здравтсвуйте на рабочем столе при загрузке возникает блокируещее все об[B]явление . Текст про просмотр педофилии требование выслать 500 руб. Ничего сделать нельзя. Прошу помочь.[/B]
Printable View
здравтсвуйте на рабочем столе при загрузке возникает блокируещее все об[B]явление . Текст про просмотр педофилии требование выслать 500 руб. Ничего сделать нельзя. Прошу помочь.[/B]
Уважаемый(ая) [B]PEPPER[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
В реестр можно зайти с помощью alkid live cd
правка параметров winlogol shell не помогает
Блокировка появляется до логотипа Windows или после?
После логотипа.Загружается рабочий стол какое то время даже можно сделать какие то манипуляции и накрывает все баннером.
[quote="PEPPER;822503"]правка параметров winlogol shell не помогает[/quote]А значения параметров какие?
Shell - Explorer.exe
Userinit - userinit
в safe mode грузится ? если да попробуйте сделать логи
нет. при загрузке безопаснного режима перезагружается.
Попробуйте безопасный режим с поддержкой коммандной строки. [B]explorer[/B] - ввод - проводник.
Безопасный режим не щагружается нив каком виде. сразу происходит перезагрузка.
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
Визуально стилистика баннера похожа на такую как на ссылке
[url]http://foto.mail.ru/mail/mrbelyash/WinLock/152.html#[/url]
с LIVE CD.
Исправляйте параметры: [B]shell[/B], где должно быть указано [B]explorer.exe[/B] и раздел [B]userinit[/B], где должно быть указано [I][тут буква вашего диска должна быть и путь к системе] C[/I]:\WINDOWS\system32\userinit.exe,) (включая запятую!).
Пробуйте стартовать в проблемной системе
Без изменений
Как-то очень шустро проверили и поправили параметры.
Ну да ладно.
Посмотрите другие ключи реестра, где может быть блокер в этой статье:
[url=http://wiki.drweb.com/index.php/Userinit]http://wiki.drweb.com/index.php/Userinit[/url]
если обнаружите что-то подозрительное, сообщите тут.
просто раньше уже в других темах смотрел исправлял. При этом значение параметра userinit после перезагрузки снова становится не прописанным адресом а значением userinit
В строке HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run rjl indicdll прописано shellexecute.exe /h run-indicdll.cmd
Строка HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon, VmApplet] rundll32 shell32,control_Rundll "sysdm.cpl"
В строках HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{xxxxx-xx-xx-xx-xxxxx}] в StubPath прописан путь к файлу shmgrate.exe
Вот все что вызвало подозрение
[quote="PEPPER;822764"]Shell - Explorer.exe
Userinit - userinit[/quote]Это скорее параметры самого Live CD
[b][color="Red"]I этап[/color][/b] (выполняется на [b]чистой от вирусов[/b] машине)
1. Скачайте на компьютере, [b]с которого сейчас пишете[/b], образ [url="ftp://devbuilds.kaspersky-labs.com/devbuilds/Kaspersky%20Registry%20Editor/"] Kaspersky Registry Editor[/url] (около 120 Мбайт)
2. Если на зараженной машине отсутствует CD/DVD привод, создайте из этого образа загрузочную флешку (как это сделать ищите самостоятельно в Интернете). В противном случае записываете образ на болванку, например, с помощью Nero на минимальной скорости
[b][color="Red"]II этап[/color][/b] (выполняется на [b]заблокированной[/b] машине)
1. Зайти в BIOS и поставить в качестве первого устройства (First Boot Device или что-то подобное) загрузки CD-привод (если записывали на болванку) или USB-HDD (для загрузочной флешки)
2. Вставляете диск в привод (или подключаете флешку) и загружаетесь:
– когда пойдет отсчет времени для входа в меню (10 с), нажмите Enter
– выберите необходимый язык из списка
– выберите загрузку в графическом режиме, дождитесь окончания настройки и появления окна лицензионного соглашения
– установите [b]текстовый[/b] курсор в самую нижнюю строку и примите соглашение, нажав клавишу C, – появится некое подобие Рабочего стола с кнопкой Пуск
– выберите [b]Kaspersky Registry Editor[/b]
3. Откроется редактор реестра
– выберите нужную систему (та, которая заблокирована), [b]если у Вас их несколько[/b]
– посмотрите в реестре:
[b]ветка[/B] [color="Red"]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon[/color]
[b]параметр[/b] [color="Blue"]userinit[/color]
[b]параметр[/b] [color="Blue"]shell[/color]
Значения этих параметров напишите в своем сообщении
– посмотрите в реестре в ветках [color="Red"]HKEY_LOCAL_MACHINE[/color] и [color="Red"]HKEY_USERS[/color] (это ветка профилей пользователей) все возможные параметры Run (поиском в реестре) на наличие неизвестных и подозрительных записей
Там оказывается 2 папки Winlogon и winlogon
папка winlogon которой не видел прежде параметр shell значение "Explorer.exe, С:\Program files\Common files\itunes\itunes.exe"
в другой папке параметры userinit и shell соответствуют действительности
D:\Windows\system32\userinit.exe и Explorer.exe
Кроме того в папке Winlogon появился параметр usrint значение D:\Windows\system32\ykzoxl.exe - точно что то не то.
[CODE]С:\Program files\Common files\itunes\itunes.exe
D:\Windows\system32\ykzoxl.exe[/CODE]Запакуйте с паролем virus и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
[quote="PEPPER;823267"]папка [B]winlogon[/B] которой не видел прежде[/quote]Удалите, только не перепутайте - именно ту, что с маленькой буквы и единственным параметром shell
[quote="PEPPER;823267"]Кроме того в папке Winlogon появился параметр usrint[/quote]Удалите этот параметр
Файл закачал. Ykzoxl.exe по адресу не оказалось. возможно старый вирус оставшийся в реестре.
[size="1"][color="#666686"][B][I]Добавлено через 39 минут[/I][/B][/color][/size]
Еще из найденного в Run
параметр 0.7109кучацифр.exe отправлю файл в карантин
[size="1"][color="#666686"][B][I]Добавлено через 1 час 1 минуту[/I][/B][/color][/size]
Закачал. второй файл. уверен что все дело в нем.
itunes.exe.zip - [B]Packed.Win32.Krap.gx[/B]
0.710905.exe.zip - [B]Trojan-Ransom.Win32.Fullscreen.ni[/B] Ваш блокировщик. Детект только что добавлен
Как можно его удалить . Удалил в корзину через kar перезагрузился.Все почистил в реестре. экран на месте.
Значит где-то есть еще его копии в похожим именем. Попробуйте с помощью диспетчера файлов с диска Kaspersky Registry Editor поискать что-либо необычное в папках профилей пользователя, во временных папках Temp и Temporary Internet Files
Кроме того, удалите в реестре все упоминания 0.710905.exe
нашел. Вирус под имене adobeupdate.exe тоже был в run. После удаления все зафункционировало. Всем спасибо за помощь.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \\itunes.exe.zip - [B]Packed.Win32.Krap.gx[/B] ( DrWEB: archive: Trojan.Packed.20343, BitDefender: Trojan.Generic.4209631 )[*] \\0.710905.exe.zip - [B]Trojan-Ransom.Win32.Fullscreen.ni[/B] ( DrWEB: archive: BackDoor.Butirat.23, BitDefender: Trojan.Injector.HT )[/LIST][/LIST]