1

Перейти к содержимому


       Торент трекер от http://stalker-worlds.ru        Хранилище сайта http://stalker-worlds.ru        Онлайн Сталкер Канал Унесенные Сталкером Присоединяйся к нашему сообществу на facebook Вступай в нашу группу в контакте


Добро пожаловать к нам на сайт! Про Ваш статус и права можно прочитать в Этой теме

Для просмотра картинок и скачивания файлов с форума - пройдите регистрацию!   Проблемы с регистрацией - вам сюда


Фотография

Вирус mbr-winlock: как его лечить?


  • Авторизуйтесь для ответа в теме
Сообщений в теме: 11

#1
RUS_D

RUS_D

    Главный АДМИН

  • Не в сети
  • Тех. Админ
  • админ Администратор
  • Старожил сайта
<- Информация ->
  • PipPipPipPip
  • Регистрация:
    08-December 08
  • 2996 Cообщений
  • Пропуск №: 2


Репутация: 6803 Постов: 2996
  • Skype:rus_did
  • Страна проживания:Украина
  • Реальное имя:Руслан
  • Пол:Мужчина
  • Город:Полтавская обл.
mbr win lock: компьютер заблокирован вирусом



В последнее время всё чаще и чаще поступают жалобы на вирус, который производит полную блокировку компьютера и вымогательство денег, на стадии ещё до загрузки операционной системы (красные буквы на черном экране). Проблема в том, что для неподготовленного пользователя ситуация может стать действительно тупиковой: компьютер не загружается ни в обычном, ни в безопасном режиме, загрузка и сканирование антивирусом с live-cd безрезультативна, даже попытка переустановки Windows может не увенчаться успехом! Здесь я расскажу о способах как на самом деле легко и просто его удалить.



Данный вирус поражает MBR – главную загрузочную запись жёсткого диска, доступа к которой ни пользователь, ни операционная система доступа обычно не имеют. В этом и заключается вся сложность, и, одновременно простота его удаления.



Заражение обычно происходит во время клика на заражённой ссылке или загрузки зараженной веб-страницы. Далее компьютер через несколько секунд выключается, пытается перезагрузиться и показывает сообщение от том, что «Ваш компьютер заблокирован за просмотр, копирование и тиражирование видео с элементами педофилии… Необходимо платить штраф в размере… » и т.д. и т.п. Оплата осуществляется через Ibox-ы на кошельки Webmoney U338098752819, U225475893811, U250977606445, U193923440709 и др., либо пополнением счёта мобильного телефона. Существуют различные разновидности вируса для Украины и России:


Версия mbr-winlock для Украины

Версия mbr-winlock для Украины


Версия mbr-winlock для инопланетян (если они пользуются Windows).

Версия mbr-winlock для инопланетян (если они пользуются Windows) (шутка). Автору хватило ума написать и распространить вирус, а вот сделать надпись в правильной кодировке он не осилил))



Хочется так же отметить практически полную несостоятельность антивирусов против данной напасти: платные и с громкими названиями, как и два года назад, неспособны вовремя и адекватно реагировать против этой, действительно серьёзной угрозы:


Проверка вирусного файла mbr-winlock sys3.exe на сайте virustotal

Проверка вирусного файла sys3.exe на сайте virustotal.com показала, что на момент заражения из 43 антивирусов данный винлокер могло поймать только 5!



Каждый раз заражению соответствует наличие файла sys3.exe (собственно вирус) во временных файлах браузера и netprotocol.exe в автозагрузке (создаёт брешь в операционной системе) (версии данных файлов всё время изменяются и срабатываемость на них антивирусов остаётся  крайне низкой, названия файлов злоумышленники пока не изменяли).



Уязвимость операционной системы Windows: пользователь просто сёрфит в интернете, а злоумышленники в это время модифицируют MBR и перезагружают компьютер!!!



Беспомощность нашей милиции/полиции в борьбе с данным видом преступлений: как  ловить таких преступников они не знают, не  умеют, не могут и не хотят, чем мошенники пользуются и будут пользоваться.



Люди, которые платят мошенникам – соучастники и спонсоры данных преступлений. Эти вирусы будут появляться вновь и вновь до тех пор, пока это экономически выгодно.


Способ 1. Восстановление MBR из резервной копии Acronis TrueImage




Люди делятся на две категории: на тех, которые делают резервные копии, и на тех, которые  уже делают…



Если Вы относитесь к тем людям, которые после установки Windows, драйверов, программ и настроек сделали резервную копию системного диска – поздравляю, Ваши усилия не пропали даром! Для Вас эта проблема не является проблемой: нужно лишь загрузиться с загрузочного диска Acronis и восстановить mbr из своей резервной копии:


Загружаемся с диска Acronis True Image

Загружаемся с диска Acronis True Image и выбираем пункт Recovery (восстановить)


Выбираем файл-образ системного диска Acronis True Image

Выбираем файл-образ системного диска


Выбираем пункт Restore disks or partitions (Восстановление дисков или разделов)


Выбираем MBR and Track 0 (MBR и Дорожка 0)

Выбираем MBR and Track 0 (MBR и Дорожка 0)


Выбираем из списка винчестер, на котором нужно восстановить MBR

Выбираем из списка винчестер (системный), на котором нужно восстановить MBR


Нажать кнопку Proceed (Продолжить)



После перезагрузки от вируса не остаётся и следа, остаётся лишь провести «контрольную зачистку» компьютера свежими антивирусом и антитроянской программой.


Способ 2. С помощью утилиты CureIt от DrWeb



Несмотря на то, что DrWeb данное заражение пропускает, результат заражения – модифицированый MBR он может с успехом лечить. Для этого нужно загрузиться с любого LiveCD и запустить эту утилиту. Вредоносная запись обезвреживается в считанные секунды:


Результат восстановления утилитой Dr.Web CureIt! от Troyan.MBRlock

Dr.Web CureIt! восстанавливает загрузочную запись в считанные секунды



При перезагрузке Windows загружается в нормальном режиме, как будто ничего и не было.


Способ 3. С помощью установочного диска Windows



Для Windows XP: вставляем установочный диск и включаем компьютер,  жмём любую кнопку для подтверждения загрузки  (Press any key to boot from CD…..). Ждём когда полностью загрузится диск и предложит выбор действий. Выбираем режим восстановления, кнопка R. Теперь система предложит выбрать какую ОС из найденных восстанавливать, нажимаем цифру и Enter (обычно 1). Теперь необходимо ввести пароль администратора, если его нет, то просто оставляем пустым и жмём Enter. Вот мы добрались до консоли восстановления. Вбиваем команду: FIXBOOT, Enter, вас попросят подтвердить, нажмите Y. Теперь вбиваем команду FIXMBR, Enter и  опять подтверждаем нажатием Y. Всё теперь вбиваем EXIT и перезагружаемся. Можно грузиться с жёсткого диска.  Всё.



Для Windows 7:загрузиться с установочного диска или флешки с windows 7 – восстановление системы – коммандная строка – bootsect /mbr All


Способ 4. Переустановка Windows



При переустановке Windows необходимо полностью удалить системный раздел, а потом создать его вновь. При этом пересоздастся и MBR.


"Бить не нужно, а не вникнут - разъяснять" © В.С. Высоцкий
я в скайпе - rus_did
Мои детство и юность прошли без Интернета. Может быть, поэтому я понимаю, что за языком надо следить, а за слова отвечать.


#2
ДимДимыч

ДимДимыч

    Сталкер

  • Не в сети
  • Проверенные

<- Информация ->
  • Регистрация:
    14-May 10
  • 141 Cообщений
  • Пропуск №: 1429


Репутация: 78 Постов: 141
  • Skype:dmitreff
  • Страна проживания:Россия
  • Реальное имя:Дьитрий
  • Пол:Мужчина
  • Город:Астрахань, Россия
Большое спасибо за "ликбез" не раз подхватывал такой "трипер " , Акронис есть , LiveCD нужно за иметь недавно чистил с помощью специалиста такой вирус, который не даёт перезагрузить комп и почистить Авастом до загрузки . Желательно этот раздел не стирать , а наоборот показывать какие ещё изощьрёные вирусы появились и как с ними бороться .

P.S./ Большое спасибо !/

#3
RUS_D

RUS_D

    Главный АДМИН

  • Не в сети
  • Тех. Админ
  • админ Администратор
  • Старожил сайта
<- Информация ->
  • PipPipPipPip
  • Регистрация:
    08-December 08
  • 2996 Cообщений
  • Пропуск №: 2


Репутация: 6803 Постов: 2996
  • Skype:rus_did
  • Страна проживания:Украина
  • Реальное имя:Руслан
  • Пол:Мужчина
  • Город:Полтавская обл.
Сам его на днях поймал, вот и решил рассказать как лечить.

"Бить не нужно, а не вникнут - разъяснять" © В.С. Высоцкий
я в скайпе - rus_did
Мои детство и юность прошли без Интернета. Может быть, поэтому я понимаю, что за языком надо следить, а за слова отвечать.


#4
Yason_da

Yason_da

    Сталкер

  • Не в сети
  • Пользователь

<- Информация ->
  • Регистрация:
    03-May 11
  • 248 Cообщений
  • Пропуск №: 4547


Репутация: 0 Постов: 248
  • Пол:Мужчина
  • Город:Москва, Россия
RUS_D, огромное спасибо за столь подробную и нужную информацию!!!
Действительно бывают моменты, когда просто руки опускаются и сразу не сообразишь, что же делать.

С уважением Yason_da
Откуда знаешь?
Живу долго...

#5
Sanders76

Sanders76

    Пришедший

  • Не в сети
  • Пользователь

<- Информация ->
  • Регистрация:
    07-December 09
  • 14 Cообщений
  • Пропуск №: 616


Репутация: 77
  • Пол:Мужчина
  • Город:Kharkov, Украина
Спасибо дружище за инфу,сам лечил эту гадость с помощью утилиты CureIt от DrWeb

#6
Парутчег

Парутчег

    Сталкер

  • Не в сети
  • Старожилы

<- Информация ->
  • Регистрация:
    08-January 09
  • 284 Cообщений
  • Пропуск №: 160


Репутация: 238 Постов: 284
  • Skype:parut4eg
  • Страна проживания:Россия
  • Реальное имя:Павел
  • Пол:Мужчина
  • Город:Иркутск
выловить бы этих делопутов,
тем более, если деньги идут через WM
сейчас пошла мода хвастаться: я хакер! и гордо при этом задирать нос
лично я сразу по такому носу стараюсь кулаком ударить и предъявляю к хвастуну все морально - финансовые претензии обусловленные вирусом
раз ты хакер и попался - возмещай мои убытки
сразу же начинается скулёж: я пошутил
если бы все в таких случаях поступали аналогично, то хакером было бы страшно быть
Изображение

#7
Skirda

Skirda

    Сталкер

  • Не в сети
  • Проверенные

<- Информация ->
  • Регистрация:
    24-March 11
  • 126 Cообщений
  • Пропуск №: 4238


Репутация: 0 Постов: 126
  • Пол:Мужчина
  • Город:Кировоград, Украина
Его не ловил но всё равно спасибо теперь знаю как от этого вируса избавиться



#8
panch69

panch69

    Военный

  • Не в сети
  • Пользователь

<- Информация ->
  • Регистрация:
    26-January 11
  • 85 Cообщений
  • Пропуск №: 3696


Репутация: 0 Постов: 85
  • Пол:Мужчина
  • Город:Умань, Украина
Аналогично, на всякий случай приготовил шпаргалку от RUS_D, что делать, если вдруг...
Но тема важная, надо б поддерживать в актуальном состоянии. Спасибо главному за предусмотрительность, не ждет, пока остальные пострадают

#9
starikdok

starikdok

    Новичок

  • Не в сети
  • Пользователь

<- Информация ->
  • Регистрация:
    23-November 10
  • 43 Cообщений
  • Пропуск №: 3202


Репутация: 0
  • Пол:Мужчина
  • Город:Запорожье, Украина
Есть ещё один способ. сам так избавился. ссылка http://www.denaie.ru/?p=1070
Ответ RUS_D

Это совсем другая версия вируса.
Не путайте Winlock и mbr-Winlock
Первый не даёт запустить оболочку винды (Explorer.exe)
А второй блокирует запуск любой версии ОС с винчестера (останавливается на чтении загрузочной записи)



Предупреждение Администратора

Лечатся они совсем разными способами



#10
SEREGA_SF

SEREGA_SF

    ВОЛЬНЫЙ СТАЛКЕР

  • Не в сети
  • Старожилы
  • Завсегдатай - больше 1 год на сайте
<- Информация ->
  • Регистрация:
    28-February 10
  • 780 Cообщений
  • Пропуск №: 910


Репутация: 166 Постов: 780
  • Страна проживания:Россия
  • Реальное имя:Сергей
  • Пол:Мужчина
  • Город:Медногорск, Россия
С первой дрянью сталкивался уже несколько раз, а вот со второй...Спасибо Руслан за заботу! :) sm12

0ffe57bb5d74b552ce719a3d0b52fad25c318816


#11
maksimovviktor

maksimovviktor

    Бывалый

  • Не в сети
  • Неактивированные

<- Информация ->
  • PipPipPip
  • Регистрация:
    26-May 11
  • 69 Cообщений
  • Пропуск №: 4668


Репутация: 0 Постов: 69
  • Пол:Мужчина
  • Город:novoros, Россия
Спасибо большое! Сам пока такую срань не ловил, но на всякий случай сохраню у себя и буду иметь ввиду. Спасибо!!! Я бы сам таких хакеров фэйсом об колено, но есть и хорошие хакеры, которые трудятся для обычных обывателей

#12
Leshik

Leshik

    Диверсант группировки "Геймеры"

  • Не в сети
  • Пользователь
  • Завсегдатай - больше 1 год на сайте
<- Информация ->
  • Регистрация:
    01-March 10
  • 243 Cообщений
  • Пропуск №: 912


Репутация: 574 Постов: 243
  • Skype:miralex2303
  • Страна проживания:Россия
  • Реальное имя:Алексей Миронов
  • Пол:Мужчина
  • Город:Венёв, Россия
Пару недель назад ловил такой вирус. Поймал на игровом сайте, пытался скачать игру. Нажал на ссылку скачивания - вылез порно-сайт. Начал закрывать интернет и тут вот тебе табличка с вымогательством. На следующий день всё-таки вылечил. Потом тут увидел, что не я один поймал эту фигню. Теперь хоть есть шпаргалка, как избавиться, а то пришлось просить знакомого сис-админа. Спасибо, RUS D!


Обратно в Софт


Количество пользователей, читающих эту тему: 0

0 members, 0 guests, 0 anonymous users

яндекс.метрика
Button automatically alert search engines 31x31 WHOIS.UANIC.NAME - Identify traffic by Google

реклама на сайте подключена