Windows заблокирован ноутбук

Printable View

09.04.2012, 22:36
Memfis

Windows заблокирован ноутбук

Здравствуйте! Прошу помощи в лечении ноутбука.
На экране висит сообщение "Windows заблокирован. Заплатите 1000руб.".
Баннер не дает войти ни в обычный режим, ни в один из безопасных....
Сразу выскакивает окно, причем перезагрузка пк тоже ограничена (курсор двигается только в пределах окна вируса, приходится переходить табом).
Cureit запустить не удается, так как нет выхода ни в один из безопасных режимов.
На ноутбуке Live CD не может выйти в графическую оболочку, просто возвращает в меню, но работает командер + командная строка в нем.
Сделать логи не получается, так как не могу перенести файлы на жестский (была предпринята попытка загрузиться с флешки, но загрузочную флешку делать не умею, а в командной строке Live CD не могу перейти на нее (либо не знаю правильной команды).
Помогите, пожалуйста, сделать логи!!!!! Каким образом одолеть этот баннер!
Заранее Вам благодарен!
09.04.2012, 22:37
Info_bot

Уважаемый(ая) [B]Memfis[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
09.04.2012, 22:38
Memfis

Была получена инструкция от модератора thyrex

I этап (выполняется на чистой от вирусов машине)

1. Скачайте на компьютере, с которого сейчас пишете, образ Kaspersky Rescue Disk (около 250 Мбайт)
2. Если на зараженной машине отсутствует CD/DVD привод, создайте из этого образа загрузочную флешку (как это сделать можно посмотреть по ссылке на скачивание образа). В противном случае записываете образ на болванку, например, с помощью Nero на минимальной скорости

II этап (выполняется на заблокированной машине)

1. Зайти в BIOS и поставить в качестве первого устройства (First Boot Device или что-то подобное) загрузки CD-привод (если записывали на болванку) или USB-HDD (для загрузочной флешки)
2. Вставляете диск в привод (или подключаете флешку) и загружаетесь:
– когда пойдет отсчет времени для входа в меню (10 с), нажмите Enter
– выберите необходимый язык из списка
– нажмите 1, чтобы принять лицензионное соглашение
– выберите загрузку в графическом режиме, дождитесь окончания настройки и появления Рабочего стола
3. Запустите Kaspersky Registry Editor
4. Откроется редактор реестра
– выберите нужную систему (та, которая заблокирована), если у Вас их несколько
– посмотрите в реестре:
ветка HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
параметр userinit
параметр shell
Значения этих параметров напишите в своем сообщении

Также с помощью этого диска сделайте экспорт веток реестра HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run и HKEY_USERS\<Имя проблемной учетки>\Software\Microsoft\Windows\CurrentVersion\ Run в отдельные файлы, заархивируйте и прикрепите к сообщению
09.04.2012, 22:40
Memfis

Согласно инструкции проделал все операции!
Kaspersky Rescue Disk запустился.
К сообщению прикрепляю 1 архив. Внутри все необходимые экспортированные ветки.
Значения параметров:
параметр shell explorer.exe
параметр Userinit c:\Windjws\system32\userinit.exe, (на конце именно запятая).
09.04.2012, 22:41
Memfis

От хэлпера Techno был получен ответ:
Переименовываем файл C:\\Users\\B7E3~1\\AppData\\Local\\Temp\\ch8l0.exe в C:\\Users\\B7E3~1\\AppData\\Local\\Temp\\ch8l0.bak и пробуем запустить систему. Если запуститься - делаем логи по правилам (раздел диагностика п.1-3)
09.04.2012, 22:43
Memfis

Сделал все как написали: переименовал указанный файл в ch8l0.bak, запустил систему!
Сделал логи! Выкладываю.
10.04.2012, 21:22
Techno

Здравствуйте!!! Я вроде просил краткое описание:D

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
ClearQuarantine;
QuarantineFile('C:\Users\B7E3~1\AppData\Local\Temp\ch8l0.bak','');
QuarantineFile('C:\Users\Евгений\AppData\Roaming\samson\winarj.exe','');
DeleteFile('C:\Users\B7E3~1\AppData\Local\Temp\ch8l0.exe');
DeleteFile('C:\Users\B7E3~1\AppData\Local\Temp\ch8l0.bak');
DeleteFile('C:\Users\Евгений\appdata\roaming\samson\winarj.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S6120105');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S225325');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S2073168');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S431897');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S19216398');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S81138183');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S134178144');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S122126148');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S5718114');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S2156121');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S10070198');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S1666171');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S93186101');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S8013036');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S139178136');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S1704174');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S11976101');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S1019463');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S5511134');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S125196107');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S174181115');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S11314458');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S383118');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S144150192');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S541127');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S1987055');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S4511296');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S168165142');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S32148148');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S169171175');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S491495');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S9151125');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S7585139');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S181198166');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S69185100');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Shell');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','winxarj');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]

[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]

[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

- [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL]
[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxl.net
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxl.net
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.smaxl.net[/CODE]

- Повторите логи.
11.04.2012, 11:22
Memfis

Все сделал согласно инструкции! Выкладываю логи и карантин в шапке темы.
11.04.2012, 14:42
Techno

Проблемы какие-нибудь наблюдаются?

Очистите кэш оперы.
11.04.2012, 17:09
Memfis

Кэш очистили! Проблем нет! Спасибо огромное!
Что можете посоветовать для защиты ноутбука? Может какие обновления поставить (там лицензия).
11.04.2012, 18:45
Techno

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в AVZ[/URL] скрипт из файла [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]
- Откройте файл [B]avz_log.txt[/B] из под-папки [B]LOG[/B].
- Пройдитесь по ссылкам из файла [B]avz_log.txt[/B] и установите важные обновления.
- Перезагрузите компьютер.
- Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.
12.04.2012, 00:08
Memfis

Прошу уточнения:
1. Данный скрипт может использоваться на любом ПК, работающем под Windows 7 или только для конкретно нашего случая с ноутбуком?
2. Скрипт копировать в меню выполнить AVZ вместе с описанием, которое в самом вверху в скобках или только начиная с var?

Заранее благодарен!
12.04.2012, 00:50
Techno

[quote="Memfis;883333"]1. Данный скрипт может использоваться на любом ПК, работающем под Windows 7 или только для конкретно нашего случая с ноутбуком?
2. Скрипт копировать в меню выполнить AVZ вместе с описанием, которое в самом вверху в скобках или только начиная с var?[/quote]
1. На любом.
2. Копировать весь.
12.04.2012, 23:20
Memfis

Спасибо огромное за помощь в лечении компьютера! Все очень профессионально, качественно и оперативно! Все хелперы и модераторы настоящие мастера! Спасибо создателям сайта! Даже средств небольших не жалко внести на добровольной основе! Тему можно закрывать!
13.04.2012, 23:20
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\users\\b7e3~1\\appdata\\local\\temp\\ch8l0.bak - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.Winlock.5600, BitDefender: Trojan.Generic.KDV.591573, AVAST4: Win32:Kryptik-IHO [Trj] )[/LIST][/LIST]