Как избавиться от навязчивого баннера, требующего отправить SMS

Здорово! Есть ли сейчас коды для такого http://foto.mail.ru/...html... (только номер мтс 89897520698). Просто знакомая его поймала, я бы ей сразу по телефону продиктовал, а то ехать до неё 2 часа. Если нет, лечить комп поеду завтра.

..................................................................

Вот мой отчёт по проделанной работе.

Вооружившись флешкой с ERD Commander, кучей лайв-дисков и антивирусов поехал к своей знакомой лечить её комп c Windows 7 от Trojan.Winlock.3278 (что именно он, узнал по описанию, см. http://foto.mail.ru/...html..., или рисунок в посте #223670, только номер телефона указан был другой - 89897520691).

Но как оказалось, я переоценил её комп – он не поддерживал загрузку с USB-Flash. К тому же в моей коллекции нет лайв-CD Windows 7. Я загрузился с LiveXP и стал искать userinit.exe, taskmgr.exe, 22CC6C32.exe.

По адресу C:\Windows\System32\ удалить userinit.exe, taskmgr.exe не смог (впрочем и хорошо наверное). Зато сделал так:

• удалил 22CC6C32.exe в C:\ProgramData\

• удалил QQ555555555.exe в C:\ProgramData\

• cкопировал заранее приготовленный userinit.exe (для Windows 7 максимальная x32 SP1 rus) в C:\ProgramData\ и переименовал его в 22CC6C32.exe

• перезагрузился с диска С (баннера не было, но и рабочего стола не было)

• вызвал диспетчер задач – получилось

• в диспетчере: файл->новая задача(выполнить)->regedit

• по адресу Hkey_local_machine\software\microsoft\Windows NT\CurrentVersion\Winlogon нашёл Shell и Userinit, в обоих был путь C:\ProgramData\22CC6C32.exe, исправил его соответственно на Explorer.exe и Userinit.exe

Как только нажал Enter, после изменения значения ключа Shell на Explorer.exe, тут же появился рабочий стол. Пробежался утилитой Cureit по всем подозрительным местам – ничего. Далее, чтобы удостовериться не инфицирован ли Userinit в System32 сделал перезагрузку - всё нормально, скачал новейшую Cureit и ей уже сканировал досконально. Нашлось несколко других троянов, не винлоков, какай-то «бутират». После этого запустился Internet Explorer (знакомая около месяца пользовалась мозиллой, т.к IE “почему-то не запускался”). Собственно всё. До сих пор жалоб нет.

Я пока плохо разбираюсь в Windows 7, поэтому не знаю правильно ли, что нельзя удалять-перезаписывать ничего в папке Windows, или это последствия вмешательства винлока и нужно восстановить работоспособность системы с помощью AVZ. Может собственно потому Userinit.exe в System32 остался оригинальным? Да и в Windows 7 нет с:\WINDOWS\System32\dllcache\, может ещё где-то нужно смотреть, впрочем Cureit болше ничего не нашла.

У знакомой стоял бесплатный DrWeb AvDesktop, правда не обновлялся из-за ошибки. Удалить его нельзя тоже из-за ошибки. Пока оставил всё как есть.

Да, и нужно ли обращать внимание на pf файлы в C:\Windows\Prefetch\ и на содержимое C:\Windows\winsxs\ ?

..................................................................

Архив с вирусом и подозрительными файлами здесь http://share.bashtel.ru/... Там ещё не распознанные антивирусом Ben 10_ Alien Force_2010612-.rar.exe и GuardGuard.exe, но с датой создания как раз как у 22CC6C32.exe, и из той же папки. Мож через них заразило?

..................................................................

Спасибо!

Что-то сразу не догадался проверить в доктор вэб он-лайн. Все найденные userinit.exe, taskmgr.exe согласно последним базам - безвредны. 22CC6C32.exe, QQ555555555.exe - Trojan.Winlocker.3445 0.9657218778377226.exe, netprotocol.exe - Backdoor.Butirat.18

Похоже винлокер пока не может подменить в Семёрке собой системные файлы, но реестр уязвим.

..................................................................

>> сразу было посмотреть в свойства Userinit.

Какие свойства? Размер, дата, атрибуты, подписи?

>>•С:\Documents and Settings\профиль пользователя\Local Settings\Temp Лучше через тотал коммандер последнею папку, так как она скрытая.

Нет в Windows 7 такой. Чистить надо

• C:\Users\"юзер"\AppData\Local\Temp\

..................................................................