Вирус, который просит отослать СМС!

[Razah]

Каждый раз, когда я включаю свой ноутбук, мне пишут, мол установлено не лицензионное ПО и просит отослать SMS на номер, чтобы получить код активации. Я где то раньше слышал об этой теме и точно знаю, что это вирус!

Я бы с радостью прислал вам логи, как требуют правила, но у меня даже не включается компьютер после окна Приветствия. А если загрузится, то выскакивает синий экран с текстом об активации этого непонятного ПО.
Безопасный режим так же не может быть загружен.

Подскажите, что делать?

[Rene-gad]

Попробуйте: http://virusinfo.info/showthread.php?t=44817

[thyrex]

Если не поможет вариант из предыдущего сообщения, посмотрите здесь http://news.drweb.com/show/?i=304&c=9&p=0

Если поможет разблокировать компьютер, выполняйте правила

[Razah]

Если не поможет вариант из предыдущего сообщения, посмотрите здесь http://news.drweb.com/show/?i=304&c=9&p=0

Если поможет разблокировать компьютер, выполняйте правила

Он СМС просить уже вроде перестал, работает только курсор на чёрном рабочем столе, где ничего не показывается и диспетчер так же не запускается.
Помог первый способ, где через WIN+U запускается экранная лупа, а далее интернет, но у меня доступ к интернету осуществляется через вай-фай, а он в свою очередь запуститься не может из за блокировки всей системы. Благо на компьютере есть старая(!) версия avz.. вот посмотрим.. поможет ли старая версия.

[Rene-gad]

вот посмотрим.. поможет ли старая версия.

Нет, не поможет. И время не тратЬте.

[Razah]

Хорошо, а если мне скачать AVZ, обновить его и закинуть на флешку? А далее через флешку перекинуть на ноутбук. Есть смысл?

P.S. Версия AVZ была Апрель 2009.

[Rene-gad]

Версия AVZ была Апрель 2009.

Версия AVZ 4.30 подходит. Базы скачайте - там ссылку найдёте - и после установки АВЗ распакуете их в папку ..\avz\base

[Razah]

Всё вроде проверил, АВЗ разрешил доступ к диспетчеру и прочим услугам (доступ к HDD и т.д.), но теперь после окна Приветствия рабочий стол полностью чёрный и всех моих иконок нету, но это лишь малая беда, теперь . Видно лишь курсор и чёрный фон. Через несколько секунд компьютер выходит из системы на окно, где я могу зайти под свой логин. Если я захожу, он сразу же выходит снова.
Иными словами, зайти на раб. стол я всё же не могу.

Может ли это быть из за того, что я удалял в реестре Userinit в Software\Microsoft\Windows NT\CurrentVersion\Winlogon.... если из за него, то как его восстановить или создать заного?

ЗЫ: В безопасный режим входить не хочет нивкакую. Нажимаю F9 - не вызывается.

[thyrex]

Выбрать способ запуска можно по F8

Загрузитесь с виндовского LiveCD или же подключите жесткий диск с больной системой к другому компьютеру. Проверьте наличие файлика userinit.exe в папке windows\system32.

Далее
1. Запустите regedit и выделите раздел HKEY_USERS.
2. Выберите в меню программы File - Load Hive (Файл - Загрузить куст) и перейдите к папке, где на-ходится реестр вашей Windows (обычно C:\Windows\System32\Config).
3. Выделите файл SOFTWARE без расширения и нажмите Open (Открыть).
4. Введите имя для раздела, который вы загрузили, например, MyHive.
5. Посмотрите Microsoft\Windows NT\Winlogon (в обычном виде это [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]) параметр Userinit должен быть такой C:\WINDOWS\system32\userinit.exe, (с запятой)
6. Не забудьте выгрузить куст

[Razah]

Прошу прощения, но у меня проблема с ноутбуком. Сам ноут банальный, потому его жесткий диск, как и сам ноут, подключить к своему компьютеру не смогу никак.
Сейчас буду теперь искать где бы скачать LiveCD... может через него получится.

Кстати, именно параметр (или реестр файл.. как его там) Userinit я удалил из реестра. Его там не будет. Сам файл в system32 наверное есть (ща буду проверять, когда скачается LiveCD)..

Добавлено через 38 минут

Проверил я наличие файла Userinit.exe в ноутбуке через LiveCD. Его там нету. Могу ли я его взять со своего компьютера?

[pig]

Если сервиспаки одинаковые, то да.

[Razah]

Да, Сервис Паки одинаковые. Предположим файл userinit.exe я скопирую в "больной" windows, а как мне в этот же больной windows записать параметр в реестре? Мы же отсоединяем этот куст + мы его просто смотрели в предыдущем посте.

Иными словами, как мне сделать в новый параметр Userinit в больном реестре, если я нахожусь через LiveCD?

[pig]

Загрузить - отредактировать - выгрузить

[Razah]

Всё ребят, заработало наконец то... ффууухх!!
Загрузился и раб.стол и т.д. и т.п. Никаких СМС он не просит, ничего не требует.. Отчёты наверное не стоит уже отправлять или как быть дальше?

[thyrex]

Отчёты наверное не стоит уже отправлять

Нужны. Для профилактического осмотра

[Razah]

Всё, как и просили. Проверьте пожалуйста.

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\scd.exe','');
 QuarantineFile('crypt.dll','');
 DeleteFile('crypt.dll');
 DeleteFile('C:\WINDOWS\system32\scd.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи + лог gmer

[Razah]

ща пришлю логи.. Гмер долго работает.

Готово наконец! Гмер очень долго работает.

[Rene-gad]

Код:

gmer.exe -del service SKYNETemlwbyqx
gmer.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\SKYNETemlwbyqx"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\SKYNETemlwbyqx"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\SKYNETemlwbyqx"
gmer.exe -del file "C:\windows\system32\SKYNETbnmpxvpj.dll"
gmer.exe -del file "C:\windows\system32\SKYNETwijecbfa.dat"
gmer.exe -del file "C:\windows\system32\SKYNETsfoacvhq.dll"
gmer.exe -del file "C:\windows\system32\SKYNETxwecuxiu.dat"
gmer.exe -del file "C:\windows\system32\drivers\SKYNETrxublamk.sys"
gmer.exe -reboot

скопируйте в новый текстовый файл, сохраните его в той папке, где у Вас файл gmer.exe под именем 123.bat и запустите двойным щелчком.
После перезагрузки повторите лог gmer.

AVZ/Сервис/Диспетчер файла hosts
Удалите все записи после 127.0.0.1 localhost

[Razah]

Манипуляция с файлом 123.bat выполнена. Он сначала написал что то там типо "Параметр не определён", а в конце написал, что файл SKYNET по каком то пути не найден. Все остальные строки походу дела выполнил, перезагрузился. Ща сделаю новый лог.

Строки в Hosts удаляю.