Printable View
Здраствуйте.На экране компа висит сообщение "Windows заблокирован. Заплатите 1000руб." Зашел через LiveCD. Скачивал Kaspersky Rescue Disk и записывал на диск, пробовал запустить- не получается. Так же со своего компа загружал на флешку и также не видит флешку при загрузке (в Биосе выставлял загрузку на диск или флешку). Можно как то разрешить проблему? или без этой проги не как?
Уважаемый(ая) [B]KvaDraT[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[b]KvaDraT[/b], окно с блокером есть появляется до логотипа windows или после ?
На этом Live CD есть редактор удалённого реестра (например ERD Commander) ?
когда появляется надпись "добро пожаловать" водя мышкой по экрану, она оказывается уже в пределах размеров баннера (т.е. нельзя вывести за ее пределы), а потом уже сам баннер появлется.
ERD Commander есть, стоит вроде 2005 года
Значит с помощью ERD Commander-а подключитесь к реестру проблемной учётной записи.
– посмотрите в реестре:
[b]ветка[/B] [color="Red"]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon[/color]
[b]параметр[/b] [color="Blue"]userinit[/color]
[b]параметр[/b] [color="Blue"]shell[/color]
Значения этих параметров напишите в своем сообщении
Также с помощью этого диска сделайте экспорт ветки реестра [B]HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run[/B] заархивируйте и прикрепите к сообщению.
- Запустите ERD Commander
- Посмотрите в реестре:
ветка: [CODE]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon[/CODE]
параметры: [CODE]userinit
shell[/CODE]
Сделайте экспорт веток реестра и приложите к следующему сообщению:
[CODE]HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run
HKEY_USERS\<Имя проблемной учетки>\Software\Microsoft\Windows\CurrentVersion\Run[/CODE]
ERD Commander не позволит сделать экспорт веток из
[quote="Techno;883776"]HKEY_USERS\<Имя проблемной учетки>\Software\Microsoft\Windows\CurrentVersion\Run[/quote]
параметр userinit: C:\WINDOWS\System32\userinit.exe,
параметр shell: Explorer.exe
Сделал экспорт HKEY_LOCAL_MACHINE и вроде получилось сделать HKEY_USERS
добавлю что вирус появился после того как вылетело сообщение об обновлении Java внизу справа значок, и сразу появился баннер
[quote="KvaDraT;883856"]вроде получилось сделать HKEY_USERS[/quote]Даже как-то неожиданно. Впервые такое вижу
[B][HKEY_USERS\Denis\Software\Microsoft\Windows\CurrentVersion\Run][/B]
[CODE]"S9414612"="C:\DOCUME~1\Denis\LOCALS~1\Temp\124kkk290347.exe"
"S105583"="C:\DOCUME~1\Denis\LOCALS~1\Temp\124kkk290347.exe"
"S77183123"="C:\DOCUME~1\Denis\LOCALS~1\Temp\124kkk290347.exe"
"S107150136"="C:\DOCUME~1\Denis\LOCALS~1\Temp\124kkk290347.exe"
"S1011241"="C:\DOCUME~1\Denis\LOCALS~1\Temp\124kkk290347.exe"
"S14010338"="C:\DOCUME~1\Denis\LOCALS~1\Temp\124kkk290347.exe"
"S1597723"="C:\DOCUME~1\Denis\LOCALS~1\Temp\124kkk290347.exe"
"S241670"="C:\DOCUME~1\Denis\LOCALS~1\Temp\124kkk290347.exe"
"S6016151"="C:\DOCUME~1\Denis\LOCALS~1\Temp\124kkk290347.exe"[/CODE]и есть Ваш блокировщик. Параметры реестра удалите, а сам файл запакуйте с паролем virus и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Пробуйте стартовать
Файл сохранён как 120414_151754_124kkk290347_4f89952226b69.zip
Размер файла 62919
MD5 48fb6ae31b40e831a087af7dc945369a
Пробую запустить систему
[size="1"][color="#666686"][B][I]Добавлено через 18 минут[/I][/B][/color][/size]
запустил систему, но перед этим удалил не только указанные вами параметры реестра, но и сам файл-блокировщик (остался на компьютере в виде архива), а то не удалив файла баннер все равно оставался и в реестре там создавал новый параметр. Какие теперь нужно сделать логи?
Стандартные по правилам для начала
сделал логи, также в той папке откуда удалил вредоносный файл еще лежит файл с названием 224kkk290347 и весит 0 байт, мне его удалить ?
Выполните скрипт в AVZ:
[code]
begin
DeleteFile('C:\DOCUME~1\Denis\LOCALS~1\Temp\124kkk290347.exe');
ExecuteSysClean;
RegKeyParamDel('HKCU', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Shell');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Сделайте новый лог virusinfo_syscheck (только п.2 раздела Диагностика).
прикладываю лог
Чисто.
спасибо всем за помощь!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \\124kkk290347.exe - [B]Trojan-Ransom.Win32.Gimemo.qdc[/B] ( DrWEB: Trojan.Winlock.5802, BitDefender: Trojan.Generic.KDV.599589, AVAST4: Win32:Zbot-OGK [Trj] )[/LIST][/LIST]