Как я своими руками вирус победил!

[Anthony]

Меня вчера вечером атаковал вирус-вымогатель, который блокирует загрузку windows и требует отправить 2000 рублей на указанный номер телефона иначе кранты. Перезагружаюсь - винда не грузится, вылезает это окно. Перезагружаюсь в безопасном режиме - то же самое. Перезагружаюсь в безопасном режиме с командной строкой. Работает, вирус загрузку не блокирует! Из командной строки запускаю explorer.exe - безопасный режим с графическим интерфейсом работает! Похоже автор вируса туповат и такой возможности загрузки Windows не предусмотрел. Ладно, поехали дальше.

Со второй, незараженной машины лезем на сайт Касперского, скачиваем Kaspersky Rescue Disk и делаем загрузочную флэшку. Грузим зараженный комп с этой флэшки. Запускаем с нее утилиту Windows Unlocker. Она чистит реестр и удаляет оттуда подозрительную хрень. ОК. Проверяем диски компьютера на вирусы. НИЧЕГО! Странно. Выключаем компьютер. Убираем флэшку. Грузим с жесткого диска Windows в безопасном режиме. Заработал! Грузим Windows в обычном "опасном" режиме. Фиг вам, вирус тут как тут! Грузим Windows в безопасном режиме - опять вирус! Диагноз ясен - вирус засел в области, которая грузится в опасном режиме и не грузится в безопасном. А при загрузке в опасном режиме вирус повторно заражает реестр.

Снова загружаем компьютер с флэшки и Windows Unlocker'ом чистим реестр. ОК. Смотрим внимательно журнал чистки реестра - утилита удалила ссылку на подозрительный exe файл с названием из двух десятков цифр. Проверил этот файл касперским - он его не считает зараженным! Изучаю этот файл. Размер 57 килобайт. Дата создания - сегодняшний (ну то есть уже вчерашний) вечер. То есть 99,99% что этот файл - вирус! Но вирус новый и ни касперский с базами от 20.07.2012 г., ни стоящий на моем компе антивирус Trend Micro его еще не знают. Ладно. Выписываю название этого файла на бумажку и файловым поиском ищу этот файл по всем жестким дискам. Нахожу его только в одном месте и вручную удаляю. Выключаю компьютер, вытаскиваю флэшку и загружаю Windows с жесткого диска в безопасном режиме. Работает, нет вируса! Не без страха перезагружаюсь и загружаю Windows в обычном, "опасном" режиме. Ура, работает, нет вируса!

Так я победил вирус, еще не известный антивирусам.

[chemist]

Ухтышка, поздравляю! . У меня бы были матюки в три горла и терпения не хватило
А вирусописака - двоечник несчастный

[Polychemist]

Ага. Бывает. У DrWeb-a также есть неплохая чистилка с флэшки. Пару раз странные файлы из почты, пропущенные антивирусом, посылал Касперскому, проверив их онлайн-сервисом. Говорили спасибо.

[EvgeniX]

Это не вирус, это троян. Был бы настоящий вирус, без антивируса трудно было бы что-нибудь сделать.

Я как-то тоже так трояна-вымогателя денег у знакомых удалил. Загрузился в безопасном режиме с командной строкой, запустил regedit, обнаружил, что оболочка из значения explorer.exe заменена на что-то другое, поменял, после этого в нормально режиме оболочка появилась, скачал/запустил антивирус и всё окончательно вычистил.

[Abwer]

Я в таких случаях переустанавливал систему ((
А на смартфон ставить антивирус надо?

[ Post made via Android ]

[Panda]

Меня вчера вечером атаковал вирус-вымогатель, который блокирует загрузку windows и требует отправить 2000 рублей на указанный номер телефона иначе кранты.

Интересные вещи происходят в россии............

[Hedgehog]

Anthony, респект! я в аналогичной ситуации не стал заморачиваться и снёс винду )

[ Post made via Windows Smartphone ]

[Helлен]

У меня сейчас эта беда(((
Каспер не помог( Загружала с др . машины Касперского, а он с флешки анлокер не видит ), пытаюсь Вебом лечить, пока 4 часа прошло... Что-то нашлось, но пока не ясно : процесс идет.
Только в безопасный режим выйти не получилось, как у Anthony.
Винду пока сносить не хочу.

[Anthony]

Anthony, респект! я в аналогичной ситуации не стал заморачиваться и снёс винду )

Для меня снос винды с сохранением всей информации и последующей неизбежной переустановкой всего и вся означал минимум целый день геморроя, поэтому я принял решение еще побороться.

[Helлен]

Веб помог+ вручную реестр просмотрела

[Polychemist]

Поздравляю!

[Biginelli]

Да, ловил как-то нечто похожее с вымогательным баннером. При нажатии alt+tab одно из окошек звалось xodecc.exe. В Task manager вырубается xodecc.exe, отыскивается на жестком диске и убивается ручками. Этот вирусописатель был еще тупее, у Вас случай болел сложный.

[Anthony]

Да, ловил как-то нечто похожее с вымогательным баннером. При нажатии alt+tab одно из окошек звалось xodecc.exe. В Task manager вырубается xodecc.exe, отыскивается на жестком диске и убивается ручками. Этот вирусописатель был еще тупее, у Вас случай болел сложный.

У меня вирусняк task менеджер открывать не давал.

[palek]

Вроде, эпидемия этого трояна была осенью прошлого года. Сейчас новый всплеск? Или это отдельные случаи вялотекущего хронического распространения?

[Anthony]

Вроде, эпидемия этого трояна была осенью прошлого года. Сейчас новый всплеск? Или это отдельные случаи вялотекущего хронического распространения?

Троянов-вымогателей существуют десятки и сотни, а может быть и тысячи. Судя по тому, что сразу два антивируса со "свежими" базами "мой" троян не знают, можно предположить, что он новый.

[VOVAN CIR]

На докторвэбе есть страничка с паролями для разлочки.

to Abwer, ИМХО на смартфоне словить вирус намного сложнее, хотя говорят, что под андроид есть вирусы.
WinPhone в этом смысле лучше

[ Post made via Windows Smartphone ]

[Агдамыч]

У меня вирусняк task менеджер открывать не давал.

Это типично для "вирусопейсателей": ставят через реестр блокировку таскманагера. Не помню уже путь к соответствующей записи там, но данный трабл решается легко.
УПД. Находим запись DisableTaskMgr и меняем "1" на нолик.

[Upstream]

Около года назад залетел с аналогичным вирусом-вымогателем, который блокировал доступ к интернету. Подозреваю, что подхватил его в результате нажатия на крестик на всплывшем рекламном предложении при отключённом антивирусе. Пришлось педантично переписать вымогательный текст на бумажку и по нему на здоровом компьютере влоб нагуглить конкретное лекарство.

[Smol]

Коллеги, меня вчера тоже этот вирус (троян) атаковал, ноутбук пока блокирован, поэтому я в оффлайн. Чистить начну через пару-тройку дней, ибо все еще не дома.
А как "загрузиться в безопасном режиме с командной строкой" на ноуте? Что и когда надо нажимать при запуске? Пока мне приходится для перезапуска отсоединять батарею, иначе троян не уходит...

Пока сходил на Доктор Вэб, уже дома попробую через его сервис разблокировку подобрать...

[Biginelli]

А как "загрузиться в безопасном режиме с командной строкой" на ноуте? Что и когда надо нажимать при запуске? Пока мне приходится для перезапуска отсоединять батарею

F8 обычно до того, как появится экран 'starting windows'