Trojan.Winlock борьба со зловредами.

[Валерий_ADC]

Сегоня принесли системный блок с проблемой - заблокирована Windows. Некоторый опыт в разблокировке имеется, но тут опустил пока руки. На специализированных форумах пока ничего путного не посоветовали, решил, может здесь что скажут.
Итак, на весь экран после входа в систему зависает чёрное окно с надписью и предложением положить н-е количество рублей на билайновский номер.
В безопасном режиме, режиме командной строки система не грузится, доступа к мониторингу процессов соотвественно нет. Библиотек созданных вчера-позавчера нет, папки temp вычистил, в application data ничего подозрительного нет...
Вопрос: где ещё обычно прячутся эти зловреды?

Кстати, проверил Касперским, Доктором Вебом, Нодом - говорят, что всё замечательно - нашли что-то совершенно левое и успокоились, а блок как стоял, так и стоит

[MixoID]

Итак, на весь экран после входа в систему зависает чёрное окно с надписью и предложением положить н-е количество рублей на билайновский номер.

Ой ли черное? Как показывает практика - там чаще непотребщина высвечивается...

В безопасном режиме, режиме командной строки система не грузится, доступа к мониторингу процессов соотвественно нет.

Есть четыре пути:
1. (самый простой) Грузим live vbarescue, или Drveb, гоняем гадов, после чего, получив возможность запускать процессы, восстанавливаем необходимые службы и приложения.
2. (самый правильный) Грузим консоль, ручками вбиваем еще одного админа, входим новым админом, убиваем старого.
3. (еще правильнее) Переустанавливаем винды и радуемся.
4. (самый-самый правильный) Ставим *nix и не мучаемся ваще.

Вопрос: где ещё обычно прячутся эти зловреды?

Они не прячутся. В процессах они висят в открытую, тока зайти туда...

[Валерий_ADC]

Ой ли черное? Как показывает практика - там чаще непотребщина высвечивается...

Знаю, только нынче повезло, действительно чёрное. Только текст.

Есть четыре пути:
1. (самый простой) Грузим live vbarescue, или Drveb, гоняем гадов, после чего, получив возможность запускать процессы, восстанавливаем необходимые службы и приложения.
2. (самый правильный) Грузим консоль, ручками вбиваем еще одного админа, входим новым админом, убиваем старого.
3. (еще правильнее) Переустанавливаем винды и радуемся.
4. (самый-самый правильный) Ставим *nix и не мучаемся ваще.

Они не прячутся. В процессах они висят в открытую, тока зайти туда...

1. Vba - не знаю, щас скачаю, посмотрю. Дрвеб (лайв сиди?) - как-то пробовал - поседеть можно, пока он всё просканит.
2. Каким образом?
3. Эта не интересно, эта уж когда надоест возица.
4. Не моё, нельзя.

Про процессы - во-во, только бы добраться, там уж всё понятно становится, только не добирается как-то.

[Tessaract]

Вопрос: где ещё обычно прячутся эти зловреды?

Обычно в system32 всякие заразы прячутся! Но разобраться с этой помойке...
Лучше снести все и поставить заново предварительно сохранив рабочие документы! Причем желательно отформатировав все диски!

[Полковник]

Антивирами ловить безполезно.

Грузимся с лайф-сиди, ручками давим гада в систем32, затем в безопасном режиме, а ещё лучше только в командную строку, - далее по накатанному сценарию.

Кстати, оно может прятаться также и в каталоге "Windows", в папках с контрольными точками восстановления системы... и даже в корзине.
Как правило виря сразу видно, конечно если содержание системных папок вы знаете почти наизусть.

А особо изощрённые могут сидеть вообще где угодно.
Впрочем, загрузив комп с сидюка, следует сразу смотреть автозагрузку - тут вы его моментально и отловите.

Ещё может быть включена обработка "autoexec.bat", там посмотрите. Ещё полезно глянуть в '*.ini'-файлы.

.

[Валерий_ADC]

Короче, подключил Лайв СиДи, порылся в реестре - нашёл заразу! В систем32 сидел. Загружался до входа пользователя в систему. Не, правда, первый раз такой попался. Обычно всё гораздо проще. Самое простое - откат системы (если возможно). А если это не помогает то есть программка хорошая anvir называется , показывает и автозагрузку, и запущенные процессы, и вообще, много чего: запускаешь - и всё становится понятно .