Романтики.Ру

На http://www.kaspersky.ru/ есть такая служба, но не всегда помогает.

СЭМ писал(а):Pinhead, а какой у тебя антивирус установлен?

McAfee. Обновляется, естественно, каждый день. Хороший антивирь, до этого вообще никаких проблем не было, когда многие вокруг от порно-баннеров страдали, у меня ни разу ничего.
Я еще раз повторю, что после разблокировки использовал и CureIt Вебера и разовый пакет проверки Касперского как раз для таких случаев. Они ничего не нашли. Это очень сильное колдунство. Так что я даже сейчас и не знаю, нет ли у меня где еще следов этой заразы.

СЭМ писал(а):Что-то не в порядке у них с логикой. Угрожают дело передать для разбирательства, а сами безвозвратно улики уничтожают

В моей версии еще было очаровательное дополнение, что если компьютер перегрузить, то все данные, включая BIOS (!) будут уничтожены. Как Вы понимаете, я не поверил.

cher писал(а):C логикой все в порядке - шли деньги как дурак, а не пошлешь мы других найдем...

Да, расчет еще на то, что человек побоится с таким баннером искать помощи на стороне, особенно в официальных конторах. Говорят, есть еще вариант с нелегальным программным обеспечением. Видимо, у нас уже считается, что педофилия распространена не меньше пиратства.

Sergkurz писал(а):Pinhead, а можно подробнее, как вы эту фигню ликвидировали? Можно в личку. Вообще-то, где-то есть специальный сайт, где все эти коды прописаны.

Здесь коды НЕ ПОМОГУТ в принципе. Потому что способ другой. Раньше надо было отправить кодовое слово на нужный номер и получить ответ. А теперь просто кладешь деньги на счет такого-то телефона, а код на чеке. В этом случае ничего сделать нельзя. На сайте Касперского написано, что блокер не предусматривает разблокировки. Так-то.
Разблокировал, использовав специальный программный пакет утилит Erd Commander для специалистов по восстановлению работы Виндоус. Это образ, он записывается на диск, с него происходит загрузка, и он уже позволяет восстанавливать файлы, делать диагностику и пр. С его помощью можно вручную отредактировать реестр неработающего виндоус. Обычно это помогает, мне ни фига не помогло. Слава богу, там есть функция отката к контрольной точке. Помогло именно это, как ни странно.

Pinhead писал(а):Слава богу, там есть функция отката к контрольной точке.

А сохраняются ли данные в процессе отката или что-то теряется?

толик писал(а):А сохраняются ли данные в процессе отката или что-то теряется?

Никакие персональные файлы не теряются.

Сегодня разузнал, что этот вирус гуляет на хостинге картинок imageban.ru. Где-то во всплывающих рекламных картинках. Так что имейте в виду.

Pinhead писал(а):Разблокировал, использовав специальный программный пакет утилит Erd Commander для специалистов по восстановлению работы Виндоус. Это образ, он записывается на диск, с него происходит загрузка, и он уже позволяет восстанавливать файлы, делать диагностику и пр. С его помощью можно вручную отредактировать реестр неработающего виндоус. Обычно это помогает, мне ни фига не помогло. Слава богу, там есть функция отката к контрольной точке. Помогло именно это, как ни странно.

Самый поганый случай, из встречавшихся мне, когда зловред подменил собой експлорер, при этом обозвав себя, кажется, флешплеером. Лечится правкой реестра. В том же самом Erd Commandere.

cher писал(а):Ну тогда ничем помоч не могу

Да я уже разобрался как мне поступать. Я просто держу все на внешнем винте. Надо, кстати, продублировать на компе. Два диска сразу вряд ли испортятся. Плюс, сохраняю дописанное в интернете. Да и на работе можно временно скинуть. Там не очень много. Саму ось нет смысла хранить в образе -- испортится, можно будет переставить. Заодно, обновлю. Время меня не волнует.

Неприкаянный писал(а):Самый поганый случай, из встречавшихся мне, когда зловред подменил собой експлорер, при этом обозвав себя, кажется, флешплеером. Лечится правкой реестра. В том же самом Erd Commandere.

Ну, здравствуйте! Я же написал, что правка реестра не помогла. Он каким-то образом умудрялся возвращать значение Shell до того, как загрузка осуществлялась.

Pinhead писал(а):Я сегодня на вполне респектабельном сайте влетел в блокирующий баннер, да в такой, что не лечится никакими антивирусами и никаких кодов разблокировки не имеет. Ни Касперский, ни Вебер не помогают. Даже ручное редактирование реестра в разделе Winlogon ничего не дало. Это какое-то новое поколение. Выглядит так:

Неделю назад попал на точно такую же дрянь! Отдал комп своему мастеру, он трое суток пытался что-то сделать, ничего не смог! Уж чего только не предпринимал. Переустановил винду, да и то, по его словам, только с восьмой попытки получилось. До этого пару - раз ловил похожие баннеры, снималось всё подборкой кодов через сайты Касперского или Вебера. Но не в этом случае! Да, кстати, из тех двух баннеров один был как-раз за "попытку незаконного использования ПО и нарушение статей об авторских правах...." вобщем что-то такое. А поймал пытаясь скачать разные программки с вполне приличных сайтов (восстанавливался после переустановки виндоус).
На днях ловил ещё такой баннер который всплывает при запуске браузера и пишет типа - "Обнаружена попытка воздействия на работу браузера! Вирус Troian.Win32.Ddox ...
Необходимо срочно обновить базу данных отдела безопасности браузера!"
И тут же кнопочка "Обновить". Причём баннер стилизован под окно браузера, тоесть - логотип, цвета, оформление - всё как у вашего браузера (независимо от того - каким вы пользуетесь, в зло-программе есть все варианты!)
Ксчастью эта дрянь не блокирует комп, только прикрывает большую часть экрана. Вышел на один сайт, скачал предложенную там утилиту, для неё тамошние спецы выдали мне индивидуальный скрипт. Выполнил скрипт - "Как бабушка отшептала!" Вся дрянь удалилась.

Лечил я такую дрянь, правда, всего один раз и не помню всех действий.
Первое: эта собака привязана к профилю юзера. То есть если перезайти с другим пользователем (к примеру, с встроенным администратором), то загрузка пройдёт нормально. Но только первый раз! Потом зараза уже прицепится. Если создать нового пользователя (ессно, с админскими правами), то первая загрузка под его именем тоже пройдёт нормально.
Второе: где-то ещё в реестре прописывается ссылка на какой-то медиафайл, его надо найти, он тоже сидит где-то в профиле пользователя (хотя не факт, но что именно в системе - точно). Если его удалить, блокировщик исчезнет, но будет выдаваться ошибка, что сей файл не найден. Вот тогда и правим реестр.
Можно ещё при правке реестра (я имею в виду с загрузочного диска) переписать файлы explorer.exe и winlogon.exe в другую папку, и сменить путь в ветке Shell - винда загрузится, но потом не забыть вернуть эти файлы обратно - к ним привязка идёт ещё в куче мест.
А переустановка Windows поверх предыдущей версии (а именно это и делал тот мастер, как я понял) ничего не даст - профили юзеров сохраняются, реестр тоже. Поможет только форматирование системного диска...

Glott писал(а):Первое: эта собака привязана к профилю юзера. То есть если перезайти с другим пользователем (к примеру, с встроенным администратором), то загрузка пройдёт нормально. Но только первый раз!

Вирус находился в папке All Users.

Glott писал(а):Второе: где-то ещё в реестре прописывается ссылка на какой-то медиафайл, его надо найти, он тоже сидит где-то в профиле пользователя (хотя не факт, но что именно в системе - точно). Если его удалить, блокировщик исчезнет, но будет выдаваться ошибка, что сей файл не найден. Вот тогда и правим реестр.

Удалял, правил. Не помогло. Появился снова на том же месте.

Glott писал(а):Можно ещё при правке реестра (я имею в виду с загрузочного диска) переписать файлы explorer.exe и winlogon.exe в другую папку, и сменить путь в ветке Shell - винда загрузится, но потом не забыть вернуть эти файлы обратно - к ним привязка идёт ещё в куче мест.

Он насильно возвращает значение Shell на самого себя при загрузке.

Значит, эволюционирует, скотинка такая.
http://www.osp.ru/win2000/2003/02/175908/
По ссылке выше - откуда система считывает автозапуск.
Кроме того, в All User сидят точки монтирования и символьные ссылки. Утилитка Link Shell Extension позволяет ссылки отследить.

Ну, обычно мне вполне хватает команды msconfig, разделы "Автозагрузка" и "Службы". Всё-таки, обычные программы там все видны. А теми, что не видны, по идее, уже должен антивирус заниматься.

Правда ли, что включение компьютера эквивалентно 8 часам его работы?
На ночь я комп. отключаю, а в перерыв на 1-2 часа нет, правильно ли это с позиций его сохранности? Если нет, тогда на какой часовой эквивалент (расклад) ориентироваться?

Количество включений-выключений имеет какое-то значение только для ресурса жесткого диска... Но современные жд зачастую выходят из строя по другим причинам.
Если не делать выключения десятки раз в день (вручную или по настройкам энергосбережения), никаких проблем не будет.
Поэтому:
-выключать компьютер на ночь - это нормально.
-выключать компьютер (или переводить в ждущий или спящий режим) при его ненадобности в течение дня - следует исходя из здравого смысла. Пару раз в день, на 1-2 часа, его можно и выключить (особенно если оставляете его без присмотра, уходите из дома).
-для компьютера, работающего от электросети, время перехода в ждущий режим и отключения дисков, лючше перевести в положение Никогда.

Pinhead писал(а):А теми, что не видны, по идее, уже должен антивирус заниматься.

Как бы не должен. Это уже самоуправство производителей антивирусов На самом деле для этого есть антируткиты.

Pinhead писал(а):Ну, здравствуйте! Я же написал, что правка реестра не помогла. Он каким-то образом умудрялся возвращать значение Shell до того, как загрузка осуществлялась.

Здравствуй. Значит, не все вычищено. Да и тела зловреда надо удалять. А их бывает до десятка в разных местах. Причем, маскироваться может под вполне легальный файл.

purgatorius писал(а):Правда ли, что включение компьютера эквивалентно 8 часам его работы?

Это явно перегиб. Но что потребление энергии возрастает правда.

Спасибо за ответы.

Zatvornik писал(а): время перехода в ждущий режим и отключения дисков, лючше перевести в положение Никогда.

Припоминаю, слышал что-то такое, но не понимаю, почему это так?

purgatorius писал(а):Спасибо за ответы.

Zatvornik писал(а): время перехода в ждущий режим и отключения дисков, лючше перевести в положение Никогда.

Припоминаю, слышал что-то такое, но не понимаю, почему это так?

Чтобы компьютер зазря не уходил в ждущий режим, когда он может через минуту понадобиться (не останавливал жесткий диск, не терял коннект в сети...). Если он на какое-то время стал не нужен, его всегда можно выключить, или отправить в ждущий режим, руками.
Режимы энергосбережения по сути имеют смысл только при работе ноутбука от аккумулятора.

Pinhead Словил на работе похожую дрянь. (самое обидное, флешку без меня в комп вставили) Заодно, посмотрел в чем там дело. Как и подозревал, связка руткита с трояном. Дошло до смешного -- антивирус удаляет, а система тут же возвращает зловреда на место. Буду лечить. Естественно, с лайф-сд.

Удачи. Хорошо, что на работе.

PinheadСпасибо. Дома не получится. На убунте сижу.

ЗЫ. о результатах доложу. Но, пока еще не выкорчевал.