Черным по белому » вирус

Ошибка пользовательского интерфейса

Руслан Хут — Mon, 26 Sep 2011 11:02:53 +0000

Недавно довелось побороться на компьютере с такой вот ошибкой: не загружается пользовательский интерфейс, соответственно и работа пользователя с компьютером оказывается невозможной. Текст ошибки: “Невозможно загрузить DLL пользовательского интерфейса ввода”. Причина – поврежденные настройки реестра системы, оставшиеся после удаления вируса. Вот как выглядит экран с ошибкой:

Самое трудоемкое в борьбе с этой неисправностью это то, что придется загрузиться в другой Windows и подключиться к реестру для его исправления. Отлично подойдет для этого Hiren Boot CD, в состав утилит которого входит нужный для исправления реестра Registry Editor PE. Нужно запуститься в Windows PE, запустить Registry Editor, подключить в файлы реестра поврежденной системы. Настройки пользователя (ntuser.dat) можно не подключать, нужный нам ключ находится не в них.

В редакторе реестра необходимо открыть ключ реестра:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

В списке параметров ищем GinaDLL, его и нужно удалить. Кстати, в базе знаний Майкрософта упоминаются и другие случаи с подобными ошибками загрузки пользовательского интерфейса и все исправляются таким-же способом – удалением параметра GinaDLL или с похожим именем, ключевое слово: GINA.

Новый троян вымогает по-новому

Руслан Хут — Mon, 18 Oct 2010 05:46:33 +0000

Компания «Доктор Веб» сообщает о широком распространении вредоносных программ семейства Trojan.HttpBlock, которые за восстановление доступа к популярным интернет-ресурсам требуют отправить платное СМС-сообщение на короткий номер 6681. В настоящее время обращения по поводу лечения компьютера от Trojan.HttpBlockсоставляют около 80% всех запросов в бесплатную техническую поддержку компании «Доктор Веб» для пользователей, пострадавших от интернет-мошенничества.

Начало распространения троянцев семейства Trojan.HttpBlock было зафиксировано 22 сентября 2010 года. Заражая компьютер, эти вредоносные программы модифицируют системный файл hosts и тем самым блокируют доступ к популярным сайтам.

Trojan.HttpBlock является новым витком развития троянцев, которые используют интернет-мошенники. Он учитывает и обходит сложности, с которыми злоумышленники сталкивались ранее.

В отличие от троянцев семейства Trojan.Hosts, которые также блокируют доступ к популярным интернет-ресурсам, перенаправляя браузер на вредоносные сайты, Trojan.HttpBlockперенаправляет пользователя на веб-сервер, устанавливаемый на его же компьютере.

Читать дальше (на сайте Др.Веб)

Windows Security Alert новая СМС вымогалка

Mike — Fri, 29 Jan 2010 10:36:10 +0000

Сегодня поймал еще один вариант СМС вымогателя.

Окошко выглядит очень красиво, в стиле Windows XP, скриншота не сделаешь так как блокирует все кроме цифр на клавиатуре. В заголовке окна написано Windows Security Alert, ниже Центр обеспечения безопасности.

Сообщает что при последнем обновлении windows на Вашем компьютере обнаружена не лицензионная версия и для решения Ваших проблем предлагает отправить СМС, после которого все наладится, можно будет дальше работать на Вашей не лицензионной версии :)

Пока почистил темпы, в Док и Сеттингс нашел три подозрительных файла один ini один dat один … не помню все бинарные. В корзине нашел кучу папок. В реестре в разделе winlogon нашел один параметр ссылающийся на файл в корзине, удалил.

После перезагрузки опять увидел то же окошко, взял фотоаппарат и вот оно :)

Вспомнил про каталоги Windows и Windows\system32, пойду копать.

Прогнал cureit по дискам, в вышеупомянутых директориях найдены 2 типа вирусов, один autoruner и два Winlock, один из винлоков файл по моему назывался wso.exe был прописан в реестре в ветке автозапуска.

вот и все. ;)

СМС вымогалка, Internet Security.

Mike — Tue, 12 Jan 2010 14:08:20 +0000

В последнее время увеличилось количество заражений компьютеров программами СМС-вымогателями.

Одна из таких выбрасывает картинку на весь экран и пишет Internet Security обнаружил вредоносное ПО на вашем компьютере. Запускается счетчик времени на 10 часов, и просит код активации, который «можно» получить отправив СМС на номер…

Есть решение этой проблемы, читаем код, выбираем один из цветных столбцов и согласно символам кода вводим ответный код. Один из столбцов должен подойти. ;)

Антивирусные программы не определяют ее как вирус, пути заражения скорее всего через флешку или сайты или почту.

По моей статистике главный путь заражения все таки www, причем источники могут быть вполне пристойными. Пользуйтесь Mozilla Firefox и ABP и будет Вам счастье.

Рекомендую обратить внимание на Блог Евгения Васильева http://www.eavasi.ru/

Меня беспокоит еще один вопрос, почему «правоохранительные органы» не занимаются владельцами коротких номеров на которые отправляются подобные СМСки. Ведь количество этих номеров не такое большое, а некоторые из них участвуют в сотнях других афер.

Новые алгоритмы определения ответного кода для Internet Security

http://boltunishka.berserki.ru/archives/459

1. Выставляете на компьютере в BIOS’е дату 21.01.2010.

2. Алгоритм подходит практически для всех кодов, но не для всех. Ваш код должен выглядеть как K20**15*00, где * – любые цифры. Например, K205815300

3. Выбираете ваш вариант кода (обратите внимание на 3-ю цифру слева) и выписываете на листок бумаги ответный код

K201*15*00 – U316*5*74

K202*15*00 – U326*5*74

K203*15*00 – U336*5*74

K204*15*00 – U346*5*74

K205*15*00 – U356*5*74

K206*15*00 – U366*5*74

K207*15*00 – U376*5*74

K208*15*00 – U386*5*74

K209*15*00 – U396*5*74

Например, для кода K205815300 выписываете на листок U356*5*74

4. Вместо * в ответном коде подставляете цифры из первого кода, стоящие на том же порядковом месте, но увеличенные на 8. При этом, если в результате увеличения получается двузначное число, то вместо * записываете последнюю цифру справа этого числа, увеличенную на 1 (например, для цифры 7 надо записать цифру 6 (так как 7+8=15, крайняя справа цифра 5, а 5+1=6). Обратите внимание – цифры 0 в ответном коде быть не должно. Если у вас получился 0, то вы ошиблись в подсчётах.
Для моего примера K205815300 в результате получите код U35675274

5. Ответный код вводите в окно программы и нажимаете ОК. Перезагружаете компьютер. Всё.

Не забудьте поменять дату на текущую.
Желательно запустить восстановление системы на пару-тройку недель назад (Пуск – Все программы – Стандартные – Служебные – Восстановление системы). Данная процедура полностью безопасна для ваших файлов с данными.

iMax download manager

Руслан Хут — Fri, 11 Dec 2009 20:44:53 +0000

Если вам знакомо это изображение, то вы знаете, о чем пойдет речь.

Это новый вымогатель. Программа активируется и блокирует экран компьютера, занимая почти всю площадь рабочего стола. Убрать ее стандартными средствами невозможно, диспетчер задач и редактор реестра заблокированы, антивирусы молчат. За прошедшие два дня накопился довольно богатый опыт по устранению этой заразы, методы такие:

Отправить SMS и получить код разблокировки, говорят, программа ликвидируется полностью. Однако в сети есть отзывы о том, что это не помогает.
Можно обратиться непосредственно в фирму, которой принадлежит указанный в сообщении мобильный номер: страница поддержки, там вам бесплатно сообщат код разблокировки.
Переустановить систему с нуля (режим обновления не удастся!) или восстановить систему из резервного образа.
Если вам удастся загрузиться и запустить утилиту AVZ (в безопасном режиме или под другим пользователем), попробуйте сделать, как описано по этой ссылке.

Нужно заметить, что попытки сканирования и лечения различными утилитами (Dr.Web CureIt, утилита Лаборатории Касперского, SpyBot, Malware Bytes, Hijack, AVZ) ни в одном случае к успеху не привели, многие антивирусы вообще не распознают программу как вирус, а обнаруживают только ее следы, соответственно “лечение” не приводит к успеху.

Откуда она берется тоже не совсем ясно, в одном случае очень большое подозрение было на подставное обновление флеш-плеера для броузера – был закачан и установлен плагин с неофициального сайта.

Win32.Sector.XX AKA WIN32.Sality

Чернышев Валерий — Mon, 21 Sep 2009 06:24:03 +0000

Часто и густо корпоративные и домашние сети ложит злобный файловый вирус, который заражает exe-файлы системных служб

Проявляется так:

- Блокируеться «Диспетчер задач» и Редактор реестра. При попытке запуска говорит, что админом заблокировано.
- Повышенная активность сети
- Безопасный режим не работает (BSOD)
- Антивирусы и сайты, откуда их можно скачать блокируются

Лечим так:

1. Физически отключаем от сети

2. Правим реестр для запуска в Safe mode этим ключиком и вот этим отображение скрытых и системных файлов

3. С помощью внешних утилит редактирования реестра изменяем 1 на 0 в этих двух ветках
HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Policies/System/DisableTaskMgr
HKEY_CURRENT_USER/SOFTWARE/Microsoft/Windows/CurrentVerson/Policies/System/DisableRegistryTools

4. Перезагружаемся в Безопасном режиме и запускаем сначала свежую версию CCleaner, а затем CureIt (полная проверка)

5. Делаем проверку файлов винды на целосность (Пуск -> Выполнить -> sfc /scannow) Нужен дистрибутив Windows

6. Устанавливаем и обновляем антивирус (лучше комплексный), а также проводим полную проверку еще раз.

Raf

Image File Execution Options

Руслан Хут — Fri, 18 Sep 2009 07:43:15 +0000

Ну вот опять сегодня: включается компьютер, загружается Виндоуз, спрашивает пароль и после этого — обои и курсор, больше ничего. Если нажать Ctrl+Alt+Del или сразу Ctrl+Shift+Esc, то можно добраться до диспетчера задач, но попытки запустить из него Explorer.exe ни к чему хорошему не приводят.

Лечение. Из диспетчера задач, через Файл – Новая задача запускаем редактор реестра. В реестре находим раздел Image File Execution Options

На компьютере, пораженном описанной болячкой в этом разделе будет подраздел с названием Explorer.exe, этот подраздел надо удалить. Сразу после этого можно запустить Explorer и все вернется на место.

Leo