Перейти к содержимому



Свернуть %s Последние сообщения тем

Тема Форум Написано Дата
  • AnikA
  • slesar6razriada
  • СкАзАчНиК
  • _Crazy Gamer_
  • RomanReigns
  • ФАНАT
  • RomanReigns
  • LENA_D
  • DDT
  • С.Т.Р.Е.Л.О.К
  • Вчера, 16:18
  • Вчера, 15:59
  • Вчера, 15:39
  • 27 Mar 2024 12:34
  • 27 Mar 2024 12:22
  • 26 Mar 2024 14:49
  • 24 Mar 2024 15:36
  • 24 Mar 2024 15:26
  • 24 Mar 2024 07:09
  • 23 Mar 2024 07:59

Фотография

Вирус mbr-winlock: как его лечить?


  • Авторизуйтесь для ответа в теме
Сообщений в теме: 11

#1
RUS_D

RUS_D

    Администратор

  • альтернативный текст
  • Тех. Админ
  • Клуб - reaktor
  • Старожил сайта
КПК - Сталкера
  • PipPipPipPip
  • Регистрация:
    08-December 08
  • 884 Cообщений
  • Пропуск №: 2


Репутация: 160 Постов: 884
  • Skype:rus_did
  • Страна проживания:Украина
  • Реальное имя:Руслан
  • Пол:Мужчина
  • Город:Полтавская обл.
mbr win lock: компьютер заблокирован вирусом



В последнее время всё чаще и чаще поступают жалобы на вирус, который производит полную блокировку компьютера и вымогательство денег, на стадии ещё до загрузки операционной системы (красные буквы на черном экране). Проблема в том, что для неподготовленного пользователя ситуация может стать действительно тупиковой: компьютер не загружается ни в обычном, ни в безопасном режиме, загрузка и сканирование антивирусом с live-cd безрезультативна, даже попытка переустановки Windows может не увенчаться успехом! Здесь я расскажу о способах как на самом деле легко и просто его удалить.



Данный вирус поражает MBR – главную загрузочную запись жёсткого диска, доступа к которой ни пользователь, ни операционная система доступа обычно не имеют. В этом и заключается вся сложность, и, одновременно простота его удаления.



Заражение обычно происходит во время клика на заражённой ссылке или загрузки зараженной веб-страницы. Далее компьютер через несколько секунд выключается, пытается перезагрузиться и показывает сообщение от том, что «Ваш компьютер заблокирован за просмотр, копирование и тиражирование видео с элементами педофилии… Необходимо платить штраф в размере… » и т.д. и т.п. Оплата осуществляется через Ibox-ы на кошельки Webmoney U338098752819, U225475893811, U250977606445, U193923440709 и др., либо пополнением счёта мобильного телефона. Существуют различные разновидности вируса для Украины и России:


Версия mbr-winlock для Украины

Версия mbr-winlock для Украины


Версия mbr-winlock для инопланетян (если они пользуются Windows).

Версия mbr-winlock для инопланетян (если они пользуются Windows) (шутка). Автору хватило ума написать и распространить вирус, а вот сделать надпись в правильной кодировке он не осилил))



Хочется так же отметить практически полную несостоятельность антивирусов против данной напасти: платные и с громкими названиями, как и два года назад, неспособны вовремя и адекватно реагировать против этой, действительно серьёзной угрозы:


Проверка вирусного файла mbr-winlock sys3.exe на сайте virustotal

Проверка вирусного файла sys3.exe на сайте virustotal.com показала, что на момент заражения из 43 антивирусов данный винлокер могло поймать только 5!



Каждый раз заражению соответствует наличие файла sys3.exe (собственно вирус) во временных файлах браузера и netprotocol.exe в автозагрузке (создаёт брешь в операционной системе) (версии данных файлов всё время изменяются и срабатываемость на них антивирусов остаётся  крайне низкой, названия файлов злоумышленники пока не изменяли).



Уязвимость операционной системы Windows: пользователь просто сёрфит в интернете, а злоумышленники в это время модифицируют MBR и перезагружают компьютер!!!



Беспомощность нашей милиции/полиции в борьбе с данным видом преступлений: как  ловить таких преступников они не знают, не  умеют, не могут и не хотят, чем мошенники пользуются и будут пользоваться.



Люди, которые платят мошенникам – соучастники и спонсоры данных преступлений. Эти вирусы будут появляться вновь и вновь до тех пор, пока это экономически выгодно.


Способ 1. Восстановление MBR из резервной копии Acronis TrueImage




Люди делятся на две категории: на тех, которые делают резервные копии, и на тех, которые  уже делают…



Если Вы относитесь к тем людям, которые после установки Windows, драйверов, программ и настроек сделали резервную копию системного диска – поздравляю, Ваши усилия не пропали даром! Для Вас эта проблема не является проблемой: нужно лишь загрузиться с загрузочного диска Acronis и восстановить mbr из своей резервной копии:


Загружаемся с диска Acronis True Image

Загружаемся с диска Acronis True Image и выбираем пункт Recovery (восстановить)


Выбираем файл-образ системного диска Acronis True Image

Выбираем файл-образ системного диска


Выбираем пункт Restore disks or partitions (Восстановление дисков или разделов)


Выбираем MBR and Track 0 (MBR и Дорожка 0)

Выбираем MBR and Track 0 (MBR и Дорожка 0)


Выбираем из списка винчестер, на котором нужно восстановить MBR

Выбираем из списка винчестер (системный), на котором нужно восстановить MBR


Нажать кнопку Proceed (Продолжить)



После перезагрузки от вируса не остаётся и следа, остаётся лишь провести «контрольную зачистку» компьютера свежими антивирусом и антитроянской программой.


Способ 2. С помощью утилиты CureIt от DrWeb



Несмотря на то, что DrWeb данное заражение пропускает, результат заражения – модифицированый MBR он может с успехом лечить. Для этого нужно загрузиться с любого LiveCD и запустить эту утилиту. Вредоносная запись обезвреживается в считанные секунды:


Результат восстановления утилитой Dr.Web CureIt! от Troyan.MBRlock

Dr.Web CureIt! восстанавливает загрузочную запись в считанные секунды



При перезагрузке Windows загружается в нормальном режиме, как будто ничего и не было.


Способ 3. С помощью установочного диска Windows



Для Windows XP: вставляем установочный диск и включаем компьютер,  жмём любую кнопку для подтверждения загрузки  (Press any key to boot from CD…..). Ждём когда полностью загрузится диск и предложит выбор действий. Выбираем режим восстановления, кнопка R. Теперь система предложит выбрать какую ОС из найденных восстанавливать, нажимаем цифру и Enter (обычно 1). Теперь необходимо ввести пароль администратора, если его нет, то просто оставляем пустым и жмём Enter. Вот мы добрались до консоли восстановления. Вбиваем команду: FIXBOOT, Enter, вас попросят подтвердить, нажмите Y. Теперь вбиваем команду FIXMBR, Enter и  опять подтверждаем нажатием Y. Всё теперь вбиваем EXIT и перезагружаемся. Можно грузиться с жёсткого диска.  Всё.



Для Windows 7:загрузиться с установочного диска или флешки с windows 7 – восстановление системы – коммандная строка – bootsect /mbr All


Способ 4. Переустановка Windows



При переустановке Windows необходимо полностью удалить системный раздел, а потом создать его вновь. При этом пересоздастся и MBR.



#2
ДимДимыч

ДимДимыч

    Бывалый

  • альтернативный текст
  • Нейтралы

КПК - Сталкера
  • PipPipPip
  • Регистрация:
    14-May 10
  • 57 Cообщений
  • Пропуск №: 1429


Репутация: 0 Постов: 57
  • Skype:dmitreff
  • Страна проживания:Россия
  • Реальное имя:Дьитрий
  • Пол:Мужчина
  • Город:Астрахань, Россия
Большое спасибо за "ликбез" не раз подхватывал такой "трипер " , Акронис есть , LiveCD нужно за иметь недавно чистил с помощью специалиста такой вирус, который не даёт перезагрузить комп и почистить Авастом до загрузки . Желательно этот раздел не стирать , а наоборот показывать какие ещё изощьрёные вирусы появились и как с ними бороться .

P.S./ Большое спасибо !/

#3
RUS_D

RUS_D

    Администратор

  • альтернативный текст
  • Тех. Админ
  • Клуб - reaktor
  • Старожил сайта
КПК - Сталкера
  • PipPipPipPip
  • Регистрация:
    08-December 08
  • 884 Cообщений
  • Пропуск №: 2


Репутация: 160 Постов: 884
  • Skype:rus_did
  • Страна проживания:Украина
  • Реальное имя:Руслан
  • Пол:Мужчина
  • Город:Полтавская обл.
Сам его на днях поймал, вот и решил рассказать как лечить.

#4
Yason_da

Yason_da

    Сталкер

  • альтернативный текст
  • Пользователь

КПК - Сталкера
  • Регистрация:
    02-May 11
  • 203 Cообщений
  • Пропуск №: 4547


Репутация: 0 Постов: 203
  • Пол:Мужчина
  • Город:Москва, Россия
RUS_D, огромное спасибо за столь подробную и нужную информацию!!!
Действительно бывают моменты, когда просто руки опускаются и сразу не сообразишь, что же делать.

С уважением Yason_da

#5
Sanders76

Sanders76

    Пришедший

  • альтернативный текст
  • Пользователь

КПК - Сталкера
  • Регистрация:
    07-December 09
  • 7 Cообщений
  • Пропуск №: 616


Репутация: 0
  • Пол:Мужчина
  • Город:Kharkov, Украина
Спасибо дружище за инфу,сам лечил эту гадость с помощью утилиты CureIt от DrWeb

#6
Гость_Парутчег_*

Гость_Парутчег_*
  • альтернативный текст
  • Бродяги

КПК - Сталкера
  • Регистрация:
    --
  • Пропуск №: 0


Репутация: Репутация:
выловить бы этих делопутов,
тем более, если деньги идут через WM
сейчас пошла мода хвастаться: я хакер! и гордо при этом задирать нос
лично я сразу по такому носу стараюсь кулаком ударить и предъявляю к хвастуну все морально - финансовые претензии обусловленные вирусом
раз ты хакер и попался - возмещай мои убытки
сразу же начинается скулёж: я пошутил
если бы все в таких случаях поступали аналогично, то хакером было бы страшно быть

#7
Гость_Skirda_*

Гость_Skirda_*
  • альтернативный текст
  • Бродяги

КПК - Сталкера
  • Регистрация:
    --
  • Пропуск №: 0


Репутация: Репутация:
Его не ловил но всё равно спасибо теперь знаю как от этого вируса избавиться

#8
panch69

panch69

    Военный

  • альтернативный текст
  • Пользователь

КПК - Сталкера
  • Регистрация:
    26-January 11
  • 26 Cообщений
  • Пропуск №: 3696


Репутация: 0
  • Пол:Мужчина
  • Город:Умань, Украина
Аналогично, на всякий случай приготовил шпаргалку от RUS_D, что делать, если вдруг...
Но тема важная, надо б поддерживать в актуальном состоянии. Спасибо главному за предусмотрительность, не ждет, пока остальные пострадают

#9
Гость_starikdok_*

Гость_starikdok_*
  • альтернативный текст
  • Бродяги

КПК - Сталкера
  • Регистрация:
    --
  • Пропуск №: 0


Репутация: Репутация:
Есть ещё один способ. сам так избавился. ссылка http://www.denaie.ru/?p=1070
[rus-d]Это совсем другая версия вируса.
Не путайте Winlock и mbr-Winlock
Первый не даёт запустить оболочку винды (Explorer.exe)
А второй блокирует запуск любой версии ОС с винчестера (останавливается на чтении загрузочной записи)[/rus-d]

Предупреждение Администратора

Лечатся они совсем разными способами



#10
SEREGA_SF

SEREGA_SF

    ВОЛЬНЫЙ СТАЛКЕР

  • альтернативный текст
  • Старожилы
  • Завсегдатай - больше 1 год на сайте
КПК - Сталкера
  • Регистрация:
    28-February 10
  • 320 Cообщений
  • Пропуск №: 910


Репутация: 0 Постов: 320
  • Страна проживания:Россия
  • Реальное имя:Сергей
  • Пол:Мужчина
  • Город:Медногорск, Россия
С первой дрянью сталкивался уже несколько раз, а вот со второй...Спасибо Руслан за заботу! :) sm12

#11
Гость_maksimovviktor_*

Гость_maksimovviktor_*
  • альтернативный текст
  • Бродяги

КПК - Сталкера
  • Регистрация:
    --
  • Пропуск №: 0


Репутация: Репутация:
Спасибо большое! Сам пока такую срань не ловил, но на всякий случай сохраню у себя и буду иметь ввиду. Спасибо!!! Я бы сам таких хакеров фэйсом об колено, но есть и хорошие хакеры, которые трудятся для обычных обывателей

#12
Гость_Leshik_*

Гость_Leshik_*
  • альтернативный текст
  • Бродяги

КПК - Сталкера
  • Регистрация:
    --
  • Пропуск №: 0


Репутация: Репутация:
Пару недель назад ловил такой вирус. Поймал на игровом сайте, пытался скачать игру. Нажал на ссылку скачивания - вылез порно-сайт. Начал закрывать интернет и тут вот тебе табличка с вымогательством. На следующий день всё-таки вылечил. Потом тут увидел, что не я один поймал эту фигню. Теперь хоть есть шпаргалка, как избавиться, а то пришлось просить знакомого сис-админа. Спасибо, RUS D!


Обратно в Софт

реклама на сайте подключена

Использование материалов сайта только с разрешения Администрации LENA_D!
Или с указанием прямой ссылки на источник. 2010 © bar-reaktor.stalker-worlds.ru
Не забывай о нас. Мы всегда рады тебе!!!

Рейтинг Ролевых Ресурсов - RPG TOP