Вирус-вымогатель денег по SMS
Появляется баннер почти на весь экран:
Внимание! Internet Security обнаружил вредоносное ПО на вашем компьютере.
Он "находит" 49 вирусов и предлагает лечить или удалить вредоносные файлы. Если выбираешь лечить - появляется сообщение об оплате программы посредством SMS на номер 7373.
Этот баннер выскакивает после загрузки windows и в безопасном режиме и в простом. Заблокированы диспетчер задач и реестр, восстановление системы отключено, антивирус отключен. При запуске любой программы баннер перезапускается и сканирует систему заново.
Мучался часа три:
1) Сервис деактивации вымогателей-блокеров - даёт код, который не помогает
2) Колдовство с LiveCD и антивирусами не помогло.
3) Помогла такая табличка (нашел на одном из форумов)
К = 1--2--3--4--5--6--7--8--9
0 = 8--9--1--2--3--4--5--6--7
1 = 9--1--2--3--4--5--6--7--8
2 = 1--2--3--4--5--6--7--8--9
3 = 2--3--4--5--6--7--8--9--1
4 = 3--4--5--6--7--8--9--1--2
5 = 4--5--6--7--8--9--1--2--3
6 = 5--6--7--8--9--1--2--3--4
7 = 6--7--8--9--1--2--3--4--5
8 = 7--8--9--1--2--3--4--5--6
9 = 8--9--1--2--3--4--5--6--7
Для кода в sms подставляешь цифры одного из столбцов. Меня просили отправить сообщение к204114200.
Значит надо пробовать комбинации:
1183993188
2294114299
3315225311
...
Всего 9 вариантов, один из которых и подошел. Комп перезапустился и стал нормально работать (диспетчер задач, редактор реестра - ОК).
Кстати, после нормальной перезагрузки, необходимо проверить всю систему обновленным антивирусом, особенно обращая внимание на папки:
1) C:\Documents and Settings\%username%\Local Settings\ - там, как правило, остаётся один exe-файл (сам вирус)
2) C:\Documents and Settings\%username%\Local Settings\Temp\ - из этой папки можно вообще всё удалить и почистить аналогичные папки Temp у всех пользователей на компе (напр. Администратор, Гость, ...)
3) %SystemRoot%\system32 (обычно это C:\Windows\System32\) - найти файлы размером 129 536 байт. Их будет штук 5-6, из которых 2 файла относятся к Windows (msv1_0.dll и xmlprov.dll - эти файлы не удалять), а остальные, особенно с датой создания за январь 2010 года) - очень хорошо проверить - 99,9% вероятности, что это и есть тело вируса.
4) Проверяем антивирусом все флешки, контактировавшие с зараженным компом, особенно папку RECYCLER, которой в принципе не должно быть на флешках. А для надёжности удаляем сразу папку RECYCLER даже без проверки.
Народные умельцы даже написали прогу для генерации этих кодов http://files.mail.ru/15CNRR
www.rublya.net
|