просят деньги за доступ к виндовс

**_wen_** · 02.05.2011, 10:54

Всем привет! Такая проблема произошла. после того как зашел на какую то ссылку вконтакте, появилось голубое окно, с текстом типа ваша виндовс заблокирована, чтоб разблокировать отправьте смс на номер, далее придет код, котрый нужно ввести в этом окне. И при включении компа, каждый раз появляется, ctrl+alt+del не включается. Пробовал сканировать с нод32 в безопасном режиме, не помогло. Помогите пожалуйста! Винду переустанавливать не охота.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**polword** · 02.05.2011, 18:26

1.скачайте Live CD с возможностью поиска и исправления в реестре. Например, ERD Commander.
2.Загрузитесь с этого диска.
3.Кнопка Пуск - Выполнить - erdregedit
4.Посмотрите в реестре:
ветка

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

параметр

userinit

параметр

shell

Содержимое этих параметров напишите в своем сообщении

**_wen_** · 03.05.2011, 23:07

Userinit
C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system 32\31053b15.exe,C:\WINDOWS\system32\dqejzy.exe,C:\ WINDOWS\apppatch\lcyzkdj.dat,

Shell
Explorer.exe "C:\DOCUME~1\DE97~1\LOCALS~1\Temp\0.01830638444243 2266.exe"

**polword** · 06.05.2011, 19:06

оставте
в Userinit C:\WINDOWS\system32\userinit.exe,
в Shell Explorer.exe
остальное удалите из этих параметров.
Сделайте логи

**_wen_** · 07.05.2011, 15:05

В общем все заработало. Но не полностью с вашей помощью.
Неизвестный доброжелатель под ником Galex1 прислал мне данное сообщение:

Доброго времени суток, меня зовут Алексей.
"Windows заблокирован!

Microsoft Security обнаружил нарушение использования сети интернет
Причина: Вы смотрели фильм содержащий гей-порно."
Кажется речь об этом, зарегился на форуме но там ответить не смог поэтому пишу в личку.
Решение, мне помогло
1. Перезагрузите компьютер в Безопасном режиме с поддержкой командной строки.
2. CTRL+ALT+Del - новая задача-regedit
3. В реестре ищем пункт HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell и у нас там должно быть только запись Explorer.exe (т.е. все что там есть удаляем и пишем только Explorer.exe).
4. Через дисп. задач запускаем Explorer
5. Удаляем вручную файл D:\\DOCUME~1\\Admin\\LOCALS~1\\Temp\\exe.exe
6. Через дисп. задач запускаем msconfig, на вкладке автозагрузка убираем галочку с exe.exe
7. Перезагружаемся
Всё готово.
Опубликуйте решение на форуме, т.к. у меня нет прав там писать

Я удалил из shell и userinit как вы сказали, но это не помогло окно все равно появилось. Затем я удалил файлы по инструкции выше, и все заработало.
Логи вложил.

**polword** · 07.05.2011, 19:44

1.Профиксите в HijackThis

Код:

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.smaxi.net
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe

2 Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); 
 QuarantineFile('C:\WINDOWS\System32\winlogon.exe','');
 QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
 DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','DefaultVerifier');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

Код:

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- обновите базы AVZ
- Сделайте повторные логи по правилам п.1-3 раздела Диагностика.(virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log)
- Сделайте лог MBAM