WinLocker

[Dr.Zoidberg]

Приветствую! Прошу вашей помощи, ибо сам не могу решить проблему.
Похоже словил свежий WinLocker. Схема обычная, при загрузке ОС появляется страница с предупреждением, что установленный Windows является не лицензионным и предлагается отправить смс и ввести потом полученый код. CureIt с последними базами как и AVG и Panda эту заразу не видят. Работа в обычном режиме невозможна, только в безопасном. При попытке установить Kaspersky Virus Removal Tool троянец активируется и в безопасном режиме, после чего, дальнейшие действия с системой также не возможны.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Windows\Media\sound.exe','');
 QuarantineFile('C:\WINDOWS.0\system32\drivers\sysdrv32.sys','');
 QuarantineFile('C:\WINDOWS.0\system32\io02.sys','');
 DeleteFile('C:\WINDOWS.0\system32\io02.sys');
 DeleteFile('C:\WINDOWS.0\system32\drivers\sysdrv32.sys');
 DeleteFile('C:\Windows\Media\sound.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('sysdrv32');
BC_DeleteSvc('io02');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=49515).

Попробуйте нормальный режим.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[Dr.Zoidberg]

Отлично, в обычном режиме загрузиться удалось!
Архив с карантином загрузил.

[Bratez]

Было: sound.exe - Trojan-Ransom.Win32.Delf.j (свеженький!)

Пофиксите в HijackThis:

R3 - URLSearchHook: (no name) - *{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
F2 - REG:system.ini: UserInit=C:\WINDOWS.0\System32\userinit.exe
O3 - Toolbar: QT Breadcrumbs Address Bar - {af83e43c-dd2b-4787-826b-31b17dee52ed} - mscoree.dll (file missing)
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

Рекомендуется удалить Bonjour.

Больше ничего плохого не видно.

[Dr.Zoidberg]

Большое спасибо!

[Shu_b]

Было: sound.exe - Trojan-Ransom.Win32.Delf.j (свеженький!)

вдруг кому пригодится - Пароль 5748839

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\media\sound.exe - Trojan-Ransom.Win32.Delf.j