.reg файлик, изменение параметров реестра

Taras, 12.01.2012 - 12:25

...итак, создал я reg файлик с такими параметрами:
Windows Registry Editor Version 5.00



после его запуска параметр "Shell" изменается в реестре на "Explorer12.exe", а "Userinit" так и остается неизменным, что не так делаю...

А вообще у меня возникла идея, может она уже и реализована, не знаю...
так вот, из-за расспространенных случаев заражения машин СМС вымогателями, я решил попробовать сделать Флешку с автораном, которая запускает на выполнение bat'ник и reg файлик, который меняет значения реестра (именно те, которые чаще всего подвергаются изменению по причине заражения) на дефолтовые... может будут у кого идеи по этому поводу и вообще реализуемо ли это?

middleman, 12.01.2012 - 12:48

Вродебы с рег файликом всё в порядке. разве что значение юзеринит на той системе где сейчас сижу почему-то заканчивается на запятую, но меняться оно должно в любом случае. В связи с этим приходят в голову два варианта: либо для изменения этого параметра не хватает прав и нужно запускать всё это под администратором либо какая-то программа на компе (антивирус, антималварь, не исключено что даже сам юзеринит) защищает этот путь запуска и обнаруживая подмену сразу меняет его обратно на оригинальный.

Чтобы понять что происходит нужно поставить программку-монитор например Procmon, потом задать в ней фильтр на этот параметр и посмотреть кто и с каким результатом обращается к этому ключу во время запуска рег-файлика.

Taras, 12.01.2012 - 13:20

Дело в том, что если я вместо
"С:\WINDOWS\system32\userinit12.exe"
пишу к примеру просто "userinit12.exe" без пути, то всё меняется нормально
"Userinit"="userinit12.exe"

middleman, 12.01.2012 - 13:30

Блин. Все оказывается просто до гениальности. Обратные слэши надо экранировать

"Userinit"="C:\\Windows\\system32\\userinit12.exe"

Taras, 12.01.2012 - 13:43

Спасибо, с этим разобрались...
И всё же, если у кого-то есть идеи по созданию такой флешки, буду только рад )

middleman, 12.01.2012 - 17:30

Проблема не поменять значения реестра на дефолтные, а вычистить зловреда, который при первой же возможности, т.е. в течение нескольких милисекунд после такого лечения поменяет их обратно.
Все это вместе с восстановлением реестра уже давно написано, реализовано и называется AVZ. запускать можно в том числе прописав в авторане флешки (толко непонятно зачем).
Гораздо больше пользы будет от флешки с WinPE, где можно будет запустить антивирус. Если стоит проблема вылечить комп - это лучший вариант, если стоит задача просто чем-то пострадать - вперед. описание командного интерпретатора винды валяется на каждом втором сайте (этот не исключение)
Создать файлик .cmd и там прописать все что нужно, потом прописать его в autorun.inf

TAPZAH, 12.01.2012 - 18:48

Лекарь от блокираторов уже придуман и называется AntiWinLocker. Сайт называется аналогично. Качаем образ диска, записываем на болванку/флешку и лечим любой компьютер. Делается все в автоматическом режиме, либо в ручном. Показываются зараженные ветки реестра, заблокированные процессы и, собственно, пути к вирусным файлам

Taras, 13.01.2012 - 8:17

TAPZAH, тема не об этом, тем более он платный!
middleman, поробую поэксперементировать, может что получится, а про AVZ знаю, моного раз выручал.

egor007, 13.01.2012 - 12:28

Образ диска AntiWinLocker бесплатный. Платная сама программа, которая устанавливается как антивирус на компьютер. Не вижу смысла в данной теме, если есть отличный образ диска, загрузился с диска и проблем нет. Хотя автору темы виднее =)