Не получается поменять значение Userinit в реестре

Описание: Если вам непонятно в чём проблема, то пишите сюда.
Если же вы знаете какая деталь виновата, то найдите наиболее подходящий раздел ниже.
Правила раздела: http://pc-forums.ru/topic1880.html
Модератор: Junior

#1 ION » 21.04.2016, 22:02

Здравствуйте! Недавно подцепил вирусов, все почистил, но в реестре было изменено значение файла userinit. После попыток изменить значение появляется вот это: "Не удается изменить Userinit. Ошибка при записи нового значения параметра". Помогите плз!)
Изображение
ION M
Автор темы, Новичок форума
Новичок форума
Возраст: 24
Репутация: 0
Лояльность: 0 (+0/−0)
Сообщения: 5
Темы: 1
Зарегистрирован: 21.04.2016
С нами: 7 месяцев 16 дней

Не получается поменять значение Userinit в реестре

 

#2 looki » 22.04.2016, 03:10

Либо прав нет либо вирус жив
looki F
Житель форума
Житель форума
Репутация: 85
Лояльность: 87 (+88/−1)
Сообщения: 817
Темы: 3
Зарегистрирован: 12.11.2014
С нами: 2 года

 

#3 ION » 22.04.2016, 08:05

Права есть, вирусы уже все почистил(полную проверку делал 2 раза)
ION M
Автор темы, Новичок форума
Новичок форума
Возраст: 24
Репутация: 0
Лояльность: 0 (+0/−0)
Сообщения: 5
Темы: 1
Зарегистрирован: 21.04.2016
С нами: 7 месяцев 16 дней

#4 Junior » 22.04.2016, 08:07

ION писал(а):вирусы уже все почистил(полную проверку делал 2 раза)
Чем, если не военная тайна?
Родители! Оградите своих детей от интернета! Интернет от них тупеет! :crazy:
DrWeb, халява на три месяца - перейти по ссылке
Junior M В сети
Главные модераторы
Главные модераторы
Аватара
Откуда: Из страны пионЭров с отверткой.
Репутация: 1162
Лояльность: 3 (+186/−183)
Сообщения: 16644
Темы: 33
Зарегистрирован: 23.02.2012
С нами: 4 года 9 месяцев

 

#5 ION » 22.04.2016, 08:20

Dr.web
ION M
Автор темы, Новичок форума
Новичок форума
Возраст: 24
Репутация: 0
Лояльность: 0 (+0/−0)
Сообщения: 5
Темы: 1
Зарегистрирован: 21.04.2016
С нами: 7 месяцев 16 дней

#6 looki » 22.04.2016, 08:24

Не поможет

Добавлено спустя 51 секунду:
Через неделю где то будет эту заразу видеть
looki F
Житель форума
Житель форума
Репутация: 85
Лояльность: 87 (+88/−1)
Сообщения: 817
Темы: 3
Зарегистрирован: 12.11.2014
С нами: 2 года

 

#7 Junior » 22.04.2016, 08:31

looki, А из безопасного, или с ливчика ручками этот скриптик никак?
Родители! Оградите своих детей от интернета! Интернет от них тупеет! :crazy:
DrWeb, халява на три месяца - перейти по ссылке
Junior M В сети
Главные модераторы
Главные модераторы
Аватара
Откуда: Из страны пионЭров с отверткой.
Репутация: 1162
Лояльность: 3 (+186/−183)
Сообщения: 16644
Темы: 33
Зарегистрирован: 23.02.2012
С нами: 4 года 9 месяцев

#8 looki » 22.04.2016, 08:39

Мне этот vbs (он скорее всего обфусцирофан) надо скопировать и в ЛС прислать,для дешифровки и анализа.
Скриптом убрать могу,но на днях если только,завал у меня.
Руками в безопасном можно попробовать,но высока вероятность что все вернется,так как это не все,есть еще дрянь к этому вирусу на ПК.
Если сильно не втерпеж,можно антисмс попробовать,но тушки вирусов останутся.
Либо подождите несколько дней пока я смогу,либо пригласите аркалыка,либо в другом месте...
looki F
Житель форума
Житель форума
Репутация: 85
Лояльность: 87 (+88/−1)
Сообщения: 817
Темы: 3
Зарегистрирован: 12.11.2014
С нами: 2 года

 

#9 ION » 22.04.2016, 10:12

А чем антисмс поможет то?И увидит ли dr.web его?
ION M
Автор темы, Новичок форума
Новичок форума
Возраст: 24
Репутация: 0
Лояльность: 0 (+0/−0)
Сообщения: 5
Темы: 1
Зарегистрирован: 21.04.2016
С нами: 7 месяцев 16 дней

#10 looki » 22.04.2016, 10:15

Вырубит автозапуск всей каки
looki F
Житель форума
Житель форума
Репутация: 85
Лояльность: 87 (+88/−1)
Сообщения: 817
Темы: 3
Зарегистрирован: 12.11.2014
С нами: 2 года

#11 ION » 22.04.2016, 10:18

А антивирусник его увидит?
ION M
Автор темы, Новичок форума
Новичок форума
Возраст: 24
Репутация: 0
Лояльность: 0 (+0/−0)
Сообщения: 5
Темы: 1
Зарегистрирован: 21.04.2016
С нами: 7 месяцев 16 дней

#12 Junior » 22.04.2016, 10:35

ION, Вы же два раза вебом гоняли, а толку. Надеюсь он у вас полноценно установлен, а не крякнутый огрызок с трекеров.
Может вы курит имели в виду, так только в безопасном, когда большая часть говен не активна.
Чистка темпов (всех, в том числе и в пользовательских) всегда полезна, там иногда до поры много чего валяется насосанное с инета. Дозревает до поры. :biggrin:
Родители! Оградите своих детей от интернета! Интернет от них тупеет! :crazy:
DrWeb, халява на три месяца - перейти по ссылке
Junior M В сети
Главные модераторы
Главные модераторы
Аватара
Откуда: Из страны пионЭров с отверткой.
Репутация: 1162
Лояльность: 3 (+186/−183)
Сообщения: 16644
Темы: 33
Зарегистрирован: 23.02.2012
С нами: 4 года 9 месяцев

#13 looki » 22.04.2016, 11:07

Делайте логи во вторник вылечим
looki F
Житель форума
Житель форума
Репутация: 85
Лояльность: 87 (+88/−1)
Сообщения: 817
Темы: 3
Зарегистрирован: 12.11.2014
С нами: 2 года

#14 Петрович » 25.04.2016, 11:31

Ветку реестра HKLM можно править, загрузившись с загрузочного диска Windows.
1. Запускаем regedit из режима восстановления
2. Выбираем раздел HKLM , затем идем в Файл - загрузить куст.
3. Выбираем файл system ( по умолчанию расположен в system32\config)
4. Задаем любое название для загружённого куста
5. Заходим внутрь, правим что надо
6. Затем, для сохранения изменений: Файл - выгрузить куст.
GOOGLE знает всё... ну или почти всё.
Петрович M В сети
Житель форума
Житель форума
Аватара
Возраст: 60
Откуда: Московская обл.
Репутация: 55
Лояльность: 39 (+51/−12)
Сообщения: 568
Темы: 2
Зарегистрирован: 05.08.2013
С нами: 3 года 4 месяца

#15 looki » 26.04.2016, 19:55

Итого,как и ожидалось,доктор в упор не видит.
Создайте точку восстановления

Выполните скрипт AVZ:
Код: Выделить всё
begin
ExecuteFile('net.exe','stop tcpip /y', 0, 15000, true);
TerminateProcessByName('c:\program files (x86)\03de0294-1461162364-05e2-ef06-630700080009\knseec00.tmpfs');
SetServiceStart('ribuwelizbt', 4);
StopService('ribuwelizbt');
QuarantineFile('C:\ProgramData\service.exe','');
QuarantineFile('C:\Users\Илья\AppData\Local\UCBrowser\User Data\Default\Extensions\pbnmnlipmkfkadfcdocgblonoccmolpe\3.0.0_0\bin\PPHelper\DriverInstallerX86.exe','');
QuarantineFile('C:\Program Files (x86)\Pwtyfemuk\Pwtcchtsk.exe','');
QuarantineFile('C:\Program Files (x86)\LuckyBrowse\app\luckybrowse.exe','');
QuarantineFile('dnsproberta.exe','');
QuarantineFile('C:\ProgramData\VkontakteDJ\VKontakteDJ.exe','');
QuarantineFile('D:\My Documents\steam.exe','');
QuarantineFile('c:\programdata\msiql.exe','');
QuarantineFile('C:\Users\Илья\AppData\Roaming\gplyra\gplyra\start.cmd','');
QuarantineFile('rtvcvfw64.dll','');
QuarantineFile('C:\Program Files (x86)\badu\uc.exe','');
QuarantineFile('C:\ProgramData\Holdtam\Whitefinzap.dll','');
QuarantineFile('C:\Windows\system32\drivers\tsskx64.sys','');
QuarantineFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.4.17339.217\TsNetHlpX64.sys','');
QuarantineFile('C:\Program Files (x86)\Tencent\QQPCMGR\Plugins\SRepairDrv','');
QuarantineFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.4.17339.217\softaal64.sys','');
QuarantineFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.4.17339.217\QMUdisk64.sys','');
QuarantineFile('C:\Program Files (x86)\Pwtyfemuk\Pwtcchsrv.exe','');
QuarantineFile('c:\program files (x86)\03de0294-1461162364-05e2-ef06-630700080009\knseec00.tmpfs','');
QuarantineFileF('C:\Program Files (x86)\03DE0294-1461162364-05E2-EF06-630700080009','*',true,'',0,0);
QuarantineFileF('C:\Program Files (x86)\Pwtyfemuk','*',true,'',0,0);
QuarantineFile('C:\Windows\run.vbs','');
QuarantineFileF('C:\Program Files (x86)\Tencent\QQPCMGR','*',true,'',0,0);
DeleteFile('C:\ProgramData\service.exe','32');
DeleteFile('C:\Program Files (x86)\03DE0294-1461162364-05E2-EF06-630700080009\knseEC00.tmpfs','32');
DeleteFile('C:\Program Files (x86)\Pwtyfemuk\Pwtcchsrv.exe','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.4.17339.217\QMUdisk64.sys','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.4.17339.217\softaal64.sys','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMGR\Plugins\SRepairDrv','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.4.17339.217\TsNetHlpX64.sys','32');
DeleteFile('C:\Windows\system32\drivers\tsskx64.sys','32');
DeleteFile('C:\Program Files (x86)\badu\uc.exe','32');
DeleteFile('C:\Users\Илья\AppData\Roaming\gplyra\gplyra\start.cmd','32');
DeleteFile('c:\programdata\msiql.exe','32');
DeleteFile('C:\ProgramData\VkontakteDJ\VKontakteDJ.exe','32');
DeleteFile('C:\Program Files (x86)\Pwtyfemuk\Pwtcchtsk.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Pwtyfemuk Cache','64');
DeleteFile('C:\Users\Илья\AppData\Local\UCBrowser\User Data\Default\Extensions\pbnmnlipmkfkadfcdocgblonoccmolpe\3.0.0_0\bin\PPHelper\DriverInstallerX86.exe','32');
DeleteService('QMUdisk');
DeleteService('softaal');
DeleteService('SRepairDrv');
DeleteService('tsnethlpx64');
DeleteService('TSSKX64');
DeleteService('Pwtcchsrv');
DeleteService('ribuwelizbt');
DeleteFileMask('C:\Program Files (x86)\03DE0294-1461162364-05E2-EF06-630700080009','*',true);
DeleteFileMask('C:\Program Files (x86)\Pwtyfemuk','*',true);
DeleteFileMask('C:\Program Files (x86)\Tencent\QQPCMGR','*',true);
DeleteDirectory('C:\Program Files (x86)\03DE0294-1461162364-05E2-EF06-630700080009');
DeleteDirectory('C:\Program Files (x86)\Pwtyfemuk');
DeleteDirectory('C:\Program Files (x86)\Tencent\QQPCMGR');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\GoogleChromeUpService','EventMessageFile');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\apphide','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\gplyra','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\msiql','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\VkontakteDJ','command');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится,файл quarantine.zip из папки avz пришлите мне в личные сообщения.

Создайте текстовый файл
fixlist.txt
в папке с FRST,рядом с файлом FRST.exe скопируйте в него код ниже и сохраните в кодировке юникод:
Код: Выделить всё
start
CreateRestorePoint:
Task: {A9028C56-B8E9-4E0A-8608-EB072D19F00E} - System32\Tasks\Pwtyfemuk Cache => C:\Program Files (x86)\Pwtyfemuk\Pwtcchtsk.exe
ShortcutWithArgument: C:\Users\Илья\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer (64-bit).lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://yeabests.cc
ShortcutWithArgument: C:\Users\Илья\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://yeabests.cc
ShortcutWithArgument: C:\Users\Илья\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://yeabests.cc
ShortcutWithArgument: C:\Users\Илья\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://yeabests.cc
ShortcutWithArgument: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> hxxp://yeabests.cc
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\QQPCRTP => ""="service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\QQPCRTP => ""="service"
DeleteKey: HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\apphide
DeleteKey: HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\gplyra
DeleteKey: HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\msiql
DeleteKey: HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\VkontakteDJ
HKLM-x32\...\Run: [mpck_en_005030302] => [X]
HKLM\...\Winlogon: [Userinit] wscript C:\Windows\run.vbs,
HKLM-x32\...\Winlogon: [Userinit] wscript C:\Windows\run.vbs, [X]
CHR HKU\S-1-5-21-1557518160-1357209354-1238020990-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.2345.com/?34838
HKU\S-1-5-21-1557518160-1357209354-1238020990-1000\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBVRmzv2pJwNObclszb7hW9-l0YyNNPH3S7-dQci6buS4ZULuao_xc_FCty4I7OY3WUOIzL7ubXXw6X84bpVXPC3gcLvJdXLF7KpglKWbeO8k8-243kZhED4c4PEFtMg9sXABRm8qT7Mg0lqttr9ptBDwvq9tIV7WW2_GPYJLIjGcCnxhNPjJkS&q={searchTerms}
HKU\S-1-5-21-1557518160-1357209354-1238020990-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.2345.com/?34838
HKU\S-1-5-21-1557518160-1357209354-1238020990-1000\Software\Microsoft\Internet Explorer\Main,Search Bar = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBVRmzv2pJwNObclszb7hW9-l0YyNNPH3S7-dQci6buS4ZULuao_xc_FCty4I7OY3WUOIzL7ubXXw6X84bpVXPC3gcLvJdXLF7KpglKWbeO8k8-243kZhED4c4PEFtMg9sXABRm8qT7Mg0lqttr9ptBDwvq9tIV7WW2_GPYJLIjGcCnxhNPjJkS&q={searchTerms}
HKU\S-1-5-21-1557518160-1357209354-1238020990-1000\Software\Microsoft\Internet Explorer\Main,SearchAssistant = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBVRmzv2pJwNObclszb7hW9-l0YyNNPH3S7-dQci6buS4ZULuao_xc_FCty4I7OY3WUOIzL7ubXXw6X84bpVXPC3gcLvJdXLF7KpglKWbeO8k8-243kZhED4c4PEFtMg9sXABRm8qT7Mg0lqttr9ptBDwvq9tIV7WW2_GPYJLIjGcCnxhNPjJkS&q={searchTerms}
SearchScopes: HKLM-x32 -> ielnksrch URL = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBVRmzv2pJwNObclszb7hW9-l0YyNNPH3S7-dQci6buS4ZULuao_xc_FCty4I7OY3WUOIzL7ubXXw6X84bpVXPC3gcLvJdXLF7KpglKWbeO8k8-243kZhED4c4PEFtMg9sXABRm8qT7Mg0lqttr9ptBDwvq9tIV7WW2_GPYJLIjGcCnxhNPjJkS&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1557518160-1357209354-1238020990-1000 -> {ielnksrch} URL = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBVRmzv2pJwNObclszb7hW9-l0YyNNPH3S7-dQci6buS4ZULuao_xc_FCty4I7OY3WUOIzL7ubXXw6X84bpVXPC3gcLvJdXLF7KpglKWbeO8k8-243kZhED4c4PEFtMg9sXABRm8qT7Mg0lqttr9ptBDwvq9tIV7WW2_GPYJLIjGcCnxhNPjJkS&q={searchTerms}
CHR StartupUrls: Default -> "hxxp://www.google.com/","hxxp://mail.ru/cnt/10445?gp=821268","hxxp://www.hohosearch.com/?mode=nnnb&ptid=clc&uid=824C9E3E960136E3D63AC2A448CA6F58&v=20160415&ts=AHEqAH4qAXInA0..","hxxp://mail.ru/cnt/10445?gp=821622"
S3 TSSKX64; C:\Windows\System32\drivers\tsskx64.sys [54904 2016-03-16] (电脑管家)
S1 QMUdisk; \??\C:\Program Files (x86)\Tencent\QQPCMgr\11.4.17339.217\QMUdisk64.sys [X]
S1 softaal; \??\C:\Program Files (x86)\Tencent\QQPCMgr\11.4.17339.217\softaal64.sys [X]
S1 SRepairDrv; \??\C:\Program Files (x86)\Tencent\QQPCMGR\Plugins\SRepairDrv [X]
S2 tsnethlpx64; \??\C:\Program Files (x86)\Tencent\QQPCMgr\11.4.17339.217\TsNetHlpX64.sys [X]
2016-04-20 21:01 - 2016-04-20 21:27 - 00038520 _____ (Tencent) C:\Windows\SysWOW64\Drivers\TS888x64.sys
File: C:\Users\Все пользователи\conhost.exe
File: C:\ProgramData\conhost.exe
2016-04-20 17:31 - 2016-04-20 22:27 - 00000000 ____D C:\Users\Все пользователи\TXQMPC
2016-04-20 17:31 - 2016-04-20 22:27 - 00000000 ____D C:\ProgramData\TXQMPC
16-04-20 17:31 - 2016-04-20 17:31 - 00001163 _____ C:\Users\Илья\AppData\Roaming\svrupg.exe
2016-04-20 17:31 - 2016-04-20 17:31 - 00000000 ____D C:\Program Files\Common Files\Tencent
2016-04-20 17:31 - 2016-04-20 17:30 - 00087800 _____ (电脑管家) C:\Windows\system32\Drivers\TFsFltX64.sys
File: C:\Users\Все пользователи\hp.exe
File: C:\ProgramData\hp.exe
2016-04-20 17:31 - 2016-03-16 13:57 - 00054904 _____ (电脑管家) C:\Windows\system32\Drivers\TSSKX64.sys
2016-04-20 17:30 - 2016-04-20 22:27 - 00000000 ____D C:\Users\Все пользователи\Tencent
2016-04-20 17:30 - 2016-04-20 22:27 - 00000000 ____D C:\ProgramData\Tencent
2016-04-20 17:29 - 2016-04-21 17:09 - 00000000 ____D C:\Users\Илья\AppData\Roaming\UPUpdata
2016-04-20 17:28 - 2016-04-21 17:09 - 00000000 ____D C:\Users\Илья\AppData\Roaming\gplyra
2016-04-20 17:28 - 2016-04-20 20:53 - 00000000 ____D C:\Users\Илья\AppData\Local\03DE0294-1461173317-05E2-EF06-630700080009
2016-04-20 17:28 - 2016-04-20 17:29 - 00000000 ____D C:\Users\Илья\AppData\Local\3810282D-6C19-47B0-8283-5C6C29A7E108
2016-04-20 17:28 - 2016-04-20 17:28 - 00014706 _____ C:\Windows\System32\Tasks\Pwtyfemuk Cache
2016-04-20 17:28 - 2016-04-20 17:28 - 00000000 ____D C:\Users\Илья\AppData\Roaming\cpuminer
22016-04-20 17:26 - 2016-04-20 21:31 - 00000000 ____D C:\Program Files (x86)\03DE0294-1461162364-05E2-EF06-630700080009
EmptyTemp:
Reboot:
end

Компьютер перезагрузится.
Программа создаст лог Fixlog.txt
Покажите.

Повторите сбор логов заново 9+ adwcleaner ,все прикрепите
looki F
Житель форума
Житель форума
Репутация: 85
Лояльность: 87 (+88/−1)
Сообщения: 817
Темы: 3
Зарегистрирован: 12.11.2014
С нами: 2 года


  • Понравилась тема? Поделись с друзьями!

Вернуться в Любые проблемы с компьютером

 


  • Похожие темы
    Ответы
    Просмотры
    Последнее сообщение

Кто сейчас на форуме (по активности за 20 минут)

Сейчас этот раздел просматривают: 4 гостя