VirusHunter предупреждает всех пользователей ПК о распространении в сети Интернет опасной, многокомпонентной троянской программы Trojan.Web-guide.zolker011, модифицирующей настройки Web-броузера Internet Explorer, мешающей нормальной работе в Интернет-сети, а также загружающей на пораженный ею компьютер ряд др. опасных вредоносных программ...


1. Инсталляция в систему.

Данная вредоносная программа может попадать в машину различными способами, в частности - устанавливаться др. вредоносными программами - например, Trojan-Downloader.LittleTroy.1665.
Сперва в системный подкаталог записывается следующий файл:

WINDOWS\SYSTEM\loadppc.exe (под Windows 9X/ME)

WINDOWS\System32\loadppc.exe (под Windows 2K/XP)

Он имеет размер 67937 байт, сжат утилитой компрессии "FSG" версии 2.0; в декомпрессированном виде размер файла, в приближении к оригинальному, составил 237568 байт.
loadppc.exe представляет собой дроппер-файл (программу-пускатель). Внутри него содержатся 2 DLL-файла, о назначении которых будет рассказано далее по тексту. При запуске loadppc.exe создает в том же подкаталоге, где расположен сам, вспомогательный файл phhr.bat размером 42 байта, который тут же запускается на выполнение. Суть этого файла, написанного на языке Batch-скрипт (командный язык DOS), сводится к следующему: он проверяет наличие файла loadppc.exe в текущей папке до тех пор, пока последний не закончит установку содержащихся в его теле DLL-файлов. После этого phhr.bat удалит и loadppc.exe, и себя.
DLL-файлы устанавливаются в следующие системные подкаталоги под такими именами:

для Windows 9X/ME:

WINDOWS\SYSTEM\ztoolb011.dll
WINDOWS\SYSTEM\zolker011.dll

для Windows 2K/2K Server/XP:

WINDOWS\System32\ztoolb011.dll
WINDOWS\System32\zolker011.dll


1.1. Компонент "ztoolb011.dll".

ztoolb011.dll является безобидным плагином (добавочным компонентом), предназначенным для создания дополнительного ТулБара (Toolbar - панель с настройками) среди прочих функциональных панелей вэб-броузера Internet Explorer. Данный файл имеет размер ровно 55 кб, никакими утилитами компрессии или криптации не обработан.
Все далее приводимые в этом разделе вещи НЕ имеют места под Windows 9X/ME, т.к. компонент ztoolb011.dll в среде данных ОС неработоспособен и представляет собой просто файловый мусор.
Под Windows 2K/XP, вместе с двумя др. безобидными компонентами - ztoolbar.xml (размер 7823 байта) и ztoolbar.bmp (размер 3388 байт), позднее загружаемыми из Интернета и записываемыми в тот же системный подкаталог, что и файл ztoolb011.dll, данный компонент организует ряд дополнительных папок с ссылками в меню раздела "Избранное", а также интерфейс дополнительной панели под названием "TNS" среди прочих панелей с настройками в окне Web-броузера Internet Explorer:


В общей сложности, в подпунктах дополнительной панели и дополнительных папках меню раздела "Избранное" добавляются такие ссылки (часть фрагментов ссылок по некоторым соображениям заменена мной символом "%"):

"Check new antiviruses" url="tnssearch.com/%?q=Spyware+Removal"
"Data encryption" url="tnssearch.com/%?q=Encryption"
"Free virus scan" url="tnssearch.com/%?q=Virus+Scan"
"Mail worms" url="tnssearch.com/%?q=Email+Spy"
"PopUp Blocker" url="tnssearch.com/%?q=Pop+Up+Blocker"
"Protect your finances" url="tnssearch.com/%?q=Credit+Card+Hacking"
"Read about new viruses" url="tnssearch.com/%?q=Virus+info"
"Your personal firewall" url="tnssearch.com/%?q=Personal+Firewall+Software"
"Breast Enlargement" url="tnssearch.com/%?q=Breast+Enlargement"
"Diet Pills" url="tnssearch.com/%?q=Diet+Pills"
"Euro Pharmacy Shops" url="tnssearch.com/%?q=Online+Pharmacy"
"Free Prescriptions Shops" url="tnssearch.com/%?q=Prescription"
"Loof for Hydrocodone" url="tnssearch.com/%?q=Hydrocodone"
"Look for Ambien" url="tnssearch.com/%?q=Ambien"
"Look for Cialis" url="tnssearch.com/%?q=Cialis"
"Look for Lexapro" url="tnssearch.com/%?q=Lexapro"
"Look for Phentermine" url="tnssearch.com/%?q=Phentermine"
"Look for Propecia" url="tnssearch.com/%?q=Propecia"
"Look for Soma" url="tnssearch.com/%?q=Soma"
"Look for Tramadol" url="tnssearch.com/%?q=Tramadol"
"Look for Ultram" url="tnssearch.com/%?q=Ultram"
"Look for Valium" url="tnssearch.com/%?q=Valium"
"Look for Viagra" url="tnssearch.com/%?q=Viagra"
"Look for Wellbutrin" url="tnssearch.com/%?q=Wellbutrin"
"Look for Xanax" url="tnssearch.com/%?q=Xanax"
"Look for Zyrtec" url="tnssearch.com/%?q=Zyrtec"
"Penis Enlargement" url="tnssearch.com/%?q=Penis+Enlargement"
"Best BlackJack Strategy" url="tnssearch.com/%?q=Blackjack+Strategy"
"Best table games" url="tnssearch.com/%?q=Table+Games"
"Casino's tips and tricks" url="tnssearch.com/%?q=Casino+tricks"
"Find Online-Casino for fun" url="tnssearch.com/%?q=Online+Casino"
"Free Card games" url="tnssearch.com/%?q=Card+Game"
"Free Poker" url="tnssearch.com/%?q=Free+Poker"
"Horses" url="tnssearch.com/%?q=Horse+Betting"
"Lotto" url="tnssearch.com/%?q=Lotto"
"Play Texas Holdem" url="tnssearch.com/%?q=Texas+Holdem"
"Sports betting" url="tnssearch.com/%?q=Sports+Betting"
"Ultimate Roulette Strategy" url="tnssearch.com/%?q=Roulette+Strategy"
"Anime sites" url="tnssearch.com/%?q=Anime"
"Dating online" url="tnssearch.com/%?q=Dating+Online"
"Favourite Web Cams" url="tnssearch.com/%?q=Webcam"
"Flowers online" url="tnssearch.com/%?q=Flowers"
"Home Business" url="tnssearch.com/%?q=Home+Business"
"Latest movies" url="tnssearch.com/%?q=New+Movie"
"Mobile ringtones" url="tnssearch.com/%?q=Ringtone"
"MP3 Archives" url="tnssearch.com/%?q=MP3"
"Music store" url="tnssearch.com/%?q=Music+store"
"My horoscope" url="tnssearch.com/%?q=Horoscope"
"Online books market" url="tnssearch.com/%?q=Book+Sale"
"Online shopping" url="tnssearch.com/%?q=Shopping"
"Play online games" url="tnssearch.com/%?q=Online+Games"
"Swingers Evenings" url="tnssearch.com/%?q=Swingers"
"Tabloids" url="tnssearch.com/%?q=Tabloid"
"Top rated video games" url="tnssearch.com/%?q=Video+Game"
"World Travels" url="tnssearch.com/%?q=Travel"
"Auto racing" url="tnssearch.com/%?q=Auto+racing"
"Baseball news" url="tnssearch.com/%?q=Baseball"
"Basketball news" url="tnssearch.com/%?q=Basketball"
"Billiard" url="tnssearch.com/%?q=Billiard"
"Foosball" url="tnssearch.com/%?q=Foosball"
"Football news" url="tnssearch.com/%?q=Football"
"Hockey news" url="tnssearch.com/%?q=Hockey"
"Make a bet" url="tnssearch.com/%?q=Sports+betting"
"Water sport" url="tnssearch.com/%?q=Water+Sport"
"Winter sport" url="tnssearch.com/%?q=Winter+Sport"
"Best Blowjob sites" url="tnssearch.com/%?q=Blowjob"
"Best Bondage Sites" url="tnssearch.com/%?q=Bondage"
"Best Cheerleaders Sites" url="tnssearch.com/%?q=Cheerleaders"
"Best Domination Sites" url="tnssearch.com/%?q=Domination"
"Best Ebony Sites" url="tnssearch.com/%?q=Ebony"
"Best Fetish Sites" url="tnssearch.com/%?q=Fetish"
"Best Gay Sites" url="tnssearch.com/%?q=Gay+Sex"
"Best Group Sex Sites" url="tnssearch.com/%?q=Group+Sex"
"Best Hardcore Sites" url="tnssearch.com/%?q=Xxx"
"Best Lesbian Sites" url="tnssearch.com/%?q=Lesbian+Sex"
"Best Mature Sites" url="tnssearch.com/%?q=Mature"
"Best Shemales Sites" url="tnssearch.com/%?q=Shemales"
"Best Up-skirt sites" url="tnssearch.com/%?q=Up-skirt"
"Best Voyeur Sites" url="tnssearch.com/%?q=Voyeur"
"Best XXX Cartoons" url="tnssearch.com/%?q=Cartoons"
"Best XXX DVD" url="tnssearch.com/%?q=Xxx+Dvd"
"Free hot porno!" url="tnssearch.com/%?q=Free+Porn"
"Sex Webcams" url="tnssearch.com/%?q=Webcam+Sex"
"Virgin's Sex" url="tnssearch.com/%?q=Virgin+Sex"

Для подключения ztoolb011.dll к интерфейсному меню настроек Internet Explorer'а в системном реестре создаются следующие ключи:

[HKEY_CLASSES_ROOT\CLSID\{A6790AA5-C6C7-4BCF-A46D-0FDAC4EA90EB}\InprocServer32]
@="C:\\WINDOWS\\System32\\ztoolb011.dll"

[HKEY_CLASSES_ROOT\CLSID\{D7BF3304-138B-4DD5-86EE-491BB6A2286C}\InprocServer32]
@="C:\\WINDOWS\\System32\\ztoolb011.dll"

[HKEY_CLASSES_ROOT\CLSID\{D7BF3304-138B-4DD5-86EE-491BB6A2286C}\ToolboxBitmap32]
@="C:\\WINDOWS\\System32\\ztoolb011.dll, 105"

[HKEY_CLASSES_ROOT\CLSID\{FFF5092F-7172-4018-827B-FA5868FB0478}\InprocServer32]
@="C:\\WINDOWS\\System32\\ztoolb011.dll"

[HKEY_CLASSES_ROOT\TypeLib\{84C94803-B5EC-4491-B2BE-7B113E013B77}\1.0\0\win32]
@="C:\\WINDOWS\\System32\\ztoolb011.dll"


Также в реестре создаются и некоторые др. записи, связанные с данным компонентом, о которых будет сказано в разделе "Прочее" данного описания.


1.2. Компонент "zolker011.dll".

zolker011.dll является троянским плагином (вредоносным компонентом), предназначенным для скрытного осуществления целого ряда пакостных действий во время работы в сети Интернет. Данный файл имеет размер ровно 85 кб, никакими утилитами компрессии не обработан. Функциональная часть кода троянца зашифрована при помощи несложной крипт-процедуры.
Для возможности скрытного запуска при каждом старте системы, а также подключения в качестве дополнительного плагина к вэб-броузеру Internet Explorer, троянец создает в реестре следующие ключи:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\Browser Helper Objects\{B75F75B8-93F3-429D-FF34-660B206D897A}\]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar]
"CLSID"="{B75F75B8-93F3-429D-FF34-660B206D897A}"

[HKEY_CLASSES_ROOT\CLSID\{B75F75B8-93F3-429D-FF34-660B206D897A}\InProcServer32\]
"ThreadingModel"="Apartment"

[HKEY_CLASSES_ROOT\CLSID\{B75F75B8-93F3-429D-FF34-660B206D897A}\]


, а также и такие:

под Windows 9X/ME:

[HKEY_CLASSES_ROOT\CLSID\{B75F75B8-93F3-429D-FF34-660B206D897A}\InProcServer32]
@="C:\\WINDOWS\\SYSTEM\\ZOLKER011.DLL"


под Windows 2K/2K Server/XP:

[HKEY_CLASSES_ROOT\CLSID\{B75F75B8-93F3-429D-FF34-660B206D897A}\InProcServer32]
@="C:\\WINDOWS\\System32\\zolker011.dll"


Кроме того, в реестре создаются и некоторые др. записи, связанные с данным компонентом, о которых будет сказано в разделе "Прочее" данного описания.
Для инициализации своего присутствия в системе (во избежание повторных заражений системы в случае попадания в машину др. копий троянца) zolker011.dll создает в системной памяти какой-то "mutex" - логическую "метку"-идентификатор.


2. Внешние проявления троянца.

Под любой из Windows-систем троянец проявляется следующим образом: при первом открытии окна Web-броузера Internet Explorer после загрузки системы zolker011.dll выводит на экран окно со следующим ложным сообщением:


Заголовок окна и функциональные кнопки всегда одни и те же; текст сообщения может быть разным - в теле троянца содержатся 5 зашифрованных вариантов, из которых случайным образом выбирается один. Первый из них Вы уже увидели, а остальные такие:


При выдаче данного окна и до тех пор, пока не будет выбрана одна из вышеуказанных опций, троянец проигрывает в непрерывном цикле довольно резкий по звучанию полуторасекундный sound-трек, имитирующий аварийную сирену. Данный звуковой трек имеет Riff Wave-формат (WAV-файл размером около 5 кб) и содержится в теле троянца в дополнительной секции кода. Трек проигрывается прямо из тела zolker011.dll как звуковой эффект Windows Media, для чего троянец подключается к системной библиотеке winmm.dll, используемой в среде Windows для воспроизведения различных sound-форматов (файлов).
Параллельно с показом данного сообщения троянец выдает еще одно окно со следующим ложным сообщением:


Вне зависимости от того, какую именно из функциональных кнопок нажмет пользователь в первом окне - "OK" или "Отмена", троянец приступит к осуществлению вредоносных процедур, если, конечно, машина подключена к сети Интернет.
На Рабочем столе zolker011.dll создает следующие ярлыки:


Для этого он извлекает из своего тела и копирует следующие URL-файлы (Интернет-ярлыки) в такие подкаталоги:

для Windows 9X/ME:

WINDOWS\All Users\Рабочий стол\Blowjob.url
WINDOWS\All Users\Рабочий стол\Car Insurance.url
WINDOWS\All Users\Рабочий стол\Cigarettes Discount.url
WINDOWS\All Users\Рабочий стол\Credit Card.url
WINDOWS\All Users\Рабочий стол\Forex Trading.url
WINDOWS\All Users\Рабочий стол\Free Ringtones.url
WINDOWS\All Users\Рабочий стол\Gift Ideas.url
WINDOWS\All Users\Рабочий стол\Group Sex.url
WINDOWS\All Users\Рабочий стол\Home Loan.url
WINDOWS\All Users\Рабочий стол\Mp3 Download.url
WINDOWS\All Users\Рабочий стол\Online Casino.url
WINDOWS\All Users\Рабочий стол\Online Dating.url
WINDOWS\All Users\Рабочий стол\Phentermine.url
WINDOWS\All Users\Рабочий стол\Play Poker.url
WINDOWS\All Users\Рабочий стол\PopUp Blocker.url
WINDOWS\All Users\Рабочий стол\Porn Dvd.url
WINDOWS\All Users\Рабочий стол\Real Estate.url
WINDOWS\All Users\Рабочий стол\Sport Betting.url
WINDOWS\All Users\Рабочий стол\Spyware Remover.url
WINDOWS\All Users\Рабочий стол\Texas Holdem.url
WINDOWS\All Users\Рабочий стол\Viagra.url
C:\PopUp Blocker.url
C:\Spyware Remover.url

для Windows 2K/2K Server/XP:

Documents and Settings\All Users\Рабочий стол\Blowjob.url
Documents and Settings\All Users\Рабочий стол\Car Insurance.url
Documents and Settings\All Users\Рабочий стол\Cigarettes Discount.url
Documents and Settings\All Users\Рабочий стол\Credit Card.url
Documents and Settings\All Users\Рабочий стол\Forex Trading.url
Documents and Settings\All Users\Рабочий стол\Free Ringtones.url
Documents and Settings\All Users\Рабочий стол\Gift Ideas.url
Documents and Settings\All Users\Рабочий стол\Group Sex.url
Documents and Settings\All Users\Рабочий стол\Home Loan.url
Documents and Settings\All Users\Рабочий стол\Mp3 Download.url
Documents and Settings\All Users\Рабочий стол\Online Casino.url
Documents and Settings\All Users\Рабочий стол\Online Dating.url
Documents and Settings\All Users\Рабочий стол\Phentermine.url
Documents and Settings\All Users\Рабочий стол\Play Poker.url
Documents and Settings\All Users\Рабочий стол\PopUp Blocker.url
Documents and Settings\All Users\Рабочий стол\Porn Dvd.url
Documents and Settings\All Users\Рабочий стол\Real Estate.url
Documents and Settings\All Users\Рабочий стол\Sport Betting.url
Documents and Settings\All Users\Рабочий стол\Spyware Remover.url
Documents and Settings\All Users\Рабочий стол\Texas Holdem.url
Documents and Settings\All Users\Рабочий стол\Viagra.url

Ссылки в данных файлах вызывают соответствующие страницы в домене сайта

http://12.topnssearch.com/%track=07&q=:

Что расположено в Интернете по данных ссылкам мне неизвестно.


3. Вредоносные действия, производимые троянцем.

При запуске вэб-броузера Internet Explorer троянец открывает дополнительное окно поиска (под Windows 9X/ME оно развернуто на весь экран и внешне абсолютно ничего не содержит кроме белого фона; под 2K/XP данное окно недоступно для визуального просмотра) и проверяет наличие активного подключения к сети Интернет. Если доступ к сети Интернет активен, то троянец расшифровывает из своего тела и поочередно вызывает на загрузку следующие ссылки (часть фрагментов ссылок по соображениям безопасности я заменил символом "%"):

http://www.procounter.%/traf/file.php?:id=%
http://www.procounter.%/traf/%.exe
topnssearch.com
http://www.procounter.%/check.php


С 1-го из указанных адресов троянец скачивает какой-то файл zsettings.dll, который, скорее всего, является его (троянца) дополнительным компонентом (данный файл не был обнаружен на зараженной машине); со 2-го адреса троянец загружает какой-то EXE-файл; с 3-го адреса также загружаются какие-то файлы; с 4-го адреса загружаются следующие файлы: boln.dll, ztoolbar.dll, gopy.dll, ztoolbor.dll. Эти файлы, очевидно, являются дополнительными Toolbar-компонентами. Также троянец ищет на каком-то сервере свое обновление - файл zolk.dll, а также упомянутые ранее компоненты Toolbar'а - ztoolbar.xml и ztoolbar.bmp.
Кроме указанных серверов, троянец также скачивает несколько опасных вредоносных по следующим ссылкам:

http://www.procounter.%/12/loadppc.exe
http://www.procounter.%/12/load01.exe
http://www.procounter.%/12/load02.exe
http://www.procounter.%/12/load03.exe
http://www.procounter.%/12/dlr.exe


Содержимое данных файлов представляет собой следующее:

loadppc.exe - троянская программа Trojan.Web-guide.zolker011;
load01.exe - не был обнаружен;
load02.exe - сетевой червь; файл имеет размер 46592 байта и сжат утилитой компрессии "Aspack" версии 2.000. Помимо непрерывной рассылки своих копий на др. уязвимые компьютеры под управлением Windows 2K/XP через Интернет-сеть и блокирования работы этих систем, данный червь устанавливает на пораженный им компьютер дополнительный компонент, при помощи которого блокирует работу значительного количества антивирусных программ и фаер-воллов (программ для Интернет-защиты). Детально код данной вредоносной программы не изучался;
load03.exe - не был обнаружен;
dlr.exe - не был обнаружен.

Повторные попытки загрузок файлов производятся троянцем через определенные промежутки времени; процедура загрузки осуществляется через 53-й порт TCP/IP-протокола.
Помимо всего прочего, троянец периодически скачивает на пораженный компьютер с установленной ОС Windows 2K/XP файл blank.mht, который устанавливает в систему как

WINDOWS\blank.mht

Этот файл используется троянцем для перенаправления вэб-броузера Internet Explorer на произвольные ссылки, которые записаны в данном файле. Для возможности передачи управления последнему, zolker011.dll создает следующую запись в системном реестре:

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="file://C:\\WINDOWS\\blank.mht"


Таким образом, при запуске Internet Explorer данный файл автоматически получит управление.
Если blank.mht по каким-либо причинам не найден (например, еще не загружен в машину), то при запуске Internet Explorer на экран выдается системное сообщение об ошибке его (файла) обнаружения:


Для хранения служебной информации, связанной с загрузками файлов из сети Интернет, троянец создает в том же системном подкаталоге, где расположен сам, файл под названием zlockdfs9.leo. Этот файл имеет постоянный размер в 160 байт и содержит зашифрованный крипт-кодом отчет.


4. Прочее.

Кроме системных ключей, описанных в пп.1.1 и 1.2 данного описания, в реестре также создаются сервисные записи компонентов zolker011.dll и ztoolb011.dll:

под Windows 9X/ME:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Uninstall\Best Search Engine!!!]
"UninstallString"="Rundll32.exe C:\\WINDOWS\\SYSTEM\\ZOLKER011.DLL, DllUnregisterServer"


под Windows 2K/2K Server/XP:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Best Search Engine!!!]
"UninstallString"="Rundll32.exe C:\\WINDOWS\\System32\\zolker011.dll, DllUnregisterServer"

[HKEY_LOCAL_MACHINE\SOFTWARE\ZSearchCo\ZSearch]
"UninstallString"="regsvr32 /u /s \"H:\\WINDOWS\\System32\\ztoolb011.dll\""


Ключ, создаваемый под Windows 9X/ME, а также 1-й из 2-х ключей, создаваемых под 2K/XP, позволяет увидеть компонент zolker011.dll в системном списке "Установка и удаление программ" в виде сервиса под названием "Best Search Engine!!!". Под Windows 2K/XP, выделив данный сервис в списке установленных программ и применив опцию "Удалить", можно стереть в реестре все ключи, связанные с троянцем zolker011.dll, и, таким образом, исключить возможность автозапуска последнего при последующих загрузках системы. Что же касается аналогичной записи, созданной под Windows 9X/ME, то сервис "Best Search Engine!!!" невозможно удалить из списка установленных программ, т.к. соответствующий ключ содержит неполную информацию; при попытке удаления сервиса на экран будет выдано следующее сообщение об ошибке:


Под Windows 2K/XP невозможно увидеть сервис "ZSearch", связанный с компонентом ztoolb011.dll, в списке установленного программного обеспечения, т.к. соответствующий ему 2-й из вышеуказанных ключей выполнен с ошибкой.


5. Детектирование и удаление компонентов троянской программы.

Trojan.Web-guide.zolker011 и его компоненты, а также загружаемые им вредоносные программы антивирусы детектируют так:

Антивирус Kaspersky AntiVirus:
файл loadppc.exe: Trojan-Dropper.Win32.Small.abx
файл zolker011.dll: Trojan-Downloader.Win32.Agent.pi
файл ztoolb011.dll: not-a-virus:AdWare.Win32.Zbar.h (расширенным набором антивирусных баз)
файл load02.exe: Net-Worm.Win32.Padobot.z

Антивирус DrWeb:
файл loadppc.exe: Trojan.MulDrop.2590
файл zolker011.dll: Trojan.Fakealert
файл ztoolb011.dll: Adware.Zsearch
файл load02.exe: BackDoor.HangUp.26

Антивирус BitDefender Professional:
файл loadppc.exe: Trojan.MulDrop.2590
файл zolker011.dll: Trojan.Downloader.ZSearch.A
файл ztoolb011.dll: проигнорирован
файл load02.exe: Worm.Padobot.D

Для удаления троянца zolker011.dll и Toolbar'а ztoolb011.dll рекомендуется удалить при помощи специализированных утилит все вышеперечисленные записи системного реестра, связанные с данными файлами, а также компонентом blank.mht. Затем необходимо перезагрузить компьютер, после чего можно удалить все 3 файла с диска.


Исследование вредоносного кода и разработка описания: Бройде Герман (aka VirusHunter)
Дата создания: 06.11.2005
Дата внесения последних изменений: 10.11.2005
Автор описания: Бройде Герман (aka VirusHunter)


Rambler's Top100

0.00164198875427