Заблокирован WINDOWS, помогите разблокировать

Printable View

22.05.2012, 17:40
Алексей1982

Вложений: 2

Заблокирован WINDOWS, помогите разблокировать

При загрузке Windows (в данном случае была установлена ОС Windows XP) выходит поверх экрана синее окошко с очень интересным текстом:

Windows заблокирован!

Microsoft Security обнаружил нарушения использования сети интернет.
Приччина: вы смотрели фильмы содержащие гей-порно.

Для разблокирования необходимо:
Пополнить номер абонента MTS: 8-987-951-44-87 на сумму 500 рублей.
Оплатить можно через терминал для оплаты сотовой связи.
После оплаты, на выданном терминальном чеке, Вы найдете Ваш
персональный код разблокировки, который необходимо ввести ниже.

(цифы в виде кнопок) 0 1 2 3 4 5 6 7 8 9 (кнопка: ОЧИСТИТЬ)
ВАШ КОД:(тут поле для ввода) (кнопка: ВХОД В СИСТЕМУ)

Если в течении 12 часов с момента появления данного сообщения, не будет введен код,
все данные, включая WINDOWS и BIOS будут БЕЗВОЗВРАТНО УДАЛЕНЫ! Попытка
переустановить систему приведет к нарушениям работы компьютера.
__________________________________________________________________________
Окно это стоит поверх фона рабочего стола и ничего невозможно с ним сделать

Не получается прекрепить файл virusinfo_cure.zip он у меня 2.5Мб а максимум можно прекрепить 1мб
22.05.2012, 17:41
Info_bot

Welcome to VirusInfo. Enjoy your stay here...
23.05.2012, 13:11
Techno

Попробуйте код: 16342131

В каком-нибудь из безопасных режимов загружается?
23.05.2012, 16:14
Алексей1982

Код не помог ((

В безопасных режимах загружается, но все повторяется как и с обычной загрузкой, рабочий стол заблокирован, даже курсор за пределы банера нельзя вывести.

При загрузке в безопасном режиме с подержкой командной строки происходит обычная загрузка.

У меня получилось загрузить Windows под другим пользователем.
Открыл реестр, но ничего редактировать немогу т.к. видимо нет прав администратора.

Нашел загадочную строку
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\*\shellex\ContextMenuHandlers\XXX Groove GFS Context Menu Handler XXX

далее очень часто в реестре встречается этот XX Groove GFS Context Menu Handler XXX

но сделать с ним ничего не могу, реестр не редактируется, файл c:\program files\microsoft office\office14\grooveex.dll тоже удалить немогу....
23.05.2012, 23:04
thyrex

[quote="Алексей1982;891681"]При загрузке в безопасном режиме с подержкой командной строки происходит обычная загрузка[/quote]Запустите в этом режиме (под проблемной учеткой) explorer.exe и у Вас будет возможность выполнить правила
24.05.2012, 17:38
Алексей1982

[QUOTE=thyrex;891783]Запустите в этом режиме (под проблемной учеткой) explorer.exe и у Вас будет возможность выполнить правила[/QUOTE]

Увы, в этом режиме не одна учетка не загружается, пишет что неправельный логин/пороль

[size="1"][color="#666686"][B][I]Добавлено через 4 часа 18 минут[/I][/B][/color][/size]

[QUOTE=thyrex;891783]Запустите в этом режиме (под проблемной учеткой) explorer.exe и у Вас будет возможность выполнить правила[/QUOTE]

О каких правилах идет речь?

[size="1"][color="#666686"][B][I]Добавлено через 1 час 57 минут[/I][/B][/color][/size]

Закачал лог [url]http://files.mail.ru/DUKZ1L[/url] virusinfo_cure.zip который не смог прекрепить на форуме из за его большого размера. Теперь все три лога доступны для анализа.
Очень жду совета по решению моей проблемы ...
24.05.2012, 22:26
thyrex

Логи из чистой учетки бесполезны. Поступим по-другому

[b][color="Red"]I этап[/color][/b] (выполняется на [b]чистой от вирусов[/b] машине)

1. Скачайте на компьютере, [b]с которого сейчас пишете[/b], образ [url="http://support.kaspersky.ru/faq/?qid=208638415"]Kaspersky Rescue Disk[/url] (около 250 Мбайт)
2. Если на зараженной машине отсутствует CD/DVD привод, создайте из этого образа загрузочную флешку (как это сделать можно посмотреть по ссылке на скачивание образа). В противном случае записываете образ на болванку, например, с помощью Nero на минимальной скорости

[b][color="Red"]II этап[/color][/b] (выполняется на [b]заблокированной[/b] машине)

1. Зайти в BIOS и поставить в качестве первого устройства (First Boot Device или что-то подобное) загрузки CD-привод (если записывали на болванку) или USB-HDD (для загрузочной флешки)
2. Вставляете диск в привод (или подключаете флешку) и загружаетесь:
– когда пойдет отсчет времени для входа в меню (10 с), нажмите Enter
– выберите необходимый язык из списка
– нажмите [b]1[/b], чтобы принять лицензионное соглашение
– выберите загрузку в графическом режиме, дождитесь окончания настройки и появления Рабочего стола
3. Запустите [b]Kaspersky Registry Editor[/b]
4. Откроется редактор реестра
– выберите нужную систему (та, которая заблокирована), [b]если у Вас их несколько[/b]
– посмотрите в реестре:
[b]ветка[/B] [color="Red"]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon[/color]
[b]параметр[/b] [color="Blue"]userinit[/color]
[b]параметр[/b] [color="Blue"]shell[/color]
Значения этих параметров напишите в своем сообщении

Также с помощью этого диска сделайте экспорт веток реестра [B]HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run[/B] и [B]HKEY_USERS\<Имя проблемной учетки>\Software\Microsoft\Windows\CurrentVersion\Run[/B] в отдельные файлы, заархивируйте и прикрепите к сообщению
25.05.2012, 14:33
Алексей1982

Вложений: 1

Параметры userinit и shell стандартные :
C:\WINDOWS\system32\userinit.exe,
Explorer.exe

Прикрепил файл с двумя ветками реестра.
Обнаружил запись в реестре на файл C:\Documents and Settings\Supertuning4\ms.exe .... видимо в нём вся проблема

Жду ваших указаний ))
25.05.2012, 15:48
Techno

1. Переименуйте C:\\Documents and Settings\\Supertuning4\\ms.exe в C:\\Documents and Settings\\Supertuning4\\ms.bak.
2. Попробуйте загрузиться и выполните [URL="http://virusinfo.info/pravila.html"]правила[/URL] (раздел [I]диагностика[/I] п.1-3)
25.05.2012, 17:39
Алексей1982

Переименовал файл и учетка нормально запустилась!!!

Логи из проблемной учетки разместил тут [url]http://files.mail.ru/8DD5E1[/url] т.к. из за большого размера их нельзя прикрепить к сообщению
25.05.2012, 23:25
Techno

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Supertuning4\ms.bak','');
DeleteFile('C:\Documents and Settings\Supertuning4\ms.exe');
DeleteFile('C:\Documents and Settings\Supertuning4\ms.bak');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S6819552');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S669555');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S39145199');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S7740104');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S42109140');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S1443468');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S15516098');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S17510343');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S811750');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S62167162');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S714391');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S31164198');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S14717137');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S13930173');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S119140105');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S137130144');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S143779');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Shell');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]

[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

- [URL="http://virusinfo.info/showthread.php?t=53070"][B]Сделайте лог полного сканирования MBAM[/B][/URL].
28.05.2012, 12:28
Алексей1982

Вложений: 1

Лог MBAM приложил, файл quarantine.zip тоже загрузил
28.05.2012, 12:39
Techno

Проблемы какие-нибудь остались?
28.05.2012, 14:37
Алексей1982

[QUOTE=Techno;892461]Проблемы какие-нибудь остались?[/QUOTE]

Проблем никаких нет, всё работает как обычно, огромное спасибо за помощь!! :D
29.05.2012, 14:37
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\supertuning4\\ms.bak - [B]Trojan.Win32.Buzus.lqcv[/B] ( DrWEB: Trojan.Winlock.6049, BitDefender: Trojan.Generic.KDV.630478, NOD32: Win32/LockScreen.AKW trojan, AVAST4: Win32:Malware-gen )[/LIST][/LIST]