» Windows заблокирован!

Зашлите на nsendсобакаmailточкаru или выложите где нибудь этот вирус, или скажите где подхватить нужен только с красным окном.

сегодня принесли домашний ноут с красным окошком.
там кроме прописывания в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
еще кроме этого в реестре в автозагрузке в локал машин и курент юзер прописан был файл servises.exe который лежит в папке виндовс в систем32

Dimedrolum
Возьми из поста Zavtrak`a, я там брал, сам он не устанавливается так что можно скачать и сохранить, называется - xvidPack1.exe

Добавлено:

Похоже моя мысль ни кому не интересна.

NskRonin
Это совершенно бесполезно...

Цитата:

Возьми из поста Zavtrak`a, я там брал

у меня этот сайт не открывается

http://news.drweb.com/show/?i=304&c=9&p=0

ребята только вот это помогает

вирус нашол на сайте здесь

vodahelp.narod.ru

Аналогичный случай случился в нашем шалаше! экран черный,адресок 3649
Trojan.Winlock.origin был найден в
C:\Documents and Settings\User\Local Settings\Temp .
прописался в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon
назвал себя NOD 3 .tmp
вход и удаление без LiveCD!
Win + U>Экранная лупа>Веб.узел Майкрософт >Браузер>Файл>Автономно>Адрес C:\
дальше метёлку в руки! Ивот оно сщастье!

цитируя
[/q] Maxim_um[/q]
Люди без антивируса - Люди без мозгов

В пятницу лечил один комп от этой дряни. В понедельник было все ОК, а сегодня включили комп, а там красная заставка. Опять надо ехать лечить. Из антивирусников установлен Symantec Endpoint, который обновляется каждый день. Есть соображения по недопущению заражения, а то руками все почистишь, а антивирусники опять пропустят.

27.04.2009
Пол дня ковыряний с красным окном впустую.

Но удалить получилось спаибо IT отделу:

1. Live CD /XPE/
2. Удалить все файлы из веток
с:\windows\temp
c:\windows\system32\название вируса*.exe
C:\Documents and Settings\User\Local Settings\Temp
C:\Documents and Settings\User\Local Settings\Temorary innternet files
а также аналогичных веток all users, default user, имя польз, local service, network service

КIS с последними базами не помог!!! Вирус Trojan. Downloader 33838
/у меня назывался wpv111240561009.exe, wpv621239013964.exe/

Удачного выковыривания!!!

Встречал уже три разновидности виря. Каждый раз всё жестче и жестче. Первый раз у него не хватило прав куда либо прописаться, так как его запустили "бесправные" секретари. Второй раз было серьёзнее. Прописался где надо, сделал из себя nod.32.tmp или что-то в этом духе в темповой папке пользователя.Сэифмод перекрыт, но доступ к компу по сети был, подрубился к \\computername\c$ и прирезал гада. После полного изгнания выяснилось, что остались следы его деятельности в реестре. Как следствие не запускались такие программы как cmd.exe regedit.exe и тот самый нод, что пропустил заразу. После ползания по реестру корень зла был найден в
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
где для соответствующих экзешников и ещё некоторых(разные антивири) были прописаны гадости аля ключ debug с набором параметров, после удаления которого всё заработало.

Третий вариант как раз с красным окном на чёрном фоне, блоком клавы, блоком сэйвмода итд. Комп был вне домена и сети и залезть на него как в предыдущем случае не вышло. Помог генератор ключа от дрвеба. Тут копии виря в папках
с:\windows\temp
c:\windows\system32\название вируса*.exe
C:\Documents and Settings\User\Local Settings\Temp
C:\Documents and Settings\User\Local Settings\Temorary innternet files
итд.. так же всё удалилось и после чека заработало вроде как, но вот глюки с regedit-om cmd остались. При попытке запуска вышеупомянутых прог, происходил перезапуск эксплорера и всё. Все окна на месте, всё робит, но желаемых консоли и редактора реестра не появлялось. Дальше колдовство было рандомным, но всё вылечилось после установки последних обновлений винды, стояла ХП СП2 поставил СП3, правда с 3-го раза.
Ждем-с новых модификаций.

Добрый день. Вот у меня тоже недавно был этот вирь. Вроде бы всё удалил и он не появляется, но при загрузке AVG находит следующее:

C:\WINDOWS\system32\eindhi.dll
Virus Idintified Worm/Downadup

Лечить эту бяку антивирь не хочет - нет доступа. При этом такой ДЛЛки я вообще не знаю и поиск ничего не говорит. Всё-таки думаю, что это проделки именно этого блоккера. Помогите плз

Glyde, попробуй удалить Unlocker-ом.

Цитата:

Unlocker 1.8.7 - Утилита для удаления файлов и папок, которые обычным способом удалить не удается, потому что вместо удаления системой выдается сообщение, что файл удалить невозможно, так как он используется другим приложением.
После установки Unlocker эта проблема решается в пару кликов - достаточно всего лишь кликнуть правой кнопкой мышки по неподатливому файлу или папке да выбрать в появившемся меню пункт "Unlocker". Интерфейс - многоязычный.

http://ccollomb.free.fr/unlocker/unlocker1.8.7.exe

Glyde
http://support.kaspersky.ru/wks6mp3/error?qid=208636215
Если с вашего компа эта ссылка не откроется- скачайте всё на другом компе и у себя примените.

Спасибо, буду пробовать.

Удалил анлокером. Вроде бы больше никаких проявлений вируса нет ) АВГ ничего не находит.
А второй предложенный метод (утилита КК) ничего не нашла.

в папке sys32 есть еще s.htm еще и оттуда и из автозагрузки удалить нужно

Windows заблокирован - удаляем Trojan-Ransom.Win32.Blocker
2009-04-27 10:10 «Лаборатория Касперского»
Если загрузка ПК блокирована и на экране появилось окно с надписью "WINDOWS ЗАБЛОКИРОВАН" - вы стали жертвой семейства вредоносных программ Trojan-Ransom.Win32.Blocker, предназначенных для шантажа и вымогательства
При установке на компьютер эти зловреды прописываются в автозагрузку, в ключ реестра [Software\Microsoft\Windows NT\CurrentVersion\Winlogon], параметр "Userinit", в результате чего блокируют запуск ОС. Получив управление на запуске ОС, зловреды отображают окно с требованием отправить SMS с определенным текстом на указанный короткий номер. В ответ пользователю обещают выслать код разблокировки, который отключит вредоносную программу и разблокирует загрузку компьютера.

При заражении вы увидите окно: Windows заблокирован


Сам по себе Trojan-Ransom.Win32.Blocker несложно удалить при помощи AVZ, Kaspersky Virus Removal Tool или вручную из редактора реестра, но есть одна проблема — загрузка ПК блокирована, и пользователь не может получить доступ к рабочему столу и запустить какие-либо программы или утилиты. Защищённый режим Windows также заблокирован.

Эксперт «Лаборатории Касперского» решил выяснить всё ли так безнадежно и может ли пользователь сделать что-либо без спецсредств, Live CD и особых технических знаний. После ряда опытов обнаружился очень простой алгоритм:

1. Нажать комбинацию WIN-U на клавиатуре — появится окно активации специальных возможностей. Оно, как оказалось, имеет очень высокий приоритет, и троянец ему не помеха.

Окно специальных возможностей


2. Запускаем из этого окна экранную лупу. Запустившись, она выводит свое окошко, в котором есть гиперссылка «Веб-узел Майкрософт». Если нажать её, то запускается IE.

Экранная лупа


3. После запуска IE можно загружать из него любые целебные утилиты, типа AVZ или Kaspersky Virus Removal Tool, и запускать программы с диска ПК (в строке адреса можно указать любую программу), online-сканер и т.п.

Собственно, действия после запуска IE элементарны: можно пролечить ПК, сделать логи и карантины по правилам форумов «Лаборатории Касперского» и VirusInfo и удалить зловредов.

2ALL
Очередная разновидность разводилова.
Вынь не блокирует, но в IE постоянно торчит окно с адресом на порно хошь нажимай,а хошь нет. Файером я заблокировал линк на сайт, а вот избавиться от назойливого окна не могу.Скриншот не делал так как после блокировки только смотреть на белый кусок окна.
Это всплывающее окно - хэндл окна не определяется. Окно только в IE.
Привязана к низу и к правой стороне.
Без блокировки внизу написано тоже что и на экранах блокировки т.е. шлите смс - пришлем код.
Штука такая устанавливается ну типа декодера что ли
Файл называется _datafeeder.wsf_ помогите, кто в этом разбирается.Файл могу кинуть на мыло или в текстовом виде через ПМ.

Velimir, твой случай уже описывался в теме Ошибка браузера !?. Проблема была решена с помощью Combofix-а.

Neon2
Это всетаки не мой случай.Эта штука ничего не блокирует и ничего не запрещает просто назойливое окошко с текстом.
Вопщем отследил я ее мониторами, буквально 5 минут назад.
Може кому пригодится
X:\Documents and Settings\user\Application Data\_bpfeed.dll_
(ну и плюс реестр почистить)
При загрузке IE формирует рекламный баннер и лезет на порно.Консоль восстановления у меня и так установлена.

viur

Цитата:

Из антивирусников установлен Symantec Endpoint, который обновляется каждый день

у меня у приятеля стоит симантек - обновляется постояно, но это дряни в упор не видит
я касперу 3 разновидности уже посылал этого виря - дык через 20 минут он уже был в базе!
ЗЫ офф... ставте симантек - и компьютер у вас будет чистым. т.к. он вирей не видит

Добавлено:
Velimir
это не очередная разновидность - это была первая волна смс вымогательства
лечилось элементарно - отключением непонятных надстроек в IE...
ну и для верности очисткой кэша темпов и непонятных файлов в корне профиля

Хороший такой вирус
Чуваку написавшему респект за идею но надо дорабатывать его.

Следующая разновидность должна подменять MBR на свой или шифровать, и при включении компьютера, до загрузки ОС, можно будет вывести окно с аутентификацией по смс )

Мой комп не видел никакие съёмные носители, сам собой отрубался каждые минут пять..., такая же хрень с смс-кой на чёрно-красном фоне вылазила... Пробовала винду переустановить-не загружалась даже... в общем что-попало было...
А один хороший человек с форума-01pump, прямо онлайн, скриптами всех вирусов у меня в компе прибил, Windows отладил...
РЕСПЕКТ И УВАЖУХА! Величайшая благодарность...

здравствуйте!
Почитал тему, но у меня вообще новая вещь Windows не блокируется, а вот блокируются браузеры, на клиентских машинах стоят 3 браузера: IE? OPERA и Firefox. и во всех трех стоит заставка
"ВАШ БРАУЗЕР ЗАБЛОКИРОВАН!
Отправьте смсм на номер ...."
набираешь в адресной строке любой адрес, заставка остается.


Почистил папки
C:\Documents and Settings\admin\Local Settings\Temporary Internet Files
C:\Documents and Settings\admin\Local Settings\Temp
C:\Documents and Settings\admin\Cookies
Попытался в браузере IE в Свойствах обозревателя во вкладке Программы в Надстройках отключил ненужные элементы, но ничего не помогло. Может кто встречался с такой заразой.

Буду благодарен за помощь

iluwin85
это совсем другая тема:
Ошибка браузера

iluwin85, прочти в этой теме мой пост выше или загляни в тему "Ошибка браузера !?".

вот пример того, откуда зараза лезет: tubecollection2009.com/xplaymovie.php?id=40052
на страничке стоит gif, изображающий встроенное флэш-видео (проигрыватель). Эта гифка является ссылкой на файл softwarefortubeview.40052.exe

файлик по версии virustotal: [more=свеженький]
Файл softwarefortubeview.40009.exe получен 2009.05.04 11:16:25 (CET)
Текущий статус: закончено
Результат: 8/39 (20.51%)
Форматированные
Печать результатов Антивирус    Версия    Обновление    Результат
AhnLab-V3    -    -    -
AntiVir    -    -    TR/Dldr.Small.jqz
Antiy-AVL    -    -    -
Authentium    -    -    -
Avast    -    -    -
AVG    -    -    -
BitDefender    -    -    -
CAT-QuickHeal    -    -    (Suspicious) - DNAScan
ClamAV    -    -    -
Comodo    -    -    -
DrWeb    -    -    Trojan.Packed.314
eSafe    -    -    -
eTrust-Vet    -    -    -
F-Prot    -    -    -
F-Secure    -    -    -
Fortinet    -    -    -
GData    -    -    -
Ikarus    -    -    -
K7AntiVirus    -    -    -
Kaspersky    -    -    -
McAfee    -    -    -
McAfee+Artemis    -    -    Artemis!B179B7959A87
McAfee-GW-Edition    -    -    Trojan.Dldr.Small.jqz
Microsoft    -    -    -
NOD32    -    -    -
Norman    -    -    -
nProtect    -    -    -
Panda    -    -    -
PCTools    -    -    -
Prevx1    -    -    Medium Risk Malware Dropper
Rising    -    -    -
Sophos    -    -    -
Sunbelt    -    -    Trojan.Crypt.FKM.Gen (v)
Symantec    -    -    -
TheHacker    -    -    -
TrendMicro    -    -    -
VBA32    -    -    suspected of Malware-Cryptor.Win32.General.3
ViRobot    -    -    -
VirusBuster    -    -    -
Дополнительная информация
MD5: b179b7959a87bd316d7f7f11a993e037
SHA1: 3a7b15756dcf89d01cb4d820fce737f227cbd96e
SHA256: 47440e21022224e0f69c552ece431be950dfd18b025a89cccfc96716f947a426
SHA512: dcd6241ccd34f24cf7e857bc85992ad8d5266b2ffa298303b2bf9b88589de0480ae3dcca40841585f7d1e28c7a144da4fc7f800762dd560658a852ef15fd4d43
[/more]

является ли он (б)локером или просто работает с ним в связке неизвестно, но сегодня все вирусы распространяются именно так + autorun.inf

У меня кажется новая версия трояна. Черный экран и написано отправтье смс и т.д. подхватил перейдя по ссылке кончающейся на .php Зашел через безопасный режим, вначале понаходил в разных директориях .ехе и .dll а потом при полной проверке CureIt обнаружил вот что:
D:\System Volume Information\_restore{6B67121F-90E0-46F8-BEAB-051BD6CFC381}\RP145\A0027498.exe инфицирован Trojan.MulDrop.6474 - удален
D:\System Volume Information\_restore{6B67121F-90E0-46F8-BEAB-051BD6CFC381}\RP145\A0027499.inf инфицирован Win32.HLLW.Autoruner.1408 - удален
не поверите в этой папке таких же троянов было около 800
Также был удален cmdow.exe что-то вроде Tool.Hide.Window Кароче еще было штук 7 разных .ехе и еще много .dll
До сих пор появляется эта хрень, помогите!

nek1d
загрузиться с live cd c cure it и проверить комп
далее штатным антивирем и в конце запустить sfc /scannow

nek1d

Цитата:

не поверите в этой папке таких же троянов было около 800

Поверим. Отключай перед проверкой службу восстановления.