Где в реестре прописывается баннер.
Часто получается так, что баннер невозможно удалить с помощью специальных программ и утилит. В этом случае приходится редактировать реестр пораженной операционной системы вручную с помощью редактора и загрузочного диска. Чтобы быть полностью уверенным в удалении Trojan.Winlock следует просмотреть следующие ветки реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon
Здесь потребуется проверить три параметра:
- параметр Shell должен иметь значение Explorer.exe
- параметр UIHost должен иметь значение logonui.exe
- параметр Userinit должен иметь значение C:\Windows\system32\userinit.exe
В том случае, если Вы заметили где-то неверное значение — его следует исправить вручную, а по вписанному пути найти exe файл баннера и удалить его.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
В этой ветке реестра все параметры отвечают за автозапуск программ при загрузке операционной системы, следовательно если та или иная прописанная в строковых параметрах программа покажется Вам подозрительной — отключите её. Как правило исполняемые файлы подозрительных программ находятся на загрузочном диске, в папках пользователей или папке Temp.
Точно таким же образом следует провести проверку следующих веток реестра, которые уже относятся к конкретным пользователям, созданным в Windows (учтите — в случае, если пользователь не один — следует провести проверку строковых параметров для каждого)
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Это основные пути куда прописывается баннер. Если у Вас имеется полезная информация по этой теме — пишите и мы добавим её в статью!
Если чесно я не очень понял зачем этот банер…..
Я так понял, это про тот банер, который закрывает экран — троян. Здесь описаны не все места, куда он может себя прописать