Вирус-вымогатель, компьютер заблокирован, пришлите смс...

Вчера на рабочем столе выскочил вот такой баннер: Компьютер заблокирован! Ваш компьютер заблокирован за просмотр копирование и распространение материалов и т.д и т.п в общем требует отправить смс на номер для разблокирования компьютера.

В safe-mode загрузиться могу, но баннер появляется и там.

Компьютер проверил с помощью загрузочного CD DrWeb, безрезультатно.

Загрузил Kaspersky Registry Edutor, как [URL="http://virusinfo.info/showthread.php?t=107896"]этой теме[/URL]. Значения параметров:
[B]ветка[/B] [COLOR=Red]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
[/COLOR][B]параметр[/B] [COLOR=Blue]userinit[/COLOR] = C:\Windows\system32\userinit.exe
[B]параметр[/B] [COLOR=Blue]shell [/COLOR]= Explorer.exe.

Что делать дальше?
Спасибо.

Уважаемый(ая) [B]sergglav[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Удалите все в этих папках
[CODE]C:\Documents and Settings\Администратор\Local Settings\Temporary Internet Files\Content.IE5
C:\Documents and Settings\Имя_Пользователя\Local Settings\Temporary Internet Files\Content.IE5
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5[/CODE]
Затем пробуйте загрузится и сделать логи

Все удалил, загрузился - тот же баннер.
Вирус на месте.

Попробуем такой вариант:
-загружаемся в безопасный режим с поддержкой командной строки;
-вводим Explorer.exe, подтверждаем;
-делаем лог АВЗ (2-й стандартный)

Не выходит. Симптомы: выбираю пункт "Безопасный режим с поддержкой командной строки", через некоторое время попадаю на экран приветствия Windows (да, забыл написать - WindowsXP SP2), выбор пользователя (у меня их два, с Администратором - три). Выбираю любой - попадаю на баннер вируса.

Я малопродвинутый пользователь, с этим подрежимом safe-mode никогда не работал. Попробовал загрузить такой на чистом компьютере (c WindowsXP SP3) - попал на тот же экран выбора пользователей. Где там должна быть командная строка?

"Безопасный режим с поддержкой командной строки"--[URL="http://comp-profi.com/view_post.php?id=74"]http://comp-profi.com/view_post.php?id=74[/URL]
Далее вводим Explorer.exe, подтверждаем, делаем лог АВЗ (2-й стандартный)

У меня этот режим не работает. На обоих компьютерах. Возможно, такая винда...
Окно с командным приглашением не появляется даже на здоровой машине. На больной - попадаю на баннер вируса.

Попробуйте этот вариант--[URL="http://support.kaspersky.ru/viruses/deblocker"]http://support.kaspersky.ru/viruses/deblocker[/URL]
Введите номер телефона, на который необходимо отправить смс

Еще вариант--[URL="http://www.drweb.com/unlocker/index/?lng=ru"]http://www.drweb.com/unlocker/index/?lng=ru[/URL]

Ответ:
Блокер не предполагает кодов разблокировки, или коды еще не найдены. Воспользуйтесь Kaspersky WindowsUnlocker

[size="1"][color="#666686"][B][I]Добавлено через 14 секунд[/I][/B][/color][/size]

Воспользоваться?

Да, но сначала прочтите инструкцию--[URL="http://support.kaspersky.ru/viruses/solutions?qid=208641245#func"]http://support.kaspersky.ru/viruses/solutions?qid=208641245#func[/URL]

Если Windows Unlocker также не поможет

[quote="sergglav;822208"]Загрузил Kaspersky Registry Edutor, как этой теме. Значения параметров:[/quote]С помощью этой программы посмотрите все возможные ключи [B]Run[/B] в ветках реестра [B]HKEY_LOCAL_MACHINE[/B] и [B]HKEY_USERS[/B] на наличие неизвестных программ в автозапуске

Уважаемый tyrex,
это я еще раньше сделал. Осталось только то, что давно "знаю в лицо".
Утилита не помогла. Сообщила, что shell и userinit ok, что удален некий suspicious debugger of userinit, я порадовался. Виндовс загрузилась нормально, я опять порадовался. Но секунд через 20-30 баннер вылез опять - самовозродился.
:(

Интересно, что может иметься в виду под дебаггером для userinit.exe?

[quote="sergglav;822337"]что удален некий suspicious debugger of userinit,[/quote]А вот и ответ где искать

Проверьте ветку HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
В ней должна быть папка [B]userinit.exe[/B] с параметром [B]debug[/B]. Значение параметра и есть файл вируса

Кажется, есть. Убил файл todo.exe в папке /WINDOWS/TEMP. Реестр почистил.
Компьютер нормально работает в safe-mode.
Выполнил скрипт 2 AVZ, высылаю лог.

Отключите восстановление системы!

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\pdollvl.dll','');
DeleteFile('C:\WINDOWS\system32\pdollvl.dll');
BC_ImportAll;
ExecuteSysClean;
RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Control', 'WaitToKillServiceTimeout', '20000');
RegKeyStrParamWrite('HKCU', 'Control Panel\Desktop', 'WaitToKillAppTimeout', '20000');
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.

Затем следующий
[code]var
i : integer;
KeyList : TStringList;
begin
KeyList := TStringList.Create;
RegKeyEnumKey('HKLM','SYSTEM', KeyList);
for i := 0 to KeyList.Count-1 do
if pos('controlset', LowerCase(KeyList[i])) > 0 then
begin
if RegKeyExistsEx('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\BITS') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\BITS');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\BITS', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+KeyList[i]+'\Services\BITS исправлено на оригинальное.');
end;
if RegKeyExistsEx('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\wuauserv') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\wuauserv');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\wuauserv', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+KeyList[i]+'\Services\wuauserv исправлено на оригинальное.');
end;
end;
KeyList.Free;
SaveLog(GetAVZDirectory + 'fystemRoot.log');
end.[/code]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

Сделал.
Карантин тоже.

[color="#FF0000"][b]Внимание![/b][/color] Официальная поддержка (и выпуск обновлений) для Windows XP SP2 [b]прекращена[/b]

Установите [url="http://www.microsoft.com/downloads/details.aspx?FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4&displaylang=ru"]SP3[/url] (может потребоваться активация) + все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows
Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)
Установите [url="http://get.adobe.com/reader/otherversions/"]Acrobat Reader 10[/url] или удалите старый

ok(
а логи как?

Плохого не видно

На всякий случай сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]

Сделаю, чуть позже. Пока полет нормальный.
Уважаемый [b]thyrex[/b], по моему, [URL="http://virusinfo.info/showthread.php?t=107601"]это[/URL] в точности мой случай (картинка та же). Пусть обратит внимание на C:\WINDOWS\TEMP\todo.exe

В службе avs-911 встречался зверь с другим именем. Потому пусть выполняет то, о чем я попросил

Вот лог MBAM.

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]только указанные строки[/b] [code]c:\documents and settings\Sergei\application data\netprotdrvss.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\Sergei\application data\netprotocol.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\Sergei\application data\user_63.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\Sergei\application data\wiaserva.log (Malware.Trace) -> No action taken.[/code]

Высылаю последний лог MBAM.
Мне кажется, тему можно закрывать. Огромное спасибо Вам, [B]thyrex[/B], а также [B]Александру Шапельскому[/B]!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\pdollvl.dll - [B]Trojan-Ransom.Win32.Cidox.gen[/B] ( DrWEB: Trojan.Mayachok.550, BitDefender: Trojan.Generic.6548484, AVAST4: Win32:MalOb-HG [Cryp] )[/LIST][/LIST]