Удаление Dr.Web
Цитата: Сергей от 04.12.2023, 18:07Добрый день, коллеги!
Компьютерщик установил на мой комп эту гадость и она управляется с какого-то локального Dr.Web - сервера и нарушает все API винды + у нее активирована самозащита, которая отключается только с удаленного Dr.Web - сервера. У меня админские права и удалить эту гадость нет ни какой возможности даже в безопасном режиме, когда гадость еще не загружена, - нет ни какой возможности добавить прав на папки и разделы реестра, я вообще не понимаю как это возможно.
Собираюсь действовать хирургически, скорректируйте мои действия, если что-то не так буду делать:
0. Win 10 Tweaker на компе еще НЕ активирован как pro, и в этом большая сложность, т.к. не получится запустить реестр от имени система. Кстати, в безопасном режиме тоже не возможно запустить что-то от имени Система, т.к. в этом режиме служба "Вторичный вход в систему" не работает.
1. Загрузиться с флэшки Ubuntu, скопировать из системы файл%SystemRoot%\System32\Config\Systemна другой комп Windows, открыть его и по удалять соответствующие службы вHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servicesзатем вернуть файл SYSTEM на место.
2. Тут же из под Ubuntu по удалять тело гадости на диске С во всех папках, где удастся найти.
3. Загрузить "зараженный" комп в штатном режиме, включить интернет и попытаться быро-быро активировать pro, пока гадость на закачалась по новой, по задаче в планировщике.
4. Отрубить интернет. Запустить mmc.exe консоль с планировщиком от имени Система с помощью Win 10 Tweaker и по удалять оттуда хвосты гадости за одно поиском по удалять хвосты гадости из реестра.
5. Поиском по диску С по удалять хвосты гадости.
6. Радоваться жизни.
Добрый день, коллеги!
Компьютерщик установил на мой комп эту гадость и она управляется с какого-то локального Dr.Web - сервера и нарушает все API винды + у нее активирована самозащита, которая отключается только с удаленного Dr.Web - сервера. У меня админские права и удалить эту гадость нет ни какой возможности даже в безопасном режиме, когда гадость еще не загружена, - нет ни какой возможности добавить прав на папки и разделы реестра, я вообще не понимаю как это возможно.
Собираюсь действовать хирургически, скорректируйте мои действия, если что-то не так буду делать:
0. Win 10 Tweaker на компе еще НЕ активирован как pro, и в этом большая сложность, т.к. не получится запустить реестр от имени система. Кстати, в безопасном режиме тоже не возможно запустить что-то от имени Система, т.к. в этом режиме служба "Вторичный вход в систему" не работает.
1. Загрузиться с флэшки Ubuntu, скопировать из системы файл Скопировано%SystemRoot%\System32\Config\System на другой комп Windows, открыть его и по удалять соответствующие службы в СкопированоHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services затем вернуть файл SYSTEM на место.
2. Тут же из под Ubuntu по удалять тело гадости на диске С во всех папках, где удастся найти.
3. Загрузить "зараженный" комп в штатном режиме, включить интернет и попытаться быро-быро активировать pro, пока гадость на закачалась по новой, по задаче в планировщике.
4. Отрубить интернет. Запустить mmc.exe консоль с планировщиком от имени Система с помощью Win 10 Tweaker и по удалять оттуда хвосты гадости за одно поиском по удалять хвосты гадости из реестра.
5. Поиском по диску С по удалять хвосты гадости.
6. Радоваться жизни.
Цитата: amazon от 05.12.2023, 22:40Привет. этот доктор веб беспредел делает, сканировал 1 раз всего . потом нашел папку пустуб доктора весом 25 гигов.
Привет. этот доктор веб беспредел делает, сканировал 1 раз всего . потом нашел папку пустуб доктора весом 25 гигов.
Цитата: Pixi от 06.12.2023, 05:31Привет, попробуйте воспользоваться, Dr.Web Removal Tool.
Привет, попробуйте воспользоваться, Dr.Web Removal Tool.
Цитата: Adler от 06.12.2023, 09:54Добрый день.
Что-то вы какие-то страсти про Dr.Web рассказываете, я им более 10 лет пользовался с оплаченной лицензией, и никогда он никаких проблем не доставлял. Имхо, один из самый адекватных без лишней параноидальности и всяких выебосов. Особенно мне в нем встроенный фаервол нравился, который просто и понятно настраивался.
Удалил, т.к. просто перестал пользоваться антивирусами за их ненадобностью. Иногда пользуюсь Dr.Web CureIT! если есть подозрения, что все же поселился какой-то зловред.
Добрый день.
Что-то вы какие-то страсти про Dr.Web рассказываете, я им более 10 лет пользовался с оплаченной лицензией, и никогда он никаких проблем не доставлял. Имхо, один из самый адекватных без лишней параноидальности и всяких выебосов. Особенно мне в нем встроенный фаервол нравился, который просто и понятно настраивался.
Удалил, т.к. просто перестал пользоваться антивирусами за их ненадобностью. Иногда пользуюсь Dr.Web CureIT! если есть подозрения, что все же поселился какой-то зловред.
Цитата: Сергей от 06.12.2023, 18:50Цитата: Pixi от 06.12.2023, 05:31Привет, попробуйте воспользоваться, Dr.Web Removal Tool.
Привет! Это не вариант. Любые вмешательства эта гадость тут же блокирует в нарушение API самой винды, т.е. сама ведет себя как вирус. Любые, абсолютно любые даже в безопасном режиме! Не помогает даже запуск regedit/explorer/Taskmgr от имени Система через Win 10 Tweaker. Кстати эта гадость не пускает в интернет Win 10 Tweaker, даже на сайт в браузере не зайти. Активировать pro удалось только в безопасном режиме с подключенной сетью. Легально его удалить или отключить можно только с удаленного сервера Dr.Web, с которого он был установлен. Я говорю о сервере Dr.Web централизованного мониторинга рабочих станций, на которых установлена гадость.
Сегодня подключил ССД к другому компу с windows, подгрузил в штатный regedit кусты System и Software. Вычистил все там все (разумеется, включая services), прошелся тщательно поиском, каждую фигульгу с его упоминанием зачистил. Провел файло-папочную чистку:
- C:\Program Files;
- C:\Program Files\Common Files;
- C:\Program Files (x86);
- C:\Program Files (x86)\Common Files;
- C:\ProgramData;
- C:\Users\Администратор;
- C:\Users\Администратор\AppData\Local;
- C:\Users\Администратор\AppData\Roaming;
- C:\Users\Default\AppData\Local;
- C:\Users\Default\AppData\Roaming;
- C:\Windows\(не помню имя папки бэкапа гадости);
- C:\Windows\System32 (маска поиска dw*; drw) (в свойствах файла ищем ЦП гадости);
- C:\Windows\System32\drivers (да-да, он драйвера ставит, в реестре есть соответствующие записи);
- Еще в нескольких местах, где смог найти....
Завтра воткну ССД в системник, первым делом включу без инета, еще раз все проверю и почищу (включая автозапуск и services) и чёта нет 100% уверенности. Т.е. либо гадость вернется, либо винда крякнет.
Кстати убунта 21.10 лайвсиди с флэшки вообще не могла на этом компе и на этом диске что-то сделать, - только листинг фалов. "Move/Remove" даже не было в контекстом меню фалов/папок, при том что диск был примонтирован НЕ read only, а полноценно, специально перемонтировал даже полностью без флагов. ХЗ, видимо я просто чайник, да и лень было manЫ читать.
Спасибо всем, кто проявил интерес к этой теме. Я полностью солидарен с нашим братом Хачатуром, - самый лучший антивирус - это голова на плечах, а любой сегодня антивирус - это и есть сам вирус/шпион/червь/кейлоггер/ и проч.
Цитата: Pixi от 06.12.2023, 05:31Привет, попробуйте воспользоваться, Dr.Web Removal Tool.
Привет! Это не вариант. Любые вмешательства эта гадость тут же блокирует в нарушение API самой винды, т.е. сама ведет себя как вирус. Любые, абсолютно любые даже в безопасном режиме! Не помогает даже запуск regedit/explorer/Taskmgr от имени Система через Win 10 Tweaker. Кстати эта гадость не пускает в интернет Win 10 Tweaker, даже на сайт в браузере не зайти. Активировать pro удалось только в безопасном режиме с подключенной сетью. Легально его удалить или отключить можно только с удаленного сервера Dr.Web, с которого он был установлен. Я говорю о сервере Dr.Web централизованного мониторинга рабочих станций, на которых установлена гадость.
Сегодня подключил ССД к другому компу с windows, подгрузил в штатный regedit кусты System и Software. Вычистил все там все (разумеется, включая services), прошелся тщательно поиском, каждую фигульгу с его упоминанием зачистил. Провел файло-папочную чистку:
- C:\Program Files;
- C:\Program Files\Common Files;
- C:\Program Files (x86);
- C:\Program Files (x86)\Common Files;
- C:\ProgramData;
- C:\Users\Администратор;
- C:\Users\Администратор\AppData\Local;
- C:\Users\Администратор\AppData\Roaming;
- C:\Users\Default\AppData\Local;
- C:\Users\Default\AppData\Roaming;
- C:\Windows\(не помню имя папки бэкапа гадости);
- C:\Windows\System32 (маска поиска dw*; drw) (в свойствах файла ищем ЦП гадости);
- C:\Windows\System32\drivers (да-да, он драйвера ставит, в реестре есть соответствующие записи);
- Еще в нескольких местах, где смог найти....
Завтра воткну ССД в системник, первым делом включу без инета, еще раз все проверю и почищу (включая автозапуск и services) и чёта нет 100% уверенности. Т.е. либо гадость вернется, либо винда крякнет.
Кстати убунта 21.10 лайвсиди с флэшки вообще не могла на этом компе и на этом диске что-то сделать, - только листинг фалов. "Move/Remove" даже не было в контекстом меню фалов/папок, при том что диск был примонтирован НЕ read only, а полноценно, специально перемонтировал даже полностью без флагов. ХЗ, видимо я просто чайник, да и лень было manЫ читать.
Спасибо всем, кто проявил интерес к этой теме. Я полностью солидарен с нашим братом Хачатуром, - самый лучший антивирус - это голова на плечах, а любой сегодня антивирус - это и есть сам вирус/шпион/червь/кейлоггер/ и проч.
Цитата: Сергей от 06.12.2023, 18:54Цитата: Adler от 06.12.2023, 09:54.... Иногда пользуюсь Dr.Web CureIT! ....
Я вирустоталом пользуюсь через Cent Browser.
Цитата: Adler от 06.12.2023, 09:54.... Иногда пользуюсь Dr.Web CureIT! ....
Я вирустоталом пользуюсь через Cent Browser.
Цитата: Adler от 07.12.2023, 07:47Цитата: Сергей от 06.12.2023, 18:54Цитата: Adler от 06.12.2023, 09:54.... Иногда пользуюсь Dr.Web CureIT! ....
Я вирустоталом пользуюсь через Cent Browser.
А когда тебе весь винт, чужой, проверить надо, ты тоже будешь все файлы по одному на VirusTotal загружать?
Я бы на это посмотрел 🙂
Цитата: Сергей от 06.12.2023, 18:54Цитата: Adler от 06.12.2023, 09:54.... Иногда пользуюсь Dr.Web CureIT! ....
Я вирустоталом пользуюсь через Cent Browser.
А когда тебе весь винт, чужой, проверить надо, ты тоже будешь все файлы по одному на VirusTotal загружать?
Я бы на это посмотрел 🙂