Жопаринеза ver 2.0 и 2.1

Данная статья описывает рекомендации по удалению троянской программы "Жопаринеза ver 2.0 и 2.1".

Убрать окно, если вы еще не производили перезагрузку, можно удерживая комбинацию клавиш Win+m, пока не исчезнет окно. Это относится к версии 2.1, но применимо и к 2.0

Данные рекомендации могут не иметь эффекта, если у вас модифицированная версия вируса.

Внимательно выполняйте рекомендации из статьи! Некорректные действия могут повлечь за собой крах системы!

"Горячие клавиши", которые нам понадобятся.

Alt+F4 - закрыть активное окно
Ctrl+Esc - вызвать меню "Пуск"
F2 - переименовать файл
Delete - удалить файл

Деструктивная активность троянской программы

1. Закрывает доступ к рабочему столу

2. Использует политики, которые ограничивают пользователя в правах

3. Модифицирует ключи безопасного режима, что приводит его в не работоспособное состояние

Рекомендации по удалению для Windows XP

1.

Для версии 2.0:

Нажмите правой кнопкой мыши по белой области

Для версии 2.1:

Перезагрузите компьютер, если до этого уже производились перезагрузки. При старте О.С., когда только появляется троянское окно, хаотично жмите по белой области левой кнопкой мыши (секунд 20-30).

Для версии 2.1:

Произведите загрузку в режиме: "Восстановление службы каталогов <только на контроллере домена Windows>" Переходите к пункту №3

2. Нажмите сочетание клавиш Alt+F4 (2-3 раза). Окно должно закрыться.

3. Нажмите сочетание клавиш Ctrl+Esc, чтобы появилось меню "Пуск"

4. Нажмите правой кнопкой мыши по "Программы" (если используется классическое меню "Пуск") или Все программы (если используется новое меню "Пуск"), в контекстном меню выберите "Открыть" или "Проводник"

5. Перейдите по адресу C:\Windows\System32, используя кнопку "Вверх" или окно проводника (см. рис. 2). Перетащите файл cmd.exe в папку Internet Explorer (по умолчанию это C:\Program Files\Internet Explorer).

Как перетащить нужный файл в папку Internet Explorer?

1. Откройте 2 папки. В одной папке у нас будет "нужный файл", а в другой Internet Explorer.

2. Щелкните по файлу правой кнопкой мыши и, не отпуская, перетащите его в папку с браузером Internet Explorer. Отпустите правую кнопку мыши и выберите в контекстном меню пункт "Копировать"

7. Переименуйте файл IEXPLORE.EXE в IEXPLORE1.EXE, а файл cmd.exe в IEXPLORE.EXE. В адресной строке (см. рис. 2) выберите "Рабочий стол" и выполните двойной клик по Internet Explorer, должна открыться командная строка. Введите в ней команду:

reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v disableregistrytools /f

затем нажмите "Enter" и введите еще одну команду:

нажмите "Enter" Должен открыться редактор реестра.

9. Удалите параметры из указанных веток

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer]

"NoDrives"
"NoFind"
"NoFolderOptions"
"NoRecentDocsMenu"
"NoDesktop"
"NoRun"
"NoLogOff"
"NoNetHood"
"NoTrayContextMenu"
"NoSetTaskbar"
"NoFavoritesMenu"
"NoViewContextMenu"
"RestrictRun"
"NoHelp"
"NoSetFolders"
"NoCommonGroups"
"NoViewOnDrive"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]

"DisableTaskMgr"
"DisableRegistryTools"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]

"RestrictRun"
"NoWinKeys"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\RestrictRun]
удалите раздел RestrictRun

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Keyboard Layout]

"Scancode Map"

10. Нижеуказанные параметры были модифицированы. Вы можете пропустить этот пункт, если не понимаете назначения этих параметров.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore]
DisableSR (параметр типа DWORD) - выставить в 0, если необходимо включить "Восстановление системы"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
LogonType (параметр типа DWORD) 0 - отключить "Экран приветствия" 1 - включить "Экран приветствия"

11. С этой ветки нужно удалить Строковой параметр с пустым именем (пробел). В значении данного параметра указано месторасположения троянской программы. Нужно перейти по этому адресу и удалить вредоносный файл.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
" "="C:\\WINDOWS\\lol.exe"

или

" "="C:\\WINDOWS\\win.exe"

или

" "="C:\\Windows\\cmt.exe"

12. Выполняем перезагрузку. После перезагрузки все должно быть ОК

13. Переходим по адресу C:\WINDOWS и удаляем файл lol.exe или win.exe. Переходим по адресу C:\WINDOWS\Prefetch и удаляем файл LOL.EXE-073D2955.pf или WIN.EXE-073D2955.pf(073D2955 - данный отрезок имени может варьироваться).

14. Возвращаем реальное имя браузеру Internet Explorer и удаляем копии файлов.

15. Сбрасываем параметры IE на дефолт и производим очистку временных файлов Интернета.

16. Применяем файл из вложения (он возобновит работу Безопасного режима). Перед применением ознакомьтесь с файлом README.TXT. Производим перезагрузку.

17. Лечение окончено

Рекомендации по удалению для Windows Vista

1.

Для версии 2.0:

Нажмите правой кнопкой мыши по белой области

Для версии 2.1:

Произведите загрузку в "Безопасном режиме с поддержкой командной строки" и переходите к пункту №7

2. Нажмите сочетание клавиш Alt+F4 (2-3 раза). Окно должно закрыться.

3. Нажмите сочетание клавиш Ctrl+Esc, чтобы появилось меню "Пуск"

4. Нажмите правой кнопкой мыши по "Программы" (если используется классическое меню "Пуск") или "Все программы" (если используется новое меню "Пуск"), в контекстном меню выберите "Открыть" или "Проводник"

5. Перейдите по адресу C:\Windows, используя кнопку "Вверх" или окно проводника (см. рис. 3 и 4). Удалите файл lol.exe

6. Произведите загрузку в "Безопасном режиме с поддержкой командной строки"

7. В командной строке введите следующие команды:

reg load HKLM\TempHive %systemdrive%\users\[COLOR="Red"][u][b]Введите_Имя_Вашего_Пользователя[/b][/u][/COLOR]\ntuser.dat

Введите_Имя_Вашего_Пользователя

- вместо этого следует ввести реальное имя пользователя! Нажмите "Enter"

нажмите "Enter" Должен открыться редактор реестра.

8. Удалите параметры из указанных веток

[HKEY_LOCAL_MACHINE\TempHive\Microsoft\Windows\CurrentVersion\Policies\System]

"DisableTaskMgr"
"DisableRegistryTools"

[HKEY_LOCAL_MACHINE\TempHive\Microsoft\Windows\CurrentVersion\Policies\Explorer]

"RestrictRun"
"NoWinKeys"

[HKEY_LOCAL_MACHINE\TempHive\Microsoft\Windows\CurrentVersion\Policies\Explorer\RestrictRun]
удалите раздел RestrictRun

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer]

"NoDrives"
"NoFind"
"NoFolderOptions"
"NoRecentDocsMenu"
"NoDesktop"
"NoRun"
"NoLogOff"
"NoNetHood"
"NoTrayContextMenu"
"NoSetTaskbar"
"NoFavoritesMenu"
"NoViewContextMenu"
"RestrictRun"
"NoHelp"
"NoSetFolders"
"NoCommonGroups"
"NoViewOnDrive"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Keyboard Layout]

"Scancode Map"

9. С этой ветки нужно удалить Строковой параметр с пустым именем (пробел). В значении данного параметра указано месторасположения троянской программы. Нужно перейти по этому адресу и удалить вредоносный файл.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
" "="C:\\WINDOWS\\lol.exe"

или

" "="C:\\WINDOWS\\win.exe"

или

" "="C:\\Windows\\cmt.exe"

10. Нижеуказанные параметры были модифицированы. Вы можете пропустить этот пункт, если не понимаете назначения этих параметров.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore]
DisableSR (параметр типа DWORD) - выставить в 0, если необходимо включить "Восстановление системы"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
LogonType (параметр типа DWORD) 0 - отключить "Экран приветствия" 1 - включить "Экран приветствия"

11. Введите команду:

нажмите "Enter"

12. Вводим команду:

start %windir%\explorer.exe

нажмите "Enter" и через "Пуск" произведите загрузку в обычном режиме...

13. Переходим по адресу C:\WINDOWS и удаляем файл lol.exe или win.exe. Переходим по адресу C:\WINDOWS\Prefetch и удаляем файл LOL.EXE-073D2955.pf или WIN.EXE-073D2955.pf(073D2955 - данный отрезок имени может варьироваться).

14. Сбрасываем параметры IE на дефолт и производим очистку временных файлов Интернета.

15. Лечение окончено