Вход
Уважаемые пользователи!

Поставщик ИТ-решений PRO32 сообщает вам, что после 17 лет сотрудничества мы более не являемся эксклюзивным дистрибьютором программных продуктов словацкого разработчика ESET в России, Республике Беларусь, Казахстане, Азербайджане, Узбекистане, Кыргызстане, Таджикистане, Туркменистане, Молдове, Грузии и Армении.

Купить и продлить лицензии ESET на нашем сайте больше нельзя.

Предлагаем вам попробовать новый антивирус от компании PRO32.

Продукты PRO32 — это технологичные решения, надежная защита от киберугроз и максимальная производительность устройств на Windows / Android.

Для действующих клиентов ESET мы предлагаем промокод на скидку в размере 15% — ESET15. Скопируйте его и после добавления товара в корзину, не забудьте его применить в корзине.

Перейти на PRO32
Поиск  Пользователи  Правила  Войти
Центр вирусных исследований и аналитики Разблокировка Windows от SMS-вымогателей

Win32/MBRlock.C троянская программа

Пред. 1 2 3
RSS
 
RP55 RP55
RP55 RP55
Пользователь
Сообщений: 6234
Баллов: 4987
Регистрация: 25.05.2010
Размещено 04.09.2011 22:54:52
1.Сохранение MBR
Для отправки например на VirusTotal - для проверки файла.
http://www.virustotal.com/index.html

2.Сверка: Создать файл сверки - загрузиться с любого - Windows Live CD + uVS
Выбрать свою систему "Указать каталог Windows"
После чего в меню Руткиты: "Поиск скрытых и изменённых объектов по файлу сверки - "Укажите путь до файла Сверки"
=  Результат ( будут выявлены и показаны изменённые/скрытые объекты ).
111.jpg (169.18 КБ)
222.jpg (106.69 КБ)
Изменено: RP55 RP55 - 04.09.2011 22:58:02
 
santy
santy
Администратор
Сообщений: 17962
Баллов: 14369
Регистрация: 16.03.2010
Размещено 05.09.2011 08:40:58
Цитата
Serho777 пишет:
Цитата
если необходимо, можно подробнее расписать каждый из методов.
если можно пожалуйста рапишите...

есть некоторые изменения в методах лечения.

в текущей версии uVS есть функционал, который позволяет манипулировать объектами MBR.
- проверить хэш MBR по списку безопасных,
- выполнить поиск по хэшу во внешней базе ВирусТотал,
- сделать дамп MBR (сохранить как файл) и проверить данный файл на ВирусТотал
(некоторые антивирусы умеют проверить дамп файла на наличие MBRlock)
- заменить загрузчик MBR на зараженном компьютере на стандартный загрузчик.

замену загрузчика удобнее выполнить из под Live.CD, например, WINPE&uVS
http://dl.dropbox.com/u/23461204/winpe_x86%26uvs.iso
Изменено: santy - 05.09.2011 08:41:55
[ Как создать образ автозапуска? ]
 
sanbolt
sanbolt
Пользователь
Сообщений: 9
Баллов: 4
Регистрация: 01.09.2011
Размещено 05.09.2011 09:54:52
Проще загрузится с загрузочного диска WINDOWS. Войти в консоль восстановления и выполнить команду fixmbr.
 
santy
santy
Администратор
Сообщений: 17962
Баллов: 14369
Регистрация: 16.03.2010
Размещено 05.09.2011 10:00:02
Цитата
sanbolt пишет:
Войти в консоль восстановления и выполнить команду fixmbr.
нам как раз, проще чтобы пользователи использовали winpe&uVS по разным причинам:

1. может быть отсуствие загрузочного диска win
2. может быть проблема в входа в режим админа (пароли)
3. может быть дополнительное заражение системы, кроме MBRLock
----
и главное преимущество - это лучше один раз увидеть своими глазами образ зараженной системы, чтобы принять решение, чем принимать что-то со слов юзера, который не всегда адекватно может описать симптомы заражения системы.
Изменено: santy - 05.09.2011 10:02:17
[ Как создать образ автозапуска? ]
 
Пред. 1 2 3
Читают тему