I Winlocker Trojan sono un tipo di malware che, bloccando l'accesso al desktop, estorce denaro all'utente - come se trasferisse l'importo richiesto sull'account dell'attaccante, ricevesse un codice di sblocco.
Se accendi il PC una volta, al posto del desktop vedrai:
O qualcos'altro nello stesso spirito - con iscrizioni minacciose e talvolta con immagini oscene, non affrettarti ad accusare i tuoi cari di tutti i peccati. Loro, e forse tu stesso, sei caduto vittima del ransomware trojan.winlock.
In che modo i bloccanti ransomware entrano nel tuo computer?
Molto spesso, i bloccanti arrivano al computer nei seguenti modi:
- attraverso programmi hackerati, nonché strumenti per hackerare software a pagamento (crack, keygen, ecc.);
- vengono scaricati da collegamenti da messaggi nei social network, inviati da presunti conoscenti, ma in realtà - da intrusi da pagine violate;
- scaricate da risorse web di phishing che imitano siti noti, ma in realtà sono state create appositamente per diffondere virus;
- arrivano via e-mail sotto forma di allegati che accompagnano lettere dal contenuto intrigante: "sei stato citato in giudizio...", "sei stato fotografato sulla scena del crimine", "hai vinto un milione" e simili.
Attenzione! I banner pornografici non vengono sempre scaricati dai siti porno. Possono anche con quelli più ordinari.
Un altro tipo di ransomware, i browser blocker, viene distribuito allo stesso modo. Ad esempio, qualcosa del genere:
Fanno pagare soldi per accedere alla navigazione web tramite un browser.
Come rimuovere il banner "Windows bloccato" e simili?
Se il desktop è bloccato, quando un banner antivirus impedisce l'avvio di qualsiasi programma sul computer, puoi procedere come segue:
- vai in modalità provvisoria con il supporto della riga di comando, avvia l'editor del registro ed elimina le chiavi di riproduzione automatica del banner.
- avviare da un Live CD (disco "live"), ad esempio ERD commander, e rimuovere il banner dal computer sia tramite il registro (chiavi di esecuzione automatica) sia tramite l'esploratore (file).
- scansionare il sistema dal disco di avvio con un antivirus, ad esempio Dr.Web LiveDisk o Disco di ripristino di Kaspersky 10.
Metodo 1. Rimozione del winlocker dalla modalità provvisoria con il supporto della console.
Quindi, come rimuovere il banner dal computer tramite la riga di comando?
Sulle macchine con Windows XP e 7, prima di avviare il sistema, occorre avere il tempo di premere velocemente il tasto F8 e selezionare la voce contrassegnata dal menu (in Windows 8\8.1 questo menu non esiste, quindi bisogna fare il boot da il disco di installazione ed eseguire la riga di comando da lì).
Invece di un desktop, si aprirà una console di fronte a te. Per avviare l'editor del registro, inserisci il comando al suo interno regedit e premi Invio.
Quindi, apri l'editor del registro, trova le voci dei virus in esso e correggilo.
Molto spesso, i banner ransomware sono registrati nelle seguenti sezioni:
HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Winlogon- qui cambiano i valori dei parametri Shell, Userinit e Uihost (l'ultimo parametro è disponibile solo in Windows XP). Devi sistemarli alla normalità:
- Shell = Explorer.exe
- Userinit = C: \ WINDOWS \ system32 \ userinit.exe, (C: è la lettera della partizione di sistema. Se Windows è sull'unità D, il percorso di Userinit inizierà con D :)
- Uihost = LogonUI.exe
HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Windows- vedere il parametro AppInit_DLLs. Normalmente, può essere assente o vuoto.
HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Esegui- qui il ransomware crea un nuovo parametro con un valore sotto forma di percorso del file di blocco. Il nome del parametro può essere un insieme di lettere, ad esempio dkfjghk. Deve essere rimosso completamente.
Lo stesso nelle seguenti sezioni:
HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Run
HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ RunOnce
HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ RunServices
HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ RunOnceEx
Per correggere le chiavi di registro, fare clic con il tasto destro del mouse sul parametro, selezionare "Modifica", inserire il nuovo valore e fare clic su OK.
Successivamente, riavvia il computer in modalità normale ed esegui una scansione antivirus per rimuovere tutti i file ransomware dal disco rigido.
Metodo 2. Rimozione di un Winlocker utilizzando ERD Commander.
Il comandante ERD contiene un ampio set di strumenti per il ripristino di Windows, inclusi quelli che vengono sconfitti bloccando i trojan. Utilizzando l'editor del registro integrato ERDregedit, puoi eseguire le stesse operazioni descritte sopra.
Il comandante ERD sarà insostituibile se Windows è bloccato in tutte le modalità. Le copie sono distribuite illegalmente, ma sono facili da trovare in rete.
I kit di comandi ERD per tutte le versioni di Windows sono chiamati dischi avviabili MSDaRT (Microsoft Diagnostic & Recavery Toolset), sono disponibili in formato ISO, che è comodo per la masterizzazione su DVD o il trasferimento su un'unità flash USB.
Dopo aver avviato da tale disco, è necessario selezionare la versione del sistema e, nel menu, fare clic sull'editor del registro.
In Windows XP, la procedura è leggermente diversa: qui è necessario aprire il menu Start, selezionare Strumenti di amministrazione ed Editor del registro.
Dopo aver modificato il registro, carica nuovamente Windows: molto probabilmente non vedrai il banner "Computer bloccato".
Metodo 3. Rimozione del blocco utilizzando un "disco di salvataggio" antivirus.
Questo è il metodo di sblocco più semplice ma anche più lungo. È sufficiente masterizzare l'immagine di Dr.Web LiveDisk o Kaspersky Rescue Disk su DVD, avviare da esso, avviare la scansione e attendere fino al termine. Il virus verrà ucciso.
È ugualmente efficace rimuovere i banner da un computer utilizzando sia il disco Dr.Web che Kaspersky.
Come proteggere il computer dai blocchi?
- Installa un antivirus affidabile e mantienilo costantemente attivo.
- Prima di iniziare, controlla tutti i file scaricati da Internet per sicurezza.
- Non fare clic su collegamenti sconosciuti.
- Non aprire allegati di posta elettronica, in particolare messaggi di posta elettronica con testo intrigante. Anche da persone che conosci.
- Tieni traccia dei siti visitati dai tuoi figli. Usa il controllo genitori.
- Se possibile, non utilizzare software piratato: molti programmi a pagamento possono essere sostituiti con programmi gratuiti e sicuri.
La maggior parte degli utenti prima o poi si imbatterà in banner ransomware. Appaiono sul desktop e richiedono denaro all'utente per rimuoverli. Allo stesso tempo, molto spesso contengono vari tipi di minacce. Queste possono essere minacce per eliminare completamente le informazioni dal computer, azioni penali per aver commesso alcune azioni su Internet e varie sciocchezze simili. Non dovresti credere a tutto questo, tutte queste iscrizioni hanno lo scopo solo di fare pressione sull'utente il più possibile in modo che possa andare più veloce e mettere soldi sul numero specificato o inviare un SMS.
Tuttavia, non vale la pena farlo, nella stragrande maggioranza dei casi ciò non aiuterà in alcun modo. Inoltre non ne vale la pena completamente reinstallare il sistema, soprattutto se lo specialista chiamato lo suggerisce. Molto probabilmente, in questo modo stanno cercando di ottenere più soldi da te per servizi aggiuntivi. Inoltre, non fare affidamento su programmi per la generazione di codici, spesso non possono rilevarlo per un semplice motivo: tale codice non esiste, il ransomware non è redditizio per l'utente che si sbarazza della propria creazione così facilmente. Questo articolo fornirà diversi modi su come sbarazzarsi del parassita sul desktop, tuttavia, se il blocco si verifica prima dell'avvio di Windows, questi suggerimenti non funzioneranno.
Utilizzo dell'editor del registro per rimuovere il banner
Per eseguire l'utilità richiesta è necessario riavviare un computer... Immediatamente dopo aver avviato il BIOS, prima di caricare Windows, è necessario spingeref8 ripetutamente. Questo farà apparire una schermata simile. 
Su di esso, dovresti selezionare Modalità provvisoria con prompt dei comandi. Dopodiché, resterà un po 'di attesa fino all'avvio della riga di comando. Dovrebbe entrare regedit.exe... Ciò consentirà di avviare l'utilità richiesta. Nell'editor, dovrai seguire il percorso HKEY_CURRENT_USER - Software - Microsoft - Finestra - Versione corrente - Esegui.
Qui dovrai trovare tutte le utilità sconosciute all'utente o con nomi sospetti. Tutti iniziano contemporaneamente all'avvio del sistema, quindi vale la pena eliminare tutti gli elementi sospetti. Non c'è bisogno di aver paura di eliminare qualcosa di critico, le utilità saranno disponibili in seguito torna all'avvio... Vale la pena fare lo stesso per il catalogo che inizia con HKEY_LOCAL_MACHINE.
Devi anche controllare la directory HKEY_CURRENT_USER - Software - Microsoft - Windows NT - CurrentVersion - Winlogon... Non dovrebbero esserci variabili Shell e userinit qui. Se lo sono, dovresti cancellarli. Dopodiché, dovresti andare alla directory HKEY_LOCAL_MACHINE - Software - Microsoft - Windows NT - CurrentVersio - Winlogon... Questo è dove dovrebbero essere queste variabili. Il primo valore dovrebbe essere explorer.exe e il secondo dovrebbe avere il percorso C:\Windows\system32\userinit.exe.
Successivamente, il programma può essere chiuso. Alla riga di comando, puoi scrivere explorer.exe, che ti porterà sul desktop. Qui puoi eliminare tutti i file sospetti e sconosciuti, seguiti da riavvia il dispositivo... Se non è possibile avviare il computer in modalità provvisoria, è possibile utilizzare uno dei siti live che hanno accesso all'editor del registro.
Rimozione del blocco dall'area di avvio prima dell'avvio di Windows
Questo non accade spesso, ma è ancora possibile. In questo caso, le utilità integrate non funzioneranno sicuramente, sarà necessario utilizzare il LiveCD. Tuttavia, se l'utente ha installato XP ed è disponibile un disco di installazione, sarà possibile utilizzarlo. Quando al momento dell'installazione il sistema ti chiede di procedere al ripristino, dovresti accettare questo. Nella console che appare, dovresti guidare uno dei comandi FIXBOOT se il disco è uno e non è partizionato, oppure FIXMBR se è presente un guasto. Quindi dovrai confermare l'azione.
Per altri sistemi, dovrai utilizzare un CD live, puoi utilizzare uno di quelli che verranno forniti nella sezione successiva. Dovrai anche scaricare il programma STIVALE e mettilo sullo stesso supporto con un disco di ripristino. Dopo aver scaricato da esso, avrai bisogno utilità di esecuzione, in cui dovrai selezionare il tuo disco, premi Processo MBR, quindi fare clic sulla sezione desiderata, quindi selezionare installa / Configura e quindi fare clic su OK. Successivamente, il settore di avvio verrà ripristinato e l'utente sarà in grado di avviare il computer senza banner.
Utilità di terze parti per rimuovere i virus bloccanti
Puoi usare immagini disco che faranno tutto per l'utente. Ad esempio, contiene un programma per lo sblocco. Tutto ciò che serve è scrivere l'immagine su un'unità flash. Avvia da esso ed esegui l'applicazione, quindi segui le sue istruzioni. 
Altri fornitori di software antivirus dispongono di utilità simili, ad esempio, Dr.Web LiveCD, AVG Rescue, Vba32 Rescue Image. Puoi scaricarne uno qualsiasi e sbloccare il sistema.
BannerÈ un tipo di frode informatica che è apparso relativamente di recente e la sua popolarità è in costante crescita. Se diventi una vittima di questo banner il più delle volte e il tuo computer bloccato, allora in questo articolo te lo raccontiamo come rimuovere, sbloccare, rimuovere un virus dal desktop senza ricorrere all'aiuto di maestri.
Gli antivirus molto spesso non proteggono dai virus banner.
Come funziona il virus
Da Internet, viene scaricato un programma sul tuo computer che blocca l'accesso al sistema, informandoti che sei un trasgressore della legge, che hai visto materiale pornografico, ecc. Questo viene fatto per mettere sotto pressione la tua coscienza e costringerti a inviare all'attaccante una certa somma di denaro, al ricevimento della quale presumibilmente ti invierà un codice di sblocco.
Le prime versioni di questo virus avevano effettivamente un codice di sblocco, ma solo il virus non si è spento completamente e dopo una o due settimane si è fatto sentire di nuovo, chiedendo il re-invio di denaro. Ora, spesso, nessun codice aiuta e il banner: il ransomware blocca il tuo sistema completamente e per molto tempo.
"Akhtung, cosa fare? Aiuto" - la cosa più importante è non farsi prendere dal panico:
1. In nessun caso correre a versare denaro sul conto indicato nel banner.
2. Non inviare SMS a numeri specificati.
3. Non fidarti che il tuo computer sarà formattato.
4. L'infezione da virus non richiede la reinstallazione del sistema operativo, indipendentemente da ciò che ti viene detto.
In caso contrario, il portafoglio sarà vuoto, ma il problema rimarrà. Il compito principale dei truffatori è intimidire l'utente per realizzare un profitto. Sono sicuro che molti sono già stati catturati con questa esca.
1. Il modo migliore per rimuovere un virus è modificare il registro
Non allarmarti)), è molto semplice e non richiederà molto tempo. Se non vuoi farlo, chiamaci e faremo tutto per te (8-918-474-111-5). Facciamo tutto in ordine. Per accedere al registro, è necessario avviare il computer nel supporto della riga di comando, per questo, quando si accende il computer, premere il tasto F8 e nel menu di avvio che si apre, selezionare Modalità provvisoria con supporto della riga di comando.
Stiamo aspettando che la riga di comando si carichi e inserisca regedit.exe e premi Invio. L'editor del registro si è aperto - qui il nostro virus si è stabilito, o meglio registrato. Controlliamo le possibili sedi del virus e fumiamolo".
1. HKEY_CURRENT_USER / Software / Microsoft / Windows / Versione corrente / Esegui
qui vediamo un elenco di programmi di avvio (eseguiti insieme al sistema operativo), nonché la loro posizione sul PC (per rimuoverli dal disco in seguito). Tutti i programmi sospetti devono essere disinstallati (tasto destro del mouse e disinstallati) e deve essere ricordato il percorso ad essi (ad esempio: grg54545.exe, bh.exe lungo il percorso C: / Documents and Settings /; C: / Windows / System, eccetera.)
2.HKEY_LOCAL_MACHINE / Software / Microsoft / Windows / Versione corrente / Esegui- ripetiamo quanto sopra.
3. HKEY_CURRENT_USER / Software / Microsoft / Windows NT / CurrentVersion / Winlogon—
non dovrebbero esserci parametri Shell e Userinit. Se li trovi, sentiti libero di eliminarli.
4. HKEY_LOCAL_MACHINE / Software / Microsoft / Windows NT / CurrentVersion / Winlogon- al contrario, devono essere presenti e corrispondere a questi valori
Userinit - C: Windowssystem32userinit.exe
Shell - explorer.exe
Se questo non è il caso, correggilo manualmente. Hai aggiustato tutto? Ora chiudi l'editor del registro e digita Explorer.exe sulla riga di comando e premi invio per avviare il desktop. Cancelliamo i file, i cui percorsi ricordavamo, riavviamo. Ecco! Tutto dovrebbe funzionare.
Non è raro che gli utenti diventino vittime di virus che interferiscono seriamente con il loro lavoro in Windows. Un ottimo esempio è bloccare il desktop con un banner. Questo succede se non ti sei preso cura di proteggere il tuo computer. Non puoi eseguire alcuna azione, il sistema operativo è bloccato e lo schermo dice qualcosa come "Hai infranto la legge. Ricarica questo o quell'altro numero di cellulare, altrimenti perderai tutti i tuoi dati." Questo articolo descrive come rimuovere tale banner dal desktop del computer. 
Dovrebbe essere chiaro che questa è una truffa. Non hai violato nulla, non ci sono disposizioni nella legislazione sul blocco del desktop degli utenti. Non lasciarti in nessun caso guidare da truffatori e non inviare loro i tuoi soldi.
Molto probabilmente, questo non aiuterà nemmeno: lo sblocco con un codice difficilmente aiuterà a sbarazzarsi del virus e il banner rimarrà sul computer.
Spesso, per eliminare tali problemi, si consiglia di reinstallare semplicemente il sistema operativo. Ovviamente disinstallare e reinstallare Windows sarà sicuramente di aiuto. Ma questa è una lunga strada. Non dimenticare che devi ancora installare tutti i driver e i programmi necessari.
Questo articolo discute modi più semplici e veloci per sbarazzarsi dei banner ransomware.
Avvio in modalità provvisoria
Se all'avvio di Windows viene visualizzato un banner che blocca tutte le funzioni del computer, è necessario avviare il sistema operativo in modalità diagnostica. Per fare ciò, seguire le istruzioni fornite:
Quindi, verrai portato alla modalità diagnostica di Windows. Se ci sei riuscito e il banner non è qui, passa alla parte successiva della guida. Se è presente un blocco in questa modalità, sarà necessario avviare il PC utilizzando il LiveCD (descritto di seguito).
In genere, un virus banner modifica alcune voci di registro, causando il malfunzionamento di Windows. Il tuo compito è trovare tutte queste modifiche e correggerle.
Modificare il registro
Richiama la finestra di dialogo "Esegui" utilizzando le scorciatoie da tastiera "Win" e "R". Nella finestra che si apre, inserisci il comando "regedit" e premi Invio. Sarai portato a. Segui attentamente le istruzioni per non perderti nulla. 
Utilizzando la directory sul lato sinistro della finestra del programma, gli utenti devono aprire le seguenti directory:
HKEY_LOCAL_MACHINE / Software / Microsoft / Windows / Versione corrente / Esegui
Qui devi trovare la voce responsabile dell'avvio automatico del tuo banner all'avvio del sistema. Quindi dovrebbe essere rimosso. Fare clic con il tasto destro del mouse sulla voce e selezionare l'opzione "Elimina" nel menu contestuale che si apre. Sentiti libero di eliminare qualsiasi cosa sospetta, non influenzerà in alcun modo il funzionamento del tuo sistema. Se elimini qualcosa di non necessario, ad esempio l'avvio automatico di Skype, puoi recuperare tutto. 
HKEY_LOCAL_MACHINE / Software / Microsoft / Windows NT / CurrentVersion / Winlogon
In questa cartella, devi trovare un parametro chiamato "Shell" e assegnargli il valore "explorer.exe". Quindi, trova la voce "Userinit" e imposta il suo valore "C:\Windows\system32\userinit.exe"... Per modificare i post, fai doppio clic su di essi. 
HKEY_CURRENT_USER / Software / Microsoft / Windows NT / CurrentVersion / Winlogon
Cerca anche le opzioni Userinit e Shell. Annota i loro valori da qualche parte: questi sono i percorsi per il tuo banner. Elimina entrambe le voci. Non dovrebbero essere in questa directory.
Profilassi
Dopo che sei riuscito a rimuovere tutte le voci non necessarie dal registro di Windows, puoi chiudere l'editor e riavviare il computer. Il sistema dovrebbe avviarsi senza problemi.
Ora devi rimuovere le "code" lasciate dallo script dannoso. Apri Esplora risorse (Risorse del computer). Trova i file a cui facevano riferimento le opzioni "errata" "Shell" e "Userinit" ed eliminali.
Successivamente, è molto importante eseguire la scansione del sistema con un programma antivirus. Preferibilmente con il controllo più approfondito del tuo antivirus. Se non disponi di alcuna protezione del sistema, scaricala e installala immediatamente. Ad esempio, puoi utilizzare un programma gratuito di Microsoft - Security Essentials. Puoi scaricarlo a questo link - https://www.microsoft.com/ru-ru/download/details.aspx?id=5201.
Più avanti nella guida, descrive come rimuovere il banner se si apre anche durante l'avvio.
Creazione di un Live CD da Kaspersky
Se non è possibile rimuovere il banner tramite la modalità provvisoria, è necessario utilizzare il LiveCD. Questo è un mini-OS speciale che viene scritto su un disco o un'unità flash. Con esso, puoi avviare e modificare un registro danneggiato o eseguire un'utilità per risolvere automaticamente i problemi.
Ad esempio, puoi utilizzare un servizio gratuito di Kaspersky Lab. Per fare ciò, è necessario creare un'unità flash USB avviabile o un disco su un altro computer funzionante:
Sblocco tramite Kaspersky Live CD
Per rimuovere le conseguenze di un'infezione da virus, dovrai fare quanto segue:
Disco di installazione
Puoi anche utilizzare il disco di installazione per il tuo sistema operativo per eliminare le conseguenze di un'infezione da virus. Devi ricorrere a questo quando il banner appare immediatamente dopo il segnale sonoro del BIOS e non hai la possibilità di utilizzare altri mezzi.
Inserisci il disco di installazione o l'unità flash USB avviabile con l'immagine del sistema e riavvia il PC. Chiama il menu di avvio e scegli di avviare da un supporto esterno. Se richiesto, premere un tasto qualsiasi sulla tastiera. Inoltre, la rimozione delle conseguenze di un attacco di virus è descritta usando l'esempio di Windows 7.
Selezionare la lingua dell'interfaccia e fare clic su "Avanti". Nella parte inferiore dello schermo, fai clic sul collegamento ipertestuale "Ripristino del sistema"... Si aprirà una nuova finestra in cui dovrai selezionare l'elemento "Riga di comando". 
Nella console aperta inserisci il comando "bootrec.exe / FixMbr" e premi Invio. Quindi inserisci un altro comando: "bootrec.exe / FixBoot" e premi nuovamente Invio. Immettere anche la riga "bcdboot.exe c: \ windows" (se il sistema è installato su un'unità diversa, è necessario specificarlo). Riavvia il PC e il problema sarà risolto.
I banner non sono solo un modo per promuovere un prodotto o un servizio, ma anche un serio irritante per il sistema nervoso. Pertanto, il desiderio di rimuoverli dal browser è abbastanza naturale. Puoi farlo da solo in diversi modi. Ti mostreremo come rimuovere i banner dal tuo browser nel modo più semplice.
Uno dei modi più semplici per rimuovere i banner con le tue mani è ripristinare il sistema al punto di ripristino quando non c'erano ancora banner che ti davano fastidio. Un'altra opzione è cancellare la cache, la cronologia e le impostazioni del browser. Per fare ciò in Google Chrome e Yandex, passa attraverso le impostazioni alla voce "Mostra impostazioni avanzate" e da essa alla sottovoce "Cancella cronologia". In esso, premi il pulsante virtuale "Cancella". In Mozilla Firefox tale pulizia può essere effettuata tramite l'apposito pulsante ("Firefox"), da cui si verrà portati al menu. In esso trovi la sezione "Aiuto" e lì - la voce "Informazioni per la risoluzione dei problemi". A questo punto, seleziona "Ripristina Firefox". Per il sistema operativo Opera, il processo di cancellazione della cronologia, delle impostazioni del browser e della cache viene eseguito eliminando la cartella C:\DocumentsandSettings\username\ApplicationData\Opera.
Oltre a tutti i metodi sopra descritti per rimuovere i banner nel browser, puoi anche utilizzare strumenti appositamente progettati che rimuovono i programmi dannosi dal tuo computer (nella maggior parte dei casi, sono il motivo per "intasare" il browser con i banner).
