Saya sedang berurusan dengan Windows 7 yang telah mendapat virus yang segera dimulai saat startup, mengunci layar. Ini juga berjalan di safemode (bahkan dengan command prompt saja). Satu-satunya pilihan adalah mematikan komputer dengan menekan dan menahan tombol daya.

Komputer juga memiliki instalasi Ubuntu, sehingga akses Linux mudah. Saya telah mencari cara untuk mengedit aplikasi startup windows dari Ubuntu, tetapi tidak berhasil.

Apakah hal seperti itu mungkin? Yaitu, bagaimana saya bisa mengedit registry windows dari Linux? Jika tidak memungkinkan, opsi apa lagi yang saya miliki?

Kamu bisa:

• pasang partisi windows di Ubuntu

• pasang chntpw:

  sudo apt-get chntpw

Program ini akan memungkinkan Anda untuk mengedit kunci registri di Windows. Anda kemudian dapat mengedit kunci registri berikut untuk mengedit program yang mulai di windows.

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce] [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices] [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce] [HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]

PENOLAKAN: Mengedit registri pada mesin windows berisiko. Anda dapat dengan mudah membuat sistem tidak dapat dioperasikan jika Anda mengedit kunci yang salah.

Boot dari CD windows 7.

Tekan Shift + F10. Dalam cmd jalankan regedit.

Pasang sarang registri dari HDD Anda.

Hapus item startup.

Lihat juga \SOFTWARE\Wow6432Node\kunci analogi.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce
HKEY_CURRENT_USER\DEFAULT\SOFTWARE\Microsoft\ Windows\CurrentVersion\Run 
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices 
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce 
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WgaLogon

HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths 
HKLM\Software\Microsoft\Windows\CurrentVersion\Controls Folder 
HKLM\Software\Microsoft\Windows\CurrentVersion\DeleteFiles 
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer 
HKLM\Software\Microsoft\Windows\CurrentVersion\Extensions 
HKLM\Software\Microsoft\Windows\CurrentVersion\ExtShellViews 
HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings 
НКM\Software\Microsoft\Windows\CurrentVersion\ModuleUsage 
HKLM\Software\Microsoft\Windows\CurrentVersion\RenameFiles 
HKLM\Software\Microsoft\Windows\CurrentVersion\Setup 
HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDLLs 
HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions 
HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall 
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Compatibility 
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Drivers 
HKLM\Software\Microsoft\Windows NT\CurrentVersion\drivers.desc 
HKLMXSoftware\Microsoft\Windows NT\CurrentVersion\Drivers32\0 
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Embedding 
HKLM\Software\Microsoft\Windows NT\CurrentVersion\MCI 
HKLM\Software\Microsoft\Windows NT\CurrentVersion\MCI Extensions 
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Ports 
HKLM\Software\Microsoft\Windows NT\CurrentVersion\ProfileList 
HKLM\Software\Microsoft\Windows NT\CurrentVersion\WOW 
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\

cmd autorun:

HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor
AutoRun

HKEY_CURRENT_USER\Software\Microsoft\Command Processor
AutoRun

berkas sistem.

Powershell autorun:

%ALLUSERSPROFILE%\Documents\Msh\profile.msh
%ALLUSERSPROFILE%\Documents\Msh\Microsoft.Management.Automation.msh_profile.msh

%USERPROFILE%\My Documents\msh\profile.msh
%USERPROFILE%\My Documents\msh\Microsoft.Management.Automation.msh_profile.msh

Lingkungan MS-DOS Windows 64-bit Init:

%windir%\SysWOW64\AUTOEXEC.NT
%windir%\SysWOW64\CONFIG.NT

Lingkungan MS-DOS Windows 32-bit:

%windir%\system32\AUTOEXEC.NT
%windir%\system32\CONFIG.NT

nanti akan mungkin untuk menulis skrip untuk secara otomatis menghapus trojan dari registri dan sistem file ... + 7 hari

// TODO: skrip ...

Langkah-langkah untuk mencegah aktivitas virus

nonaktifkan perintah drive autorun:

REG ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveTypeAutoRun /t REG_DWORD /d 0xff /f

PENOLAKAN: Saya belum pernah mencoba ini karena saya tidak menggunakan Windows, tetapi mungkin berhasil.

Program startup Windows ditemukan di folder C:\Users\(User-Name)\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup(untuk program startup khusus pengguna) atau C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startupuntuk program startup global. Program apa pun yang memiliki pintasan di salah satu folder itu akan dimulai secara otomatis.

Saya tidak tahu apakah ini satu-satunya cara untuk mendefinisikan program start up (dan lebih tepatnya curiga tidak), tetapi jika Anda menemukan nama program yang aneh di sana, mungkin itu adalah virus Anda. hapus saja dan coba lagi. Anda juga dapat menghapus semua program startup untuk berjaga-jaga.

Sekarang, jika virus Anda berjalan sebagai layanan, ini tidak akan berfungsi karena mereka diatur secara berbeda. Mengingat bahwa virus juga mulai ketika boot ke safe mode, ini sepertinya sangat mungkin. Masih mungkin patut dicoba.