Printable View
Помогите, пожалуйста.
ситуация следующая. Система Vista 32,
Окошко винлокура блокирует вход в систему. Винлокер "Нового поколения" вида "положите деньги на номер через терминал". Соответственно все действия, кроме нажатия на кнопки с цифрами для ввода кода, блокируются.
Если войти через Безопасный режим, то окошко все равно появляется.
Зашел через live CD windows XP, во вложении файлы с отчетами, HijackThis не запускается, интернет не запускается. 2-й отчет сделан без интернета.
Здравствуйте.
Давайте попробуем так:
1. Загрузитесь в безопасном режиме с поддержкой командной строки, введите explorer.exe
Должен появиться проводник.
2. Если предидущий способ не работает, загрузитесь с LiveCD с поддержкой правки реестра. Подгрузите куст SOFTWARE из папки
[CODE]<диск с заблокированой ОС>:\WINDOWS\System32\config[/CODE]
Затем сообщите :
В ключе
[CODE]HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon[/CODE]
значение параметра
[CODE]Userinit[/CODE]
и значение параметра
[CODE]Shell[/CODE]
Все сделал, зашел через безопасный режим с поддержкой командной строки. запустил Explorer, запустил regedit.
userinut = C:\Windows\System32\userinit.exe,C:\Windows\System32\usrinit.exe
Shell = C:\Users\Наташа\Appdata\Local\Opera\Opera\temporary_downloads\xxx_video.exe
в userinut пока написал "Shell", запустилась система, окошка нет, но остановилась на том-же месте, что и раньше
UPD: Теперь могу запустить диспетчер задач
Что дальше?
Правильные значения:
userinit = [B]C:\Windows\System32\userinit.exe,[/B]
Shell = [B]Explorer.exe[/B]
а вот этот файл и есть ваш блокировщик:
C:\Users\Наташа\Appdata\Local\Opera\Opera\temporar y_downloads\xxx_video.exe.
Сделайте теперь логи по правилам.
Вот новые логи, не через БР
Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: Shell=C:\Users\Наташа\AppData\Local\Opera\Opera\temporary_downloads\xxx_video.exe
F2 - REG:system.ini: UserInit=Shell
O2 - BHO: (no name) - {88888888-8888-8888-8888-888888888888} - (no file)
O2 - BHO: MS Media Module - {9D64F819-9380-8473-DAB2-702FCB3D7A3E} - %APPDATA%\msmedia.dll (file missing)
O4 - Startup: CCC.lnk = ?
O4 - Startup: ЎЎЎЎЎЎ.lnk = C:\Windows\System32\8F00B2\1D8CD9.EXE
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\Наташа\AppData\Roaming\msmedia.dll','');
QuarantineFile('C:\Windows\System32\8F00B2\1D8CD9.EXE','');
QuarantineFile('C:\Users\Наташа\AppData\Local\Opera\Opera\temporary_downloads\xxx_video.exe','');
DeleteFile('C:\Users\Наташа\AppData\Local\Opera\Opera\temporary_downloads\xxx_video.exe');
DeleteFile('C:\Windows\System32\8F00B2\1D8CD9.EXE');
DeleteFile('C:\Users\Наташа\AppData\Roaming\msmedia.dll');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(16);
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=98021[/url]).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).
Файл отправил
Файл сохранён как: 110212_180731_virus_4d56a2332a9c9.zip
Новые логи:
Ничего необыного
Установите SP2 + все новые обновления для Windows
Спасибо огромное!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\users\\наташа\\appdata\\local\\opera\\opera\\temporary_downloads\\xxx_video.exe - [B]Trojan-Ransom.Win32.Gimemo.yd[/B] ( DrWEB: Trojan.Winlock.2741, BitDefender: Trojan.Generic.5858316, NOD32: Win32/LockScreen.YL trojan, AVAST4: Win32:MalOb-FT [Cryp] )[/LIST][/LIST]