Win32/LockScreen.GI

Здравствуйте. Ковырялся вчера вечером в инете и доковырялся, вылезло такое окно[U]
[URL="http://img683.imageshack.us/i/36907146.jpg/"][IMG]http://img683.imageshack.us/img683/8303/36907146.th.jpg[/IMG][/URL]
[/U][LEFT]Это окно нельзя ни переместить, ни закрыть и висит поверх всех окон. При попытке вызвать Диспетчер задач - мертвая тишина. NOD32 определил файл userlib.dll (C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Cookies) как вероятно модифицированный Win32/LockScreen.GI троян и положил в карантин. После чего потух интернет. После перезагрузки машины окно больше не появлялось, но Диспетчер задач и интернет не заработали. Причем интернет передается через NAT с другого компьютера, к которому доступ остался.
ОС Windows 7 RTM x64. Собственно вопрос, сможете помочь вылечить это на х64 системе? И как быть с логами AVZ? :sos:[COLOR=Red] [/COLOR] [/LEFT]

Сделайте лог с помощью AVPTool [url]http://support.kaspersky.ru/avptool2010/main?qid=208637132[/url]

Вот, заодно и hijackthis.log...

1. Отключите восстановление системы и антивирус.
2. Выполните в AVPTool скрипт:

[CODE]begin
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
SetServiceStart('Schedule', 4);
QuarantineFile('C:\Users\Administrator\AppData\Local\Temp\b.exe','');
DelBHO('{500BCA15-57A7-4eaf-8143-8C619470B13D}');
DeleteFile('C:\Users\Administrator\AppData\Local\Temp\b.exe');
DeleteFile('C:\WINDOWS\Tasks\{BB65B0FB-5712-401b-B616-E69AC55E2757}.job');
DeleteFile('{BB65B0FB-5712-401b-B616-E69AC55E2757}.job');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(1);
ExecuteRepair(11);
ExecuteRepair(14);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!

3. Выполните в AVPTool скрипт:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите файл quarantine.zip, используя ссылку [url]http://virusinfo.info/upload_virus.php?tid=67383[/url]

4. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL]

[QUOTE]F2 - REG:system.ini: UserInit=C:\Windows\system32\userinit.exe,C:\Users\ADMINI~1\AppData\Local\Temp\asdE1E.tmp[/QUOTE]

5. Сделайте новый лог исследования системы.

В пунктах 2 и 3, я так понял Вы имели ввиду не AVPToo, а AVZ? :)
Все выполнил, только quarantine.zip оказался пустым...
Но прогресс уже имеем, Диспетчер задач ожил, но инет пока в том же состоянии.

Выполните в AVPTool скрипт:

[CODE]begin
ExecuteRepair(14);
ExecuteRepair(15);
ExecuteRepair(18);
RebootWindows(true);
end.[/CODE]

Когда пытаюсь пинговать основной шлюз провайдера через эту машину пишет вот чего
[URL=http://img19.imageshack.us/i/55012028.jpg/][IMG]http://img19.imageshack.us/img19/931/55012028.jpg[/IMG][/URL]

Попробуйте выполнить скрипт. Если результата он не даст, то придется ручками вписывать параметры соединения.

Выполнил скрипт, вбил настройки подключения по-новой и, о чудо, все заработало!!! Как же мне повезло, что наткнулся на ваш сайт! Огромнейшее спасибо!!!

Низкий поклон Вам, [B]Aleksandra[/B]!

[size="1"][color="#666686"][B][I]Добавлено через 1 час 32 минуты[/I][/B][/color][/size]

Что-то все наоборот стало, т. е. интернет заработал, но теперь не могу зайти с нашего пациента на другой комп по локалке, а вот с другого без проблем заходит к пациенту. :biggrin: Так же некоторые приложения не могут получить доступ к инету, например: Обновление Windows или Steam. Есть идеи?

[QUOTE=STEALTH42;561522]Есть идеи?[/QUOTE]
Нужно смотреть настройки сети. Других идей нет.

Настройки сети верны. Я думаю вся проблема в том, что компьютер перестал работать с доменными именами. Вот пример
[URL=http://img97.imageshack.us/i/35590792.jpg/][IMG]http://img97.imageshack.us/img97/4761/35590792.jpg[/IMG][/URL]
если пинговать google.com по ip-адресу, то все хорошо. Может это о чем-то вам скажет...

Посмотрите настройки DNS и NAT.

Добавь для наглядности результаты выполнения следующих команд:

[QUOTE]ipconfig /all
ping mail.ru
ping 194.67.57.126
nslookup mail.ru[/QUOTE]

Такая картина получилась:
[URL=http://img196.imageshack.us/i/59480247.jpg/][IMG]http://img196.imageshack.us/img196/369/59480247.jpg[/IMG][/URL]

С настройками DNS и NAT все в порядке, по крайней мере до этого трояна все замечательно работало полтора года. Не пингует даже компьютер в локальной сети по его имени, только по IP.

А теперь ipconfig /all с машины на которой все OK.

[URL=http://img69.imageshack.us/i/59165184.jpg/][IMG]http://img69.imageshack.us/img69/8844/59165184.jpg[/IMG][/URL]

Вобщем решил я проблему гораздо проще: загрузился с установочного диска своей ОС, выбрал "Обновление Windows" и все, сохранились все программы, все настройки и сеть с интернетом заработали как пологается. Так же помогает побороть последствия этого трояна стандартное Восстановление системы (и себе б сделал, но я отключил его сразу после установки ОС), на двух машинах так проделал и все замечательно, главное выбрать контрольную точку с датой до того как подцепили трояна. Почему бы и вам (хэлперам) не предлогать другим людям данным методом решать последствия этих троянов-вымогателей? Так ведь гораздо проще, быстрее и надежнее.

[QUOTE=STEALTH42;565185]Почему бы и вам (хэлперам) не предлогать другим людям данным методом решать последствия этих троянов-вымогателей?[/QUOTE]
Потому что это не выход. В вашем случае на машине зловредов не было, а были их последствия.