[Medved]

Сообщение от cheila

Бьюсь в истерике!
Поймала вирус - на календаре 2070 год, 4-30 утра 1 января. прекрасно - я долгожитель!
Когда стоял нод32 комп вобще не врубалася.
Переустановила систему - 500 руб, не хило - узнала что вирус в нашей локалке. Вот радость-то! Подождала, ну думаю поймали. Добрые люди сказали - руби на фиг нод ставь касперыча, он не пустит. Поставила - ЩАЗЗЗЗ. Подключилась к Удомле и здрасте. Хорошо еще комп работает - пока
ЛЮДИ че делать!

Перевод даты на 2070 год

--------------------------------------------------------------------------------

Вирус Trojan.NtRootKit.2692 (или ему подобный) проявляет себя по разному на разных компах с разными осями и разным программным обеспечением. "Влетели" все с этим вирусом похоже 23 февраля....интересная дата

1. Загружаемся со стороннего носителя, например ERD2005(2007)-диск с операционкой для XP или ERD2008 для Vista образы можно найти в ДС, в биос перед загрузкой ставим правильную дату!
2. Загруженная таким способом ОС хороша тем, что предоставляет доступ к файловой структуре "зараженного" HDD и реестру "зараженной" операционки в удобном windows виде и позволяет творить с ней все что захотите. В меню ERD только и есть собственно: regedit, explorer и др. технические программки
3. В реестре ищем и удаляем все ключи где встретиться system.exe, КРОМЕ!
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
"Userinit"="C:\WINDOWS\system32\userinit.exe," оставить в таком виде, а дописанный в этом ключе ...system.exe удалить
4. В реестре удаляем все ключи с ссылкой на mwua.exe
С реестром все

5. В меню ERD выбираем раздел RUN и проверяем все ветви на наличие в них ссылок на system.exe и mwua.exe - тоже уничтожаем
6. С помощью проводника ПОЛНОСТЬЮ! удаляем содержимое папок:
C:\Documents and Settings\Администратор\Local Settings\Temp и других папок Temp для всех пользователей, т.е. если есть пользователь, например "Клава" то соотв. очищаем и папку
C:\Documents and Settings\Клава\Local Settings\Temp и т.д.
7. Полностью очищаем все папки System Volume Information и RECYCLER на ВСЕХ локальных дисках (разделах, если их больше одного) (забейте на последнюю точку восстановления-она уже заражена)
8. В меню ERD выбираем раздел SEARCH (поиск) ищем и удаляем все файлы 2070 г. выпуска, естессно если это не вами в это время созданные документы word и т.д. (кстати придется удалять через проводник, а search только ищет)
9. Ищем и удаляем файлы system.exe, mwua.exe и все файлы exe имена которых в виде набора цифр, например 1546441.exe (все вроде в папке ..../system32)
10. Полностью очищаем папку C:\WINDOWS\Prefetch
11. Ищем и удаляем файлы по маске *system.exe*

Вот ...........