какой-то новый трудный winlock

Printable View

16.10.2012, 20:33
tretnik

какой-то новый трудный winlock

Здравствуйте. Брат подцепил какой-то мерзкий winlock, справится с которым самостоятельно не получается. Пробовал с помощью гугла побороть - не вышло. Дважды сканировал с помощью Dr.Web LiveCD - ноль результата. Вот эта сволочь:
[ATTACH=CONFIG]381320[/ATTACH]

параметр userinit = C:\Windows\system32\usernit.exe
параметр shell = Explorer.exe
[ATTACH]381318[/ATTACH]
[ATTACH]381319[/ATTACH]
16.10.2012, 20:36
Info_bot

Уважаемый(ая) [B]tretnik[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
16.10.2012, 20:44
tretnik

[QUOTE=Info_bot;932358]Уважаемый(ая) [B]tretnik[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].[/QUOTE]

так ведь комп заблокирован, господа, я делал, как сказано [URL="http://virusinfo.info/showthread.php?t=119072%20target="]здесь[/URL]
16.10.2012, 21:02
thyrex

Вот Ваш блокировщик (блокировщики)
[CODE][HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"[COLOR="#0000CD"]S5417813[/COLOR]"="[COLOR="#FF0000"][B]c:\\users\\Николай\\ms.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S2013477[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S2013477.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S10015881[/COLOR]"="[COLOR="#FF0000"][B]c:\\users\\Николай\\ms.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S6612171[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S6612171.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S10014015[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S10014015.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S13516520[/COLOR]"="[COLOR="#FF0000"][B]c:\\users\\Николай\\ms.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S24168191[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S24168191.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S1978525[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S1978525.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S7110286[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S7110286.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S33114129[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S33114129.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S217418[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S217418.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S184326[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S184326.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S1488146[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S1488146.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S392020[/COLOR]"="[COLOR="#FF0000"][B]c:\\users\\Николай\\ms.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S228994[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S228994.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S16312166[/COLOR]"="[COLOR="#FF0000"][B]c:\\users\\Николай\\ms.exe[/B][/COLOR]"
[/CODE]1. Переименуйте (а лучше скопируйте в другое место) выделенные красным файлы (часть из них имеет одинаковое имя)
2. Удалите выделенные синим параметры в реестре
3. Пробуйте стартовать обычным образом
4. Запакуйте скопированные (переименованные) файлы с паролем virus и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
5. Сделайте логи по правилам (есть и другие вирусы для удаления)
16.10.2012, 21:53
tretnik

[QUOTE=thyrex;932370]Вот Ваш блокировщик (блокировщики)
[CODE][HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"[COLOR="#0000CD"]S5417813[/COLOR]"="[COLOR="#FF0000"][B]c:\\users\\Николай\\ms.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S2013477[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S2013477.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S10015881[/COLOR]"="[COLOR="#FF0000"][B]c:\\users\\Николай\\ms.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S6612171[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S6612171.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S10014015[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S10014015.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S13516520[/COLOR]"="[COLOR="#FF0000"][B]c:\\users\\Николай\\ms.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S24168191[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S24168191.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S1978525[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S1978525.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S7110286[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S7110286.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S33114129[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S33114129.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S217418[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S217418.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S184326[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S184326.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S1488146[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S1488146.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S392020[/COLOR]"="[COLOR="#FF0000"][B]c:\\users\\Николай\\ms.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S228994[/COLOR]"="[COLOR="#FF0000"][B]C:\\Users\\E4CE~1\\AppData\\Local\\Temp\\S228994.exe[/B][/COLOR]"
"[COLOR="#0000CD"]S16312166[/COLOR]"="[COLOR="#FF0000"][B]c:\\users\\Николай\\ms.exe[/B][/COLOR]"
[/CODE]1. Переименуйте (а лучше скопируйте в другое место) выделенные красным файлы (часть из них имеет одинаковое имя)
2. Удалите выделенные синим параметры в реестре
3. Пробуйте стартовать обычным образом
4. Запакуйте скопированные (переименованные) файлы с паролем virus и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
5. Сделайте логи по правилам (есть и другие вирусы для удаления)[/QUOTE]

не помогло. не смог обнаружить файлы ms.exe. Удалил какие-то другие 5 файлов, с наименованиями типа:
"ntuser.dat{3a539870-6a70-11db-887c-d362bd253390}.TxR.2.regtrans-ms"
"NTUSER.DAT{3a539871-6a70-11db-887c-d362bd253390}.TMContainer00000000000000000001.regtrans-ms"

в AppData\Local\Temp же осталось несколько файлов с наименованием, похожим на указанные, но удалять их не стал, раз не было такого указания. После перезагрузки выпал синий экран. Восстанавливал систему средствами майкрософт, включил снова - winlocker.
16.10.2012, 22:03
thyrex

[quote="tretnik;932389"]не смог обнаружить файлы ms.exe[/quote]Чем искали?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[quote="tretnik;932389"]в AppData\Local\Temp же осталось несколько файлов с наименованием, похожим на указанные, но удалять их не стал, раз не было такого указания[/quote]Возможно они и показывают блокировщик