Windows заблокирован ноутбук

[Memfis]

Здравствуйте! Прошу помощи в лечении ноутбука.
На экране висит сообщение "Windows заблокирован. Заплатите 1000руб.".
Баннер не дает войти ни в обычный режим, ни в один из безопасных....
Сразу выскакивает окно, причем перезагрузка пк тоже ограничена (курсор двигается только в пределах окна вируса, приходится переходить табом).
Cureit запустить не удается, так как нет выхода ни в один из безопасных режимов.
На ноутбуке Live CD не может выйти в графическую оболочку, просто возвращает в меню, но работает командер + командная строка в нем.
Сделать логи не получается, так как не могу перенести файлы на жестский (была предпринята попытка загрузиться с флешки, но загрузочную флешку делать не умею, а в командной строке Live CD не могу перейти на нее (либо не знаю правильной команды).
Помогите, пожалуйста, сделать логи!!!!! Каким образом одолеть этот баннер!
Заранее Вам благодарен!

[Info_bot]

Уважаемый(ая) Memfis, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Memfis]

Была получена инструкция от модератора thyrex

I этап (выполняется на чистой от вирусов машине)

1. Скачайте на компьютере, с которого сейчас пишете, образ Kaspersky Rescue Disk (около 250 Мбайт)
2. Если на зараженной машине отсутствует CD/DVD привод, создайте из этого образа загрузочную флешку (как это сделать можно посмотреть по ссылке на скачивание образа). В противном случае записываете образ на болванку, например, с помощью Nero на минимальной скорости

II этап (выполняется на заблокированной машине)

1. Зайти в BIOS и поставить в качестве первого устройства (First Boot Device или что-то подобное) загрузки CD-привод (если записывали на болванку) или USB-HDD (для загрузочной флешки)
2. Вставляете диск в привод (или подключаете флешку) и загружаетесь:
– когда пойдет отсчет времени для входа в меню (10 с), нажмите Enter
– выберите необходимый язык из списка
– нажмите 1, чтобы принять лицензионное соглашение
– выберите загрузку в графическом режиме, дождитесь окончания настройки и появления Рабочего стола
3. Запустите Kaspersky Registry Editor
4. Откроется редактор реестра
– выберите нужную систему (та, которая заблокирована), если у Вас их несколько
– посмотрите в реестре:
ветка HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
параметр userinit
параметр shell
Значения этих параметров напишите в своем сообщении

Также с помощью этого диска сделайте экспорт веток реестра HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run и HKEY_USERS\<Имя проблемной учетки>\Software\Microsoft\Windows\CurrentVersion\ Run в отдельные файлы, заархивируйте и прикрепите к сообщению

[Memfis]

Согласно инструкции проделал все операции!
Kaspersky Rescue Disk запустился.
К сообщению прикрепляю 1 архив. Внутри все необходимые экспортированные ветки.
Значения параметров:
параметр shell explorer.exe
параметр Userinit c:\Windjws\system32\userinit.exe, (на конце именно запятая).

[Memfis]

От хэлпера Techno был получен ответ:
Переименовываем файл C:\\Users\\B7E3~1\\AppData\\Local\\Temp\\ch8l0.exe в C:\\Users\\B7E3~1\\AppData\\Local\\Temp\\ch8l0.bak и пробуем запустить систему. Если запуститься - делаем логи по правилам (раздел диагностика п.1-3)

[Memfis]

Сделал все как написали: переименовал указанный файл в ch8l0.bak, запустил систему!
Сделал логи! Выкладываю.

[Techno]

Здравствуйте!!! Я вроде просил краткое описание


- Выполните в АВЗ:

begin
 ClearQuarantine;
 QuarantineFile('C:\Users\B7E3~1\AppData\Local\Temp\ch8l0.bak','');
 QuarantineFile('C:\Users\Евгений\AppData\Roaming\samson\winarj.exe','');
 DeleteFile('C:\Users\B7E3~1\AppData\Local\Temp\ch8l0.exe');
 DeleteFile('C:\Users\B7E3~1\AppData\Local\Temp\ch8l0.bak');
 DeleteFile('C:\Users\Евгений\appdata\roaming\samson\winarj.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S6120105');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S225325');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S2073168');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S431897');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S19216398');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S81138183');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S134178144');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S122126148');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S5718114');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S2156121');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S10070198');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S1666171');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S93186101');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S8013036');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S139178136');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S1704174');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S11976101');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S1019463');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S5511134');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S125196107');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S174181115');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S11314458');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S383118');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S144150192');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S541127');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S1987055');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S4511296');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S168165142');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S32148148');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S169171175');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S491495');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S9151125');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S7585139');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S181198166');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S69185100');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Shell');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','winxarj');
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Пофиксите в HijackThis:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxl.net
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxl.net
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.smaxl.net

- Повторите логи.

[Memfis]

Все сделал согласно инструкции! Выкладываю логи и карантин в шапке темы.

[Techno]

Проблемы какие-нибудь наблюдаются?

Очистите кэш оперы.

[Memfis]

Кэш очистили! Проблем нет! Спасибо огромное!
Что можете посоветовать для защиты ноутбука? Может какие обновления поставить (там лицензия).

[Techno]

- Выполните в AVZ скрипт из файла ScanVuln.txt
- Откройте файл avz_log.txt из под-папки LOG.
- Пройдитесь по ссылкам из файла avz_log.txt и установите важные обновления.
- Перезагрузите компьютер.
- Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.

[Memfis]

Прошу уточнения:
1. Данный скрипт может использоваться на любом ПК, работающем под Windows 7 или только для конкретно нашего случая с ноутбуком?
2. Скрипт копировать в меню выполнить AVZ вместе с описанием, которое в самом вверху в скобках или только начиная с var?

Заранее благодарен!

[Techno]

1. Данный скрипт может использоваться на любом ПК, работающем под Windows 7 или только для конкретно нашего случая с ноутбуком?
2. Скрипт копировать в меню выполнить AVZ вместе с описанием, которое в самом вверху в скобках или только начиная с var?

1. На любом.
2. Копировать весь.

[Memfis]

Спасибо огромное за помощь в лечении компьютера! Все очень профессионально, качественно и оперативно! Все хелперы и модераторы настоящие мастера! Спасибо создателям сайта! Даже средств небольших не жалко внести на добровольной основе! Тему можно закрывать!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\users\\b7e3~1\\appdata\\local\\temp\\ch8l0.bak - HEUR:Trojan.Win32.Generic ( DrWEB: Trojan.Winlock.5600, BitDefender: Trojan.Generic.KDV.591573, AVAST4: Win32:Kryptik-IHO [Trj] )