Algebra Biologiya Literatura Geometriya Geografiya Obj Fizika Ekonomika Istoriya Astronomiya Informatika

Как удалить sms-вирус или вирус-вымогатель загрузившись с Live CD

Автор: · Отзывов (33) 

Очень часто возникают ситуации, что удалить вирус-вымогатель и загрузить зараженную операционную систему не удается. Все способы разблокировки Windows бессильны, коды получения доступа не работают. В таком случае удалить sms-вирус можно с помощью программы RegEdit загрузив компьютер  с Live CD.

Наши действия при таком раскладе событий будут следующие — ищем с другого компьютера и скачиваем образ любого Live CD, например ERD Commander 2005, благо на сегодняшний день в интернете доступно большое множество образов таких дисков и записываем образ на CD/DVD диск или на флешку. Инструкции как правильно записать образ и сделать Live CD так же можно поискать на сайте с которого вы скачали образ. Перезагружаем компьютер и если в BIOS компьютера правильно выставлена загрузка с CD/DVD или USB (в случае если вы сделали LiveCD на флешке)  загружаемся с Live CD.

Загрузив компьютер с LiveCD, нам необходимо запустить стандартное средство Windows для редактирования реестра — программу regedit.exe (в некоторых версиях диска ERD Commander вместо regedit.exe при появлении ошибки «Regedit.exe and Regedt32.exe have been configured to not run under MSDaRT.Please use ErdRegedit.exe instead» запускайте ErdRegedit.exe) и отредактировать ключи реестра измененные вирусами-вымогателями. Для этого нажимаем кнопку «Пуск» -> Выбираем пункт меню «Выполнить» -> В окне «Запуск программы» набираем с клавиатуры regedit -> нажимаем кнопку «Ок».

Так как нам необходимо отредактировать реестр Вашего компьютера, а не диска LiveCD, в левой части окна Редактора реестра выделяем ветку HKEY_USERS. Находим меню «Файл» -> «Загрузить куст…»

В открывшемся окне «Загрузить куст» переходим в директорию C:\Windows\System32\Config\, где C: — буква диска, на который у вас установлена Windows. В зависимости от того какая ветвь реестра нуждается в редактировании выбираем в папке Config соответствующий куст. Например, если необходимо редактировать ветвь HKLM\SOFTWARE, выбераем в папке Config куст SOFTWARE и нажиаем «Открыть», но имейте ввиду, что куст может быть и любой другой (DEFAULT, SAM, SECURITY или SYSTEM).

Далее, вводим любое имя для загружаемого раздела и работаем с появившейся в HKEY_USERS веткой, это и есть куст SOFTWARE зараженного компьютера.

Как правило, вирусы-блокеры изменяют несколько параметров реестра, что мешает нормальной загрузке Windows. Поэтому удаление вирусов сводится к восстановлению ключей реестра и физическому удалению исполняемых файлов вируса которые прописаны в измененном параметре.

Найдите в реестре ветку:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Параметр:

userinit

Значение параметра должно быть:

с:\windows\system32\userinit.exe

где, «c:\» диск на который установлена Windows. Если значение параметра после буквы диска отличается, исправляем на вышеуказанный.

Параметр:

shell

Значение параметра должно быть:

Explorer.exe


Если значение параметра отличается, тоже исправляем.

После того, как закончите редактирование реестра, обязательно следует выгрузить куст, для этого нужно выделить ветку которую Вы создали, затем — меню Файл > «Выгрузить куст».

Перезагружаем компьютер в обычном режиме.

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows

Отзывы

Оставьте Ваш Отзыв:

Отзывов (33) на “Как удалить sms-вирус или вирус-вымогатель загрузившись с Live CD”
  1. Максим Саенко:

    пробовал с помощью ERD Commander 2005 сделать откат системы — пишет нет точек отката… в реестре посмотрел тоже вроде все нормально… никаких кракозябр нету… только вот одно, он просит не через SMS пополнить счет, а на кошелек WEBmoney вот сижу голову ломаю… полазил по форумам — не помогло пока ничего! :(

  2. Павел:

    Большое спасибо !!!!!

  3. Елена:

    Большое спасибо за советы!!! Всплыла такая же проблема у знакомого на компе. Телефон МТС 89107646892.
    Долго перезаписывала файлы и редактировала реестр, но ничего не помогало. Не удавалось просечь, на каком этапе вирус прописывается обратно в реестр загрузку cmd.exe с ключом /k вместо explorer.exe . Ни Касперский ни DR’WEB ничего не находил. Нашла AntiWinLockerLiveCD, позволяет чистить temp каталоги, в нем то и висел исполняемый файл с достаточно издевательским названием 0314.exe

  4. Дмитрий:

    У меня у друга выскочил такой вирус он меня попросил ему помочь… Я взял его жесткий диск и поставил себе в комп. Как мне зайти через реестр на его диск, у меня все время открывается только мой . А если я его ставлю как главный диск то у меня тоже вылаит этот вирус. Что делать?

    • VirusFree:

      Когда загружаете куст реестра для редактирования — выбирайте X:\Windows\System32\Config\, где X: — буква диска, подключенного винта с заблокированной Windows.

  5. Андрей:

    Все сделал, все выгрузил — проблема не ушла. Я менял только параметр userinit, в shel было все нормально. Я даже нашел на другой странице совет поменять сам файл userinit.exe — поменял. Все равно не помогает. Когда опять смотрю редактор реестра — там параметр опять перескакивает назад. помогите, если можете, пожалуйста — не хочется винд переставлять (тем более реаниматор потерял)…

    • VirusFree:

      1) Есть большая вероятность того, что сам explorer.exe заражен.

      Пользователи часто пишут о том что вирус в файлах:
      \windows\system32\taskmgr.exe
      \windows\system32\dllcache\taskmgr.exe
      \windows\system32\userinit.exe
      \windows\system32\dllcache\userinit.exe
      \windows\explorer.exe
      \windows\system32\dllcache\explorer.exe
      Даже бывает что винлокер скрывается до поры до времени в кнопке «Свернуть все окна».

      Вот ссылки на файлы для Windows XP SP3:

      taskmgr.exe
      userinit.exe
      explorer.exe

      2) Если замена этих трех файлов не помогает, то безотказный автоматический способ в инструкции Удаление смс-вируса с помощью AntiWinLocker LiveCD

  6. Андрей:

    Выделяю ветвь SOFTWARE, пытаюсь выгрузить, но мне пишет: не удается…отказано в доступе

    • VirusFree:

      Еще раз попорядку:
      1) подключили куст, при подкючении куста укажите имя отличное от типовых названий кустов (а то легко можно перепутать что выгружать), например «123»;
      2) производим в подключенной ветке необходимые действия;
      3) по оканчании, в окне редактора реестра, справа, сверните все открытые папки, нажимая на «-«, найдите папку куста с именем «123», выделите ее мышкой и в меню Файл > «Выгрузить куст».

  7. Андрей:

    Тупой вопрос: а как выделить ветку, которую я создал…чтобы выгрузить куст

  8. Алекс:

    Заменил файлы, но проблема следующая: при заходе-сразу пишет завершение сеанса и выкидывает

  9. Антон:

    При попытке запустить regedit выдается ошибка Regedit.exe and Regedt32.exe have been configured to not run under MSDaRT.Please use ErdRegedit.exe instead.

    • VirusFree:

      В некоторых версиях диска ERD Commander при появлении вышеуказанной ошибки попробуйте в окошке «Выполнить» вместо regedit.exe запустить ErdRegedit.exe

  10. Игор:

    что вписывать в key name когда загружаешь куст???

  11. Сергей:

    Всем доброго времени суток!

    Не могу разобраться с некоторыми вещами.

    1. После изменения параметровshell на explorer.exe и перезагрузки компьтера баннер не исчезает, а при повторном хаоде в реест параметр shell меняется на старые
    2. Не могу сообразить как в папке config из DEFAULT, SAM, SECURITY,SOFTWARE и SYSTEM выбрать нужный куст для редактирования.

    Спасибо

    • VirusFree:

      1. В Windows XP в некоторых случаях после исправления параметров реестра необходимо восстановить (заменить зараженные на заведомо «чистые») некоторые системные файлы — userinit.exe, реже — explorer.exe, taskmgr.exe.
      2. Выбирайте куст SOFTWARE, параметры которые надо исправить именно в нем.

  12. shmels:

    Еще есть сборник Zver DVD, там есть нечто подобное, все получается для ХР, за остальное очень благодарю!

  13. Galuna:

    нормально, но в образ надо добавить 3 системных файла
    -userinit.exe
    -explorer.exe
    -taskmgr.exe

    и онымы заменить такие же на жест. диске
    и все будет хорошо

  14. Торелли:

    А с загрузочного диска Kасперского RescueCD, или DRWeb LiveUSB можно попасть в редактор реестра?
    И как перебросить чистые файлы Userinit.exe и Taskmgr.exe через загрузочный диск на компьютер?
    Спасибо

    • VirusFree:

      С DRWeb LiveUSB — работать не приходилось. Kaspersky Rescue Disk на линуксе, так что просто и быстро реестр Windows с него не отредактируешь. В KRD есть терминальная команда chntpw, которая позволяет подгрузить куст реестра. Лучше погуглить по этому вопросу подробнее. Так же в KRD есть возможность настроить сеть и доступ в инет, что позволит Вам скачать оригинальный файл userinit.exe (для Windows XP SP3).

      Самый простой способ — использовать LiveCD ERD Commander 2005 для удаления вируса и редактирования реестра и флешку для переноса чистых файлов на зараженный компьютер.

  15. Наталья:

    Помогло! Большое спасибо создателям сайта!




Выразите свое мнение

Скажите нам, что вы думаете...