Как убрать дополнительный логотип после шифровальщика Loki Locker - на Windows Server 2016

Question

Здравствуйте, была массовая атака на несколько серверов, Loki Locker зашифровал все данные, но речь не об этом.

После полной проверки и чистки малваребайтом, куритом и каспером, остались следы прибывания. А именно при подключении по RDP всех пользователей выходит табличка и кнопкой ОК:

Команды - sfc /scannow и DISM /Online /Cleanup-Image /RestoreHealth - были выполнены, безуспешно.

Так-же была принята попытка обновить поверх WInServer2016 из дистрибутива - тоже безуспешно.

Как убрать этот логотип с кнопкой? Переустановка системы не вариант. Да и надо узнать - где же он прячется.

Есть мысли что он сидит в файле winlogon.exe. Но как это проверить?

Answer 1

Благодарим за обратную связь!
Рады слышать, что проблема решена.
Перед подобными изменениями, всегда рекомендуем создать резервную копию реестра - Как создать резервную копию и восстановить реестр в Windows.
Если вам понадобится наша помощь - мы рядом!
С уважением, Владислав.

Answer 2

Помогли ребята с руборда.

В групповой политике по пути - "Конфигурация компьютера\Windows Параметры\Security Параметры\Local Policies\Security Options" -

были 2 значения с этими надписями.

вопрос закрыт.

(и да, Защитнику Windows нет доверия, лучше него использую "малваребайт, курит(dr.web) и каспер" )

Answer 3

Здравствуйте!
Очень неприятная ситуация, понимаем вас.
Пробовали ли вы выполнить полную проверку Защитником Windows?
Если после полной проверки, восстановления системных файлов и обновления образа вы всёравно получаете данное окно, это означает, что следы остались глубоко в системных файлах - и к сожалению, необходимо выполнить переустановку системы.

Сообщите, если понадобится помощь.

С уважением, Владислав.