[решено] Winlock

[kit10]

Сегодня включил Пк и обнаружилась эта дрянь (видать вчера брат гдето полазил, не важно). по описанию - Winlock.Просит денег на стандартный номер, блокирует сочитания клавиш с шифт 8 раз и контролами, риестр, антивирусы и сканы. Работает даже в сейф моде. Кароче дрянь уже продуманая (читал про 1 версии) Помогите, как избавиться.

Стандартные процедуры естевственно выполнить не получаеться

[Drongo]

Стандартные процедуры естевственно выполнить не получаеться »Это пробовал? офлайн форма для разблокировки WinLock (http://www.forum.oszone.net/thread-148188.html)

[kit10]

Конечно. Коды не подходят - у меня белое меню. При запске любого екзе файла оно или перегружает систему, или просто закрывает процесс. "Делейт винлок" не запускаеться в безопасном (или просто вирус не дает ее запустить) а в обычном - просто блочиться или перезагружаеться система. Кажеться все что мог найти в интернете по поводу разблокировки не помогло.

[zeroua]

Drongo, прошу прощение за офф топ, просто интересно есть ли шансы найти и вылечить зловред данного типа при помощи Dr.Web LiveCD?

[thyrex]

Шанс есть всегда. Беда в том, что они мутируют слишком быстро

kit10, судя по всему Вы попали на iMAX Download Manager
Там зловредная dll-ка прописалась в AppInit_DLLs и sdra64.exe в качестве перехватчика userinit.exe

[zeroua]

thyrex, мне с работы сегодня такой привезли проблема в iMAX Download Manager, для него спец утилиты есть ? для лечения а то у меня кроме того что на этой машине выбивает окно вымогателя так ещё и чего-то не видит ХП, ЮСБ мышь и клавиатуру, Dr.Web LiveCD мне казалось нашел его вирус даже два но похоже это было далеко не все (((

[kit10]

2 thyrex - именно она- iMAX Download Manager. Хм, странно, был уверен что написал ее название. Проблема в том, что эта версия хоть и не блочит клавиатуру, мышь и интернет, но меняет разрешение дисплея и перегораживает своим окном почти все пространство... Хоть в сюда смог зайти. Сейчас прошло 2 часа - иконка пропала, но я думаю это ненадолго... наверное до 1 перезапуска системы или до первого запуска антивируса.

Да, как и думал. Диспетчер задачь не срабатывает, и програмы запускать не могу, кроме експлорера. Антивирусы не пробовал сейчас, но не думаю, что мне позволят...

[thyrex]

zeroua, спецутилит нет

Но через файловый менеджер DrWeb LiveCD можно поискать в папке system32 dll-ки
размер 133664 байт
MD5: 9664EDEC7C56307DC5B483F08CCD4046
Дата создания 24.09.2007
Их скорее всего будет несколько одного размера. Касперский в них детектит Packed.Win32.Krap.w. Доктор на 08.12.2009 15:41:56 еще не детектил

В комплекте идет авторанер
размер 57 байт
MD5: EE55A8DE50A34E5AA56EE31FC3CD950B
Дата создания 24.09.2007 Касперский в нем детектит Trojan.Win32.AutoRun.oc. Доктор на 08.12.2009 15:41:56 еще не детектил

Плюс там же можно поискать sdra64.exe

[kit10]

Как искать, если при использовании антивируса оно его или блокирует, или перезагружает систему. Может можно както отменить перезагрузку... или, у меня закончились идеи что с этой штукой делать...

О, обнаружмл интересную штуку. 2 клик по часам (дата и время) на короткое время убирает окно

[kit10]

Удалось сделать скан лог прогой HijackThis, хотя не знаю, поможет ли оно

[zeroua]

thyrex, эту дрянь нашел лайф сиди и убил вроде я про sdra64.exe

[kit10]

Наверное это хорошо ;)

[thyrex]

Удалось сделать скан лог прогой HijackThis, хотя не знаю, поможет ли оно »Можно попробовать. Давайте лог

[zeroua]

thyrex, я такой чумы давно не видел (: решение принял о переустановке... 4 часа времени убил на возню с этой системой (

[kit10]

Лог по ссылке http://ifolder.ru/15379794

[thyrex]

Пробуйте, но шансы малы

Пофиксите в HiJack
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O20 - AppInit_DLLs: C:\WINDOWS\system32\nrspj.dll

Если не поможет, пробуйте AVP Tool (http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/) Вроде бы тоже им уже можно вылечить в безопасном режиме

[zeroua]

thyrex, kit10, заметил что в безопасном режиме этот вирус запускает Shutdown на минуту думаю это можно остановить заранее создав такой ярлык на рабочем столе %windir%\system32\shutdown.exe -a либо в выполнить прописать shutdown.exe -a

[kit10]

zeroua перезагрузку не отменяет. Сделал ярлык и сидел кликал после включения АВЗ (так как там 2-3 сек. до перезагрузки остаеться) и ничего, всеравно перезагрузило.
thyrex - пофиксить удалось, но вроди ничего не дало

AVPTool не могу скачать, так как ссылка закрываеться, не превратившись в окно... просто капец какой-то.

[thyrex]

AVPTool не могу скачать, так как ссылка закрываеться, »Так лучше качать на чистом компьютере. Хоть AVPTool, хоть LiveCD

[kit10]

Так и сделал... буду пробовать сейчас на свой ставить