановление системы)