Поймали тут одни знакомые забавную "зверушку" троян sdra64.exe - по классификации DrWeb Trojan.PWS.Panda.114

А началось все с того, что приволокли ноут с призабавной картиной - Windows грузится, а рабочий стол пустой. В ходе рабирательст было прибито куча троянов, но самым "забавным" оказался sdra64.exe. Он ни в какую ни хотел "убиваться". Файл c:\windows\system32\sdra64.exe был заблокирован системой даже в безопасном режиме, а с ERD ноут грузится наотрез отказался. Вобщем просто как его грохнуть не получилось.

Как удалить:
1. Если еще нету Process Explorer от Microsoft/Sysinternals идем и скачиваем.

2. Запускаем Process Explorer жмем Ctrl-F и ищем sdra64.exe

3. Находим его в Handlers, далее правой кнопкой мыши - Close Handler. Все из памяти мы его выгрузили.

4. Теперь можно идти в c:\windows\system32\ и грохать файл sdra64.exe. Коме того сразу же грохаем папку lowsec в которой троян хранил данные, она кстати скрытая и системная. Если лезем стандартными средствами Windows не забываем поставить соответствующие галочки в свойствах папок.

5. запускаем Regedit и чистим от следов трояна. В ветка HKLM/SOFTWARE/Microsoft/WindoswNT/CurrentVersion/Winlogon парметр userinit должен содержать только строку c:\windows\system32\userinit.exe все что после запятой удаляем.

6. Перегружаемся и стараемся больше не ловить всякую заразу

UP:
В комментариях подсказали утилитку от Касперского которая помогает справится с этой заразой в автоматическом режиме http://support.kaspersky.ru/faq/?qid=208636281

Источник

Мои Комментарии

Сегодня познакомился с этим зверем. Навредить он просто не успел. Все решилось просто:
Вначале WinPatrol выставил окошко о попытке залезть в автозапуск overlapp32.dll, далее Ace Utilities показали в автозагрузке sdra64.exe (все это в c:\windows\system32\)
Остальное дело техники. С помощью UnlockerAssistant убиваются оба файла и после перезагрузки удаляется строка об их автозапуске
Содержимое папки c:\windows\system32\lowsec в которой троян хранил данные, заменил из заархивированной копии