Показано с 1 по 17 из 17.

поймал "вымогателя", который полностью заблокировал винду (заявка № 95367)

  1. #1
    Junior Member Репутация
    Регистрация
    19.08.2009
    Сообщений
    49
    Вес репутации
    31

    Exclamation поймал "вымогателя", который полностью заблокировал винду

    Здравствуйте!
    поймал зверского вируса-вымогателя, который жестоко заблокировал систему ХР, требовал денег на телефон мобильный (номер не запомнил) и угрожал проблемами с компом и с биусом при попытке переустановить винду. Вирус при этом не позволял ничего делать - стрелка мыши была прихвачена к окну сообщения вируса, диспетчер задач не вызывался.
    Попытался восстановить систему с установочного диска, но загрузка "застряла" на полпути, в режиме установки, когда оставалось 32 минуты.
    В конце концов с установочного диска отформатил раздел С и установил все по новой, пока работает.

    Но: практически сразу после установки система нашла новое устройство sistem, стала просить ПО. я поставил диск к материнке с драйверами, но там ничего не нашлось, на установочном винды тоже.
    В диспетчере устройств нашол 5 неизвестных устройств, где в свойствах и сведениях указано:
    ROOT\SISTEM\0004
    ROOT\SISTEM\0005
    ROOT\SISTEM\0006
    ROOT\SISTEM\0007
    ROOT\SISTEM\0008
    у всех В общих сведениях:
    тип устройства - системное устройство,
    изготовитель - нет данных,
    размещение - нет данных.

    код оборудования root\DTSoftBus01
    перечислитель ROOT
    флаги Devnode DN_ROOT_ENVERATED
    DN_HAS_PROBLEM
    DN_DISABLEABLE
    DN-NT_ENUMERATOR
    DN_NT_DRIVER
    ConfigFlags: CONFIGFLAG_FAILEDINSTALL
    CsconFigflags: CSCONFIGFLAG_DISABLED
    соустановщики классов: SysSetyp.Dll,CriticalDeviseConstaller
    текущее состояние эл питания: D3
    возможности эл питания: PDCAP_D0_SUPPORTED
    PDCAP_D3_SUPPORTED
    сопоставления энергосбережения: S0->D0
    S1->D3
    S2->D3
    S3->D3
    S4->D3
    S5->D3
    Вроде так, если не ошибся при переписывании.
    Все остальное в сведениях пусто.
    В системном реестре есть:
    HKEY_CURRENT_CONFIG\System\CurrentControlSet\Enum\ ROOT\SYSTEM\0004, 0005, 0006, 0007, 0008 и еще
    ...ROOT\ESET_EPFWNDISMP\0000, 0001, 0002
    ...ROOT\MS_L2TPMINIPORT\0000,
    ...ROOT\MS_NDISWANIP\0000,
    ...ROOT\MS_PPPOEMINIPORT\0000,
    ...ROOT\MS_PPTPMINIPORT\0000,
    ...ROOT\MS_PSCHEDMP\0000, 0001, 0002
    ...ROOT\MS_PTIMINIPORT\0000.

    Что это или кто это такие???

    мне знакомые предположили, что это могут быть типа "виртуальные" диски, созданные вирусом-вымогателем.
    Можно просто удалить в реестре этот раздел?

    Я попробовал по вашим рекомендациям после загрузки инструментов зайти в безопасный режим и запустить AVPTool, но после F8 комп предложил загрузку Select Boot Devise с флоппи, винта или DVD привода.
    Там нет вариантов загрузки нужных режимов! Как туда войти? получается, что F8 у меня вызывает другое меню (винда ХР).

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Nikkollo
    Регистрация
    13.03.2009
    Сообщений
    7,231
    Вес репутации
    430
    Цитата Сообщение от Владимир Олейник Посмотреть сообщение
    после F8 комп предложил загрузку Select Boot Devise с флоппи, винта или DVD привода.
    Выберите загрузку с винчестера, нажмите Enter и продолжайте дальше долбить F8.
    Даже в самом пустом из самых пустых есть двойное дно © Пикник
    Вы можете отблагодарить нас так

  4. #3
    Junior Member Репутация
    Регистрация
    19.08.2009
    Сообщений
    49
    Вес репутации
    31
    3 раза так проходил, все равно нужной менюшки нет. Сейчас, в данный момент AVPTool в обычном режиме шерстит комп, уже кучу вирусов нашел удалил.
    Кстати, у меня Нод32 антивирус, я ево не выгружал, сейчас одновременно работают.
    А эти ROOT\SISTEM\000.. все таки кто такие?

  5. #4
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Nikkollo
    Регистрация
    13.03.2009
    Сообщений
    7,231
    Вес репутации
    430
    Цитата Сообщение от Владимир Олейник Посмотреть сообщение
    А эти ROOT\SISTEM\000.. все таки кто такие?
    Их удалять не надо.
    Когда AVPTool закончит, сделайте раздел "Диагностика" правил:
    http://virusinfo.info/showthread.php?t=1235
    и приложите логи в этой теме.
    Даже в самом пустом из самых пустых есть двойное дно © Пикник
    Вы можете отблагодарить нас так

  6. #5
    Junior Member Репутация
    Регистрация
    19.08.2009
    Сообщений
    49
    Вес репутации
    31
    я не смог запустить безопасный режим, F8 выдает менюшку загрузки винды с имеющихся приводов и винта.
    Диагностику в обычном режиме можно сделать?

  7. #6
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Nikkollo
    Регистрация
    13.03.2009
    Сообщений
    7,231
    Вес репутации
    430
    Да, в обычном.
    Даже в самом пустом из самых пустых есть двойное дно © Пикник
    Вы можете отблагодарить нас так

  8. #7
    Junior Member Репутация
    Регистрация
    19.08.2009
    Сообщений
    49
    Вес репутации
    31
    хорошо, дождусь когда AVPTool закончит. Я накачал гиганский объем к SAS планете, 40% всех файлов программа смогла проверить почти за 8 (!) часов. Хорошо, что она позволяет продолжить с места остановки.
    Диагностику надеюсь провести в понедельник-вторник, там и приложу логи

  9. #8
    Junior Member Репутация
    Регистрация
    19.08.2009
    Сообщений
    49
    Вес репутации
    31
    пришлось делать диагностику сегодня. Пока AVPTool докапывал остатки, монитор вышел в сберегающий режим потух, ребенок подошел и нажал кнопку сети-комп вырубился. После запуска AVPTool собрался по новой копать, но уже не хотелось ждать еще 8 часов чтобы половину просмотрел.
    прикрепил логи:

  10. #9
    Junior Member Репутация
    Регистрация
    19.08.2009
    Сообщений
    49
    Вес репутации
    31
    по результатам проверки попробую по безопасностям полазить, чтобы повыключать в менюшках разрешения удаленных доступов, обнаруженные программой AVZ. После AVPToolа вроде попался обычный Store volum information, значит AVPTool поудалял много

  11. #10
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для миднайт
    Регистрация
    28.03.2009
    Адрес
    Voronezh
    Сообщений
    9,571
    Вес репутации
    739
    В AVZ выполните скрипт:

    Код:
    begin
     DelBHO('{710EB7A1-45ED-11D0-924A-0020AFC7AC4D}');
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы.
    Paula rhei.
    Поддержать проект можно тут

  12. #11
    Junior Member Репутация
    Регистрация
    19.08.2009
    Сообщений
    49
    Вес репутации
    31
    вставил, увидел-скрипт выполнен без ошибок.
    вот карантин из AVZ, если я правильно понял. просто я не дождался, когда AVPTool доработает до конца
    Последний раз редактировалось миднайт; 17.01.2011 в 02:07. Причина: убрал карантин

  13. #12
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для миднайт
    Регистрация
    28.03.2009
    Адрес
    Voronezh
    Сообщений
    9,571
    Вес репутации
    739
    Давайте так.
    В AVZ выполните скрипт:

    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('D:\System Volume Information\_restore{A86F6AC5-4960-475D-B0AE-7E01994B274C}\RP140\A0047840.exe','');
    BC_ImportAll;
    ExecuteWizard('TSW',2,2,true);
    SetAVZPMStatus(True);
    BC_Activate;
    RebootWindows(true);
    end.

    После перезагрузки

    Код:
    begin 
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы.
    Логи повторите.
    Paula rhei.
    Поддержать проект можно тут

  14. #13
    Junior Member Репутация
    Регистрация
    19.08.2009
    Сообщений
    49
    Вес репутации
    31
    прошу прощения, :-).... красная строка такая незаметная сверху, что сразу рвусь смотреть вниз...

  15. #14
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для миднайт
    Регистрация
    28.03.2009
    Адрес
    Voronezh
    Сообщений
    9,571
    Вес репутации
    739
    Ничего плохого в логах не видно.
    Paula rhei.
    Поддержать проект можно тут

  16. #15
    Junior Member Репутация
    Регистрация
    19.08.2009
    Сообщений
    49
    Вес репутации
    31
    то есть все плохое AVPTool смог поудалять, сейчас все работает нормально.
    Благодарю за помощь!

    Р. S. только не пойму- 5 раз просматривал раздел "помогите", искал свою тему, НЕ БЫЛО!!! вдруг появилось...

  17. #16
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Nikkollo
    Регистрация
    13.03.2009
    Сообщений
    7,231
    Вес репутации
    430
    Цитата Сообщение от Владимир Олейник Посмотреть сообщение
    Р. S. только не пойму- 5 раз просматривал раздел "помогите", искал свою тему, НЕ БЫЛО!!! вдруг появилось...
    Вверху справа есть ссылка - "Найти темы с вашими ответами"
    Даже в самом пустом из самых пустых есть двойное дно © Пикник
    Вы можете отблагодарить нас так

  18. #17
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 1
    • В ходе лечения вредоносные программы в карантинах не обнаружены


  • Уважаемый(ая) Владимир Олейник, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Ответов: 7
      Последнее сообщение: 26.04.2012, 15:16
    2. Ответов: 2
      Последнее сообщение: 20.12.2009, 19:12
    3. помогите как мне избавиться от "вымогателя"
      От санёк888 в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 09.09.2009, 21:26
    4. Ответов: 4
      Последнее сообщение: 11.06.2009, 10:23

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00307 seconds with 16 queries