Printable View
Поймали порнобаннер.Аналогов не обнаружил.Коды никакие не подходят.
В ЛЮБОЙ безопасный режим заходит с тем же баннером, но перед его появлением в левой части экрана на долю секунды появляется какое-то прямоугольно-вытянутое вертикальное окно.Не успеваю с ним ничего сделать.Билайновский номер меняется от запуска к запуску.
Смена даты не сработала.
Помогите убрать, пожалуйста.
Фото зловреда прилагаю. Простите за качество, но смысл уловить можно.
Могу предложить два варианта:
1)Попробуйте загрузиться в безопасном режиме с командной строкой. Наберите команду explorer.exe и в проводнике запускаете AVZ, делаете логи.
2) 1.скачайте Live CD с возможностью поиска и исправления в реестре. Например, ERD Commander.
2.Загрузитесь с этого диска.
3.Кнопка Пуск - Выполнить - erdregedit
4.Посмотрите в реестре:
ветка
[QUOTE]
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon [/QUOTE]
параметр
[QUOTE]
userinit [/QUOTE]
параметр
[QUOTE]shell [/QUOTE]
Содержимое этих параметров напишите в своем сообщении
Спасибо за оперативный ответ! :)
Подскажите, как правильно загрузиться в безопасном режиме с командной строкой?Я неоднократно пробовал на разных компах, и выглядит такой режим точно так, как и обычный безопасный:?
Баннер у меня присутствует и там, как я и указал в первом посте.
Зашел с Live-CD ,но указанных параметров в Winlogon вообще нет:(
[size="1"][color="#666686"][B][I]Добавлено через 16 минут[/I][/B][/color][/size]
Прошу прощения.
Я действовал по инструкции сайта 'Касперского', и там указано искать в HKEY_CURRENT_USER ,а у Вас в HKEY_LOCAL_MACHINE .Может там ошибка?
Попробую копать в HKEY_LOCAL_MACHINE.
Поищите в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon . Там все должно быть.
[URL="http://forum.kaspersky.com/index.php?showtopic=196308"]Командная строка[/URL].
В Shell стоит значение Explorer.exe.
В userinit- D:\WINDOWS\system32\userinit.exe, D:\WINDOWS\system32\usrinit.exe
То есть, два последних параметра отличаются буквой.
Исправьте на D:\WINDOWS\system32\userinit.exe, (с запятой на конце) и загрузитесь в нормальном режиме.
Сделайте логи.
Система запустилась:) Спасибо :beer:
Логи прикрепляю.
Отключить восстановление системы, защитное ПО.
Выполнить скрипт:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\WINDOWS\System32\SaveDump.exe','');
QuarantineFile('D:\WINDOWS\System32\Drivers\amohbn9x.SYS','');
QuarantineFile('D:\DOCUME~1\86C2~1\LOCALS~1\Temp\aCCy6NB7.sys','');
QuarantineFile('D:\WINDOWS\system32\usrinit.exe','');
DeleteFile('D:\WINDOWS\system32\usrinit.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы)
Логи повторить.
Карантин загрузил.Логи прикрепляю.
Плохого не увидел.
Что с проблемой?
Простите за задержку с ответом.
Был отрезан от внешнего мира:?
Окно ушло, и подозрительных симптомов не наблюдается.
Большое спасибо! :clapping::beer:
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\\windows\\system32\\usrinit.exe - [B]Trojan-Ransom.Win32.RedLine.cc[/B] ( DrWEB: Trojan.Inject.20131, BitDefender: Trojan.Generic.5638858, NOD32: Win32/LockScreen.QX trojan, AVAST4: Win32:VB-QTD [Drp] )[/LIST][/LIST]