Как избавиться от навязчивого баннера, требующего отправить SMS

ArinaRa 22.04.2010 21:14:
Помогите избавиться от розового баннера!!!Он просит отправить смс с текстом 23322 79 на номер 9800

Попробуйте ввести: 4479927959 - ввести первым кодом, затем 8694287294 - ввести вторым кодом

Тип первый – баннеры, которые появляются только при запуске Интернет браузера ( IE, Mozilla, Opera) – ещё их называют ИНФОРМЕРЫ. Вот один из них:

Тип второй – баннеры, которые вылазят просто на рабочий стол, закрывают большую его часть но при этом у пользователя остаётся возможность открывать другие программы, открывать Главное меню, Диспетчер задач и др. (типичный представитель – YesPorno)

Тип третий – (самый гадкий), Закрывает практически весь рабочий стол, блокирует все ( иногда только антивирусные и системные) программы, не пускает в Защищённый режим и прочие гадости. (Типичный представитель – eKAV антивирус, он же Интернет Секьюрити)

Мы не обольщаемся на счёт того, что это ВСЕ ТИПЫ баннеров. Просто нам такие попадались.

Ну вот. Посмотрели мы свой любимый порно фильм, открыли вложение в электронной почте, пришедшей неизвестно откуда, перешли по интересной ссылке, скачали ну оооочень нужную программу и т.д.(нужное подчеркнуть) и в награду нам на стол влез красавец (или красавица, или и тот и другая и много) баннер и требует от нас денег за полученное удовольствие. Мы, конечно же сразу хватаем телефон и отправляем SMS на указанный номер. Потом с нетерпением ждём ответа…. Спустя некоторое время встаём и идём смотреть в зеркало на лоха. Что, неприглядная картина? «А что же делать?», скажете Вы! Ну чего делать НЕ СЛЕДУЕТ, так это отправлять SMS. Не берёмся утверждать на 100% , но на 99.99999999% - это развод. И никакого кода Вы не получите. Сомневаетесь – проверте. Только напишите, пожалуйста, нам в форум, мы будем приводить этот пример, как артефакт. А теперь о деле. Итак, баннер у нас уже есть. Не паникуем и определяем к какому из описанных типов он относится. Что для этого надо сделать? Если у Вас открыт браузер, закрываем его. Если окно закрылось вместе с браузером – считайте, что вам крупно повезло – у Вас простой информер. То есть – это Тип первый. Если баннер висит на столе и после закрытия браузера – продолжаем определяться. Для начала судорожно жмакаем Ctrl+Alt+Del (или Ctrl+Shift+Esc) и смотрим. Обычно при такой комбинации клавиш выскакивает Диспетчер задач. Выскочил? Вам повезло – есть вероятность, что у Вас – Тип второй. Хотя не факт. Но надежда есть. Если Диспетчер задач не запустился, пробуем надавить на «Пуск». Работает? – это хорошая новость. Не работает? – новость похуже, но тоже не конец света! Запускаем что-нибудь ещё, ну там Блокнот, Word… Запускаются – это обнадёживает. Это говорит о том, что у Вас, похоже, Тип второй. Ну и наконец – все Ваши попытки запустить «…ну хоть что-нибудь…» оканчиваются неудачей – поздравляем! У Вас – Третий тип!

А теперь займёмся «лечением».

Тип первый. Ну, с этими всё просто.

Инструкция в картинках для пользователей подхвативших информер или порноинформер.

Удаление информера или порноинформера из браузера Мозила Открываем ( запускаем браузер Мозила) в меню идём на вкладку «Инструменты- Дополнения»

Во вкладке Дополнения-Расширения и отключаем всё подозрительное ( например informer 1.0 и так далее) в этом примере нет подозрительных расширений

Потом проверяем Плагины; Темы и отключаем там всё подозрительное ( например Informer 1.0 и тому подобное) Затем закрываем браузер Мозила и по новому его открываем, если информер пропал значит мы не зря старались! Ура!!!

Удаление порно информера в браузере Opera

Открываем браузер Опера (программа через которую вы заходите в интернет) Выбираем пункт меню “Инструменты -> Настройки”.

Откроется форма “Настройки”. В “Настройках” выбираем вкладку “Дополнительно”. Во вкладке “Дополнительно” сначала нажимаем “Содержимое” а потом на появившуюся кнопку на кнопку “Настройки Javascript…”.

В открывшемся окне стираем все, что написано в поле “Папка пользовательских файлов Javascript” (делаем поле пустым) и нажимаем кнопочку “OK”. Нажимаем “ОК” и для формы “Настройки”

Закрываем оперу. По пути, написанном в поле “Папка пользовательских файлов Javascript” можно зайти и удалить файлы заразы с расширением «js». Если у вас там будет написано “C:WINDOWS uscripts” то деляйте всю папку “uscripts” Всё!!! Теперь информер удалён из браузера Opera.

Удаление порно-информера из браузера Internet Explorer

Для начала идем в меню Internet Explorer, “Управление надстройками”->”Включение и отключение надстроек..”.

Открывается список подключенных DLL-библиотек.

Отключаете все, что вы не знаете - не беспокойтесь, ничего от этого не поломается, всегда успеете включить ту или иную библиотеку обратно. :)

Итак, выключаете все неизвестные вам модули, нажимаете “ОК”, закрываете и вновь открываете браузер Internet Explorer. Если проблема не исчезла - вновь идете в вышеуказанное меню и отключаете еще что-то, пока проблема не решится. Если же порно-информер пропал - можете спать спокойно. :)

Для особо принципиальных

Если вас беспокоит факт того, что информер лишь отключен, а не удален с вашего компьютера - открываете вышеуказанное меню, переписываете имена DLL-библиотек на листок (или запоминаете) и идете в папку C:\Windows\System32 и ищете там данные DLL. После чего удаляете их, перезагружаете компьютер - и, вуаля, все чисто. :)

Есть следующая защита: в папке Windows\system32\ необходимо войти в Вид\Упорядочить значки\Изменен. После этого все файлы выстроятся по датам их появления (изменения). Вручную убираем в корзину недавние .dll поочереди, пока информер не исчезнет, после этого все .dll из корзины восстанавливаем, кроме виновного в появлении информера

Можно еще таким способом: Пуск-программы-стандартные-служебные-восстановление системы. В последнем окне возвращаешься на день (или сколько там было до похода на этот сайт) назад. Бывает что прописываются rqdlib.dll gjplib.dll в System32, их надо просто удалить или так : свойства обозревателя-дополнительно-сброс а можно и так: C:\WINDOWS\uscripts файл feeder.js,удаляем его и дело в шляпе)

Участились случаи, когда такие «пляски с бубном» всё же не дают желаемого результата. А ещё бывает, что такой информер просто напросто блокирует браузер и не даёт войти в меню. В таком случае, делаем следующее: Удаление информера из Mozilla Firefox 1. Завершаем процесс firefox.exe Для этого запускаем Диспетчер задач (Ctrl+Alt+Del), находим в процессах firefox.exe, Правый клик –> завершить процесс. 2. Пуск - Виполнить - Regedit - Ctrl+F. Вводим firefox и ищем такие строки "C:\Program Files\Mozilla Firefox\firefox.exe" -preferences "C:\Program Files\Mozilla Firefox\firefox.exe" -requestPending -osint -url "%1" Ищем по ВСЕМУ реестру 3. Всё что здесь выделено жирным шрифтом - удаляем 4. При первом после этой процедуры запуске Mozilla попытается восстановить предыдущую сессию - жмём "Начать новую сессию" 5. Всё! Просканируйте компьютер с помощью свежей версии программ DrWeb CureIt

Удаление баннера из Оперы: 1.Завершаем процесс opera.exe Для этого запускаем Диспетчер задач (Ctrl+Alt+Del), находим в процессах opera.exe, Правый клик –> завершить процесс.(или просто закрываем Opera, если даётся) 2. Пуск - Виполнить - Regedit - Ctrl+F. Вводим opera.exe, снимаем галку с "искать только строку целиком" и ищем такие строки "C:\Program Files\Opera\opera.exe" -preferences "C:\Program Files\Opera\opera.exe" -requestPending -osint -url "%1" или что либо подобное Ищем по ВСЕМУ реестру!!!
3. Всё что здесь выделено жирным шрифтом - удаляем 4. При запуске Opera указать, что начинать надо с экспресс-панели. 5. Всё !!!

Тип второй. Этот пострашнее (на первый взгляд), но тоже удаляется легко (относительно легко). Этого красавца рассмотрим на примере YesPorno.

Картинка очень динамичная – аж в глазах рябит. Пробуем коды – не помагают. Нажимаем на крест в правом верхнем углу, появляется обнадёживающая надпись, что окно мол закроется через 60 секунд и начинается обратный отсчёт. Фу, пронесло, думаем мы и глубоко ошибаемся. Окно, правда, закрывается, но всего лишь на несколько (10-15)сек., а потом снова появляется.

Надо приступать к боевым действиям. Для начала надо бы выяснить, с чем мы имеем дело. Жмём Ctrl_Alt_Del и любуемся… Раньше этого у нас не было, да ещё и в нескольких экземплярах. Однако…

Пытаемся «завершить процесс» - не удаётся. Ну ничего, завершим иначе. Теперь выясняем – где ОНО сидит. Запускаем AnVir Task Manager. Ага - есть родной . Правда приходится «заглядывать» из – под баннера, но это не смертельно. Есть баннеры и побольше, и такие, что всё блокируют, а этот – страшен разве что для мягкотелых барышень. Но мы ведь не такие?!…

Запускаем WORD, ставим на чистом листе точку, или пробел, или стихотворение пишем (баннер вдохновляет). Жмём Пуск – Выключить компьютер (или кратковременно Power). Баннер пропадает, а WORD запрашивает сохранение документа. Давим «Отменить» - перед нами чистый (в смысле - без баннера) рабочий стол. Ну а дальше – всё просто. Идём туда, куда уже знаем и убиваем гада. Потом – Пуск – Выполнить – Regedit –Ctrl F – «имя урода», находим – мочим, F3 – находим – мочим ну и т. д. В принципе, все эти действия уничтожают трояна окончательно и бесповоротно. Но для верности проверяем чем нибудь антивирусным, и продолжаем трудиться. Ну а небольшая доза адреналина не повредит. Главное не паниковать!!!.

Есть ещё один красавец, которого трудно причислить к какому – либо типу. Но баннер тоже непростой и для непосвящённого может показаться ну оооочень страшным. Вот он:

Ну что ж. Посмотрим, что он нам тут наблокировал. На первый взгляд ничего, кроме ввода кода, мы сделать не можем. Но мы знаем «волшебную» комбинацию Ctrl+Alt+Del. Быстренько жмакаем её на клавиатуре и – увы, ничего не происходит. Это огорчает! Начинают закрадываться мысли о Format C:\! Но тут мы вспоминаем, что есть ещё одна «волшебная» комбинация клавиш – Ctrl+Esc !!! Жмём!

Вуаля! Есть Главное меню!!! Оказывается, не настолько они ( хакеры т.е.) и крутые. Здесь мы круче оказались! Ну а дальше уже совсем просто. Запускаем AnVir , переходим на вкладку Процессы и вычисляем наш процесс.

В нашем случае это services.exe, замаскировался под системную службу.

Завершаем процесс и пожалста, баннер исчез. Но, хотя перед нами чистый рабочий стол (в смысле - без баннера), на нём попрежнему нет кнопки Пуск да и Диспетчер задач не запускается. А нам надо удалить вредителя, а то ведь он остался и при перезагрузке опять вылезет! Применяем проверенный метод – Ctrl+Esc – Главное меню – Программы – Стандартные – Проводник.

Здесь удаляем красавца. Ну а далше действуем по уже отработанной технологии. Перезагружаемся (для того, чтобы иметь полноценный рабочий стол со всеми кнопочками и пимпочками), запускаем наши «лекарства» и лечим систему. Как говорится: «Не так страшен черт, как его малюют….» На бескрайних просторах Интернета встретили мы и ещё один баннер, который тоже не совсем подпадает под нашу классификацию. Но, зная методы борьбы, описанные выше Вы, уважаемый читатель, справитесь с ним без особого напряга. Ведь не зря же мы тут стараемся? Не так ли?

Добавим только, что лечится он с помощью FAV(FixAfterVirus

Иногда для просмотра видео, проигрыватель требует обновить Flash Player. Здесь надо быть особенно осторожным. Почему? Да потому, что под видом этого самого плейера Вам могут подсунуть вот такую бяку.

После того, как мы соглашаемся, нам на комп устанавливается вот такой красавец – баннер:

Причём красота эта закрывает почти весь рабочий стол, так что какие-либо действия невозможны. Впрочем, этот screensaver блокирует и regedit и «восстановление системы» и в SAFE MODE он присутствует. То, что эта мразь не перемещается, не закрывается, не сворачивается, не реагирует на LKM, RKM и т.д я думаю говорить не надо, это и так понятно. Короче — полная ж... Его можно было бы отнести к Третьему типу, но он всё же не всё блокирует. Вот позволил же скриншот сделать. Кроме того, появляется он не сразу, а по истечении 1 часа после «обновления» Flash Player’a. Мы об этом знали и заблаговременно нашли его местоположение:

Спрятался он здесь:С:\Documents and Settings\User\Local Settings\Temp А «прописался» в разделе реестра hkey_local_machine\software\microsoft\Windows NT\CurrentVersion\Winlogon. На картинке хорошо видно, какое значение параметра было до «обновления» (нижняя строчка) и после (верхняя строчка). И хотя мы знаем, где собака зарыта, мы ничего не можем сделать, поскольку добраться туда нам не даёт баннер. Поэтому перезагружаемся, предварительно «зарядив» в дисковод Live CD ERD Commander (или любой другой с возможностью доступа к зараженному реестру). А там уже всё просто: запускаем Regedit , в поиск забиваем userinit и возвращаем его в первоначальное состояние. Если LiveCD не имеет возможности редактировать реестр, то просто идём в С:\Document and Setting\User\Lokal Setting\Temp и удаляем оттуда файл баннера. В нашем случае это der1.tmp. Перезагружаем компьютер – вымогатель пропал, что и требовалось доказать,запускаем Regedit , в поиск забиваем userinit и возвращаем его в первоначальное состояние. А теперь надо восстановить систему в состояние «до заражения». Как видим, и здесь ничего страшного нет.

Ну, а теперь самый страшный зверь – Тип третий. Здесь нахрапом не возмёшь по той простой причине, что он просто ничего не даёт делать. Есть возможность только ввести код разблокировки. Но чтобы его получить, надо отправить SMS сообщение. Об этом мы уже говорили и повторяться не будем. Код разблокировки можно найти в интернете. Если Вы читаете эти строки, значит Вы были у нас на форуме, а более полного собрания рабочих кодов по всем типам баннеров (официальные сайты антивирусников не в счёт) мы не встречали. Итак, Вы нашли код деактивации, ввели его и вздохнули с облегчением – баннер исчез! Но успокаиваться рано! Дело в том, что «хвосты» этой гадости остались в Вашей системе и не факт, что они не будут портить Вам жизнь в будущем. Поэтому надо провести чистку системы. Средств и способов сделать это существует великое множество, можете выбирать на свой вкус. Мы же рекомендуем следующее:

Установите и просканируйте систему вот этими программами Malwarebytes' Anti-Malware, AVZ , затем выполнить восстановление системы на точку до того, как поймали баннер. Некоторые не советуют, но осмелимся предложить прогу ComboFix (прежде чем её использовать, очень рекомендуем ознакомиться с её описанием) Потом пройтись программой HijackThis, FAV. И наконец любым антивирусом с обновлёнными базами.

Эти мероприятия дадут Вам некоторую уверенность в том, что в Вашей системе следов вируса не осталось.

Всё вышеизложенное хорошо, но ведь в жизни не всегда бывает так (точнее, всегда бывает не так), как хочется. В нашем случае это – мы не нашли кода разблокировки и баннер нам удалить не удаётся. В принципе, ничего смертельного в этом нет. Просто здесь уже надо быть хоть немножко в курсе того, что происходит и что нужно предпринимать. Хотя и здесь наши доблестные «антивирусники» попытались облегчить нам жизнь. Вот образчик заботы об users: Kaspersky Rescue CD. Здесь всё просто. Качаем iso образ, пишем его на болванку и грузимся с неё. Как это сделать? Ну если Вы этого не знаете, то лучше найти знакомого хакера и он быстренько всё исправит. Загрузились? Запускаете то, что там предложат и идёте пить кофе – времени процедура занимает немало. Опять же всё зависит от Вашего процессора, объёма жёсткого диска и т.д. В принципе, после завершения проверки и лечения, всё должно работать безупречно. Перезагружаемся и наслаждаемся девственно чистой системой. Ещё один инструмент, с помощью которого можно вылечить больную систему – ERD Commander LiveCD. Это очень мощный инструмент и пользоваться им нужно с осторожностью. Он позволяет редактировать реестр зараженной системы, даёт доступ ко всем файлам и папкам, в общем позволяет как вылечить систему, так и не менее успешно – убить её окончательно!!! Если Вы не знаете, что нужно делать, то лучше делать всё в автоматическом режиме. Запускайте RegOrganizer (предварительно загрузившись с LiveCD), и предоставьте ему самому решать, что делать. После завершения процесса перезагружаемся в свой любимый Windows и идём в Интернет искать новых приключений! Ну вот пока и всё. Более подробных данных о баннерах ТретьегоТипа у нас пока нет. Но мы надеемся, что и этот материал поможет Вам избавиться от баннера и более близко познакомиться со своей ОС Windows!!!

too by continue (возможно)

P.S. Мы ни в коей мере не претендуем на полный охват темы SMS – вымогателей. Мы не утверждаем, что всё здесь написанное – истина в последней инстанции. Но мы очень надеемся, что наш скромный труд не пропадёт зря и поможет кому-нибудь решить проблему с баннером – вымогателем и тем самым лишит грязного заработка тех хакерков , которые занимаются этим нечистоплотным «бизнесом». Видимо, не настолько они спецы, чтобы зарабатывать достойно своим талантом, а поэтому и действуют, как шакалы. Не бойтесь их, нас много и им нас не одолеть! Урааааа! Наши победят!!!!! Извините за не совсем литературный стиль сего творения, но мы ведь тоже не профи – писатели. Ну и нам совсем не безразлично, как Вы, уважаемый читатель, оцените наш труд. Принимаются любые оценки, замечания и дополнения. Пишите, плз, в CForum.

А вот и продолжение, как и было обещано.

Пока мы боролись с известными нам баннерами, появились другие. Пришлось искать методы борьбы и с ними. Вот образец такого баннера.

Его можно отнести ко Второму типу, но мы предложим более простой путь борьбы с этой гадосью. Итак, наши исследования показали, что «виновником» такой красоты на мониторе является файл plugin.exe, который находится в C:/Program Files. Казалось бы, чего проще – удали его и делу конец! Но не тут-то было. Для этого надо завершить процесс, а диспетчер задач, естественно, заблокирован. Но мы ведь уже опытные и нас этот факт не пугает. Мы будем действовать как настоящие профи, т.е. воспользуемся командной строкой. Как это сделать? Да очень просто: Пуск – Выполнить и перед нами окошко для ввода любой команды! Ввести строку taskkill /f /im plugin.exe - Нажать Ок Баннер пропадает! Затем удалить этот файл из С:/Program Files /plugin.exe Всё!!! Можно бы и в реестре подчистить ссылку на этот файл, но предоставим работу с реестром антивирусникам. Они найдут и удалят несуществующие ссылки. Ещё один баннер, который достаётся любителям «халявы». Предлагаемые услуги можно оплатить с помощью отправки СМС или «альтернативно» - просмотром рекламы. Вот один из распространителей.

При нажатии на «скачать книгу», выскакивает это:

После сохранения видим:

Запустив любой из этих файлов, видим следующее:

Короче, вы сами разрешаете установить себе баннер. Читайте «соглашение»!!!!!!!!!! Потом не удивляйтесь, если у Вас вылезет вот это:

При нажатии на кнопку Закрыть (или при нажатии на ссылку Убрать рекламу) появляется окно с сообщением, что вы «обязаны просмотреть еще … показов рекламных рассылок, либо отказаться от просмотра рекламы, путём отправки смс с текстом 7728 на номер 4125»:

Ну что ж, посмотрим, что можно сделать в этой ситуации. При установке вирус создаёт в С:\Documents and Settings\Имя_пользователя\Application Data\ вирус создает папки CMedia и FieryAds, а также файл fieryads.dat Если вы попытаетесь удалить программу посредством файла Uninstall.exe, (есть такой файл в этих папках, то откроется окно с сообщением, что вы обязаны просмотреть еще 1000 показов этой рекламы:

Как ликвидировать порно-баннер вручную и устранить последствия вирусной атаки 1. Отключитесь от Интернета и от локальной сети; – закройте все открытые веб-страницы; – очистите кэш временных файлов Интернета, сохраненных веб-браузером; – удалите cookies.

2. Поскольку у папки \Documents and Settings\Имя_пользователя\Application Data\ установлены атрибуты Скрытый, Системный, Только для чтения, чтобы найти и уничтожить вирусы: – откройте Мой компьютер, выберите меню Сервис –> Свойства папки… (или нажмите Пуск –> Настройка –> Панель управления –> Свойства папки); – в открывшемся диалоговом окне Свойства папки откройте вкладку Вид; – в разделе Дополнительные параметры установите флажок Отображать содержимое системных папок, снимите флажок Скрывать защищенные системные файлы, установите переключатель Показывать скрытые файлы и папки –> OK.

3. Выгрузите порно-баннер из памяти с помощью утилиты Process Explorer или дождитесь, когда его окно закроется само; – найдите папку \Documents and Settings\Имя_пользователя\Application Data\CMedia; – удалите ее со всем содержимым (возможно, что файлы CMedia.dll и g.fla просто так – без перезагрузки – вам не удастся удалить; чтобы удалить их без перезагрузки, потребуется помощь Process Explorer); – найдите папку \Documents and Settings\Имя_пользователя\Application Data\FieryAds; – удалите ее вместе с содержимым (файлами FieryAds.dll и FieryAdsUninstall.exe); – в папке \Documents and Settings\Имя_пользователя\Application Data удалите файл fieryads.dat.

Опять же, надо почистить реестр! Здесь лучше довериться антивирусам!

Частенько после удаления баннера пользователь не находит на мониторе ни привычных значков, ни кнопки «Пуск», короче – чистые обои. При этом нельзя запустить ни Диспетчер задач ни что либо другое. Всё это происки того же баннера. Он поотключал эти функции и нам нужно восстановить их. А как же это сделать, спросите Вы, ведь ничего абсолютно запустить нельзя, чем же восстанавливать?! К счастью МелкоМягкие догадались предусмотреть возможность «Загрузки в защищённом режиме с поддержкой командной строки» (есть такой пунктик в меню входа в Безопасный режим (F8 при загрузке). Вот этой возможностью мы и воспользуемся. Для восстановления работы Диспетчера задач перепишите эту строку на бумажку: REG add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 0 /f Загрузитесь в безопасный режим с поддержкой командной строки (там в меню есть такой вариант загрузки) Появится окно ввода с мигающим курсором Введите эту строку (ооооочень желательно без ошибок!!!!) Нажмите Enter Должно появиться сообщение о том, что команда успешно выполнена. Перезагрузитесь в обычном режиме. Диспетчер задач должен запускаться. Аналогичным методом можно «вернуть к жизни» и Regedit . Для этого нужно ввести вот эту строку: REG add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableRegistryTools /t REG_DWORD /d 0 /f Отсюда же можно отключить всю автозагрузку: REG DELETE HKLM\Software\Microsoft\Windows\CurrentVersion\Run /va /f А вот теперь можно заняться и восстановлением работоспособности всей системы с помощью программ, указанных в начале этой статьи. Читайте и лечите свою систему.

Информация с http://support.kaspersky.ru/... – службы технической поддержки лаборатории Касперского. Общие сведения Троянская программа, требующая отправки платного SMS-сообщения для «излечения» от некого не существующего в реальности «вируса», попадает на компьютер пользователя посредством спам-рассылки или при помощи зараженного сменного носителя (например, флэш-диска). Данная вредоносная программа, получившая название Trojan-Ransom.Win32.SMSer, устанавливается в системную директорию ОС Windows и никак не проявляет себя до перезагрузки зараженного компьютера. После перезагрузки, стартовав вместо процесса explorer.exe, троянская программа блокирует работу ПК, и выводит на экран сообщение от имени Kaspersky Lab Antivirus Online с требованием отправить платное SMS-сообщение для излечения системы. Для большего эффекта пользователю показывается таймер обратного отсчета времени в секундах, которое якобы осталось до «смены алгоритма шифрования обнаруженного вируса». При этом сообщение, выводимое на экран зараженного компьютера, не позволяет добраться до элементов управления системой, в том числе и до менеджера задач.

Очевидно, что вирусописатели решили воспользоваться именем Лаборатории Касперского, чтобы придать своим требованиям видимость законности, однако внимательный пользователь может заметить, что сообщение о «вирусной угрозе» изобилует грамматическими и орфографическими ошибками и не может являться сообщением легитимного антивирусного решения. Кроме того, подобный способ «оповещения о вирусах» совершенно неприемлем для любой серьезной антивирусной компании и является откровенным вымогательством. Лаборатория Касперского в очередной раз хотела бы предостеречь пострадавших пользователей от перечисления денег вымогателям: вредоносное ПО все равно останется на компьютере пользователя, деньги будут потеряны, а полученные незаконным путем доходы мотивируют злоумышленников на дальнейшие преступления. Все известные версии данной вредоносной программы успешно детектируются и удаляются продуктами Лаборатории Касперского. Рекомендации по лечению зараженного компьютера • В окне Kaspersky Lab Antivirus Online введите код 5748839. Код подходит только для одной модификации вредоносной программы (Trojan-Ransom.Win32.SMSer.fu). Если код не подходит, то переходите к выполнению других рекомендаций. • Перезагрузите компьютер в Безопасном Режиме с поддержкой командной строки (Как перезагрузить компьютер в Режиме Защиты от Сбоев (Безопасный режим)?)

• После загрузки компьютера в Безопасном Режиме с поддержкой командной строки наберите команду regedit.exe. С помощью этой команды будет запущен Редактор Реестра/Системный Реестр (Что такое Системный Реестр? Как работать с ним?).

• В открывшемся окне Редактора Реестра необходимо найти и заменить значение Shell в ключе hkey_local_machine\software\microsoft\Windows NT\CurrentVersion\Winlogon на explorer.exe o Слева в Редакторе Реестра найдите ключ hkey_local_machine\software\microsoft\Windows NT\CurrentVersion\Winlogon; o Справа отобразятся все параметры ключа Winlogon; o Найдите параметр Shell щелкните дважды по нему левой кнопкой мыши, в открывшемся окне в строке Значение удалите все указанные там значения (если они есть) и введите значение explorer.exe.

Если в параметре Shell отсутствует какое-либо значение, то необходимо ввести значение explorer.exe. Если в параметре Shell находятся значения: Explorer.exe и user32.exe, то необходимо удалить только значение user32.exe, а значение explorer.exe оставить. Если в параметре Shell находится много разных значений, то удалите их и введите значение explorer.exe. Обязательно введите для параметра Shell значение explorer.exe, иначе после ввода пароля для входа в систему некоторые компоненты системы могут работать некорректно.

• После проделанных действий перезагрузите компьютер в Обычном Режиме. • После перезагрузки компьютера выполните следующие действия: o откройте папку C:\WINDOWS\SYSTEM32\; o найдите файл USER32.EXE; o переименуйте файл USER32.EXE в файл USER33.EXE; o перезагрузите компьютер; o после перезагрузки удалите ранее переименованный файл USER33.EXE из папки C:\WINDOWS\SYSTEM32\; o нажмите кнопку Пуск: если вы используете ОС Windows Vista, то введите в поле поиска regedit и нажмите Enter. если вы используете OC Windows XP, то выберите меню Выполнить, введите в поле regedit и нажмите кнопку OK. o раскройте ветку HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System; o слева удалите ключ реестра DisableTaskMgr (щелкните по нему правой кнопкой мыши и в появившемся меню выберите пункт Удалить); o если к компьютеру подключены какие-либо сменные носители, то найдите и удалите файл MD.EXE с этих носителей.

Ну и ещё рекомендации по настройке Интернет Эксплорер. Многие из Вас хотя бы однажды сталкивались с ситуацией, когда Ваш браузер вместо Вашей стартовой страницы переправлял Вас на совершенно другой порносайт. Или же, когда Вы пытались воспользоваться поисковиком, Вас опять же бросало чёрт знает куда и т.д. и т.п. Чтобы избавиться от этого, вовсе не надо переустанавливать Винду. Нужно просто правильно настроить Ваш браузер. Для этого никаких дополнительных программ не надо. Нужна только известная аккуратность и осторожность при работе с реестром. Напомним ещё раз, что некорректное изменение записей системного реестра может привести к краху системы!!! Помним об этом и приступаем.

Запускаем Regedit: Пуск - Выполнить - regedit Заходим в раздел: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\URL\DefaultPrefix Значение по умолчанию должно быть: http:, если нет, присвойте ему это значение. То же самое проделать в разделе:(если такой раздел существует) HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\URL\DefaultPrefix Открываем раздел: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\URL\Prefixes и сверяем с таблицей: параметр значение ftp ftp: gopher gopher: home http: mosaic http: www http: Если есть раздел: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\URL\Prefixes тоже синхронизируем с этой же таблицей. Идём дальше: HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExplorer\AboutURLs синхронизируем с этой таблицей. Параметр Значение

DesktopItemNavigationFailure res:/shdoclc.dll/navcancl.htm NavigationCanceled res:/shdoclc.dll/navcancl.htm NavigationFailure res:/shdoclc.dll/navcancl.htm OfflineInformation res:/shdoclc.dll/navcancl.htm PostNotCached res:/mshtml.dll/repost.htm Если есть раздел: HKEY_CURENT_USER\Software\Microsoft\InternetExplorer\AboutURLs его можно просто удалить. Или, если не лень, синхронизировать с той же таблицей. Идем дальше: HKEY_CURENT_USER\Software\Microsoft\InternetExplorer\Main и HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExplorer\Main Здесь смотрим на следующие параметры: параметр значение Local Page C:\Windows\System32\blank.html Start Page Ваша любимая стартовая страничка Search Page поисковик по умолчанию http://www>google.com/ Enable Browser Extensions no - отключает ВСЕ! плагины

Ну вот, пожалуй, и всё! Удачи.

4479927959 - ввести первым кодом 8694287294 - ввести вторым кодом ввести коды: 43143321, 86575231 коды 45183521 или 86575231

Помогите. Не нахожу кода для удаления!!! на номер 8353 требует отправить 3862234

belchonok 22.04.2010 21:59:
Помогите. Не нахожу кода для удаления!!! на номер 8353 требует отправить 3862234

Пробуй ввести коды 86575231 или 44163421

я не знаю

Круто, что это было...?

Ребята у мне проблема вчера хочу вконтакт залесть и тут выскакивает таблица в которой написано что :Ваш аккаунт был взломанн и с него рассылается Спам!

В связи с участившимися случаями массовых спам рассылок и регистраций анкет с заведомо ложной информацией мы ввели активацию аккаунтов существующих пользователей.

Для активации аккаунта Вам необходимо отправить смс на номер для Вашей страны Ваша страна:

Ваш оператор связи:

Полученный код*:

Активировать аккаунт Для активации аккаунта, отправьте 1 SMS с текстом sk50aktid167 на номер 1161

• если не получается отправить смс на 1161 (номер может быть загруженн из за большого количества пользователей), попробуйте отправить на 1151

что делать подскажите что далать?плиз

SERP802 22.04.2010 22:03:
Круто, что это было...?

Ничего себе прямо лекция по защите от Trojan Winlock

вовандий 22.04.2010 22:30:
Ребята у мне проблема вчера хочу вконтакт залесть и тут выскакивает таблица в которой написано что :Ваш аккаунт был взломанн и с него рассылается Спам!

В связи с участившимися случаями массовых спам рассылок и регистраций анкет с заведомо ложной информацией мы ввели активацию аккаунтов существующих пользователей.

Для активации аккаунта Вам необходимо отправить смс на номер для Вашей страны Ваша страна:

Ваш оператор связи:

Полученный код*:

Активировать аккаунт Для активации аккаунта, отправьте 1 SMS с текстом sk50aktid167 на номер 1161

• если не получается отправить смс на 1161 (номер может быть загруженн из за большого количества пользователей), попробуйте отправить на 1151

что делать подскажите что далать?плиз

Читай шапку форума, может поможет...

Что делать, если ВКонтакте, Mail.ru, Яндекс и другие популярные сайты вдруг начинают требовать активацию путем отправки SMS

вовандий 22.04.2010 22:30:
Ребята у мне проблема вчера хочу вконтакт залесть и тут выскакивает таблица в которой написано что :Ваш аккаунт был взломанн и с него рассылается Спам!

В связи с участившимися случаями массовых спам рассылок и регистраций анкет с заведомо ложной информацией мы ввели активацию аккаунтов существующих пользователей.

Для активации аккаунта Вам необходимо отправить смс на номер для Вашей страны Ваша страна:

Ваш оператор связи:

Полученный код*:

Активировать аккаунт Для активации аккаунта, отправьте 1 SMS с текстом sk50aktid167 на номер 1161

• если не получается отправить смс на 1161 (номер может быть загруженн из за большого количества пользователей), попробуйте отправить на 1151

что делать подскажите что далать?плиз

Попробуй коды: 135797531, 93456623, s348a3tid956, 30

Leo2000 22.04.2010 22:32:

SERP802 22.04.2010 22:03:
Круто, что это было...?

Ничего себе прямо лекция по защите от Trojan Winlock

Это "Подробная инструкция по удалению ...."правда, без картинок
Ссылка в "шапке" страницы!(Размер файла 3.13 MB, скачен 28793 раз)
Всем привет!

привет всем. помогите просят отправить смс с текстом 23322 на номер 9800

все убрал! прочитал выше.

Спасибо ребята, выручили

Всем привет. Меня тут инета лишили, так что сидел без связи 3 дня

Помогите поймал банер текст:52622345 на номр 8353

lecs 23.04.2010 14:51:
Помогите поймал банер текст:52622345 на номр 8353

Попробуй коды 45183521 или 86575231

Leo2000 23.04.2010 14:56:

lecs 23.04.2010 14:51:
Помогите поймал банер текст:52622345 на номр 8353

Попробуй коды 45183521 или 86575231

неполучмлось

Помогите пожалуйста!!! Картинка просит отправить смс с текстом 23322 64 на номер 9800

Помогите пожалуйста!!! Картинка просит отправить смс с текстом 23322 64 на номер 9800

turamed 22.04.2010 15:08:
Помогите избавится от банера 15813521+2490+0 на номер 8353.....

Ни одна программа не срабатывает

код : 934782

помогите пожалуйста бабулеты требуют 480005685 на номер 3354 заранее большое спасибо

бронка 23.04.2010 16:35:
помогите пожалуйста бабулеты требуют 480005685 на номер 3354 заранее большое спасибо

Попробуй код 12tr45nt95dr42

просит 6 значный номер

Leo2000 23.04.2010 16:40:

бронка 23.04.2010 16:35:
помогите пожалуйста бабулеты требуют 480005685 на номер 3354 заранее большое спасибо

Попробуй код 12tr45nt95dr42

просит 6 сти значный номер больше в строку не вписывает

бронка 23.04.2010 16:57:
просит 6 значный номер

А если такие 464661 или 449716

Leo2000 23.04.2010 16:59:

бронка 23.04.2010 16:57:
просит 6 значный номер

А если такие 464661 или 449716

нет нехочет ринимать

как отписаться от вашей рассылки?!

Помогите, пожалуйста, на картинке простят оправить смс 23322 101 на 9800 как от этого избавиться?(((((((

Romix 23.04.2010 18:15:
как отписаться от вашей рассылки?!

В каждом мейле, который вы получаете есть текст:

"Вы получили это письмо, так как подписались на получение уведомлений о новых сообщениях в форуме. Отказаться от подписки или изменить её параметры можно по следующей ссылке: мои подписки". Жмете на ссылку и там все написано.

>> Все новости телекома на MForum.ru

lina5555 23.04.2010 18:31:
Помогите, пожалуйста, на картинке простят оправить смс 23322 101 на 9800 как от этого избавиться?(((((((

Пробуйте ввести так: 4479927959 - ввести первым кодом, 8694287294 - ввести вторым кодом

на картинке просят отправить смс 23322 101 на 9800

от этого баннера коды: Коды разблокировки 4243352762 7393936297

turamed 22.04.2010 15:12:
Помогите избавиться от банера 15813521+2490+0

Ни одна программа не срабатывает... Заранее спасибо

934782 у меня сработало )) взято вот там: http://www.mforum.ru/t4/...

Помогите избавиться от банера в контакте! Просят отправить смс с кодом 64228332 на номер 7139 или 4161!

куделя 23.04.2010 20:51:
Помогите избавиться от банера в контакте! Просят отправить смс с кодом 64228332 на номер 7139 или 4161!

Попробуйте коды: 10149301, 8191499

Код, который вы дали нам не подходит... Нас просят отправить код 64228332 на номер 7139 или 4161

ваш код не подходит, меня снова просят отправить смс с кодом 64228332 на номер 7139 или 4161. Помогите!!!!!!

ваш код не подходит, меня снова просят отправить смс с кодом 64228332 на номер 7139 или 4161. Помогите!!!!!!

куделя 23.04.2010 21:56:
ваш код не подходит, меня снова просят отправить смс с кодом 64228332 на номер 7139 или 4161. Помогите!!!!!!

Тогда попробуйте такие: 381745019462, 930876718195, K2AR5-Y7895-FTT65-H7D7D-68Y5D, 3blkptg, vk3z3sc, 8qxhect, o07zbsu, by6vq0g, gxskxx2, 5gns0bg

leo2000 спасибо огромное!!!! помогло УРАААААААААА!!!!!!!!!!!!

Все предложенные вами кода не подходят. Для активации акаунта отправте одну смс с текстом 64228332 на номер 7139 или 4161.

belchonok 23.04.2010 22:21:
leo2000 спасибо огромное!!!! помогло УРАААААААААА!!!!!!!!!!!!

Просканируй комп на антивирусе для полного уничтожения трояна

куделя 23.04.2010 22:23:
Все предложенные вами кода не подходят. Для активации акаунта отправте одну смс с текстом 64228332 на номер 7139 или 4161.

Ну вот ещё в инете поискал: 3195284, vash, himydarling, 53117221

Спасибо вам огромное, но даже эти кода не подходят, может у вас есть еще, я вас очень прошу!!!!! Снова с той же проблемой - для активации акаунта отправте одну смс с текстом 64228332 на номер 7139 или 4161. пожалуйста!!!!!!!!!!!

куделя 23.04.2010 22:49:
Спасибо вам огромное, но даже эти кода не подходят, может у вас есть еще, я вас очень прошу!!!!! Снова с той же проблемой - для активации акаунта отправте одну смс с текстом 64228332 на номер 7139 или 4161. пожалуйста!!!!!!!!!!!

У вас какой браузер стоит на компе?

Leo2000, я пользуюсь Mozilla Firefox.

куделя 23.04.2010 23:10:
Leo2000, я пользуюсь Mozilla Firefox.

Тогда попробуйте следующие: в меню идём на вкладку «Инструменты- Дополнения». Во вкладке Дополнения-Расширения и отключаем всё подозрительное ( например informer 1.0 и так да­лее). Потом проверяем Плагины; Темы и отключаем там всё подозрительное ( например Informer 1.0 и тому подобное) Затем перезапустите.

Leo2000, не хочет заходить, может есть еще какой-то выход??? =) простите за навязчивость!!!

куделя 23.04.2010 23:37:
Leo2000, не хочет заходить, может есть еще какой-то выход??? =) простите за навязчивость!!!

Так а сам баннер исчез?

Может вы знаете как это сделать через диск С???

куделя 23.04.2010 23:44:
Может вы знаете как это сделать через диск С???

Откройте файл hosts (он в C:\WINDOWS\system32\drivers\etc) в блокноте и скопируйте его текст сюда.