|
||||||||||||||||||||||||||||||||||||||||
|
Некорректно работает браузерНекорректно работают все браузерыВопрос: Как удалить Trojan.Mayachok.1 (не работают браузеры , не запускаются программы в обычном режиме , перенаправление на interne Что представляет собой Trojan.Mayachok.1 (он же trojan.win32.ddox.ci, trojan.mayachok.1, trojan.mayachok.550, trojan.win32.cidox, trojan.win32.zapchast.feh, trojan:Win32/Vundo.OD, trojan.Win32.Mondere, trojan.Generic.KDV.169924).По описаниям ресурса Dr.Web, это: Троянец, который крадет средства со счетов клиентов мобильных операторов, предлагая пользователям ответить на входящее СМС-сообщение. Trojan.Mayachok.1 это файл .dll - динамически подключаемая библиотека, которая после установки загружается в адресное пространство памяти всех запущенных процессов (процесс установки заканчивается форсированной перезагрузкой компьютера), поэтому при сканировании системы антивирусом в нормальном режиме троянец часто видится пользователю как бы "сидящим внутри" различных файлов и "перемещающимся" из одного файла в другой. Может сложиться впечатление что Trojan.Mayachok.1 заражает файлы, но на самом деле это не так. Trojan.Mayachok.1 имеет имя, состоящее из семи строчных латинских букв, и размер 48-56 kb.1.) пострадавший сталкивается с полной невозможностью выйти в интернет при помощи любого браузера, 2.) вместо нормальной загрузки сайта открытие страниц происходит в виде, напоминающем исходный код. 3.) подменой запрашиваемых страниц на "Ростелеком. Канал перегружен", "Подтвердите принадлежность аккаунта","internet.com" и подобных 4.) маячок может блокировать запуск программ в нормальном режиме. в безопасном, как правило всё работает. Итак, выяснили, у нас действительно Trojan.Mayachok.1. Что делать? Нет смысла скачивать большое количество разнообразного антивирусного софта и тратить время на многочасовые проверки в надежде что поможет хоть что-то из этого - ни одно, так другое. Такая вероятность есть, но в некоторых случаях троянец хоть и определяется антивирусом, но оказывается ему не по зубам - при следующих проверках мы видим его снова и снова. Не стоит отчаиваться, всё на самом деле очень просто. 1) Открываем редактор реестра - regedit.exe,( пуск - выполнить - regedit ) находим ветку: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows и параметр AppInit_DLLs. Смотрим значение этого параметра. Если видим запись, подобную этой: "AppInit_DLLs" = "C:\windows\system32\tvhihgf.dll" (кроме tvhihgf.dll имя файла может состоять из семи любых других латинских букв) - удаляем ее (имя файла запомните или запишите, чтобы потом легко его найти). Внимание! Перед тем как удалить любую запись в AppInit_DLLs, обязательно гуглим по ней ( имя троянской .dll не будет иметь ни одного совпадения (в редких случаях бывает 1-2 совпадения, и, как правило, они ведут на темы, где упоминается Trojan.Mayachok.1)) , поскольку в этом параметре могут быть прописаны и вполне легитимные программы. Если в AppInit_DLLs перечислено несколько файлов - находим информацию по каждому, и удаляем только троянский ключ. 2) Обязательное условие : Перезагружаемся 3) После этого разыскиваем этот файл на диске в папке C:\windows\system32 - и так же удаляем. Это и есть наш Trojan.Mayachok.1. 4) Потом находим и удаляем созданные одновременно с tvhihgf.dll (смотрим по дате) файлы с расширением *.tmp из каталога C:\windows\system32 и C:\windows\SYSWOW64 (на 64 битных системах). Это резервные копии Trojan.Mayachok.1. 5) Перезагружаемся и наслаждаемся беспрепятственным доступом к любимым сайтам. Для пользователей x64 разрядных систем: троянец может находиться в каталоге C:\windows\SYSWOW64 Редактор реестра, отвечающий за 32 разрядные компоненты в x64 разрядных системах находится в каталоге C:\windows\SysWOW64 Для его запуска через меню "Пуск" - "Выполнить" нужно указывать полный путь: %SystemRoot%\SysWOW64\regedit.exe По умолчанию на x64 разрядных системах запускается редактор из каталога C:\windows, т е отвечающий за 64 разрядные компоненты. В нем так же есть 32 битный раздел - HKLM\SOFTWARE\Wow6432Node, то есть проверять нужно в том числе веткуHKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\WindowsЯ удалил ключ из реестра, но не запомнил и не записал имя троянского файла. Как теперь его найти? При помощи поиска windows найдите все созданные на дату заражения файлы с расширением .dll в папках %windir%\system32 и %windir%\SYSWOW64. Trojan.Mayachok.1 имеет имя, состоящее из семи строчных латинских букв, и размер 48-56 kb. Все подозрительные файлы проверьте на сервисе virustotal.com. Троянский файл будет определен антивирусами. Так же, при поиске в Google, имя троянской .dll не будет иметь ни одного совпадения (в редких случаях бывает 1-2 совпадения, и, как правило, они ведут на темы, где упоминается Trojan.Mayachok.1). А временные файлы можете удалить командой (вставить в командную строку): del "%windir%\system32\*.tmp" /q Для 64 битных систем: del "%windir%\syswow64\*.tmp" /q Я по ошибке удалил из реестра троянский ключ вместе с параметром AppInit_DLLs. Что теперь произойдёт?На работоспособность системы это не повлияет. Если в этом параметре помимо троянской записи присутствовали другие, например записи легального программного обеспечения - их функциональность может быть нарушена, поэтому такие программы рекомендуется переустановить. Обычно при установке достаточно выбрать опцию repair (восстановить). При попытке внести изменения в реестр я получаю сообщение "Отказано в доступе" Прежде всего убедитесь, что вы работаете под учетной записью администратора (выполняете действия от имени администратора). Откройте раздел реестра, в который требуется внести изменения. Из контекстного меню или меню "Правка" выберите команду "Разрешения". Нажмите кнопку "Дополнительно", откройте вкладку "Владелец". Назначьте себя в качестве нового владельца. На вкладке "Безопасность" владельцу должны быть назначены права - "полный доступ" *************************************************************************************************************************************************************** Ниже в этой теме есть текстовая версия этой статьи. Которую можно скачать и не спеша проводить все манипуляции со своим компьютером Кстати, в AppInit_DLLs может быть несколько записей, например, 1 -2 легальных + троянская. Удалять оттуда все - не нужно. Поэтому вам Lucio_Gulchi, лучше всего доработать свою поделку зы. маячок 1 уже около года как утратил актуальность, сейчас в ходу другие модификации. forundex.ru Некорректная работа браузеров | 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 | begin ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); SearchRootkit(true, true); SetAVZGuardStatus(True); QuarantineFileF('C:\Program Files\SFK', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0 ,0); QuarantineFileF('C:\Program Files\Tencent', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0 ,0); QuarantineFileF('C:\ProgramData\TimeTasks', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0 ,0); QuarantineFileF('C:\Users\Администратор\AppData\Local\SmartWeb', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0 ,0); QuarantineFileF('C:\Program Files\AnyProtectEx', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0 ,0); QuarantineFileF('C:\Users\Администратор\AppData\Local\SystemDir', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0 ,0); QuarantineFileF('C:\Users\Администратор\AppData\Local\Hostinstaller', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0 ,0); QuarantineFile('C:\Program Files\03000200-1447658426-0500-0006-000700080009\hnsjAD97.tmp', ''); QuarantineFile('C:\Program Files\SFK\SSFK.exe', ''); QuarantineFile('C:\Program Files\Tencent\QQPCMgr\10.10.16434.218\QMUdisk.sys', ''); QuarantineFile('C:\Windows\system32\antiban.cmd', ''); QuarantineFile('C:\ProgramData\TimeTasks\timetasks.exe', ''); QuarantineFile('C:\Users\Администратор\AppData\Local\SmartWeb\SmartWebHelper.exe', ''); QuarantineFile('C:\Program Files\AnyProtectEx\AnyProtect.exe', ''); QuarantineFile('C:\Users\Администратор\AppData\Local\SystemDir\nethost.exe', ''); QuarantineFile('C:\Users\Администратор\AppData\Local\Hostinstaller\10991799_installcube.exe', ''); QuarantineFile('C:\Users\Лейла\AppData\Roaming\Steam\Reversed\steam.exe', ''); DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job', '32'); DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job', '32'); DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job', '32'); ExecuteFile('schtasks.exe', '/delete /TN "APSnotifierPP1" /F', 0, 15000, true); ExecuteFile('schtasks.exe', '/delete /TN "APSnotifierPP2" /F', 0, 15000, true); ExecuteFile('schtasks.exe', '/delete /TN "APSnotifierPP3" /F', 0, 15000, true); ExecuteFile('schtasks.exe', '/delete /TN "nethost task" /F', 0, 15000, true); ExecuteFile('schtasks.exe', '/delete /TN "SmartWeb Upgrade Trigger Task" /F', 0, 15000, true); ExecuteFile('schtasks.exe', '/delete /TN "Soft installer" /F', 0, 15000, true); ExecuteFile('schtasks.exe', '/delete /TN "Steam-S-1-8-22-9865GUI" /F', 0, 15000, true); DeleteFile('C:\Program Files\03000200-1447658426-0500-0006-000700080009\hnsjAD97.tmp', '32'); DeleteFile('C:\Program Files\SFK\SSFK.exe', '32'); DeleteFile('C:\Program Files\Tencent\QQPCMgr\10.10.16434.218\QMUdisk.sys', '32'); DeleteFile('C:\Windows\system32\antiban.cmd', '32'); DeleteFile('C:\ProgramData\TimeTasks\timetasks.exe', '32'); DeleteFile('C:\Users\Администратор\AppData\Local\SmartWeb\SmartWebHelper.exe', '32'); DeleteFile('C:\Program Files\AnyProtectEx\AnyProtect.exe', '32'); DeleteFile('C:\Users\Администратор\AppData\Local\SystemDir\nethost.exe', '32'); DeleteFile('C:\Users\Администратор\AppData\Local\Hostinstaller\10991799_installcube.exe', '32'); DeleteFile('C:\Users\Лейла\AppData\Roaming\Steam\Reversed\steam.exe', '32'); DeleteFileMask('C:\Program Files\SFK', '*', true); DeleteFileMask('C:\Program Files\Tencent', '*', true); DeleteFileMask('C:\ProgramData\TimeTasks', '*', true); DeleteFileMask('C:\Users\Администратор\AppData\Local\SmartWeb', '*', true); DeleteFileMask('C:\Program Files\AnyProtectEx', '*', true); DeleteFileMask('C:\Users\Администратор\AppData\Local\SystemDir', '*', true); DeleteFileMask('C:\Users\Администратор\AppData\Local\Hostinstaller', '*', true); DeleteDirectory('C:\Program Files\SFK'); DeleteDirectory('C:\Program Files\Tencent'); DeleteDirectory('C:\ProgramData\TimeTasks'); DeleteDirectory('C:\Users\Администратор\AppData\Local\SmartWeb'); DeleteDirectory('C:\Program Files\AnyProtectEx'); DeleteDirectory('C:\Users\Администратор\AppData\Local\SystemDir'); DeleteDirectory('C:\Users\Администратор\AppData\Local\Hostinstaller'); RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Filel','command'); RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Timestasks','command'); DeleteService('cypyxobe'); DeleteService('SSFK'); DeleteService('QMUdisk'); BC_ImportALL; ExecuteSysClean; BC_DeleteSvc('cucelymu'); BC_Activate; ExecuteWizard('SCU', 2, 3, true); RebootWindows(true); end. |
|
..:::Счетчики:::.. |
|
|
|
|