C:\ (Только чтение) от Iranian hackers

Printable View

20.10.2009, 00:05
akrav

C:\ (Только чтение) от Iranian hackers

Случилось что-то новенькое для меня! Вирус оставил лишь права на чтение у винта (ntfs) и ушел на перезагрузку. Таким образом, загрузка Windows XP с него стала не возможна. При просмотре содержимого этого винта через эксплорер здорового компьютера, в окне просмотра поверх файлов и папок обнаружил странные надписи “Iranian hackers, [email][email protected][/email]” и еще картинка инопланетянина типа. Просканировал диск Касперским, вылечил и удалил кучу вирусов ('Trojan.Win32.VB.cva', 'Virus.Win32.Sality.aa', 'Trojan-GameThief.Win32.OnLineGames.syv', 'Trojan-GameThief.Win32.OnLineGames.rce', 'Trojan.Win32.Midgare.uik', 'Net-Worm.Win32.Kido.ih', 'Trojan.Win32.Agent.bkks'). Однако параметры доступа к диску и картинка остались. Форматить не вариант…
20.10.2009, 09:52
PavelA

'Virus.Win32.Sality.aa' - до конца победили.
20.10.2009, 10:52
akrav

очень коротко и емко. а если подробней?
20.10.2009, 11:02
PavelA

Это злобный файловый вирус. Лечить его надо сначала с LiveCd, затем в безопасном
режиме, потом в обычном. После этого, если перестанет находиться, можно будет разбираться с остальными, которые выживут.
З.Ы. Кратко написал, т.к. подумал что Вы в компьютерах разбираетесь.
20.10.2009, 14:02
akrav

Спасибо за помощь! Немного шарю. ОС в безопасном режиме не загружается, как и в любом другом. Тупа идет на ребут и все... До этого вместо LiveCD, сканил Каспером на здоровой системе.
20.10.2009, 14:10
PavelA

Не доходит до выбора пользователя или ребут происходит раньше?
20.10.2009, 14:18
akrav

ребут происходит через пару секунд после выбора типа загрузки :(
20.10.2009, 14:20
PavelA

Значит, все-таки надо попробовать LiveCD от Доктора.
20.10.2009, 21:40
akrav

LiveCD нашел еще кучу win32.sector.7 и троянов охапку. Я отметил все и попытался вылечить. Что-то вылечилось, что-то было удалено, кое-где в результате получилась write error. Логово было в папке System volume information, эту папку я выкосил на всякий пожарный. Загрузится в любом из возможных режимов не удалось.
20.10.2009, 21:55
PavelA

[QUOTE='akrav;489965']Логово было в папке System volume information, эту папку я выкосил на всякий пожарный. [/QUOTE] Низя ее так просто удалять.
Придется систему скорее всего поверху накатывать. Подождите, может кто из наших спецов другой способ предложит.
20.10.2009, 22:03
akrav

насколько мне известно, System volume information используется для восстановления системы, для хранения своих данных и точек восстановления. Так это значит Windows надо было восстановится из инфицированных файлов?!...
20.10.2009, 22:26
Шапельский Александр

Скорее всего, Вы не загрузитесь в безопасном режиме - результат работы Салити. Если возможно, то загрузитесь в обыкновенном, необходимо восстановить реестр, отвечающий за безопасный режим. В обыкновенном режиме загрузка происходит?
21.10.2009, 10:58
akrav

скорее всего реестру пришел конец. загрузится никак не удается...
Есть еще версия: глядел на винт из-под здорового виндовса - у системных папок D&S и Windows права только на чтение, что достаточно не обычно и критично для загрузки. (Картинка с фразой "Iranian hackers, [email][email protected][/email]" не исчезла.) Буду пытаться вернуть себе все права!