Самораспаковывающаяся флешка Alkid Live CD/DVD/USB (30.03.12) [2013, ENG + RUS]

Грузимся с любого загрузочного диска, лишь бы там был Тотал Коммандер, или любой аналогичный удобный файловый менеджер. Обычно на таких дисках уже включено отображение скрытых файлов и папок. Это обязательно. Если не включены, включаем. Например, создаём кнопку в том же тотал коммандере, с параметром cm_SwitchHidSys. Нажимаем её, что бы были видны все скрытые файлы и папки.
Запускаем Тотал коммандер (или что у вас там, я на примере Тотала опишу) и переходим на системный диск, в любом окне, но что бы это окно было активно. Что бы поиск производился по этому диску.
В Тотал коммандере выбираем , либо значок Поиск файлов (обычно в виде лупы или бинокля), или лезем в Инструменты - Поиск файлов. Или Команды - поиск файлов. Так или так, зависит от Тотала. Короче, нашли Поиск файлов.
Запускаете Поиск файлов, открывается окно поиска.
В ней пишем, без кавычек "*.exe". Пишем на английском. Что означает, искаться будут все файлы, только с расширением exe.
Ниже, в окне поиска, где мы указывали "*.exe", открываем вкладку Дополнительно. Ставим галочку на строчке "Не старше", и справа от этой галке, в уже активном поле, вводим, предположительно, насколько старые EXE нам надо найти. Например, словили только что винлока - ставите Не старше 1 день.
Если вам принесли комп, и никто не знает, когда винлок был словлен системой, то ставите Не старше 3 дня...не нашлось ничего? Тогда 5 дней...десять...пока не будут найдены EXE файлы, хоть какие нибудь. Если найдено наоборот, слишком много, то, пропускаем те, что найдены в папке Program Files. Обычно туда винлоки не прячут. Сосредотачиваемся только на тех, что в папках Users, Windows и Program Data.
Допустим, нашли файл лежащий по пути C:\Users\Administrator\f4654f54.exe. Перемещаете этот файл на другой диск или флешку. Можно теперь поискать этот файл в реестре, прямо сейчас, но для этого надо загрузить куст реестра. Как это делать, в нете полно инфы. Можно этого не делать, а сразу перезагрузиться в обычную винду. Если этот вирус был виновен за блокировку экрана, то винда уже загрузиться.
Как заходите в винду, делаете точку отката.
Далее, идём к сохранённому файлу вируса, на другом диске. Копируем его имя. Открываем редактор реестра, от имени администратора, если винда семёрка или восьмёрка. Жмёте CTRL+F. Открывается поиск по реестру. Вставляете туда имя нашего файла. И жмёте поиск.
Далее смотрите что найдено. Параметры Shell должны быть explorer.exe, а userinit C:\Windows\System32\userinit, - На конце запятая.
Но тут надо быть осторожным. какие-то параметры правятся так, а какие-то не нужны системе.
Список правильных ключей реестра, отвечающих за автозагрузку, можно найти в интернете.
Например.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon [userinit]
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows [run]
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
C:\Documents and Settings\All Users\Start Menu\Programs\Startup
C:\Documents and Settings\7Red\Start Menu\Programs\Startup
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows [load]
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell
Если что сделаем не так, то всегда можно откатиться на созданную точку восстатовления. Но и следы вируса так же вернутся в реестр. Точка же сделана после выковыривания экзешника. ДО чистки реестра.
Если стрёмно лазать по реестру, то просто скачайте , например Emsisoft Emergency Kit, обновите его, и продерите весь системный диск. Долговато, зато выдирает всё, даже вирусные ключи реестра. Так же, помимо указанных разделов харда, проверяет реестр прога Malware-bytes Antimalware. Можно...да и нужно продрать ещё и Hitman Pro. Отличный четырёх движковый онлайн сканер. НО, ищет он только по критическим местам Windows (по этому и проверка быстрая).
И всё.
Написано много...но это просто из-за объяснялок. На самом деле, без "воды", всё выглядит вот так:
1) Загрузились с загрузочного диска.
2) Запустили Тотал коммандер, открыли Поиск файлов. Ввели искать *.exe, открыли вкладку Дополнительно, поставили галочку на НЕ старше, и выставили предварительный срок в днях, сколько дней назад был пойман винлок.
3) Нашли его. Переместили.
4) Загрузились в обычный режим винды. Если вирус был только этот, или есть и другие, но больше в системе нет критичных для неё заражений, стартанёт нормально.
5) Далее чистим реестр от вирусных хвостов сами, используя скопированное имя этого файла, или натравливаем на системный раздел Emsisoft Emergency Kit и (или) Malware-bytes Antimalware с Hitman Pro. Можно продрать системный раздел CureIt. Реестр он не чистит, но может видеть файловую гадость ту, которую не видят другие сканеры. Вечно у них так, один видит одно, но не видит другое. Зато другой сканер, видит другое, но не видит одно. Сканировать систему очень желательно, из безопасного режима. А с некоторыми вирусами ТОЛЬКО из безопасного режима. Подольше чем из обычного, зато наверняка.
Примерно так.
Это годится для выявления любого винлока в системе.НО, бесполезно , если винлок прописался в загрузочной записи жёсткого диска.
Что бы выковырить его оттуда, можно попытаться запустить Gmer. Или грузиться с любого диска, который позволит сделать FixMBR и FixBoot
P.S. Не забудьте этот вирус отправить в лабораторию вашего антивируса, что бы они его добавили в сигнатуры. Можно не делать, но это дело вашей гражданской позиции. Насколько она активна.