Очередной СМСблокер
Уже многие столкнулись с данными СМСблокером:
Ваша операционная система заблокирована за нарушение использования сети интернет. Обнаружены следующие нарушения: Посещение сайтов порнографического содержания с элементами детской порнографии, насилия, зоофилии. Хранение видеофайлов порнографического содержания с элементами детской порнографии, насилия, зоофилии. Данная блокировка предпринята для устранения возможности распространения данных материалов с Вашего ПК в сети Интернет.
Для разблокировки операционной системы Вам необходимо:
Пополнить счет абонента БИЛАЙН №: xxxxxxxxxxx на сумму xxx рублей
После оплаты, на выданном терминалом чеке оплаты, Вы найдете, который необходимо ввести в поле, расположенное ниже
По завершении оплаты, на выданном чеке оплаты, Вам будет выдан код разблокировки, который необходимо ввести в форму расположенную ниже. После разблокировки системы, Вам необходимо удалить все незаконно размещенные материалы на Вашем ПК.
В случае отказа от платы, все данные на Вашем ПК, включая bios, Windiws будут безвозвратно уничтожены, в связи с угрозой Вашего ПК пользователям сети Интернет. пароли выложенные на сайте не помогают.
Этот вирус подменяет Explorer.exe в реестре и не дает нормально загрузиться ОС.
К сожалению средства удаления СМСблокеров от лаборатории Касперского, и DrWeb на момент написание данной статьи (09.09.10) бессильны, по крайней мере, в тех случаях, которые мне попадались.
Для восстановления работоспособности ОС необходимо Expoler поставить на место, для этого:
1. Подключаем диск с зараженной системой к другой машине, либо загружаемся с LiveCD
2. Открываем regedit (Пуск -> Выполнить –> Regedit)
3. Становимся на HKEY_LOCAL_MACHINE
4. Нажимаем "Файл" — "Загрузить куст"
5. Ищем каталог C:\WINDOWS\SYSTEM32\CONFIG на диске с зараженной ОС
6. Загружаем файл "software"
7. Набираем имя раздела old_reg (можно любое)
8. Переходим old_reg\HKEY_LOCAL_MACHINE \SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
9. Ищем и изменяем параметр Shell на Explorer.exe
10. По окончанию редактирования нажимаем "Файл" — "Выгрузить куст"
11. Перезагружаем ПК
Также некоторые модификации подобного СМСблокера, могут находиться в:
old_reg\HKEY_LOCAL MACHINE\Software\Microsoft\Windows NT\currentVersion\ winlogon
Ищем параметр Userinit, должно быть C:\Windows\system32\userinit.exe,
Если после запятой что-то прописано, то с большей долей вероятности, это и есть ваш "мучитель", удаляем все после запятой.
Поводом для написание данной статьи (кстати, это первая моя опубликованная новость на NNM), послужило множественные обращения знакомых, друзей и коллег, с просьбой помочь убрать данный блокер.
Надеюсь данный материал поможет избавить вас от проблемы.
Еще один коммент
Взято тут
)
Но ладно, шутки в сторону. ПРЕДУПРЕЖДЕНИЕ:
писал когда то на форуме нашем городском инструкцию людям:
грузишь с любого live-CD , там выполняешь regedit , клик на ветке HKLM-Software чтоб выделить слово Software , далее в меню сверху Файл — Загрузить куст , выбираешь с системного диска c:\Windows\System32\config\ файл SOFTWARE с самым большим размером и грузишь его под любым именем типа "Мой родной раздельчик" . Далее идешь в этой ветке "твой загруженный куст\Microsoft\Shared Tools\MSConfig\" и смотришь там по четырем разделам (services\
startupfolder\ startupreg\ state\) что у тя автоматом запускается в момент загрузки, лишнее сразу не удаляешь а смотришь пути на какие файлы ссылаются ссылки автозапуска и если файлы неизвестны удаляешь сами файлы затем ссылки на них. Далее идешь в раздел — "твой загруженный куст\Microsoft\Windows\CurrentVersion\Run\" и делаешь то же самое, удаляешь все ненужное предварительно отсмотрев ссылки.
Дальше идешь в "твой загруженный куст\Microsoft\Windows NT\CurrentVersion\Winlogon\" параметр Shell должен быть в explorer.exe и ничего более следом за словом explorer.exe , там обычно прописывается тело виря scrhs.exe или что то типа этого, удаляешь нахер оставляя explorer.exe
а вообще существует море способов реанимировать абсолютно убитую систему и восстановить все.
За нод тут зря ругают. Любой антивирь хорош если он с новыми базами , правильно! настроенный и свежий. Защита должна быть комплексной. Не один антивирь и фаер, башку включать надо.
На крайний — тем же планировщиком забейте импорт в реестр при загрузке вашей заранее экспортированной ветки с шеллом.