» Вирус(ы) в Windows XP,Vista,7,8,8.1. Проблемы. Решения.

ksaf
автозагрузку нужно почистить

Пару дней назад в "Хакере" появилась статья о борьбе с блокираторами. Многое впараллель с тем, что уже обсуждалось выше по ветке, но - компактно. Есть и кое-что оригинальное. Кому интересно : _http://www.xakep.ru/post/52688/ .

ksaf
загрузиться с LiveCD и посмотреть список автозагрузки

прошу совета


некий вирус пошалили в моей Windows XP SP3

работоспособность я восстановил
но осталась одна маленькая оказия
- при нажатии правой клавишей мышки на Корзину ли, файл ли, Мой компьютер ли или какой ярлык на
Рабочем столе
вылазит ехидное предложение с вопросом об
установке Adobe Photoshop;
жму [Отмена]
потом уже появляется обычное меню (очистить корзину или свойства или копировать-вставить, ну то есть обычное выпадающее меню)
то же происходит, если просто нажимаю на иконку [Копировать] или [Удалить]

как можно избавиться от этого медиатора? чтобы при нажатии правой кнопки мыши выпадало то, что нужно? и чтобы не навязывало постоянно один и тот же установочный файл?
это где-то в реестре осатлись следы зловредного вируса? но где?

удалил

вчера клиент позвонил и сказал, что словил новый вид "баннера"
только теперь он просит отослать не СМС, а заплатить через терминал на такой-то счет, где искать инфу о разблокировке, старые "ресурсы", на данный момент, подобной инфой не обладают?

Добавлено:

сорри, похоже, что не сюда запостил, отписался в профильной теме

Может добавить в шапку, в :

Цитата:

Полезные инструменты(утилиты)

,
две крошечные утилитки от Nirsoft (_http://www.nirsoft.net/utils/index.html):
RegScanner и SearchMyFiles - позволяющие вплоть до посекундного интервала постфактум обнаруживать изменения в реестре и файловой системе. (Последняя,вообще, - изумительная альтернатива штатному "Поиску"). 43 и 47 Кб соответственно, не требуют инсталляции, совместимы со всеми "Виндами", вплоть до 7-ки, включительно.
Вкупе с Process Explorer, они действительно позволяет вручную прибивать зловредов в зародыше, очень точно обнаруживая их по времени заражения.


alejandrocruz

Цитата:

...вылазит ехидное предложение...

Наведи "мишень" из того же Process Explorer (в "шапке") на это окошко и определи процесс его создающий. От этого и танцуй...
(Прцесс - соответствующий(е) файл(ы) - время его(их) создания/изменения - по этому времени и ищи в реестре и в файловой системе "сородичей" виря : тупо через "Проводник", или же как раз при помощи вышеуказанных утилит.)

N.B.
Цитата:

жму [Отмена]

1001 раз об одном и том же: Если на экране (Раб. столе, Веб-странице и т.д.) появляются "непонятки" с сомнительными предложениями - очень рекомендуется никуда не нажимать! Есть время - копать причину, нет - убивать (Kill Process Tree) через всё тот же Process Explorer. Не закрывать через "х", не "отменять"...,а именно убивать процесс-прародитель сторонним приложением.
Кто ж вам обещал, что сочинитель зловреда столь благороден, что под своей кнопкой "Cancel" подразумевал именно это самое, а не прямо противоположное, типа вашего согласия на заражение компьютера ?

jonvarvar

Цитата:

Может добавить в шапку, в :

Добавлю на днях.

Вот интересная инфа, люди вчера пожаловались.

"Любой браузер после 2 дней "работы" на сайте "в контакте" больше не входит на этот сайт (тупо виснет на странице загрузки и выгружается только через "три волшебных кнопки"). Поставили и Оперу и Лиса и Хром, но во всех одна и та-жа фигня (2 дня и баста). А по любым другим - всё спокойно, доступ везде есть.

Сам не смотрел (далеко щас). Но если это Вирь, то класс. Видать кому-то здорово насолил контакт.

ЗДРАВСТВУЙТЕ! очень прошу помогите мне пожалуйста, третий день мучаюсь. Недавно зашол на сайт и приего загрузке внизу появился значок Java. Затем при запуске Opera, и других браузеров выдаёт "Отказанно в доступе к указанному устройству, пути или файлу. Возможно у вас нет нужных прав к этому объекту". Запускаешь второй раз всё работает как надо, помогите пожалуйста подскажить как это исправить, антивирусом сканил ничего не нашол, систему через пуск не могу откатить нет точек восстановлени(((((,

zapalK1X
Начнём сначала: какая ось, какой антивирь?

nod32, windows xp

а есть еще т.п. утилиты как AVZ, CureIT и AVPTool от других производителей ???
что можете посоветовать ?

contrafack
Шапка, шапка, там всё есть

Цитата:

Антивирусы (Antivirus'ы) не требующие инсталяции - кому не хватает CureIT и AVPTool

HDD

там ничего нету. только тема не о чем.

блин.
свою флешку поставил в зараженную систему , скопировал туда одну файл, потом ставляю свой комп и наблюдаю там такую картину:


при попытке открытя выдает такая ошибка:



флешку проверил на нализиче вирусов - чист.

можно ли спасти информацию или пипец уже инфе ?

contrafack
открой флешку через какой нибудь фаловый менеджер или через правую кнопку мыши или через проводник Windows
У тебя на флешке висит файл autorun.ini

Добавлено:
а лучше все удалить )))

Цитата:

там ничего нету. только тема не о чем.

Чего ничего? Там есть список утилит о которых ты спрашивал. Просто лучше чем cureit and avptool нет. Именно как АВ работающие без инсталляции

DeadAnarchist

че то не наблюдаю там авторана. окрыл правым кликом, сканил AVZ (он видит автораны) , но там не оказался. что странно - размеры этих файлой несколько гигабайт, хотя флешка 2ГБ_ая.


HDD

да ХЗ. Но точно знаю, что на компе вирус есть. вот смотри предыдуший пост, тот компьютер кстати портил флешку.
Но никакой антивирус не видит его ((

Добрый вечер. Ребят помогите пожалуйста,у меня проблема,погас монитор и высветилось окно,положите деньги на номер 89654025529 в низу чека будет код который надо ввести чтобы разблокировать комп. Что мне делать? Можно ли это решить другим способом что бы не класть 400 р на этот телефон. Помогите плиз

kastyan88
вот по вашей теме
http://forum.ru-board.com/topic.cgi?forum=62&topic=16770

bavbav
Спасибо большое за ссылку

Цитата:

Но никакой антивирус не видит его ((

Autorun многие АВ не видели, нужно было в ручную чистить.

Цитата:

что странно - размеры этих файлой несколько гигабайт, хотя флешка 2ГБ_ая.

Вот и оно

Безопасный режим с поддержкой командной строки;
Вписываем explorer.exe и чистим папку temp
C:\Document and Settings\Имя пользователя\LocalSettings\Tem

Далее regedit.exe, запустится редактор реестра;
В редакторе откройте такой раздел - HKEY_LOCAL_MACHINE, затем SOFTWARE, затем Microsoft, затем Windows NT, затем CurrentVersion, затем Winlogon ;
В правой колонке редактора найдите Shell и дважды кликните по нему.
Измените значение параметра Shell на explorer.exe. Кроме того, перед заменой вы можете найти путь и имя файла-блокиатора в том параметре;
и приводим значение параметра Userint
C:\WINDOWS\system32\userinit.exe,

После dela этого рэкетира, хоть и баннер-вымогатель пропал,
но необходимость нажимать Ок для входа в систему осталась,
согласитесь каждый раз это делать не очень удобно.
Поэтому после входа в систему идем в Пуск-Выполнить-control userpasswords2,
там снимаем флажок, который отвечает за эту опцию.

В отлуке идет генерация спама. (ХР, MO2007)
Не важно подключен комп к инету или отключен. раз в секунду приходит сообщение которое оутлук автоматически помещает с спам:

heeelooo
someone showed me your profile and i think i like you can i send you my pic?
please contact me directly at
antoinetteortegougdk@hotmail.com

и вот такое сообщение генерируется

You Have Everything To Gain!
Incredib1e gains in length of 3-4 inches to yourPenis, PERMANANTLY
Amazing increase in thickness of yourPenis, up to 30% BetterEjacu1ation control Experience Rock-HardErecetions Explosive, intenseOrgasns Increase volume ofEjacu1ate Doctor designed and endorsed 100% herbal, 100% Natural, 100% Safe <http://gatecelest.ru> The proven NaturalPenisEnhancement that works!
100% MoneyBack Guaranteeed

Стоит KIS, но он молчит и никак не реагирует на сей процесс.
Подозреваю, что генерация происходит на компе, но куда копать не знаю.
Помогите добрым советом.

Народ, приветствую!
На днях родня обратилась с другого города. Говорят, ВКонтакт не входит, говорит - ваша страница взломана. Ну, думаю, бывает. А что при попытке восстановить? Просит отправить смс, и т.д...
Ну, думаю, знаю, решал подобное. Скорее всего прописан в hosts.
Прошу их установить TeamViewer - лезу сам в систему.
В hosts нормально, только localhost.
Нет антивируса. Установил Nod32 - обновил. Словил два трояна.
Ладно. Лезу на контакт - то же самое.
Через командную строку делаю ping vkontakte.ru
ip адрес левый.
Ну точно как-то идёт перенаправление на левый сайт.

Вопрос - как (кроме прописывания в hosts) можно осуществлять пренаправление vkontakte.ru на левый ip адрес?

Проблему доступа к сайту решил прописыванием в hosts строки vkontakte.ru с реальным ip. Пока так и оставил.

Подскажите - куда копать?

lkzcgfvf

Код: route -f

gjf
Признаться, с командой route не работал.
Команда будет выглядить так? : route -f vkontakte.ru
Что я там должен буду увидеть?

lkzcgfvf
Команда будет выглядеть так, как я написал. В итоге могут слететь настройки интернет-соединений - будьте готовы их прописывать заново. Но в итого статистические маршруты будут сброшены, заход на сайт должен восстановиться.

Или же у вас активный зловред, который редиректы делает - ну тогда ничего не получится, а разговаривать придётся по-другому

gjf, хорошо, будет возможность - попробую.