Как избавится от вируса кроме отправки смс

[serg0011]

Лечим Trojan.Winlock.2194.
Симптомы: черный экран, злобное сообщение о блокировке Виндовс в результате якобы пиратского использования ПО, требуется отправить 400 рублей на некий телефон оператора БИЛАЙН. Я излечил данный недуг с помощью BartPE, можно также использовать и LiveCD и любую другую приблуду, загружающую операционку с CD, лишь бы до реестра добраться. Грузим операционку с CD, Пуск - Выполнить вводим команду regedit(редактирование реестра), появляется редактор реестра, но не тот что нам нужен. Нам нужен реестр того пользователя из-под которого работает вирус. Для этого в открывшемся редакторе реестра выбираем ветку HKEY_USERS, открываем её. Выбираем меню Файл - Загрузить куст. В появившемся окне ишем папку с нужным нам пользователем. Обычно это C:\Documents and Settings\нужный пользователь\ В этой папочке находим файл ntuser.dat выбираем его и жмем Открыть. В следующем окне вводим имя ветки HKEY_CURRENT_USER жмем ОК. Во вновь загруженной ветке находим раздел RUN он располагается по такому пути:HKEY_USERS\HKEY_CURRENT_USER\Software\Mic rosoft\Windows\CurrentVersion\Run. Вот здесь мы и найдем первую половину камня преткновения. У меня это был параметр PC Health Status со значением C:\Documents and Settings\user\Application Data\iqjeqdpg.exe Сразу видно белиберда какая то. Безжалостно мочим этот параметр. А вместе с ним и файл, расположенный по этому пути. Смотрим мож еще чего нить там заблудилось неправильного на ваш взгляд с подобной белибердой. Но аккуратненько, можно и лишнего замочить. В общем в этой ветке дело сделано. Снова выбираем ветку HKEY_USERS, там выделяем нашу загруженную HKEY_CURRENT_USER и жмем Файл - Выгрузить куст. Далее загружаем куст HKEY_LOCAL_MACHINE. Для этого вновь Файл - Загрузить куст, идем по следующему пути c:\Windows\System32\config, там выбираем куст под наименованием software, загружаем его в окне с именем раздела пишем тоже software. В данной ветке идем по пути HKEY_USERS\SOFTWARE\SOFTWARE\Microsoft\Windows\Cur rentVersion\Run Здесь также удаляем тот же самый параметр PC Health Status У вас может быть и что то другое, так же смотрим на наличие неких посторонних параметров, их тоже удаляем. Далее обязательно идем по ветке HKEY_USERS\SOFTWARE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon ищем параметр Shell, его значение должно быть только explorer.exe, если оно иное, запоминаем путь до вредоносного файла, прописанного в данном параметре и удаляем этот файл, изменяем параметр на explorer.exe. После всего этого пробуем перезагрузиться уже с нормальной операционкой а не с CD

[tubus]

Иногда такие вирусы подменяют explorer.exe

[dim89]

Ну такая проблема обычно лечится (обычно сочетаниями клавишь shift+ctrl+alt+буква клавиатуры левой части как праило). но есть вирусы еще умнее, которым ничего не помогает обсолютно, то тогда берем реаниматор грузимся удаляем испоняемый файл, юзаем удаленный реестр и чистим все ручками. раз 10 так лечил.

[вася77]

а я просто прочитал соглашение которе присутствует в окне и позвонил по номеру и там девушка сказала код активации!!..

ай,молодца !!!

В 2009 году мобильные мошенники украли у россиян более $50 млн, а в декабре 2009-го – январе 2010 года они активизировались, увеличив оборот в несколько раз...
http://www.nextmedia.ru/223891/nmg_n...PRINT_VIEW=YES

а здесь как бороться,иногда помогает

http://itwebmarket.ru/index.php/trojanwinlock.html

[cj512]

сталкивался с вирусами, которые не дают доступ к Безопасному Режиму, так что делаем следующее:

1. Грузимся с LiveCD
2. Грузим нужны кусты реестра:

• HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run (чистим от мусора)
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run (чистим от мусора)
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows (параметр AppInit_DLLs - должен быть пустым)
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon (параметр Userinit - должен содержать тока путь C:\Windows\system32\userinit.exe )
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon (параметр Shell - содержать только explorer.exe )

3. Чистим папку автозагрузки.
4. Желательно пройтись антивирусом и AVZ (восстановление системы), но система должна уже запустится и без этого пункта.
5. Можно пробовать грузиться стандартным способом.
6. Повторить пункт 4 при стандартной загрузке.

з.ы. точно не помню все пути в реестре, но что вспомню добавлю.
з.ы.ы. причем не стоит пропускать ни один пункт реестра, т.к. на моем опыте все они могут содержать путь к вирусу.

Так же информация о данном типе вируса:
Да, действительно во время зарождения данного типа вируса было достаточно отправить смс на указанный номер и с вашего счета списалось бы рублей 20-30. Но на сегодняшний момент данная сумма является от 500 рублей и выше, что заставляет пользователей отказаться от отправки.
Хотя сам вирус и безвреден (относительно), он удаляется в течение некоторого времени. При чем для запуска вируса и его уничтожения требуется наличие интернета (путем отправки смс, где генерируется код и отсылается вирусу на ПК), после успешной идентификации он самоуничтожается (хотя на практике бывало, что не удалялся).

[Dezire]

Все-таки мне кажется проще удалить вирусяку так: www.drweb.com/unlocker/index
Тут куча паролей-кодовых слов

[cj512]

не всегда генерация паролей на сайте Др.Веба подходит, если вирус новый, то у него свой алгоритм. Лучше знать как бороться с ним самому.

[ussergio77]

не рассмотрели случай когда и в безопасный режим нельзя загрузиться...

[dim89]

ussergio77 Есть такие тоже вирусы. Иногда помогает добавления ветки реестра Safeboot. Но лучше загрузиться через реаниматор и чистить ваш реестр от туда. ))) Удачи.
PS В большей части случаев эти вирусы удаляются легко. И нет ничего сложно

[ussergio77]

пользуюсь этим: uVS - предназначен для упрощения процесса борьбы с неизвестными вирусами/троянами/руткитами как непосредственно в зараженном Windows так и для лечения неактивных и удаленных систем.
грузимся с лайфсиди загружаю утилиту выбираем каталог с виндой далее разберетесь...
помогает в большинстве случаев. Cтандартный набор джентельмена лайфсиди c cureit+TR+uVS...

качаем