57 ответов в этой теме

[Golberg]

Сегодня утром поймал новый вид винлока.Проблема такова при загрузке виндоуса раздается писк и вылазит сообщение о том что,мол отправьте смс на номер 5121 с кодом 6625015
Но главная проблема в том , что ни пуска не ярлыков...ничего кроме этого меню нету.
Пробовал проверку через LiveCD ничего не дало, запуск ERD Commander-ом проверяю реестр в
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

ключ "Userinit"="С:\WINDOWS\system32\userinit.exe," все впорядки, но зато в


[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

ключ "Shell"="cmd.exe/k start cmd.exe" пробовал менять на ключ "Shell"="Explorer.exe" , однако вирус не пропадает и при следующей проверке ключа там ключ вируса

Но,заметил одну странную вещь...В:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

ключ "Userinit"="С:\WINDOWS\system32\userinit.exe,"вместо диска "С" стоит Диск "Х" ключ "Userinit"="Х:\WINDOWS\system32\userinit.exe,"

И еще очень много где в реестре вместо диска "С" прописался "Х" , которого нет в компьютере,пробывал изменить на "С" , но видимо где-то еще сидит зараза и ставит "Х"




Подскажите где еще может быть это зараза....напоминаю сразу....к компьютеру доступа никакого ни диспечера ничего,так что логи не выложить

Пробовал сгенерировать код разблокировки,не помогло

[account has been deleted]

Логи по правилам раздела!

[Golberg]

говорю же нет доступа к логам

[userr]

Но,заметил одну странную вещь...В:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

ключ "Userinit"="С:\WINDOWS\system32\userinit.exe,"вместо диска "С" стоит Диск "Х" ключ "Userinit"="Х:\WINDOWS\system32\userinit.exe,"

И еще очень много где в реестре вместо диска "С" прописался "Х" , которого нет в компьютере,пробывал изменить на "С" , но видимо где-то еще сидит зараза и ставит "Х"

Так Вы в ERD Commander подгрузили куст HKEY_LOCAL_MACHINE с больной машины или нет?

[Golberg]

Подгрузил,но интернет не запускается и никак их не перекинуть

[userr]

Golberg
что-то не верится, что с неправильным путём к userinit система вообще загрузится

[Golberg]

тогда может то что стоит диск Х это глюк erd commandera?

[userr]

Golberg
http://wiki.drweb.com/index.php/Userinit
http://wiki.drweb.com/index.php/Userinit2

почитайте.
из под erd commander сотрите все в "c:\Documents and Settings\<Username>\Local Settings\Temp" c:\WINDOWS\Temp

c:\WINDOWS\system32 c:\WINDOWS\ ищите *.exe файлы со свежей датой, посмотрите на них внимательно, свойства и т.п.

[Golberg]

подобрал к нему код разблокировки...появился рабочий стол,однако регедит диспетчер задач остаются недоступны

[pig]

Выполняйте правила.

[userr]

Golberg
Сообщение #2 + ftp://ftp.drweb.com/pub/drweb/windows/plstfix.exe

[Golberg]

Вот лог, а plstfix.exe не запускается...сейчас попробую запустить наночу cureIT

Прикрепленные файлы:

•  hijackthis.log   5,94К   48 Скачано раз

[mrbelyash]

C:\Windows\system32\user32.exe -в вирлаб

C:\Windows\system32\conime.exe-туда же

C:\Windows\system32\sdra64.exe-туда же

F2 - REG:system.ini: Shell=explorer.exe,user32.ex-фиксить в HJ

[mrbelyash]

Вирусы на форуме выкладывать запрещено. Сообщение скрыл

[Golberg]

а куда тогда их?

[mrbelyash]

а куда тогда их?

[Golberg]

вирус отправил...логи еще раз выложить тут или ненадо?
И через сколько придет ответ на те файлы?

[Golberg]

Не знаю пригодится ли это , но вот мои логи при запущеной зараженной системе а не через erd Commander

Кстати проверка CureIT ничего не дала

Прикрепленные файлы:

•  reg2.rar   10,44Мб   27 Скачано раз

[Golberg]

из под erd commander сотрите все в "c:\Documents and Settings\<Username>\Local Settings\Temp" c:\WINDOWS\Temp

c:\WINDOWS\system32 c:\WINDOWS\ ищите *.exe файлы со свежей датой, посмотрите на них внимательно, свойства и т.п.

Temp чистил,в c:\WINDOWS\system32 и c:\WINDOWS\ *.exe файлы со свежей датой нету

[Golberg]

Вроде бы удалось запустить plstfix.exe ... заработал диспетчер задач....Но как мне теперь узнать вылечил ли я свой комп,или зараза все еще там сидит и снова объявится?Поможет ли очередная проверка?