Windows заблокирован-пополнить счет!

Printable View

11.03.2011, 19:22
antoncrb

Windows заблокирован-пополнить счет!

После приветствия окно на весь экран!Пишет, что
нелецензионная версия Windows.
ужно Пополнить счет на 300 рублей через терминал оплаты.
Номер абонента 9614789831 На чеке будет код. Нужно ввести его для разблокировки винды.

-В безопасный режим не войти.
-Сканировал dr web live cd нашел sms блокер, я его удалил. Перезагрузил компьютер- та же картина.
-Сделал live cd windows - зависает на загрузке xp
-Сделал диск ERD Commander запустил.
а дальше что делать не знаю! HELP ME :sos: пожалуйста!!

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
параметр - shell : C:\Windows\explorer.exe,
параметр - userinit: c:\windows\userinit.exe, былеще один параметр hpafwnb (.exe помоему) я его удалил, а банер остался!
11.03.2011, 20:29
Acidorum

Здравствуйте.
[QUOTE='antoncrb;774300']userinit: c:\windows\userinit.exe,[/QUOTE]
Скажите, значение параметра было точно таким?
Случаем не
[CODE]c:\windows\system32\userinit.exe,[/CODE]
?
Также, попробуйте загрузиться в безопасном режиме с поддержкой командной строки. Затем введите explorer.exe. Должен появиться проводник.
11.03.2011, 20:35
antoncrb

все верно таким как вы написали
c:\windows\system32\userinit.exe,

ни в каком безопасном режиме не загружается!!
11.03.2011, 20:46
Acidorum

Окей, едем дальше.
Загрузитесь с ERD Commander, в диалоговом окне выберите свою ОС.
Пожалуйста, теперь сообщите:
В ключе
[CODE]HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows [/CODE]
значение параметра
[CODE]AppInit_DLLs[/CODE]
Все параметры ключей
[CODE]HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce[/CODE]
11.03.2011, 21:17
antoncrb

Едем!)
пишу вручную. стандартный путь буду сокращать

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
AppInit_DLLs : c:\windows\system32\vksaver.dll

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
-default
-acrobat assistant 8.0 : c\progfiles\adobe\acrobat\acrotray.exe
-adobe acrobat speed launcher : c\prog files\adobe\....\acrobat_sl.exe
-adobe arm : c\prog files\common files\adobe\....\adobeARM.exe
-adobe_ID0ENQBO : c:\progra-1\common-1\adobe\adobev-1\server\bin\versio-2.exe
-adobeCS4Servise Maneger : "c\progfiles\commonfiles\adobe\cs4servicemaneger\cs4servmaneger.exe"-launched
-daemontools-1033 : "c\progfile\d-tools\daemon.exe"-lang 1033
-divxUpdate : c\prog files\divx\...\divxupdate.exe." CHECKNOW
-egui : "c\progfiles\eset\eset nod32 antivirus\egui.exe" /hide/waiteservice
-groovemonitor : c\progfiles\microsoft\\ office\...\groovemonitor.exe
-guard.mail.ru.gui : c\progfiles\mail.ru\guard\guardmailru.exe"/gui
-JMB36X IDE Setup : c\windows\raidtool\xInsIDE.exe
-LifeCam : c\progfiles\microsoft lifecam\lifeExp.exe
-MAgent : c:\progfiles\mail.ru\......\MAgent.exe-LM
-NeroFilterCheck : c\windows\system32\nerocheck.exe
-NvCplDaemon : RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvTaskbarInit
-NvMediaCener : RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
-nwiz : nwiz.exe/instal
-RTHDCPL : RTHDCPL.EXE
-VKSaverUpdater : C\progfiles\VKSaver\VKSaverUpdater.exe

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce

в этом ключе параметр default
Только ключ называется не RunOnceEx
11.03.2011, 21:59
thyrex

Код 16342131 не подходит?
11.03.2011, 23:18
antoncrb

Неет! не подходит!!
12.03.2011, 10:44
thyrex

Проверьте наличие [url]http://virusinfo.info/showpost.php?p=774086&postcount=10[/url]
12.03.2011, 11:52
antoncrb

:clapping: Спасибо большое!!
Удалил этот параметр и все заработало!
Делаю полное сканирование и вышлю логи:thumbs:
12.03.2011, 14:21
thyrex

Также

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
12.03.2011, 23:35
antoncrb

Вот ЛогИ:)
13.03.2011, 00:02
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\documents and settings\milky and crabby\local set-tings\Temp\0.965121110104451.exe','');
QuarantineFile('c:\csrss.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]только указанные ниже записи[/b] [code]Заражённые файлы:
c:\csrss.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\milky and crabby\local settings\Temp\0.965121110104451.exe (Trojan.Dropper) -> No action taken.[/code]
13.03.2011, 01:47
antoncrb

Выполнил скрипт,сделал проверку,удалил две записи!/Прислал карантин!
14.03.2011, 01:47
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\csrss.exe - [B]Trojan.Win32.Swisyn.ayow[/B] ( DrWEB: Trojan.MulDrop2.7840, BitDefender: Trojan.Generic.5575835, AVAST4: Win32:Malware-gen )[/LIST][/LIST]