Показано с 1 по 4 из 4.

Запускаю explorer.exe вручную из диспетчера задач (заявка № 107327)

  1. #1
    Junior Member Репутация
    Регистрация
    27.02.2009
    Сообщений
    13
    Вес репутации
    33

    Запускаю explorer.exe вручную из диспетчера задач

    Здравствуйте
    Появился баннер-вымогатель. Пролечил винчестер на другом компьютере.
    Запускаюсь, ввожу имя пользователя и пароль - отображается рисунок рабочего стола, больше ничего: панель задач, пуск, значки - всё отсутствует.
    По Ctrl+Alt+Del запустил диспетчер задач, затем Файл - Новая задача (выполнить)...
    Запускаю explorer.exe. Рабочий стол отобразился, всё на месте, все программы запускаются и работают.
    Покапался в реестре: поправил значение
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell на Explorer.exe
    В разделе
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\
    у параметра Userinit значение
    C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\apppat ch\mfhpxju.exe,
    и если удалить часть
    "C:\WINDOWS\apppatch\mfhpxju.exe,"
    то после перезагрузки сеанс работы пользователя сразу завершается:
    т.е. после ввода имени пользователя и пароля сразу появляется "Завершение сеанса"
    =======
    В общем проблема в том, что до Рабочего стола добираюсь по
    1) Ctrl+Alt+Del - диспетчер задач
    2) затем Файл - Новая задача (выполнить)...
    3) Запускаю explorer.exe
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,465
    Вес репутации
    343
    Уважаемый(ая) sirotkin, спасибо за обращение на наш форум!

    Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    528
    1.Профиксите в HijackThis
    Код:
    O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
    O2 - BHO: (no name) - {C93F72A2-2162-4BBA-A07A-F13663C297A6} - (no file)
    O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
    2.Выполните скрипт в AVZ
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(True);
     RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); 
     QuarantineFile('C:\WINDOWS\apppatch\mfhpxju.exe','');
     DeleteFile('C:\WINDOWS\apppatch\mfhpxju.exe');
     BC_ImportAll;
     ExecuteSysClean;
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
     ExecuteWizard('TSW', 2, 2, true);
     ExecuteWizard('SCU', 2, 2, true);
     BC_Activate;
     RebootWindows(true);
    end.
    После перезагрузки:
    - выполните такой скрипт
    Код:
    begin
      CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
     end.
    - Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
    - Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

  5. #4
    Junior Member Репутация
    Регистрация
    27.02.2009
    Сообщений
    13
    Вес репутации
    33
    после выполнения первого скрипта avz из пункта 2 вашего ответа и перезагрузки не могу увидеть рисунок рабочего стола:
    т.е. после ввода имени пользователя и пароля появляются сообщения "Загрузка личных параметров" и тут же "Завершение сеанса" и "Сохранение параметров", затем происходит возврат к окну ввода имени пользователя и пароля.
    ситуация возникает и в обычном, и в безопасном режиме, а также и при попытке использовать другую учетную запись
    ===
    к сожалению резервной копии реестра (5 файлов sam, security, softvare, system, default из c:\windows\system32\config) с рабочими параметрами не сохранил
    и восстановление системы тоже было отключено
    но есть резервные копии реестра (5 файлов... ) в которых
    --
    В разделе
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\
    у параметра Userinit значение
    C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\apppat ch\mfhpxju.exe,
    и если удалить часть
    "C:\WINDOWS\apppatch\mfhpxju.exe,"
    то после перезагрузки сеанс работы пользователя сразу завершается:
    т.е. после ввода имени пользователя и пароля сразу появляется "Завершение сеанса"
    --
    т.е. ситуация аналогичная
    могу попытаться восстановить реестр из этих копий и начать обследование заново

    Добавлено через 1 час 9 минут

    дополнение к предыдущему сообщению:
    допустил неточность - резервные копии файлов реестра уже содержат значения, при которых ситуация с "Завершение сеанса" уже проявляется
    попробовал на другом компьютере в regedit подгрузить куст software из неработающего комплекта реестра и отредактировать значение Userinit
    с
    C:\WINDOWS\system32\userinit.exe,
    на
    C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\apppat ch\mfhpxju.exe,
    но ситуация не исправилась, возможно потому, что самого файла mfhpxju.exe уже нет (был удален скриптом avz)
    поищу файл mfhpxju.exe в интернет

    Добавлено через 9 минут

    поискал файл mfhpxju.exe в интернет - нигде нет
    получается выполненный скрипт avz уронил реестр
    считаю, что в данном случае перед выполнением скрипта avz нужно было забэкапить реестр и удаляемые файлы
    уважаемые Helper'ы, добавьте, пожалуйста в правила упоминание о НЕОБХОДИМОСТИ бэкапа объектов, изменяемых скриптами

    Добавлено через 21 минуту

    положил explorer.exe в папку, где был mfhpxju.exe, переименовал этот explorer.exe в mfhpxju.exe
    после ввода имени пользователя и пароля на рисунке рабочего стола запустился Проводник
    1) Ctrl+Alt+Del - диспетчер задач
    2) затем Файл - Новая задача (выполнить)...
    3) Запускаю explorer.exe
    в результате еще один Проводник
    закрываю Проводники
    убиваю в диспетчере задач mfhpxju.exe (переименованый explorer.exe)
    снова в диспетчере задач
    2) Файл - Новая задача (выполнить)...
    3) Запускаю explorer.exe
    запустился Рабочий стол
    сейчас снова подчищу систему (т.к. файлы реестра, в которых было состояние системы после работы первого скрипта avz из пункта 2 вашего ответа, я уже по неосторожности уничтожил, не создав их резервной копии)
    и отправлю логи

    Добавлено через 8 часов 44 минуты

    УРА, все работает
    в значение параметра Userinit дописал C:\WINDOWS\explor er.exe,
    и теперь он выглядит как
    C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\explor er.exe,
    система запускается и Рабочий стол отображается. Но не знаю: верно ли я поступил?
    проблема решена, эту тему можно закрыть
    создал новую тему в продолжение
    название: параметр Userinit содержит значение отличное от C:\WINDOWS\system32\userinit.exe,
    ссылка: http://virusinfo.info/showthread.php?t=107359
    Последний раз редактировалось sirotkin; 13.08.2011 в 14:10. Причина: Добавлено

  • Уважаемый(ая) sirotkin, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Ответов: 3
      Последнее сообщение: 31.08.2010, 21:03
    2. Ответов: 4
      Последнее сообщение: 17.06.2010, 20:14
    3. Ответов: 8
      Последнее сообщение: 26.05.2010, 12:43
    4. Ответов: 5
      Последнее сообщение: 01.09.2009, 21:15
    5. Ответов: 4
      Последнее сообщение: 05.08.2009, 16:09

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00098 seconds with 17 queries