Блокер-вымогатель. Блок за просмотр якобы запрещенного видео. Предлагает перечислит 200 грн в качестве штрафа на кошелек WebMoney U383593510183. Сервисы по снятию блокеров от Касперского и др. Веб не помогли. Безопасный режим так же не решил проблему. Очистка темпов, анализ system32 - не помогло.
Решение проблемы : сохранение личных данных: фотографий, документов, музыки. format c и переустановка системы.
Продолжение истории: 26.10.2011 и снова наш старый знакомый блокер-вымогатель. Изображение и содержание окна один в один с уже опубликованным только теперь это 250 грн на кошелек WebMoney U252494517837:
"КОМПЬЮТЕР ЗАБЛОКИРОВАН!
Ваш компьютер заблокирован за просмотр, копирование и тиражирование видеоматериалов содержащих элементы педофилии и насилия над детьми. Для снятия блокировки Вам необходимо оплатить штраф в размере 250 гривен в WebMoney кошелек U252494517837. В случае оплаты суммы равной штрафу либо превышающей ее на фискальном чеке терминала будет напечатан код разблокировки. Его нужно ввести в поле в нижней части окна и нажать кнопку "Разблокировать" После снятия блокировки Вы должны удалить все материалы содержащие элементы насилия и педофилии. Если в течении 12 часов штраф не будет оплачен, все данные на Вашем персональном компьютере будут безвозвратно удалены, а дело будет передано в суд для разбирательства по статье 301 ч.2 УК УКР"
Перезагрузка или выключение компьютера приведет к незамедлительному удалению ВСЕХ данных, включая код операционной системы и BIOS, с невозможностью дальнейшего восстановления"
Хотя в комментариях написано, что любой блокер можно удалить за 15 минут - такой факт вызывает сомнения. С указанным зловредом не помог Kaspersky Rescue Disk, Kaspersky Windows Unlocker.
Зловред прописывается в значение Shell реестра а сам физически находится тут: C:\Documents and Settings\All Users\Application Data\22CC6C32.exe
Правка реестра, удаление тела не приносит результатов. После перезагрузки ситуация повторяется. Удаленный файл и исправленный реестр восстанавливаются в исходное состояние. Прогон диска С KIS10 с последними обновлениями ничего не дает. Опытным путем установлено, что в этой ситуации, ко всему прочему подменены оригинальные файлы explorer.exe и userinit.exe в папках windows и windows\system32 соответственно.
Таким образом решение проблемы: грузимся с бутового диска с ERD Commander на борту или подобным софтом для редактирования реестра установленной ОС. Восстанавливаем корректные значения для [HKLM\Software\Microsoft\ Windows NT\CurrentVersion\Winlogon] "Shell"="Explorer.exe". Файловым менеджером удаляем 22CC6C32.exe. Заменяем файлы explorer.exe и userinit.exe на те, что приложены в архиве. Перезагружаем компьютер.
Единственное, что не было сделано - не сохранены фейковые explorer.exe и userinit.exe, не проверены www.virustotal.com, и не разосланы экземпляры по антивирусным лабораториям. У кого будет подобная ситуация - сделайте это пожалуйста!
Комментарии
задача решена. Завтра будет описание решения проблемы
ВСЕ типы вирусов-вымогат елей лечатся за 15 мин БЕЗ переустановки системы. И для этого вовсе не нужно быть семи пядей во лбу. Поэтому вряд ли стоит держать на сайте сервисной фирмы подобный пример Вашей работы. Если нужна консультация по поводу удаления различных вариантов подобных вирусов - пишите, с удовольствием отвечу!
RSS лента комментариев этой записи