windows_XP Packed.Win32.Krap.w вирусы imax_download_manager
Долго боролся с этим трояном. Делал частично по алгоритму от ABMed:
(начало цитаты)
Вчера столкнулся с такой же проблемой.
Симптомы такие же, не запускается редактор реестра, командная строка, AVZ, ни одна из оснасток группы Администрирование и т.д.
Решил её другим путём:
1. Зашёл в %windir%\system32\, т.к. вирус отключает возможность просмотра скрытых файлов, то пришлось через стандартный поиск в папке, найти все (*.dll) dll'ки, кроме стандартных виндовых, там было около 400 dll'ек с рандомными именами. Их и нужно удалить, но все их удалить всё равно не получится, для некоторых выдаётся ошибка, типа отказано в доступе, файл используется другим приложением. Просто запоминаем их имена или записываем.
2. Грузимся с какого-нибудь LiveCD, который может работать с реестром заражённой машины. В моём случае был ERD Commander. С его помощью удаляем оставшиеся dll, заходим в редактор реестра ищем в нём упоминания о них и тоже удаляем.
Далее вносим ещё некоторые изменения в реестр, чтобы восстановить работоспособность машины, надо перейти в указанные ветки реестра и выставить параметры вот так:
HKEY_CLASSES_ROOT\exefile\shell\open
EditFlags = 00 00 00 00
HKEY_CLASSES_ROOT\exefile\shell\open\command
по умолчанию = "%1" %*
HKEY_CLASSES_ROOT\exefile\shell\runas\command
по умолчанию = "%1" %*
3. Перезагрузиться в заражённую машину и с помощью утилиты восстановления системы от DrWeb plstfix, восстанавливаем важные параметры реестра, вот список того что она восстанавливает:
не запускается «Редактор реестра»;
не запускаются *.exe-файлы;
не запускаются программы (выдается сообщение «В доступе отказано, обратитесь к администратору»);
отключен «Диспетчер задач»;
отключена возможность выбора свойств папки;
отключено отображение скрытых и системных файлов;
при открытии локального диска Windows спрашивает, с помощью какой программы его открыть;
в окне свойств экрана отсутствуют некоторые вкладки
P.P.S Вылетело из головы пока писал, ещё в system32 есть файл с именем sdra64.exe, его тоже надо удалить на втором шаге, и в реестре он прописывается по пути HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon в параметре Userinit его тоже надо изменить так, чтобы там осталось только (C:\WINDOWS\system32\userinit.exe,) именно с запятой в конце (если у вас система установлена на диске С:).
(конец цитаты)
Источник:
habrahabr.ru
От себя ещё добавлю, что потом я через AVZ восстановил вкладку "восстановление системы".
