simplix forum

Натальяяя сообщает:

Подскажите что можно еще сделать, только если можно, доступным языком (для чайничков)

Можете еще обратиться на http://virusinfo.info, если там не были. А протоколы проверок и карантин наверное можно сюда продублировать (с разрешения администрации естественно), чтобы местные спецы тоже посмотрели на хитрый баннер, ну и автор внес бы поправки в следующую версию АнтиСМС.

Натальяяя
Раз уж у Вас есть возможность загрузить WinPE (симпликсовский вариант), то хорошо бы еще попробовать uVs: http://dsrt.dyndns.org/files/uvs_v377.zip
Там же в архиве есть инструкция. Запускать с флэшки или жесткого диска, поскольку утилита при запуске переписывает себя. Если сами не поймете, что там удалить из списка подозрительных файлов - хотя бы скриншот сюда выложите, подскажем
Кстати, uVS можно запустить не только из под WinPE, но и под самой Windows. В безопасном режиме с поддержкой строки блокиратор тоже есть?

Отредактировано hal (27.02.2013 22:51:36)

weldance сообщает:

dimon
почитайте форум, для начала тут и тут

скорее всего я чего-то недопонимаю.
короче загружаюсь с другого mini win pe  с плашки с установочной виндой, далее открываю флешку, на ней только antisms.iso и еще 2 файла DIRECT и SMART.
если же распаковываю antisms.iso и все файлы копирую в корень и оттуда запускаю antisms.exe, пишет,что не находит системной папки

мой файл Drive0.bin
http://www.mediafire.com/download.php?nlz58xbcq78q3ne

Павел
Простите, если Windows - PE (по сути LiveCD), то при чём здесь родная система? Она может быть какой-угодно... Ось-то грузится с DVD(CD)-R(RW), а не родная...
Если синий экран - железо не в порядке или драйвера в РЕ отсутствуют.

BEVV
C Webalta это не прокатит, сначало удалить эту "гадость" нужно...

Rheed
под ограниченной учетной записью тоже есть автозапуски. Другое дело, что такой автозапуск не заразит другие учетки и не может повредить системе в целом.
Конечно, если файловая система fat32, то это не поможет.

Отредактировано art9 (06.03.2013 17:36:40)

Rheed
Например, папка C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
Или ветки реестра
HKEY_CURRENT_USER \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Run
HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ RunOnce
Но эти вопросы не для данной темы, т.к. тут обсуждается сама утилита.

Появилась идея - что если запретить прямо в самом реестре (т.е. ПКМ на ветке реестра, например winlgon, -> разрешения -> запретить) критических записей реестра, как shell, userinit и т.д. Будет такое нормально работать и имеет ли смысл? Можно же все это автоматизировать

Доброго системного.
Пользуюсь загрузочной флешкой (GRUB). Из сборок XP предпочитаю simplix - присутствует на флешке. Также пользуюсь simplix winPE. Не обновлял версию долго. Решил пора. Возникли вопросы. Зачем было выносить AntiSMS из образа winpe.is_ в папку support. Теперь использование отдельно winPE simplix стало неудобным. Можно актуальный исходник ModelRam заполучить?

Спасибо.

Отредактировано mribo (23.03.2013 07:45:05)

Simplix
Antisms, к сожалению, не отработал куст Wow6432Node .
Был зловред, который в опере и хроме при открытии сайтов вымогал деньги (посредством смс). експлорер работал нормально.
так вот: был найден oasqryf.dll тут HKEY_LOCAL_MACHINE\ SOFTWARE\ Wow6432Node\ Microsoft\ Windows NT\ CurrentVersion\ Windows\ AppInit_DLLs с параметром C:\PROGRA~3\Mozilla\oasqryf.dll.

Отредактировано weldance (23.03.2013 16:12:53)

Предлагаю добавить обработку автозапуска, который срабатывает при запуске cmd
Вот пример из bat вируса:

reg add "HKCU\SOFTWARE\Microsoft\Command Processor" /v AutoRun /t REG_SZ /d "c:\vir.bat" /f
reg add "HKCM\SOFTWARE\Microsoft\Command Processor" /v AutoRun /t REG_SZ /d "c:\vir.bat" /f

AVZ отключает данный автозапуск при исправлении ошибок системы.

1. возможно не отрабатывается очередная ветка автозапуска
2. возможно не отрабатываются ntfs потоки
       

пример автозапуска:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{22F1AA6D-0E08-89A8-E744-9B03F4C36B9E}]
"StubPath"="C:\\WINDOWS\\system32:update.exe"

Отредактировано g0dl1ke (25.03.2013 13:14:05)