Интернет

поймала вирус Компьютер заблокирован

ничего не работает висит этот дебильный синий экран и все... в безопасном режиме то же самое, вылезает этот экран, который просит смс.. . что делать?
Быстрая разблокировка:
http://virusinfo.info/deblocker/
http://www.drweb.com/unlocker/index
http://support.kaspersky.ru/viruses/deblocker
http://www.esetnod32.ru/.support/winlock/
Кроме того: "Удаляем информер"
http://golden-b.ru/?p=306 - для Explorer
http://golden-b.ru/?p=371 - для Opera
http://golden-b.ru/?p=487 - для Mozilla Firefox

Можно подобрать код к вашему случаю. Предупреждение пропадёт, но файлы на компе останутся и не факт, что снова не попросят СМС.
Поэтому (Выглядит для неспециалиста конечно страшно, но... Глаза боятся, руки делают.):
Вариант, если в безопасном режиме комп тоже не загружается.
Нужен Live CD, Windows PE или что-то подобное, имеющий в загрузке http://www.windowsfaq.ru/content/view/659/, или сам диск ERD Commander 2005 или 2008, коротко говоря загрузочный диск с урезанной операционной системой. (Найти и скачать можно бесплатно на торрент-треккерах, вот парочка: http://www.nnm-club.ru или http://rutracker.org/) Я лично рекомендую вот этот http://www.nnm-club.ru/forum/viewtopic.php?t=214354 у него самый быстрый LiveCD, загрузка до рабочего стола меньше чем за минуту.
Загружаешься с него, и чистишь под ноль все временные папки:
C:\Temp\
C:\Windows\Temp\
C:\Documents and Settings\любая папка\Local Settings\Temporary Internet Files
C:\Documents and Settings\любая папка\Local Settings\Temp\
Затем самое интересное, запускаем Пуск - Система - ERD Commander - Root directory - и указываем здесь на папку С:\WINDOWS\ (имеется в в иду, что в ней установленная винда и мы входим в её реестр. Иногда эта папка выбирается при загрузке: В какую копию Windows следует выполнить вход?) ОК, затем снова запускаем Пуск - Система - ERD Commander - regedit В реестре находим раздел
HKey_Current_User\Software\Microsoft\Windows\CurrentVersion\Run - ищите не нужные строки и удаляйте.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows,
Ключ AppInit_DLLs должен быть пустым (исключение - Касперский проставляет туда свои библиотеки для проверки запускаемых файлов в реальном времени, и последнее время vksaver - сюда пишется, ну это уже вам решать нужен или нет)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon,
Двойной щелчок по ключу Shell и в открывшемся окне редактирования параметра должно быть только: Explorer.exe.
Ключ Taskman должен быть пустой. Двойной щелчок по ключу UIHost, и в открывшемся окне редактирования параметра удалить всё, чтобы осталось ТОЛЬКО следующее: logonui.exe
Двойной щелчок по ключу Userinit, и в открывшемся окне редактирования параметра удалить запись о вирусе так чтобы осталось ТОЛЬКО следующее (с запятой в конце):
C:\WINDOWS\system32\userinit.exe,
Не должно быть ключей типа userint (найдите отличия с userinit) или TaskXXXX (ХХХХ может меняться).
Кстати если где-то здесь были прописаны пути к другим файлам соответственно это ваш зловред и есть, и его надо найти и удалить (например что-то типа C:\Windows\system32\sdra64.exe или C:\Program Files\48fg5Sd.avi)
Реестр секция HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\PersistentRoutes Должен быть один ключ "По умолчанию" "Значение не присвоено" Все остальные ключи удалить.
Если!!!!
В последнее время троянцы поумнели и могут восстанавливаться после такой чистки (прописываются хитрее в других пока неизвестных ветках), в этом случае в ERD Commander выбираем не Regedit, а System Recovery. Если вирусом не была отключена служба Восстановления системы (при этом стираются предыдущие контрольные точки восстановления,
содержащие чистый реестр), то запускается встроенная служба восстановления. Выбираем точку с реестром сохранённым за 2 - 3 дня до события и система загружается с чистым вариантом реестра. Перед этим обязательно подчистить временные папки Temp (см начало поста)
Ещё один важный момент. В последнее время появились зловреды модифицирующие userinit.exe Целесообразно иметь его чистый вариант.
Александр Колмыков
Александр Колмыков
7 531
Лучший ответ
Александр Колмыков Продолжение:
Ещё один важный момент. В последнее время появились зловреды модифицирующие userinit.exe Целесообразно иметь его чистый вариант на флешке для замены, если откат системы не срабатывает. Ещё это видно, если время создания\изменения этого файла не 2008 год и совпадает с датой заражения. Можно вытянуть его из имеющегося под рукой дистрибутива ХРюши по адресу: Х:\I386\userinit.ex_ Распаковывается архиватором и заменяет
повреждённый. Кроие того, стоит запастись файлом taskmgr.exe по совету уважаемого Eastop
В конце.
Заходим в папку по адресу C:\WINDOWS\system32\drivers\etc находим и открываем файл hosts в блокноте. Удаляем в нём ВСЕ строчки НЕ начинающиеся со знака # КРОМЕ строки:
127.0.0.1 localhost
Если её нет добавляем. ВНИМАНИЕ! Если сбоку есть ползунок прокрутки, опускаем его вниз
до конца, "чужие строчки" бывают спрятаны внизу файла после большого промежутка. Бывают написаны белым шрифтом и видны только при выделении.
Александр Колмыков Продолжение 2:
Бывает файл не поддаётся коррекции или выглядит абсолютно нормальным но дело именно в нём, тогда имеет смысл создать одноимённый файл в другой папке с одной строкой внутри
127.0.0.1 localhost и заменить им старый файл.
Берём заготовленный заранее свежий CureIt! от DrWeb (скачивается бесплатно с сайта
www.freedrweb.ru) и делаем полную проверку. Перезагрузка В случае успеха, да и вообще, обязательная полная проверка штатным обновлённым антивирусом, а так же утилитой avz4 с сайта http:\\z-oleg.com Успех в 99% по личному опыту.
Есть ещё изящное решение (если баннер оставляет открытой вокруг себя хотя бы 1/10 часть
экрана и курсор не "заперт" внутри её границ), найди и скачай программку procexp.exe
(может быть в архиве procexp.zip) запустив её если получится выбери в меню Options ->
Allweys on top. Она выйдет на передний план. Левой кнопкой перемести знак прицела с её
панели на окно баннера. Он покажет тебе название файла и процессы которые он запускает.
Александр Колмыков Правой кнопкой в окне программы - Kill process, если их несколько и по одному не убиваются, сначала по каждому Suspend, а потом Kill.
тут есть способ удаления с помощью определенного утилиты http://forum.kaspersky.com/index.php?showtopic=199377
Если баннер в самом окне браузера переходим по ссылке своего браузера и читаем как избавиться, соотвественно избавляемся:

1 Explorer: http://golden-b.ru/?p=306
2 Opera: http://golden-b.ru/?p=371
3 Mozilla Firefox: http://golden-b.ru/?p=487

Если сам баннер блокирует систему, то переходим на сайты деблокеры по ссылкам ниже, вводим номер на который требуют отправить СМС и текст сообщения - получаем код, который избавит Вас от назойливого баннера! :

http://support.kaspersky.ru/viruses/avptool2010

Если же данное действие не помогло, качаем бесплатные утилиты, прогоняем ими комп, удаляем все лишние гадости:

http://support.kaspersky.ru/faq/?qid=208637130

Ещё так попробуй Мой компьютер ---> Локальный диск "С" ---> Windows ---> system32 ---> drivers ---> etc --> hosts (открыть с помощью "блокнот") ---> выделяем все и оставляем только

127.0.0.1 localhost Остальное всё удаляем и перезагружаем комп
Только после того, как Вы приняли все выше перечисленные меры - и не дай Бог ничего не помогло - тогда можете смело переустанавливать Операционную Систему (ОС) - так как больше ничего точно не поможет.. .
Андрей Трапезников Ну так уж и ничего... А в реестр заглянуть? Впрочем я уже всё написал.
переустановить винду
Андрей Шпота
Андрей Шпота
38 548
просто, переустанови винду, тебе люди запарились писать. сняли батарейку, поставили, поставили новую винду и всё.
Дима Салтыков а все файлы с ноута отправить в жопу?))
Андрей Трапезников Если через LiveCD, то файлы-то можно перекинуть на флешку или на D, а вот программы придётся переустанавливать заново.
на какой номер говорит отправить назови пожалуйсто ?
Дима Салтыков 89112905590, при перезагрузке последние 4 цифры постоянно меняются))
Диск формат и переустановка винды.
переставь винду, это еденственый лёгкий выход =)
Какой номер просит?? ?
Скорее всего это троян....
Дима Салтыков пуск не нажимается, я же говорю полностью блокирована вся система, кроме окна для ввода пароля разблокировки ничего не работает
Антон Воробьев А на какой номер он просит отправить смс?
здесь надо было написать какую смску на какой номер требуют отправить

а мы бы дали код разблокировки

Похожие вопросы