नए Winlock से छुटकारा पा रहा है

कल मैं एक डिजाइन सहयोगी के कंप्यूटर से एक नया Winlock लेने के लिए हुआ।

एक परिचित घोटाले को देखकर मुझे नंबर 3116 पर एक एसएमएस भेजने के लिए कहा गया, मैं एक अनलॉक कोड के लिए DrWeb वेबसाइट पर गया। लेकिन अफसोस कि लॉकर नया निकला। मंचों पर जल्दी से वास्तव में कुछ भी नहीं मिला। मैंने फैसला किया कि इसे मैन्युअल रूप से चुनना आसान होगा।



लॉकर बल्कि आदिम निकला।

सुरक्षित मोड में, लॉकर भी लोड किया गया। नतीजतन, इसके लॉन्च के एक स्थान के रूप में ऑटोलॉड गायब हो गया है।

लॉकर ने पूरी स्क्रीन को कवर किया और गर्म कुंजियों से खोली गई खिड़कियों को अवरुद्ध कर दिया।

हालाँकि, Ctrl + Shift + Esc रखने से कार्य प्रबंधक बहुत कम समय के लिए लॉकर के शीर्ष पर फ़्लिकर करने में कामयाब रहा। जाहिरा तौर पर सुरक्षित मोड में इत्मीनान से काम करने के कारण। इसने सामान्य बूट के साथ काम नहीं किया।

कार्यों में एक एकल प्रक्रिया nvcvc32 लटका दिया।

इसे बहुत लापरवाही से लोड किया गया था - कमांड लाइन की खिड़की को बहुत जल्दी से खोला और बंद किया गया था, जिसे लॉकर खिड़की से बदल दिया गया था। हाथ के स्लीट ने इस बॉक्स को लोड करने से पहले एक्स में पोक करने में मदद की। इसलिए मुझे एक साफ डेस्कटॉप मिला। एक्सप्लोरर लोड नहीं हुआ।

खैर, फिर सब कुछ एक आदिम परिदृश्य के अनुसार है। मैंने इस nvcvc3232 को विंडोज़ फ़ोल्डर से हटा दिया है।

यह बूटलोडर खोजने के लिए बना रहा।

उस जगह के लिए रजिस्ट्री खोजें जहाँ एक्सप्लोरर को लॉन्च किया गया है। HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Winlogon \ Shell पर प्रदर्शित ।

इस पैरामीटर में, एक निश्चित rundll.bat का लॉन्च, जो विंडोज़ फ़ोल्डर में भी रखा गया था, को एक्सप्लोरर.exe के लिए जिम्मेदार ठहराया गया था।



इसे हटाने और रिबूट करने के बाद, लॉकर कुछ और जैसा नहीं था।



आज यह पहले से ही DrWeb साइट पर Trojan.Winlock.2925 नाम से दिखाई देता है।



विंडोज एक्सपी संक्रमित मशीन (देशी, यह एक लैपटॉप है) पर स्थापित किया गया था।