http://forum.esetnod32.ru Новое в теме Заблокирован доступ к рабочему столу Windows форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Sat, 25 Apr 2026 09:51:26 +0300 Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.

====quote====
Gaborik пишет:
правда не знаю 5 версия или какая,но пользуюсь вашим антивирусом около 5 лет,наверное 5.
=============

Если не 5-я,
Можно обновиться до 5-й удалив старую версию и скачав новую отсюда http://www.esetnod32.ru/.download/home/commerce/ используя данные по текущей лицензии.
15.03.2012 16:49:02, Валентин.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message37237/ http://forum.esetnod32.ru/messages/forum27/topic1948/message37237/ Thu, 15 Mar 2012 16:49:02 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.
Спасибо Валентин,оперативно работаете,сейчас сделаю,правда не знаю 5 версия или какая,но пользуюсь вашим антивирусом около 5 лет,наверное 5.
15.03.2012 15:29:32, Gaborik.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message37230/ http://forum.esetnod32.ru/messages/forum27/topic1948/message37230/ Thu, 15 Mar 2012 15:29:32 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.
Gaborik, в дополнение советую Вам проделать следующее: http://forum.esetnod32.ru/forum9/topic3141/  
15.03.2012 14:36:59, Валентин.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message37220/ http://forum.esetnod32.ru/messages/forum27/topic1948/message37220/ Thu, 15 Mar 2012 14:36:59 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.
Здравствуйте,сегодня поймал такое,всё прочёл,мало что понял,что куда и зачем и как,хорошо бы специальную тему с картинками,для тех кто в танке(для таких как я)уже отчаялся,перезвонил всем друзьям кто более менее шарит,посоветовали откат системы,зашёл в безопасном режиме,от администратора,решил сначала сканировать систему антивирусом,после сделал откат системы и случилось чудо,всё работает нормально,уже повторно перезагрузил комп,всё работает,может кому то поможет более простой способ для начала как мне,я понимаю что разновидностей такого вируса очень много и мне повезло и попался видно самый простой,если данный способ уже кто то предлагал,прошу извинить за повторность и за не внимательность в чтении тем.
Номер на который просили отправить смс 9171040055.
Надеюсь данный сайт скоро заблокируют из-за атаки на компьютеры.
С уважением ваш постоянный пользователь.
15.03.2012 13:13:51, Gaborik.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message37193/ http://forum.esetnod32.ru/messages/forum27/topic1948/message37193/ Thu, 15 Mar 2012 13:13:51 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.
mari4416, здесь все по пунктам расписано.
http://forum.esetnod32.ru/forum6/topic2102/

нужен от вас будет образ автозапуска.
17.12.2011 16:21:16, santy.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message27653/ http://forum.esetnod32.ru/messages/forum27/topic1948/message27653/ Sat, 17 Dec 2011 16:21:16 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.
дОБРЫЙ ДЕНЬ! У меня такая же история....Высветился  этот синий квадрат с надписью "Компьютер заблокирован и прочее..."  Но я ПОЛНЫЙ чайник!!!!! Что мне делать? Если можно по пунктам... Помогите!!!!! Есть еще нетбук..
17.12.2011 15:58:05, mari4416.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message27651/ http://forum.esetnod32.ru/messages/forum27/topic1948/message27651/ Sat, 17 Dec 2011 15:58:05 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.
Спасибо за объяснение, я так понимаю эти мошенники постоянно дорабатывают механизм работы локеров.
30.11.2011 09:14:56, haroshii.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message25479/ http://forum.esetnod32.ru/messages/forum27/topic1948/message25479/ Wed, 30 Nov 2011 09:14:56 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.

====quote====
haroshii пишет:
Вопрос:
помог бы описанный выше способ в моём случае? и вообще этот способ универсальный или нет? т.е можно ли его применять на другом залоченом компьютере?
просто хотелось бы раз и навсегда освоить механизм удаления похожей пакости и делать это самостоятельно
=============
по образу автозапуска из под Live.CD лучше всего разбираться с винлокерами.
вариант с 22CC6C32.EXE не единственный,
есть и другие,
можно посмотреть специализированный форум по винлокам.
http://forum.virlab.info/
-----
чтобы освоить самостоятельно лечение Винлок, лучше разобраться с работой UVS и его возможностями при запуске Live.CD.
30.11.2011 09:10:16, santy.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message25478/ http://forum.esetnod32.ru/messages/forum27/topic1948/message25478/ Wed, 30 Nov 2011 09:10:16 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.
в вашем случае было три зараженных файла:
1. %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\22CC6C32.EXE
этот файл стартовал через shell

====quote====
Полное имя                  D:\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\22CC6C32.EXE
Ссылки на объект            
Ссылка                      HKLM\uvs_software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell
Shell                       D:\Documents and Settings\All Users\Application Data\22CC6C32.exe

=============
2. зараженный userinit.exe (копия винлок)
3. зараженный диспетчер задач TASKMGR.EXE (копия винлок),
-------
просто замена в реестре параметра shell ничего бы не дала,
потому что стартует зараженный userinit,

в данном случае надо было заменить эти два системных файла: userinit.exe и taskmgr.exe (еще и в dllcache),
подходящими для данной системы,
и убрать из shell ссылку на 22CC6C32.EXE, оставить только explorer.exe
-----
тогда помогло бы.
30.11.2011 09:04:47, santy.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message25477/ http://forum.esetnod32.ru/messages/forum27/topic1948/message25477/ Wed, 30 Nov 2011 09:04:47 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.
Большое спасибо, помогло, комп запустился, никакой гадости на экране не наблюдаю
Вчера сидел ковырял интернет форумы в поисках тем по удалению подобных винлокеров. Вычитал простой какой то способ удаления этой гадости:

====quote====
Редактируем системный реестр Windows. Запускаем Start > Administrative Tools > Registry Editor:
изменить параметр Userinit (REG_SZ), который находится [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon], на значение C:\WINDOWS\system32\userinit.exe
изменить параметр Shell (REG_SZ), который находится там же, на значение Explorer.exe
=============
загрузился с uVS, открыл редактор реестра, нашёл некоторые нестыковки, т.е не стандартный Explorer.exe запускался а вирусняк
не стал ничего менять, решил дождаться скрипта, т.к как понимаю что скрипт делает гораздо больше.
Вопрос:
помог бы описанный выше способ в моём случае? и вообще этот способ универсальный или нет? т.е можно ли его применять на другом залоченом компьютере?
просто хотелось бы раз и навсегда освоить механизм удаления похожей пакости и делать это самостоятельно
30.11.2011 08:54:12, haroshii.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message25476/ http://forum.esetnod32.ru/messages/forum27/topic1948/message25476/ Wed, 30 Nov 2011 08:54:12 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.
haroshii,
выполните в uVS скрипт из приложенного файла.
перезагрузка,
пишем результат
script.txt
30.11.2011 06:30:08, santy.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message25474/ http://forum.esetnod32.ru/messages/forum27/topic1948/message25474/ Wed, 30 Nov 2011 06:30:08 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.
О великий Santy, спасай плиз  
опять беда приключилась
Дикий юзверь дорвался до интернета результат его деятельности прикрепляю
HOMUS_2011-11-29_23-57-31.7z
30.11.2011 00:09:37, haroshii.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message25465/ http://forum.esetnod32.ru/messages/forum27/topic1948/message25465/ Wed, 30 Nov 2011 00:09:37 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.
хорошо. .
архив из папки uVS с копиями вирусов для вирлаба с таким именем, например: 2010-10-04_13-30-55.rar/7z)
отправить в почту support@esetnod32.ru
если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected
01.08.2011 22:15:59, santy.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message18798/ http://forum.esetnod32.ru/messages/forum27/topic1948/message18798/ Mon, 01 Aug 2011 22:15:59 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.
Всё работает Спасибо огромнейшее)))
01.08.2011 22:13:04, Sigurd.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message18796/ http://forum.esetnod32.ru/messages/forum27/topic1948/message18796/ Mon, 01 Aug 2011 22:13:04 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.
скрипт должен сработать в том случае, если вы использовали загрузочный диск winPE&uVS (userinit.exe при этом должен автоматически восстановиться из библиотеки STORE)
01.08.2011 21:55:11, santy.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message18794/ http://forum.esetnod32.ru/messages/forum27/topic1948/message18794/ Mon, 01 Aug 2011 21:55:11 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.
выполните скрипт из файла в uVS из под WinPE&uVS
сделайте рестарт системы,
пишем результат
scr10.txt
01.08.2011 21:53:45, santy.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message18793/ http://forum.esetnod32.ru/messages/forum27/topic1948/message18793/ Mon, 01 Aug 2011 21:53:45 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.
Help! У меня тоже такой вир.
Вот сделал образ.. Хз правильно или нет..
MININT-O3V1FA5_2011-08-01_21-12-26.TXT
01.08.2011 21:30:46, Sigurd.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message18792/ http://forum.esetnod32.ru/messages/forum27/topic1948/message18792/ Mon, 01 Aug 2011 21:30:46 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.

====quote====
RP55 RP55 пишет:
Да - но Если, у нас представлен аналогичный случай... ( Как - часто и бывает - и не только по отношению к userinit.)

=============
забудь про такую аргументацию, Да, Но, Если.... только факты, и результаты теста который ты сам можешь подтвердить. Иначе все превращается в пустой разговор.


====quote====
RP55 RP55 пишет:
Да, ещё если число символов в 2 - 3 раза превышает номинал!
* В общем, есть над чем подумать, как нам, так и разработчику...
=============
а что ты хочешь предложить... хранить примерное число символов в системных файлах? где и зачем? и разницы нет насколько отличаться будет вирусняк от оригинала в 2-3 раза, или на 2-3 байта.
28.07.2011 01:06:44, santy.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message18697/ http://forum.esetnod32.ru/messages/forum27/topic1948/message18697/ Thu, 28 Jul 2011 01:06:44 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.

====quote====
santy пишет:
Разницы нет, встречается зараженный userinit.exe и с нормальным именем производителя
=============
Да - но Если, у нас представлен аналогичный случай... ( Как - часто и бывает - и не только по отношению к userinit.)

====quote====
RP55 RP55 пишет:
*Уж, что - что, а число символов в строке: Производитель, можно ( и нужно ) подсчитать автоматически. И сделать соответствующие выводы.
=============
Не может, системный файл иметь  другого производителя кроме, как ...
Да, ещё если число символов в 2 - 3 раза превышает номинал!
* В общем, есть над чем подумать, как нам, так и разработчику...
28.07.2011 00:51:42, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message18696/ http://forum.esetnod32.ru/messages/forum27/topic1948/message18696/ Thu, 28 Jul 2011 00:51:42 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.
разницы нет, встречается зараженный userinit.exe и с нормальным именем производителя, но без цифровой подписи, но поди ты узнай, патченный это userinit или зараженный,
здесь остается только проверять на тесте, или человек неправильно выполнял скрипт  или что-то еще... если бы он хотел нам помочь, то выслал бы файл для проверки.
28.07.2011 00:37:54, santy.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message18695/ http://forum.esetnod32.ru/messages/forum27/topic1948/message18695/ Thu, 28 Jul 2011 00:37:54 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.

====quote====
santy пишет:
Он (userinit.exe) должен попасть в список отсуствующих объектов..
=============
Его и так нет.
Разработчик: Производитель AVG Software Development Team
И сигнатура другая и размер файла.
*Уж, что - что, а число символов в строке: Производитель, можно ( и нужно ) подсчитать автоматически.
И сделать соответствующие выводы.
28.07.2011 00:23:00, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message18694/ http://forum.esetnod32.ru/messages/forum27/topic1948/message18694/ Thu, 28 Jul 2011 00:23:00 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.
Да, все идеи требуют проработки.
28.07.2011 00:08:54, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message18693/ http://forum.esetnod32.ru/messages/forum27/topic1948/message18693/ Thu, 28 Jul 2011 00:08:54 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.
rknown - удаление отсутствующих известных файлов... если файлик зараженный userinit предварительно не удалить, то он и не будет восстанавливаться. он (userinit.exe) должен попасть в список отсуствующих объектов..
27.07.2011 23:57:33, santy.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message18692/ http://forum.esetnod32.ru/messages/forum27/topic1948/message18692/ Wed, 27 Jul 2011 23:57:33 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.
В принципе при RKNOWN файлу следует восстановиться.
Предварительно удалив свою копию или вирус.
Путь известен - имя известно.
Для чего ещё предварительное удаление придумали.
Или для  settings.ini ввести - Удалять при команде на восстановление...
27.07.2011 23:51:20, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message18691/ http://forum.esetnod32.ru/messages/forum27/topic1948/message18691/ Wed, 27 Jul 2011 23:51:20 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.
но скорее всего с нашего диска

====quote====
--------------------------------------------------------
C:\$UVS_285\SHA1
Загружено хэшей проверенных файлов: 543
--------------------------------------------------------
C:\$UVS_285\SHA\MAIN
Загружено хэшей проверенных файлов: 557969
--------------------------------------------------------
uVS v3.67: Microsoft Windows XP x86 (NT v5.1) build 2600 Service Pack 3 [C:\WINDOWS]
Свободно физической памяти 3663Mb из 4095Mb
Свободно на системном диске: 16,6GB
--------------------------------------------------------

=============

27.07.2011 23:46:25, santy.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message18690/ http://forum.esetnod32.ru/messages/forum27/topic1948/message18690/ Wed, 27 Jul 2011 23:46:25 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.

====quote====
RP55 RP55 пишет:
У меня всё удаляется - проверял.      
Если только дело в 368 версии...    
Проверю и на 368 -й.
=============
ну, человек делал на 3.67, может и сам диск пересобирал, об этом ничего не пишет.
27.07.2011 23:43:00, santy.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message18689/ http://forum.esetnod32.ru/messages/forum27/topic1948/message18689/ Wed, 27 Jul 2011 23:43:00 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.

====quote====
santy пишет:
Проверьте на виртуалке как работает удаление winlock в uVS
=============
У меня всё удаляется - проверял.    
Если только дело в 368 версии...  
Проверю и на 368 -й.
27.07.2011 23:36:26, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message18688/ http://forum.esetnod32.ru/messages/forum27/topic1948/message18688/ Wed, 27 Jul 2011 23:36:26 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.

====quote====
RP55 RP55 пишет:
В чём причина того, что файл не был удалён ?

=============
проверьте на виртуалке как работает удаление winlock в uVS, тогда можно будет задавать вопросы - работает или нет.
27.07.2011 23:31:20, santy.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message18687/ http://forum.esetnod32.ru/messages/forum27/topic1948/message18687/ Wed, 27 Jul 2011 23:31:20 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.

====quote====
sergo76 пишет:
и еще  вопрос господа, почему нод32 ЕСС  пропускает такие вещи????
=============
sergio76, вот только спамить здесь не надо... все вопросы почему ESET пропускает задаем во флудилке
27.07.2011 23:28:51, santy.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message18686/ http://forum.esetnod32.ru/messages/forum27/topic1948/message18686/ Wed, 27 Jul 2011 23:28:51 +0400 Разблокировка Windows от SMS-вымогателей Заблокирован доступ к рабочему столу Windows в форуме Разблокировка Windows от SMS-вымогателей.

====quote====
sergo76 пишет:
забирайте, не жалко...
=============
а что здесь? этот же образ автзапуска, к тому же он уже был в предыдущем сообщении. здесь нет вашего скрипта, и нет файла userinit.exe
27.07.2011 23:27:36, santy.]]> http://forum.esetnod32.ru/messages/forum27/topic1948/message18685/ http://forum.esetnod32.ru/messages/forum27/topic1948/message18685/ Wed, 27 Jul 2011 23:27:36 +0400 Разблокировка Windows от SMS-вымогателей