Ich habe es mit einem Windows 7 zu tun, das einen Virus hat, der sofort beim Start startet und den Bildschirm sperrt. Es wird auch im Sicherheitsmodus ausgeführt (auch nur mit Eingabeaufforderung). Die einzige Möglichkeit besteht darin, den Computer auszuschalten, indem Sie den Netzschalter gedrückt halten.

Der Computer verfügt auch über eine Ubuntu-Installation, sodass der Linux-Zugriff einfach ist. Ich habe nach einer Möglichkeit gesucht, Windows-Startanwendungen von Ubuntu aus zu bearbeiten, aber ohne Erfolg.

Ist so etwas möglich? Dh wie kann ich die Windows-Registrierung unter Linux bearbeiten? Wenn nicht möglich, welche andere Option habe ich?

Du kannst:

• Hängen Sie die Windows-Partition in Ubuntu ein

• installiere chntpw:

  sudo apt-get chntpw

Mit diesem Programm können Sie den Registrierungsschlüssel in Windows bearbeiten. Sie können dann die folgenden Registrierungsschlüssel bearbeiten, um zu bearbeiten, welche Programme in Windows gestartet werden.

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce] [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices] [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce] [HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]

HAFTUNGSAUSSCHLUSS: Das Bearbeiten der Registrierung auf einem Windows-Computer ist riskant. Sie können das System leicht funktionsunfähig machen, wenn Sie die falschen Schlüssel bearbeiten.

Booten Sie von der CD Windows 7.

Drücken Sie Umschalt + F10. Führen Sie in cmd regedit aus.

Hängen Sie die Registrierungsstrukturen von Ihrer Festplatte ein.

Startelemente entfernen.

Siehe auch \SOFTWARE\Wow6432Node\Analogie-Taste.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce
HKEY_CURRENT_USER\DEFAULT\SOFTWARE\Microsoft\ Windows\CurrentVersion\Run 
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices 
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce 
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WgaLogon

HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths 
HKLM\Software\Microsoft\Windows\CurrentVersion\Controls Folder 
HKLM\Software\Microsoft\Windows\CurrentVersion\DeleteFiles 
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer 
HKLM\Software\Microsoft\Windows\CurrentVersion\Extensions 
HKLM\Software\Microsoft\Windows\CurrentVersion\ExtShellViews 
HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings 
НКM\Software\Microsoft\Windows\CurrentVersion\ModuleUsage 
HKLM\Software\Microsoft\Windows\CurrentVersion\RenameFiles 
HKLM\Software\Microsoft\Windows\CurrentVersion\Setup 
HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDLLs 
HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions 
HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall 
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Compatibility 
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Drivers 
HKLM\Software\Microsoft\Windows NT\CurrentVersion\drivers.desc 
HKLMXSoftware\Microsoft\Windows NT\CurrentVersion\Drivers32\0 
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Embedding 
HKLM\Software\Microsoft\Windows NT\CurrentVersion\MCI 
HKLM\Software\Microsoft\Windows NT\CurrentVersion\MCI Extensions 
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Ports 
HKLM\Software\Microsoft\Windows NT\CurrentVersion\ProfileList 
HKLM\Software\Microsoft\Windows NT\CurrentVersion\WOW 
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\

cmd autorun:

HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor
AutoRun

HKEY_CURRENT_USER\Software\Microsoft\Command Processor
AutoRun

Dateisystem.

Powershell Autorun:

%ALLUSERSPROFILE%\Documents\Msh\profile.msh
%ALLUSERSPROFILE%\Documents\Msh\Microsoft.Management.Automation.msh_profile.msh

%USERPROFILE%\My Documents\msh\profile.msh
%USERPROFILE%\My Documents\msh\Microsoft.Management.Automation.msh_profile.msh

Init MS-DOS-Umgebung 64-Bit-Windows:

%windir%\SysWOW64\AUTOEXEC.NT
%windir%\SysWOW64\CONFIG.NT

Init MS-DOS-Umgebung 32-Bit-Windows:

%windir%\system32\AUTOEXEC.NT
%windir%\system32\CONFIG.NT

später wird es möglich sein, ein Skript zu schreiben, um Trojaner automatisch aus der Registrierung und dem Dateisystem zu entfernen ... + 7 Tage

// TODO: Skript ...

Maßnahmen zur Verhinderung der Virusaktivität

Autorun-Laufwerksbefehl deaktivieren:

REG ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveTypeAutoRun /t REG_DWORD /d 0xff /f

HAFTUNGSAUSSCHLUSS: Ich habe dies nicht versucht, da ich kein Windows verwende, aber es könnte funktionieren.

Windows-Startprogramme befinden sich im Ordner C:\Users\(User-Name)\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup(für benutzerspezifische Startprogramme) oder C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startupfür globale Startprogramme. Jedes Programm, das eine Verknüpfung in einem dieser Ordner enthält, wird automatisch gestartet.

Ich weiß nicht, ob dies der einzige Weg ist, Startprogramme zu definieren (und eher zu vermuten, dass dies nicht der Fall ist), aber wenn Sie dort einen seltsamen Programmnamen finden, kann es sich durchaus um Ihren Virus handeln. Löschen Sie es einfach und versuchen Sie es erneut. Sie können auch alle Startprogramme für alle Fälle entfernen .

Wenn Ihr Virus als Dienst ausgeführt wird, funktioniert dies nicht, da sie unterschiedlich geregelt werden. Angesichts der Tatsache, dass der Virus auch beim Booten im abgesicherten Modus startet, scheint dies sehr wahrscheinlich. Trotzdem ist es wahrscheinlich einen Versuch wert.