Заблокирован Windows (Trojan.Winlock, etc...)

[Obivan]

by cinder
Обзор темы, все полезные ссылки собраны здесь

Часть первая. Онлайн

Сервис деактивации вымогателей-блокеров
http://virusinfo.info/deblocker/

разблокировщик Dr.Web от Trojan.Winlock
http://www.drweb.com/unlocker/index/

разблокировщик от Касперского
http://support.kaspersky.ru/viruses/deblocker

Сервис по разблокировке от ESET
http://esetnod32.ru/support/winlock.php

Часть вторая. Оффлайн

Ransom Hide - утилита для подбора кода разблокировки
http://www.nowa.cc/showthread.php?t=262083
http://mbty2010.narod.ru/

F.A.Q. Злобный троян-вымогатель «Windows заблокирован, пошлите смс на номер…. http://www.nowa.cc/showpost.php?p=3605040&postcount=9

Восстановление userinit.exe /StayeR/
Подробнее

1. Заводим установочный диск с виндой. Винда должна быть ОБЫЧНАЯ, БЕЗ автоустановки.
2. В самом первом меню жмем "R" для запуска консоли восстановления.
3. Входим в нужную нам копию Windows, вводим пароль администратора, если такового нет - просто Enter.
4. Появится командная строка с буквой диска и путем с Windows. Запоминаем, а лучше записываем этот путь. (По умолчанию C:\windows)
5. Вводим команду map src - получаем все буквы дисков. Нас интересует CdRom. Вид такой: D: \Device\CdRom0. (По умолчанию d: )
6. Вводим букву + : (напр. D: )
7. Заходим в папку i386, для этого пишем cd i386\
8. Финальная команда EXPAND userinit.ex_ пробел и указываем путь к папке windows, который мы записывали в пункте 4 ПРИБАВЛЯЯ в конце system32\userinit.exe т.е команда по умолчанию выглядит так : expand userinit.ex_ C:\windows\system32\userinit.exe
9. Перезагружаем машину - пишем Exit.

Если же имеем неправильную строку в реестре, то тут нужно завести LiveCD, в котором есть возможность редактировать удаленный реестр. Я для этого использую Live iNFRA CD. Там все просто - цепляемся к удал. реестру исправляем ключ Userinit и в путь...

Также

Специалист ЛК учит бороться с вирусом-шантажистом
http://www.securitylab.ru/news/378527.php

Главное антивирусное средство - голова!
http://habrahabr.ru/blogs/i_am_clever/56923/

Если имеется стойкое желание дать по рогам авторам вирусов-вымогателей, то читайте
Как нахлобучить SMS-мошенников?
http://pazzive.livejournal.com/188661.html

[il72]

Tihasez, Скачивайте Winternals ERD Commander.
Там есть Autoruns - утилитка, которая показывает какие программы и процессы запускались при старте системы, а также RegEdit.
Можно спокойно исправить автозапуск и почистить winlogon

[Tihasez]

Цитата: Сообщение от il72 Tihasez, Скачивайте Winternals ERD Commander. Там есть Autoruns - утилитка, которая показывает какие программы и процессы запускались при старте системы, а также RegEdit. Можно спокойно исправить автозапуск и почистить winlogon

щас попробую. прогу нашел скачиваю. я так понял её надо на диск закатать грузануться и как винду устанавливать сделать.
тогда она запуститься.

[kuterma2]

Tihasez,
почитайте, не поленитесь вот тут: http://ivan.vmegete.ru/?p=585

Там идёт активное общение про вирусы данного типа. Сам недавно другу комп вычистил от этой гадости, когда там почитал...

[Tihasez]

а вот как всё выглядит

http://s52.radikal.ru/i135/1008/ff/516ffe73c74ft.jpg

[kuterma2]

Цитата: Сообщение от Tihasez а вот как всё выглядит http://s52.radikal.ru/i135/1008/ff/516ffe73c74ft.jpg

О-о-о, это ещё очень даже скромненько!.. Зачастую - на весь экран приблуда вылезает, иногда с очень весёлыми картинками)

[Джафар]

Цитата: Сообщение от Tihasez у меня такая фигня. Папаня вчера по нету полазил. теперь банер висит что оплатить через терминал с сторону сервиса moplata.info на счет 004287-924675 на 300р. теперь что делать не знаю а винду сносить нельзя вообще много нужных данных. кто может знает как бороться с этим? что тут есть всё перепробовал.

Убил подобную шнягу при помощи Kaspersky Virus Removal Tool. Скачал с другого компа, пришел домой загрузил комп в "Безопасном режиме", поставил Kaspersky Virus Removal Tool, после чего запустил полную проверку и пошел пить кофе.

Был ещё один случай: там комп вообще не реагировал, ни на мышь ни на клавиатуру, пришлось отсоединять винт и тащить домой, делать полную проверку антивирусом, в результате баннер пропал.

Цитата: Сообщение от kuterma2 О-о-о, это ещё очень даже скромненько!.. Зачастую - на весь экран приблуда вылезает, иногда с очень весёлыми картинками)

обычно да, но в последнее время сталкивался только вот с такими "скромными" вариантами.

[il72]

kuterma2, Какое то извращение описано, замена куков, файлов. Зайдите с нормального испавляльщика для винды и все просто как в винде измените.
альше он все равно предлагает загрузится с образа...зачем? в ерд есть прямое редактирование как реестра так и автозапуска зараженной винды. Что еще нужно?

[Tihasez]

ничего не помогло кроме вот этого.

защел в

(C:/Documents and Settings/All Users/Application Data/TEMPdir

там файлы переименовываем расширение exe в exe_ и т.д. (перемменовать можно через архиватор)

и удаляем всю папку.

потом запускаем вот эту весЬчь

http://depositfiles.com/files/q3cyjd82w

и перезагружаем

только еще прийдется востановить антивирус.

Добавлено через 9 минут

Цитата: Сообщение от Джафар Убил подобную шнягу при помощи Kaspersky Virus Removal Tool. Скачал с другого компа, пришел домой загрузил комп в "Безопасном режиме", поставил Kaspersky Virus Removal Tool, после чего запустил полную проверку и пошел пить кофе. Был ещё один случай: там комп вообще не реагировал, ни на мышь ни на клавиатуру, пришлось отсоединять винт и тащить домой, делать полную проверку антивирусом, в результате баннер пропал. обычно да, но в последнее время сталкивался только вот с такими "скромными" вариантами.

Ни чего из антивирусов запускать не дает. просто выкидывает.

[GreekKaz]

Интересно! А этот вирус разве нельзя полностью уничтожить или придумать такую защиту чтобы не смог залезть в комп

[Abai]

Цитата: Сообщение от GreekKaz Интересно! А этот вирус разве нельзя полностью уничтожить или придумать такую защиту чтобы не смог залезть в комп

Да потому что, вирус постоянно модифицируют и на момент выхода модифицированного или криптованого вируса, его нет в базах антивируса и потому говорят что антивирусы нужно обновлять

[Yellow Mo]

Цитата: Сообщение от Tihasez у меня такая фигня. Папаня вчера по нету полазил. теперь банер висит что оплатить через терминал с сторону сервиса moplata.info на счет 004287-924675 на 300р.

попробуйте код разблокировки: 38724651

[gizmma]

Всем привет
У моей подруги та же проблема, но вирус попал в комп с телефона
Пока работаешь, все нормально, но если заходишь в интернет, появляется непристойная картинка, и написано " Отправьте смс с текстом xms на номер 3649". Пожалуйста помогите, желательно ответ в личку.
Заранее спасибо

[Tihasez]

пароли на новый баннер с тремя окошками ввода данных

http://letitbit.net/download/91683.9...anner.rar.html

[Yra76]

Товарищ прислал вот такой скрин...

И просит помочь,подскажите как удалить этого трояна.
Эти ссылки не помогли.
http://www.drweb.com/unlocker/index/?lng=ru
http://support.kaspersky.ru/viruses/deblocker

[Yellow Mo]

Цитата: Сообщение от Yra76 И просит помочь,подскажите как удалить этого трояна.

Грузимся через ERD Commander и в редакторе реестра смотрим параметры Shell и Userinit в ветке:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Shell = Explorer.exe
Userinit = C:\WINDOWS\system32\userinit.exe, (с запятой на конце)
там же можно посмотреть откуда зараза подгружается и удалить ее