Printable View
Вылазит окно с требованием заплатить на телефон через терминал. Чел (владелец аппарата) заплатил, но на чеке естественно ни какого кода нет.
Защищенный режим также заблокирован. Экранная лупа проскакивает окно с предложением посетить сайт МС инк. (Видимо стоит галочка "Не показывать при следующих запусках).
Родного загрузочного LifeCD нет.
Что делать?
1.скачайте [B]Live CD[/B] с возможностью поиска и исправления в реестре. Например, [B]ERD Commander[/B].
2.Загрузитесь с этого диска.
3.Кнопка Пуск - Выполнить - [B]erdregedit[/B]
4.Посмотрите в реестре:
[I][B]ветка[/B][/I]
[QUOTE]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
[/QUOTE]
[I][B]параметр[/B][/I]
[QUOTE]userinit[/QUOTE]
[I][B]параметр[/B][/I]
[QUOTE]shell[/QUOTE]
Содержимое этих параметров напишите в своем сообщении
userinit[quote]C:\WINDOWS\system32\userinit.exe,[/quote]
shell[quote]C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\WS4KCNT7\xxx_video_77985.avi[1].exe[/quote]
Значение параметра shell заменить на explorer.exe?
[QUOTE=belal;748992]
Значение параметра shell заменить на explorer.exe?[/QUOTE]
да
- Сделайте логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.1-3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log[/COLOR])
Логи сделал с одним но. После первого прогона avz пришлось устанавливать модем и перезагружать комп (ну нет у меня усб-билайна, через который всё работало).
логи:
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\WS4KCNT7\xxx_video_77985.avi[1].exe','');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\WS4KCNT7\xxx_video_77985.avi[1].exe');
DelBHO('{9D64F819-9380-8473-DAB2-702FCB3D7A3E}');
DelBHO('{88888888-8888-8888-8888-888888888888}');
DeleteFile('C:\Documents and Settings\Admin\Application Data\msmedia.dll');
DeleteFile('D:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(11);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
новые логи:
[URL="http://virusinfo.info/showthread.php?t=4491"]Профиксите[/URL] в HijackThis
[CODE]
O3 - Toolbar: QT Breadcrumbs Address Bar - {af83e43c-dd2b-4787-826b-31b17dee52ed} - mscoree.dll (file missing)
[/CODE]
В остальном подозрительного нет.
Обновите систему
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]
- Обновите [URL="http://www.java.com/ru/download/manual.jsp"]Java [/URL].
Всё отлично. Спасибо.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]