C:\ (Только чтение) от Iranian hackers

[akrav]

Случилось что-то новенькое для меня! Вирус оставил лишь права на чтение у винта (ntfs) и ушел на перезагрузку. Таким образом, загрузка Windows XP с него стала не возможна. При просмотре содержимого этого винта через эксплорер здорового компьютера, в окне просмотра поверх файлов и папок обнаружил странные надписи “Iranian hackers, [email protected]” и еще картинка инопланетянина типа. Просканировал диск Касперским, вылечил и удалил кучу вирусов ('Trojan.Win32.VB.cva', 'Virus.Win32.Sality.aa', 'Trojan-GameThief.Win32.OnLineGames.syv', 'Trojan-GameThief.Win32.OnLineGames.rce', 'Trojan.Win32.Midgare.uik', 'Net-Worm.Win32.Kido.ih', 'Trojan.Win32.Agent.bkks'). Однако параметры доступа к диску и картинка остались. Форматить не вариант…

[PavelA]

'Virus.Win32.Sality.aa' - до конца победили.

[akrav]

очень коротко и емко. а если подробней?

[PavelA]

Это злобный файловый вирус. Лечить его надо сначала с LiveCd, затем в безопасном
режиме, потом в обычном. После этого, если перестанет находиться, можно будет разбираться с остальными, которые выживут.
З.Ы. Кратко написал, т.к. подумал что Вы в компьютерах разбираетесь.

[akrav]

Спасибо за помощь! Немного шарю. ОС в безопасном режиме не загружается, как и в любом другом. Тупа идет на ребут и все... До этого вместо LiveCD, сканил Каспером на здоровой системе.

[PavelA]

Не доходит до выбора пользователя или ребут происходит раньше?

[akrav]

ребут происходит через пару секунд после выбора типа загрузки

[PavelA]

Значит, все-таки надо попробовать LiveCD от Доктора.

[akrav]

LiveCD нашел еще кучу win32.sector.7 и троянов охапку. Я отметил все и попытался вылечить. Что-то вылечилось, что-то было удалено, кое-где в результате получилась write error. Логово было в папке System volume information, эту папку я выкосил на всякий пожарный. Загрузится в любом из возможных режимов не удалось.

[PavelA]

Логово было в папке System volume information, эту папку я выкосил на всякий пожарный.

Низя ее так просто удалять.
Придется систему скорее всего поверху накатывать. Подождите, может кто из наших спецов другой способ предложит.

[akrav]

насколько мне известно, System volume information используется для восстановления системы, для хранения своих данных и точек восстановления. Так это значит Windows надо было восстановится из инфицированных файлов?!...

[Шапельский Александр]

Скорее всего, Вы не загрузитесь в безопасном режиме - результат работы Салити. Если возможно, то загрузитесь в обыкновенном, необходимо восстановить реестр, отвечающий за безопасный режим. В обыкновенном режиме загрузка происходит?

[akrav]

скорее всего реестру пришел конец. загрузится никак не удается...
Есть еще версия: глядел на винт из-под здорового виндовса - у системных папок D&S и Windows права только на чтение, что достаточно не обычно и критично для загрузки. (Картинка с фразой "Iranian hackers, [email protected]" не исчезла.) Буду пытаться вернуть себе все права!