• Авторизация
Дневник mari_ana Лента друзей - Дневник - Полная версия


чуть-чуть о разблокировке Windows ... 14-07-2010 12:27 к комментариям - к полной версии - понравилось!

Это цитата сообщения sunsan Оригинальное сообщение

чуть-чуть о разблокировке Windows ...

 

***

И сказал вирусописатель вирусам: «Плодитесь и размножайтесь!..».

(Компьютерные байки)

 

 

В последнее время наблюдается рост количества вредоносных программ-вымогателей, требующих отправить на короткий номер sms-сообщение для получения доступа к заблокированной системе или к пользовательским файлам (стоимость одного сообщения – в пределах нескольких сотен рублей).

 

8 апреля 2009 г. компания «Доктор Веб» сообщила о появлении нового образца подобной троянской программы, которая при запуске Windows предлагает ввести «регистрационный код» – якобы для регистрации нелицензионной копии Windows. Для разблокировки доступа к системе (якобы для получения регистрационного кода) требуется отправить платное sms-сообщение – с указанным текстом (последовательность случайных цифр) на указанный номер.

 

Примерный текст сообщения: «Windows заблокирован. Для разблокировки необходимо отправить смс с текстом 4128800256 на номер 3649. Попытка переустановить систему может привести к потере важной информации и нарушениям работы компьютера».

В окне доступны текстовое поле Ввести полученный код и кнопка Активация.

 

 

***

Что представляет собой вирус, блокирующий запуск Windows

Данная вредоносная программа была добавлена в вирусную базу Dr.Web 08.04.2009 г., под названием Trojan.Winlock.19. Ее модификации автоматически распознаются технологией Origins TracingTM как Trojan.Winlock.origin.

Антивирус Касперского распознает вирус с 13.04.2009 г., как Trojan-Dropper.Win32.Blocker.a и Trojan-Ransom.Win32.Agent.af.

Panda Security с 20.04.2009 г. идентифицирует вирус, как Trj/SMSlock.A.

 

Вирус-блокировщик попадает на ПК пользователей, как правило, под видом видеокодеков, электронных книг или аудиофайлов.

 

Вирус представляет собой троянскую программу, устанавливающую в систему другую вредоносную программу, которая блокирует работу операционной системы Windows.

Программа является приложением Windows (PE EXE-файл). Имеет размер 88576 байт. Написана на C++.

 

 

***

Деструктивные действия вируса

После активации вирус извлекает из своего тела файл во временный каталог текущего пользователя Windows – %Temp%\<rnd>.tmp (<rnd> – случайная последовательность цифр и букв латинского алфавита).

Данный файл имеет размер 94208 байт.

 

После успешного сохранения файл запускается на выполнение, выполняя следующие действия:

– для автоматического запуска в разделе [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] системного реестра вирус изменяет значение строкового (REG_SZ) параметра Userinit – на %Temp%\<rnd>.tmp;

– в зависимости от текущей даты вирус отправляет http-запрос: http://%3Crnd1%3E.com/regis***.php?guid={<rnd2>}&wid=<rnd3>&u=<rnd3>&number=<rnd4>install=1,

где <rnd1> – url-ссылка, сформированная по специальному алгоритму в зависимости от текущей даты;

     <rnd2> – специально сформированный уникальный идентификатор;

     <rnd3> – случайное число;

     <rnd4> – серийный номер жесткого диска;

 

– после перезагрузки ПК вирус выводит окно с предложением отправить sms-сообщение на указанный номер для разблокировки;

– при разблокировании операционной системы Windows в рабочем каталоге вируса создается файл командного интерпретатора под именем a.bat. В данный файл записывается код для удаления оригинального файла вируса и самого файла командного интерпретатора;

– затем файл a.bat запускается на выполнение (кстати, этот вирус «склонен к самоубийству»: через 2 часа после запуска он делает себе «харакири», то есть самоуничтожается, если в течение 2-х часов код разблокировки не введен).

 

 

***

Как разблокировать Windows

• Для ручной разблокировки Windows, заблокированной вирусом Trojan.Winlock, вы можете воспользоваться формой, разработанной специалистами «Доктор Веб»:

– в текстовое поле Текст для SMS введите текст sms (с экрана монитора заблокированной системы), нажмите кнопку OK;

– в текстовом поле Код активации появится код, который нужно ввести в текстовое поле Ввести полученный код на заблокированной системе.

 

 
Текст для SMS:
Код активации:

 

 

 

• «Лаборатория Касперского» не осталась в стороне и запустила бесплатный online-сервис разблокировки зараженных ПК:

– зайдите на страницу Сервис деактивации вымогателей-блокеров «Лаборатории Касперского»;

– в соответствующие текстовые поля введите номер телефона (на который вам предлагается отправить SMS) и текст сообщения, которое требуется отправить на этот номер;

– нажмите кнопку Получить код разблокировки:

 

[570x400]

 

 

***

Как удалить вирус вручную

Загрузите Windows в так называемой «чистой среде», например, воспользовавшись загрузочным аварийно-восстановительным диском, типа Windows miniPE или ERD Commander:

– вставьте диск с ERD Commander в лоток CD-ROM, перезагрузите ПК;

– во время перезагрузки нажмите Delete для входа в CMOS Setup Utility;

– установите загрузку ПК с CD-ROM, нажмите F10, санкционируйте сделанные изменения, начнется перезагрузка;

– в появившемся меню Мастер восстановления Windows XP выберите Загрузка ERD Commander –> Enter;

– внизу появится строка состояния Starting Winternals ERD Commander;

– после загрузки драйвера видеокарты в появившемся окне нажмите кнопку Skip Network Configuration;

– в окне Welcome to ERD Commander выберите свою ОС –> OK;

– когда загрузится Рабочий Стол, дважды щелкните значок My Computer;

– в окне ERD Commander Explorer раскройте диск, на котором установлена ОС (как правило, C:\);

– удалите оригинальный файл вируса, как правило, он расположен во временном каталоге текущего пользователя Windows – %Temp%\<rnd>.tmp (может иметь атрибуты Скрытый, Системный, Только чтение);

– закройте окно ERD Commander Explorer;

– нажмите Start –> Administrative Tools –> RegEdit;

– в окне ERD Commander Registry Editor найдите раздел [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon];

– исправьте значение строкового REG_SZ-параметра Userinit на C:\WINDOWS\system32\userinit.exe, (если система установлена на диске C:\, если на другом диске, то <буква_диска>:\Windows\system32\userinit.exe,). Вирус устанавливает значение этого параметра %Temp%\<rnd>.tmp;

– в этом же разделе исправьте (при необходимости) значение строкового REG_SZ-параметра Shell на Explorer.exe;

– закройте окно ERD Commander Registry Editor;

– нажмите Start –> Log Off –> Restart –> OK;

– во время перезагрузки нажмите Delete для входа в CMOS Setup Utility;

– установите загрузку ПК с винчестера, нажмите F10, санкционируйте сделанные изменения, начнется перезагрузка;

– загрузите Windows в обычном режиме;

– проверьте систему антивирусом со свежими базами.

 

 

Примечания

1. Внимание! Не поддавайтесь на уловки вирусописателей, – не отправляйте sms по указанному номеру, не дарите деньги вымогателям, создавшим вирус.

2. Кстати, установочный файл вируса-блокировщика, как правило, снабжен «лицензионным пользовательским соглашением», в котором упоминается возможность блокировки ПК. Пользователи фактически добровольно соглашаются на установку зловреда на свой ПК: кто читает при установке программ эти самые лицензионные соглашения? Тем более, что некоторые версии вируса-блокировщика практически не оставляют шансов сколько-нибудь подробно ознакомиться с пользовательским соглашением, показывая его лишь на несколько секунд (или же вовсе не показывая его!), а затем автоматически устанавливаются в систему. Но в любом случае пользователь устанавливает зловреда в систему сам!..

3. Помните, что предупредить легче, чем лечить! Пользуйтесь брандмауэрами и надежными антивирусными программами с регулярно (не менее одного раза в неделю!) обновляемыми базами.

 

Валерий Сидоров

 

 

***

• «Доктор Веб» помогает избавиться от троянца, блокирующего доступ к системе

• Ransomware Reloaded – PandaLabs

• Trojan-Dropper.Win32.Blocker.a

 

 

 

 

Он появляется неожиданно и не пропадает после перезагрузки, занимая практически весь рабочий стол, оставляя лишь немного места по краям. С этим неприятным явлением сталкиваются многие пользователи в последнее время. Порно-баннер вульгарен и работать за таким компьютером невозможно. Если раньше он появлялся только при открытии браузера, а как удалять порно информер в Internet Explorer мы уже знаем, то теперь загружается при загрузке компьютера. Виновник как и прежде один - это Вы. Решение: лечить и только лечить, так как это вирус и не более, а потому подавляется боевыми бригадами антивирусов.
 Здесь рассматривается случай, когда рабочий стол закрыт частично, то есть можно запускать программы. Если у Вас заблокирован Windows и требуется СМС, то как избавиться от этого читаем здесь
Ситуация на фронте
Лаборатория Др.Веб отметила эпидемию СМС-вирус на российском пространстве Интернета, однако ОпСоСы не чешутся, чтобы прикрывать лавочки вымогателей с короткими номерами. А потому приходится сражаться как придётся. В последнее время появились новые виды вирей, которые грузятся сразу вместе в процессомexplorer.exe. Dr.Web CureIt их не видит, чтобы не мучится и смотреть на порно-баннер, нужно завалить процессЭксплорера. Как убивать процесс по имени можно прочитать здесь. Для примера, завалить explorer.exe с командной строки можно так:
TASKKILL /f /im explorer.exe
Баннер хотя бы пропадёт и не будет мешать заниматься лечением.
Запускается очень просто, нужно набрать в командной строке (Windows+R): explorer.exe
Если получается, рекомендую именно первый способ лечения, к чему заниматься поиском ещё не найденного кода ответа, если можно просто вернуть всё как было.
 
Способ 1 (простой): Восстановление системы Windows
 
В первую очередь стоит выполнить восстановление ОС Windows её же средствами. Для этого зайдите в меню Пуск -> Стандартные -> Служебные -> Восстановление системы. Или же нажмите одновременно сочетание клавишWindows+R. В появившемся окне "Выполнить", введите rstrui.exe. Это одно и то же.  добро. Если Вы или Ваш супер-грамотный знакомый отключили функцию "Восстановления системы", то вынужден Вас поздравить: "Поздравляю, Шарик, ты - балбес!" (С). Ибо эта нехитрая утилита позволяет восстанавливать состояние реестра и системных файлов до того времени, пока зловреда на Вашей территории не было. Если же Вы грамотный человек, то функция работает и немедленно приступаем к восстановлению. Как правило, система сохраняет параметры во время выключения, причём хранит копии нескольких дней, выбирете копию двухдневной давности на всякий случай. После этих действий система перейдёт в перезагрузку и окно пропадёт.
При этом данные (документы, фильмы, музыка) пользователя останутся в целости и сохранности.
Способ 2 (удобный): Проведите проверку бесплатными сканерами
Если Интернета нет, то лучше воспользоваться бесплатными антивирусными сканерами - Dr.Web CureIt или Kaspersky Virus Removal Tool. Безопаснее записать их на CD и запускать их с привода, если имеется такая возможность. Можно и прямо с флешки, так как баннеры и информеры не отличаются насильственным характером и убивать Курита или Ремовалу на лету не станут. Обязательно проверить папку Windows и Users (Documents And Settings по-старому) - это цитадель заразы, именно там чаще всего поражают файлы вирусы и прочая дрянь.
 еще:
Зайдите на сайт freedrweb.com, и скачайте бесплатную (пака еще) утилиту Dr.Web CureIt!®. Установки это приложение не требует, и с установленным антивирусом не конфликтует. Запустите его и немного подождите. Он хорошо справляется с такого рода информерами, да и неплохо находит другие вредоносные программы.
.
Даже если вы удалите «руками» информер с рабочего стола, лишним не будет проверить систему этой программкой.
 Способ 3 (самый надежный): Лечение LiveCD
Это сборки, предоставляемые некоторыми производителями в бесплатное пользование для лечения заражённых компьютеров. Наиболее распространёнными являются LiveCD двух производителей - Dr.Web LiveCD и Avira Rescue System. Я бы советовал поддержать отечественного производителя, поверьте, в трудную минуту он поддерживать Вас не меньше. Как правило, это самозагрузочные мини-CD, который можно записать на обычную CD-болванку. После загрузки линукс-оболочки (да-да) Dr.Web начинает проверять Ваш компьютер на наличие вредоносного ПО. К тому же Dr.Web умеет проверять и реестр.
 
Способ 4 (обязательный): Установка надёжного антивируса
Если имеется хоть какая то возможность управления компьютером (иногда бывают свободные места по краям экрана), то постарайтесь установить либо Kaspersky Internet Security, либо Dr.Web. Если у Вас нет антивируса, то это ужасно, но для нашего случая даже хорошо, потому как ставить на "чистый" компьютер антивирус проще.
Если есть, и это один из двух перечисленных мной, то установите новые версии - их делают не просто так, новая версия поставится поверх старой. Если другой разработчик - то следует его удалить. К слову, многие антивирусы защищают себя уже при установке, предварительно убивая всех вирусов на машине, для этих целей Kaspersky Antivirus - это оптимальный выбор, настоящий кровавый наёмник.
 
Способ 5 (хитрый): Перевод времени назад
Некоторые зловреды не очень умны и порой перевод системного времени на два-три дня назад даёт беспрепятственно войти в систему и наконец-таки установить нормальный Антивирус, а не тот который у знакомых пару раз даже барсеточника поймал.
 
Способ 6 (последний): Проверка на другом компьютере
Разумеется, это самый простой способ - снять жесткий диск и прогнать его антивирусным катком. Не всегда такое возможно, так как порой диск содержит весьма ценную информацию, но это действительно простой способ и весьма действенный. Указал его только потому, что такой способ возможен и применялся не раз, так как быстр и надёжен. При таком способе имеет смысл проверять только системные каталоги - Windows и Documents and Settings (Users на новых системах). Именно там скрываются вредные особи. Смысла проверять составные файлы, архивы и прочие большеразмеры нет. Помните, вирус - это небольшая программа, она должна быть неожиданна и быстра, как ночная диарея. 
Для удаления вирусов рекомендуем использовать Dr.Web Antivirus, либо Kaspersky Antivirus.
Прежде чем просить коды, пожалуйста проверьте, нет ли их в WindowsLockRemover. Последняя версия всегда здесь
P.S
Первое, что надо сделать, чтобы с меньшими потерями выйти из таких ситуаций:
До загрузки операционной системы, разбейте жесткий диск на два из расчета 40/60 и в 40% установите операционную систему, это даст вам возможность иметь резервный диск, куда можно перенести нужные файлы, а в случае обнаружения вируса, это будет одним из способов решением данной проблемы!
2 - сделайте загрузочный диск по инструкции третьего способа в этом посте, с одним примечанием, в BIOS поставьте вторым номером по умолчанию, запускаться через CD-Rom:
 
 
Способ 3 (самый надежный): Лечение LiveCD
Это сборки, предоставляемые некоторыми производителями в бесплатное пользование для лечения заражённых компьютеров. Наиболее распространёнными являются LiveCD двух производителей - Dr.Web LiveCD и Avira Rescue System. Я бы советовал поддержать отечественного производителя, поверьте, в трудную минуту он поддерживать Вас не меньше. Как правило, это самозагрузочные мини-CD, который можно записать на обычную CD-болванку. После загрузки линукс-оболочки (да-да) Dr.Web начинает проверять Ваш компьютер на наличие вредоносного ПО. К тому же Dr.Web умеет проверять и реестр.
 
вверх^ к полной версии понравилось! в evernote


Вы сейчас не можете прокомментировать это сообщение.

Дневник чуть-чуть о разблокировке Windows ... | mari_ana - По-читатель кулинарных рецептов | Лента друзей mari_ana / Полная версия Добавить в друзья Страницы: раньше»