[решено] Уж очень подлый порнобаннер

[Gik]

Один знакомый попросил убрать порнобаннер со своего компьютера... ОС стоит 7 если важно.

Пришел я к нему попробЫвал зайти в безопасном режиме. Там он тоже вылез

Дальше загрузился через ERD коммандер...

в реестре в Shell и Userinit поставил все как положенно...

перезагрузился

он не исчез как это бывало раньше ...

начал смотреть внимательнее...

порнобаннер создал диск X... который вроде бы и не должен быть... он весит всего то 36 мб... но на нем основные папки типа Windows User Program Files и прочии...



В Shell'е был прописан путь cmd.exe /k cmd ... ну или что то подобное... точно не помню

В Userinit было прописанно X:\Windows\system32\userinit.exe, хотя вся система на D стоит...



при попытках везде все переставить на D:/ все менялося но перезагрузке компа все менялося обратно...





Умные люди помогите а?

[okshef]

Цитата Gik:



В Userinit было прописанно X:\Windows\system32\userinit.exe,

[решено] Уж очень подлый порнобаннер

это реестр WinPE. Вам нужно подключить реестр удаленной системы.

[Gik]

Можно по подробнее ... то что для вас кажется очевидным, для меня является непонятным..

[okshef]

Вам нужно в ERD коммандере подключить реестр системы, которая находится на D:\

[Gik]

подскажите пожалуйста как это сделать ... я просто с программой ERD можно сказать впервые поработал

[okshef]

Вы так писали в своем первом сообщении о ERD, что создалось впечатление, что вы знаете. Честно говоря, я с ним сам не работал. Пользовался

Regedit PE 1.1.2.0

и

AutoRuns для Windows

Использовать их нужно, загрузившись с любого Live CD



Почитайте еще

Разблокировка троянов семейства WinLock (sms - вымогатели) - VirusNet

[Gik]

Ну я не то что бы совсем не знаком с ERD просто для версии x86 он совершенно другой.. я в нем не разбираюся толком..

кое как разобрался где реестр открыть ... FAQ бы почитать

[goredey]

Gik, 1. Пуск/Выполнить..., набрать regedit и выделить раздел HKLM.

2. Выберите в меню программы File - Load Hive (Файл - Загрузить куст) и перейдите к папке, где находится реестр вашей Windows (обычно C:\Windows\System32\Config).

3. Выделите файл SOFTWARE без расширения и нажмите Open (Открыть).

4. Введите имя для раздела, который вы загрузили, например, MyHive.

5. Посмотрите Microsoft\Windows NT\Winlogon (в обычном виде это [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]) параметр Userinit должен быть такой C:\WINDOWS\system32\userinit.exe, (с запятой)

6. Не забудьте выгрузить куст

[Gik]

извините за то что я такой глупый) проблему уже решил)

оказалося что подвел меня опыт.

дело в том что я толком не умея пользоваться ERD полез что то делать.



Порно баннер оказался самым обычным и сидел даже не в реестре а просто в автозагрузках.



а все мои проблемы от того что ERD у меня был на 64 битную систему...



а установленна была 32 битная...



когда поставил нужный диск все получилося очень легко и просто)