Восстановление файлов после вируса шифровальщика. Настройка микропрограмм AVZ — восстановления системы после вирусов

Скрипты для восстановления работы Windows XP после заражения вирусом.

Взято с сайта www.smallprogs.ru

У Вас не работает должным образом компьютер? Тогда этот скрипт поможет Вам избавиться от проблем на компьютере!

Скрипт "TaskBar Fixer " применяется, если возникли проблемы с панелью задач или с запуском, некорректной работой рабочего стола. После запуска скрипта закройте все папки и желательно приложения, так как скрипт перезапустит файл Explorer.exe, что повлечет перезагрузку оболочки (рабочего стола, панели задач) и закрытие всех папок.

Язык интерфейса: Русский
Лицензия: Бесплатная
Размер: 2 КБ
xp_taskbar_desktop_fixall.zip

Скрипт "Восстановление системы после вируса " исправит следующие проблемы:
Реестр:
запуск командной строки (cmd.exe)
редактирование реестра (regedit.exe)
запуск диспетчер задач (taskmgr.exe)
запуск оболочки (explorer.exe, userinit.exe, logonui.exe, sysdm.cpl)
открытие файлов (.exe и т.д.)
свойства папки (показать скрытые файлы и т.д.)
Файловая система:
открытие дисков (удаляет autorun.inf в корне всех дисков)

Операционная система: Windows XP (возможно, и другие ОС)
Язык интерфейса: Русский
Лицензия: Бесплатная
Размер: 8 КБ
RestoreXPAfterVirus.zip

----- ПРИ ПРОБЛЕМАХ С ДОСТУПОМ К САЙТАМ -----

а) скачать и запустить файл из архива StaticDelete.zip
б) проверить все вручную:

1- Обязательно проверьте файл host на наличие изменений!
Можно так: %SystemRoot%\system32\drivers\etc\hosts
Эту строку - прямо в адресную строку проводника и открыть блокнотом,
содержимое файла должно выглядеть так (все лишнее - удалить!):

ДЛЯ Win XP:
# © Корпорация Майкрософт (Microsoft Corp.), 1993-1999
#
# Это образец файла HOSTS, используемый Microsoft TCP/IP для Windows.
#
# Этот файл содержит сопоставления IP-адресов именам узлов.
# Каждый элемент должен располагаться в отдельной строке. IP-адрес должен
# находиться в первом столбце, за ним должно следовать соответствующее имя.
# IP-адрес и имя узла должны разделяться хотя бы одним пробелом.
#
# Кроме того, в некоторых строках могут быть вставлены комментарии
# (такие, как эта строка), они должны следовать за именем узла и отделяться
# от него символом "#".
#
# Например:
#
# 102.54.94.97 rhino.acme.com # исходный сервер
# 38.25.63.10 x.acme.com # узел клиента x

127.0.0.1 localhost

ДЛЯ Win 7:
# Copyright © 1993-2009 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a "#" symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host

# localhost name resolution is handled within DNS itself.
# 127.0.0.1 localhost
# ::1 localhost

2- Если в host чисто, но на сайты НЕ заходит - нужно проверить статические маршруты:
В консоли (с правами админа!)
route print >C:log.txt
Файл log.txt сохранится в коре диска С - покажите на форуме
Удалить все статические маршруты - команда в консоли route -f

Вызов консоли: Пуск>Выполнить>cmd или %SystemRoot%\system32\cmd.exe - из адресной строки проводника.
Для запуска с правами Админа нужно НАЙТИ файл cmd.exe и запустить его от имени Администратора.
ВНИЗУ ПРИКРЕПЛЕН CMD ФАЙЛ (zip) - ДЛЯ БЫСТРОЙ ПРОВЕРКИ, РЕДАКТИРОВАНИЯ host
И УДАЛЕНИЯ ПОСТОЯННЫХ (СТАТИЧЕСКИХ) МАРШРУТОВ > запускать от админа!

3- Откройте планировщик заданий и удалите неизвестные и/или подозрительные задания!
В 7, например -> Панель управления \ Все элементы панели управления \ Администрирование
или %windir%\system32\taskschd.msc /s- из адресной строки проводника.

Если используете IE (Internet Explorer) - проверьте в настройках:
Свойства обозревателя->Подключения->Настройка и Настройка сети: возможно присутствие "левых" прокси-серверов! Удалите.

Как восстановить загрузку Windows в Безопасном режиме

Взято с rusprogram.3dn.ru
Как восстановить загрузку Windows в Безопасном режиме
1. Можно попробовать восстановить загрузку Windows в Безопасном режиме, используя Восстановление системы.
2. Если это не помогает, создайте точку восстановления.
Windows XP – скачайте и разархивируйте файл xp-safeboot.zip ;
– запустите файл xp-safeboot.reg;
– в диалоговом окне Редактора реестра с сообщением «Вы действительно хотите добавить информацию из xp-safeboot.reg в реестр?» нажмите Да;
– в диалоговом окне Редактора реестра с сообщением, что данные из файла xp-safeboot.reg были успешно внесены в Реестр, нажмите OK.
Windows Vista – скачайте и разархивируйте файл vista-safeboot.zip ;
– запустите файл vista-safeboot.reg;
– в диалоговом окне Редактора реестра с сообщением «Вы действительно хотите добавить информацию из vista-safeboot.reg в реестр?» нажмите Да;
– в диалоговом окне Редактора реестра с сообщением, что данные из файла vista-safeboot.reg были успешно внесены в Реестр, нажмите OK.
Windows 7 - скачайте и разархивируйте файл 7-safe-boot.zip ;
– войдите в систему с учетной записью Администратора;
– запустите файл 7-safeboot.reg; – в диалоговом окне Редактора реестра с сообщением «Добавление сведений может привести к непреднамеренному изменению или удалению значений и неправильной работе компонентов. Если сведения в …7-safeboot.reg получены из недостоверного источника, не добавляйте их в реестр. Продолжить?» нажмите Да;
– в диалоговом окне Редактора реестра с сообщением, что данные из файла 7-safeboot.reg были успешно внесены в Реестр, нажмите OK.
Примечания
1. На некоторых клавиатурах функциональные клавиши F1 – F12 по умолчанию всегда отключены. Для их включения необходимо нажать специальную клавишу (как правило, эта клавиша обозначена стилизованным замком с надписью F-key и располагается в верхнем левом углу клавиатуры).
2. При наличии на компьютере двух или нескольких операционных систем, выберите нужную с помощью клавиш со стрелками, а затем нажмите клавишу Enter.
3. Для использования клавиш со стрелками на цифровой клавиатуре режим Num Lock должен быть отключен.
4. В некоторых ситуациях, например, при повреждении системных файлов Windows, необходимых для загрузки системы, Безопасный режим не поможет. В этом случае может помочь консоль восстановления.
5. В Безопасном режиме некоторые устройства и программы могут работать некорректно (или совсем не работать!).
6. Большинство (но не все!) вредоносных программ можно отыскать и удалить в Безопасном режиме, хотя лучше для этого использовать так называемую загрузку в чистой среде.

Сегодня я расскажу о том, как локализовать вирус, если он все-таки проник на ваш компьютер, как победить трояны и как восстановить систему после заражения руткитами, если все зашло слишком далеко.

Итак, если у вас есть подозрение на то, что компьютер заражен, первым делом вы должны выполнить следующие действия:

• отключить компьютер от сети интернет (вытащить UTP-кабель, погасить Wi-Fi);
• отключить от компьютера все внешние устройства (внешние жесткие диски, флешки, телефоны и прочее).

Все это необходимо сделать для изоляции зараженного компьютер от внешнего мира. Отключать компьютер нужно обязательно от доступа во внешний мир через интернет и от локальной внутренней сети, поскольку вредоносная программа практически со стопроцентной вероятностью попытается распространить себя на весь доступный ей сегмент.

К тому же если зловред является частью сети ботнет или содержит компоненты , то он будет бездействовать и активируется в тот момент когда поступит управляющая команда из внешней сети. Это застрахует нас и от утечки локальных данных в сеть, на пример, через DNS-туннелированные или подобные хакерские штуки.

Восстанавление реестра

Реестр Windows, начиная с самых первых версий ОС, остается критически важным компонентом системы, по сути представляя собой базу данных для хранения различных параметров и настроек рабочего окружения, установленного ПО и самой Windows. Логично, что нарушение работы реестра или его повреждение грозит неработоспособным состоянием ОС.

Сам реестр, который открывается штатной утилитой regedit, физически представлен несколькими файлами, хранящимися по пути %SystemRoot%\System32\config\. Это файлы с именами SYSTEM, SOFTWARE, SECURITY, SAM, DEFAULT без расширений и доступные только для системных процессов NT AUTHORITY\SYSTEM, LocalSystem. Но если реестр открывать через штатный редактор, то эти файлы предстанут в виде большого иерархического дерева.

Первое, что приходит на ум, - это, конечно же, сделать бэкапы этих файлов и при необходимости просто заменить битые на резервные копии. Но из-под загруженной ОС простым копированием выполнить это не удастся, а экспорт данных с использованием regedit может получиться неполноценным. Поэтому рассмотрим инструменты, которые помогут нам в этом деле.

Штатные инструменты Windows для восстановления реестра

«Из коробки» Windows, к сожалению, не имеет отдельного инструмента, позволяющего делать резервные копии реестра. Все, что может дать система, - это функциональность морально устаревшей NTBackUp родом из эпохи Windows XP / 2003 Server или в новых ОС Windows 7, 8, 10 ее реинкарнацию в виде « », предлагающей создать целиком образ системы (всей системы - не реестра!). Поэтому рассмотрим лишь небольшой пример действий в консоли восстановления, позволяющих восстановить реестр вручную. По сути это операции замены битых файлов на инфицированной системе оригинальными файлами реестра из заранее сделанной резервной копии.

Интерфейс утилиты NTBackUp

Загрузившись в Live CD режиме с установочного диска или с локально установленной консоли восстановления (для XP/2003), необходимо выполнить следующие команды, описанные самой Microsoft:

// Создаем резервные копии реестра системы
md tmp
copy c:\windows\system32\config\system c:\windows\tmp\system.bak
copy c:\windows\system32\config\software c:\windows\tmp\software.bak
copy c:\windows\system32\config\sam c:\windows\tmp\sam.bak
copy c:\windows\system32\config\security c:\windows\tmp\security.bak
copy c:\windows\system32\config\default c:\windows\tmp\default.bak

// Удаляем битые файлы из системной директории ОС
delete c:\windows\system32\config\system
delete c:\windows\system32\config\software
delete c:\windows\system32\config\sam
delete c:\windows\system32\config\security
delete c:\windows\system32\config\default

// Копируем работоспособные файлы реестра из теневой копии
copy c:\windows\repair\system c:\windows\system32\config\system
copy c:\windows\repair\software c:\windows\system32\config\software
copy c:\windows\repair\sam c:\windows\system32\config\sam
copy c:\windows\repair\security c:\windows\system32\config\security
copy c:\windows\repair\default c:\windows\system32\config\default

Все, перезагружаем машину и смотрим на результат!

Продвинутые методы восстановления реестра

Как мы выяснили, у Windows нет достойного инструмента управления реестром. Поэтому посмотрим, что же нам могут предложить сторонние производители.

Список сетевых служб и соотносящихся с ними резервированных портов для NT-шных систем можно посмотреть в файле %SystemRoot%\system32\drivers\etc\services - это тоже по сути текстовый файл без расширения, который доступен к просмотру любым блокнотом.

И напоследок для всего из описанного выше, что мы делали руками, можно использовать тулзы, к примеру . Данная утилита восстанавливает ключи реестра сетевых настроек системы со значениями по умолчанию. Помимо этого, она также:

• проверяет файл hosts на правильность указателя localhost (обязан ссылаться на адрес 127.0.0.1);
• создает бэкап текущих системных установок (по желанию пользователя);
• отключает все сетевые адаптеры и переустанавливает их параметры.

Нативная тулза с графическим интерфейсом , о которой мы говорили, выполняет то же самое, что и команды netsh int ip reset и netsh winsock reset. Аналогична ей тулза Reset-TCPIP, которая выполняет все описанные комбинации консольных команд под одним GUI.

Еще одна хорошая бесплатная тулза предназначена для исправления самых разных ошибок, связанных с работой сети и интернета в Windows. Краткий список ее возможностей:

• очистить и исправить файл hosts;
• включить Ethernet и беспроводные адаптеры сети;
• сбросить Winsock и протокол TCP/IP;
• очистить кеш DNS, таблицы маршрутизации, очистить статические IP подключений;
• перезагрузить NetBIOS.

Live CD как спасательный круг

И, продолжая нашу тему, мы просто не могли пройти мимо рассказа о Live CD сборках, предназначенных для восстановления системы. Изначально Livе CD позиционировался как инструмент для выполнения административных задач: подготовки жесткого диска, оперативного получения доступа к данным, хранящимся на дисках, и так далее. Сейчас же Live CD напоминают скорее универсальный спасательный круг для реанимации системы в случае различных падений, в том числе и после вирусной атаки. Главное их достоинство заключается в том, что все инструменты собраны под одним капотом и могут работать параллельно. Но есть и недостаток: чтобы загрузиться в Live CD режиме, нужно перезагружать машину, что в некоторых случаях для нас недопустимо.

Все известные антивирусные разработчики имеют бесплатные загрузочные диски для восстановления системы. Мы кратенько по ним пробежимся, но углубляться в детали не станем - мы же договорились в начале нашего материала, что будем использовать только те инструменты, которые не являются антивирусным ПО в чистом виде.

Мой лучший друг принёс мне посмотреть нетбук, на котором сурово погуляли вирусы, и попросил помочь почистить систему от зоопарка. Впервые увидел воочию забавную ветку в развитии вредоносного ПО: «вымогатели». Такие программы блокируют часть функций операционной системы и требуют отправить SMS сообщение для получения кода разблокировки. Лечение вышло не совсем тривиальным, и я подумал, что возможно эта история сбережёт кому-нибудь немного нервных клеток. Я постарался приводить ссылки на все сайты и утилиты, которые понадобились в ходе лечения.

В данном случае, вирус изображал из себя антивирусную программу Internet Security и требовал отправки SMS K207815200 на номер 4460. На сайте Лаборатории Касперского есть страница позволяющая сгенерировать коды ответа «вымогателям»: support.kaspersky.ru/viruses/deblocker

Тем не менее, после введения кода, функции ОС оставались заблокированными, а запуск любой антивирусной программы приводил к мгновенному открытию окна вируса, старательно эмулировавшего работу антивируса:

Попытки загрузиться в безопасных режимах приводили точно к такому же результату. Также дело осложняло то, что пароли на все учётные записи администраторов были пустые, а вход на компьютер по сети для администраторов с пустым паролем по умолчанию закрыт политикой.
Пришлось загружаться с USB Flash диска (в нетбуке по определению отсутствует привод для дисков). Самый простой способ сделать загрузочный USB-диск:
1. Форматируем диск в NTFS
2. Делаем раздел активным (diskpart -> select disk x -> select partition x -> active)
3. Используем утилиту \boot\bootsect.exe из дистрибутива Vista/Windows 2008/ Windows 7: bootsect /nt60 X: /mbr
4. Копируем все файлы дистрибутива (у меня под рукой был дистрибутив Windows 2008) на usb диск. Всё, можно грузиться.

Так как нам надо не устанавливать ОС, а лечить вирусы, копируем на диск набор бесплатных лечилок (AVZ , CureIt) и вспомогательных утилит (забегая вперёд, мне потребовалась Streams от Марка Руссиновича) и Far . Перезагружаем нетбук, в BIOS выставляем загрузку с USB.

Загружается программа установки Windows 2008, соглашаемся с выбором языка, Install now и после этого нажимаем Shift+F10. Появляется окно командной строки, из которого мы можем запускать наши антивирусные средства и искать заразу на системном диске. Тут я столкнулся с трудностью, CureIt ронял систему в синий экран смерти с руганью на ошибку работы с NTFS, а AVZ, хотя и отрабатывал, ничего не мог найти. Видимо вирус очень и очень свежий. Единственная зацепка - сообщение AVZ о том что обнаружен исполняемый код в дополнительном NTSF-потоке для одного из файлов в каталоге Windows. Мне это показалось странным и подозрительным, поскольку дополнительные потоки NTFS используются в очень специфических случаях и ничего исполняемого там храниться на нормальных машинах не должно.

Поэтому пришлось скачать утилиту Streams (http://technet.microsoft.com/en-us/sysinternals/bb897440.aspx) от Марка и удалить этот поток. Размер его составлял 126464 байта, точно также как и dll-файлы которые вирус раскладывал на флеш-диски вставленные в систему.

После этого я при помощи Far проискал весь системный диск на предмет файлов такого же размера и обнаружил ещё 5 или 6 подозрительных файлов, созданных за последние 2-3 дня. Они точно так же были удалены. После этого CureIt смог отработать (видимо он спотыкался на дополнительных потоках) и успешно вычистил ещё два трояна:)

После перезагрузки всё заработало, дополнительные прогоны антивирусных сканеров ничего не обнаружили. При помощи AVZ были восстановлены политики, ограничивающие функции ОС. Другу было сделано строгое внушение о том, как важно пользоваться антивирусами, тем более что, есть много бесплатных (

Утилита бесплатна, работает без установки, удивительно функциональна и выручала меня в самых различных ситуациях. Вирус, как правило, вносит изменения в реестр системы (добавление в автозагрузку, модификация параметров запуска программ и т.д.). Чтобы не копаться в системе, вручную исправляя следы вируса, стоит воспользоваться имеющейся в AVZ операцией "восстановление системы" (хотя и как антивирус утилита весьма и весьма неплоха, очень даже неплохо проверить утилитой диски на наличие вирусов).

Чтобы запустить восстановление, запускаем утилиту. Затем нажимаем файл - восстановление системы

и перед нами откроется такое окошко

отмечаем нужные нам галочки и жмем "Выполнить отмеченные операции"

1.Восстановление параметров запуска.exe, .com, .pif файлов

Данная микропрограмма восстанавливает реакцию системы на файлы exe, com, pif, scr.

Показания к применению: после удаления вируса перестают запускаться программы.

2.Сброс настроек префиксов протоколов Internet Explorer на стандартные

Данная микропрограмма восстанавливает настройки префиксов протоколов в Internet Explorer

Показания к применению: при вводе адреса типа www.yandex.ru идет его подмена на что-то вида www.seque.com/abcd.php?url=www.yandex.ru

3.Восстановление стартовой страницы Internet Explorer

Данная микропрограмма восстанавливает стартовую страницу в Internet Explorer

Показания к применению: подмена стартовой страницы

4.Сброс настроек поиска Internet Explorer на стандартные

Данная микропрограмма восстанавливает настройки поиска в Internet Explorer

Показания к применению: При нажатии кнопки «Поиск» в IE идет обращение к какому-то постороннему сайту

5.Восстановление настроек рабочего стола

Данная микропрограмма восстанавливает настройки рабочего стола. Восстановление подразумевает удаление всех активных элементов ActiveDesctop, обоев, снятие блокировок на меню, отвечающее за настройки рабочего стола.

Показания к применению: Исчезли закладки настройки рабочего стола в окне «Свойства:экран», на рабочем столе отображаются посторонние надписи или рисунки

6.Удаление всех Policies (ограничений) текущего пользователя

Windows предусматривает механизм ограничений действий пользователя, называемый Policies. Этой технологией пользуются многие вредоносные программы, поскольку настройки хранятся в реестре и их несложно создавать или модифицировать.

Показания к применению: Заблокированы функции проводника или иные функции системы.

7.Удаление сообщения, выводимого в ходе WinLogon

Windows NT и последующие системы в линейке NT (2000, XP) позволяют установить сообщение, отображаемое в ходе автозагрузки. Этим пользуется ряд вредоносных программ, причем уничтожение вредоносной программы не приводит к уничтожению этого сообщения.

Показания к применению: В ходе загрузки системы вводится постороннее сообщение.

8.Восстановление настроек проводника

Данная микропрограмма сбрасывает ряд настроек проводника на стандартные (сбрасываются в первую очередь настройки, изменяемые вредоносными программами).

Показания к применению: Изменены настройки проводника

9.Удаление отладчиков системных процессов

Регистрация отладчика системного процесса позволят осуществить скрытый запуск приложение, что и используется рядом вредоносных программ

Показания к применению: AVZ обнаруживает неопознанные отладчики системных процессов, возникают проблемы с запуском системных компонент, в частности после перезагрузки исчезает рабочий стол.

10.Восстановление настроек загрузки в SafeMode

Некоторые вредоносные программы, в частности червь Bagle, повреждают настройки загрузки системы в защищенном режиме. Данная микропрограмма восстанавливает настройки загрузки в защищенном режиме.

Показания к применению: Компьютер не загружается в защищенном режиме (SafeMode). Применять данную микропрограмму следует только в случае проблем с загрузкой в защищенном режиме .

11.Разблокировка диспетчера задач

Блокировка диспетчера задач применяется вредоносными программами для защиты процессов от обнаружения и удаления. Соответственно выполнение данной микропрограммы снимает блокировку.

Показания к применению: Блокировка диспетчера задач, при попытке вызова диспетчера задач выводится сообщение «Диспетчер задач заблокирован администратором».

12.Очистка списка игнорирования утилиты HijackThis

Утилита HijackThis хранит в реестре ряд своих настроек, в частности - список исключений. Поэтому для маскировки от HijackThis вредоносной программе достаточно зарегистрировать свои исполняемые файлы в списке исключений. В настоящий момент известен ряд вредоносных программ, использующих данную уязвимость. Микропрограмма AVZ выполняет очистку списка исключений утилиты HijackThis

Показания к применению: Подозрения на то, что утилита HijackThis отображает не всю информацию о системе.

13. Очистка файла Hosts

Очистка файла Hosts сводится к поиску файла Hosts, удалению из него всех значащих строк и добавлению стандартной строки «127.0.0.1 localhost».

Показания к применению: Подозрения на то, файл Hosts изменен вредоносной программой. Типичные симптомы - блокировка обновления антивирусных программ. Проконтролировать содержимое файла Hosts можно при помощи менеджера Hosts файла, встроенного в AVZ.

14. Автоматическое исправление настроек SPl/LSP

Выполняет анализ настроек SPI и в случае обнаружения ошибок производит автоматическое исправление найденных ошибок. Данную микропрограмму можно запускать повторно неограниченное количество раз. После выполнения данной микропрограммы рекомендуется перезагрузить компьютер. Обратите внимание! Данную микропрограмму нельзя запускать из терминальной сессии

Показания к применению: После удаления вредоносной программы пропал доступ в Интернет.

15. Сброс настроек SPI/LSP и TCP/IP (XP+)

Данная микропрограмма работает только в XP, Windows 2003 и Vista. Ее принцип работы основан на сбросе и пересоздании настроек SPI/LSP и TCP/IP при помощи штатной утилиты netsh, входящей в состав Windows. Обратите внимание! Применять сброс настроек нужно только в случае необходимости при наличие неустранимых проблем с доступом в Интернет после удаления вредоносных программ!

Показания к применению: После удаления вредоносной программы пропал доступ в Интернет и выполнение микропрограммы «14. Автоматическое исправление настроек SPl/LSP» не дает результата.

16. Восстановление ключа запуска Explorer

Восстанавливает системные ключи реестра, отвечающие за запуск проводника.

Показания к применению: В ходе загрузки системы не запускается проводник, но запуск explorer.exe вручную возможен.

17. Разблокировка редактора реестра

Разблокирует редактор реестра путем удаления политики, запрещающей его запуск.

Показания к применению: Невозможно запустить редактор реестра, при попытке выводится сообщение о том, что его запуск заблокирован администратором.

18. Полное пересоздание настроек SPI

Выполняет резервное копирование настроек SPI/LSP, после чего уничтожает их и создает по эталону, который хранится в базе.

Показания к применению: Тяжелые повреждения настроек SPI, неустранимые скриптами 14 и 15. Применять только в случае необходимости!

19. Очистить базу MountPoints

Выполняет очистку базы MountPoints и MountPoints2 в реестре. Данная операция нередко помогает в случае, когда после заражения Flash-вирусом в проводнике не открываются диски

Для выполнения восстановления необходимо отметить один или несколько пунктов и нажать кнопку «Выполнить отмеченные операции». Нажатие кнопки «ОК» закрывает окно.

На заметку:

Восстановление бесполезно, если в системе работает троянская программа, выполняющая подобные перенастройки - необходимо сначала удалить вредоносную программу, а затем восстанавливать настройки системы

На заметку:

Для устранения следов большинства Hijacker необходимо выполнить три микропрограммы - «Сброс настроек поиска Internet Explorer на стандартные», «Восстановление стартовой страницы Internet Explorer», «Сброс настроек префиксов протоколов Internet Explorer на стандартные»

На заметку:

Любую из микропрограмм можно выполнять несколько раз подряд без ущерба для системы. Исключения - «5.Восстановление настроек рабочего стола» (работа этой микропрограммы сбросит все настройки рабочего стола и придется заново выбирать раскраску рабочего стола и обои) и «10. Восстановление настроек загрузки в SafeMode» (данная микропрограмма пересоздает ключи реестра, отвечающие за загрузку в безопасном режиме).

Благодарю за помощь в подготовке материала мастеров компьютерного сервисного центра Запускай.РФ. У этих ребят вы можете заказать ремонт ноутбуков и нетбуков в Москве.

Вредоносные программы, внедряются в операционную систему персонального компьютера, наносят значительный вред всему объему данных. На данный момент времени программы-вредители создаются с разными целями, поэтому их действия направлены на корректировку различных структур операционной системы персонального компьютера.

Распространенным и последствиями, очевидными пользователю, являются неполадки в работе с сетью Интернет, нарушения в работе устройств, присоединенных к ПК.

Даже если вредитель был обнаружен и уничтожен – это не исключает потери информации и других проблем, которые возникают в последующей работе. Перечислять варианты можно бесконечно, чаще всего пользователь обнаруживает полную или частичную блокировку доступа во Всемирную сеть, отказ в работе внешних устройств (мышка, флеш-карта), пустой рабочий стол и прочее.

Перечисленные последствия наблюдаются из-за изменений, которые внесла программа — вредитель в системные файлы персонального компьютера. Такие изменения не ликвидируются с устранением вируса, их нужно корректировать самостоятельно, или прибегнуть к помощи специалистов. По сути, работа такого рода не требует специальной подготовки, и выполнить ее может любой продвинутый пользователь, изучив соответствующие инструкции.

В практике работы по организации восстановления операционной системы различают несколько подходов, зависящих от причин, которые привели к сбою. Рассмотрим каждый из вариантов подробно. Простой способ доступный каждому пользователю – это откат ОС на точку восстановления, когда работа персонального компьютера соответствовала требованиям пользователя. Но очень часто это решение является неудовлетворител ьным, или же его невозможно осуществить по объективным причинам.

Как восстановить ОС, если вход в систему ПК невозможен?

Запуск восстановления системы происходит следующим образом. Меню Пуск \ Панель управления \ Восстановление системы. По данному адресу выбираем нужную нам точку восстановления и запускам процесс. Через некоторое время работа будет завершена и компьютер готов к нормальному функционированию. Прием вполне применим для устранения некоторых видов вирусов, поскольку изменения происходят и на уровне реестра. Такой вариант восстановления операционной системы считается самым простым и входит в набор стандартных инструментов Windows . Пошаговая инструкция и справка с подробными комментариями процесса поможет освоить прием восстановления работоспособност и компьютера даже если пользователь не совсем уверенно чувствует себя в качестве администратора ПК.

Другим распространенным вариантом восстановления ОС – запуск процедуры с внешнего носителя. Данный вариант осложняется некоторыми моментами, так, например, необходимо иметь образ системы на флеш-карте или диске и позаботиться о наличии такой копии заранее. Кроме того часто необходимо иметь определенные навыки в работе с системой BIOS . Образ операционной системы на внешнем носителе — оптимальный вариант в случае, если восстановление невозможно, так как вирус заблокировал вход в систему компьютера. Есть другие варианты.

Воспользоваться стандартными инструментами Windows для восстановления ОС невозможно, если например вход невозможен, либо существуют иные причины препятствующие выполнению операции в стандартном режиме. Ситуация разрешима при помощи инструмента ERD Commander (ERDC).

Каким образом программа функционирует, разберем ситуацию последовательно. Первый шаг — загрузка программы. Второй шаг — это запуск инструмента Syst em Restore Wizard, именно с его помощью производится откат ОС в заданную позицию восстановления.

Как правило, каждый инструмент имеет в запасе несколько контрольных точек, и в восьмидесяти процентах случаев работоспособност ь персонального компьютера будет полностью реанимирована.

Применение инструментов утилиты AVZ

Рассматриваемый далее инструмент в работе не требует каких-то особых умений и навыков пользователя. Программный продукт разработан Олегом Зайцевым и предназначен для поиска и уничтожения всех видов вирусов и вредоносных программ. Но кроме основной функции, утилита восстанавливает большинство системных настроек, которые подверглись атаке или изменению со стороной вирусов-вредител ей.

Какие проблемы может решить представляемая программа? Главное – восстановление системных файлов и настроек, подвергшихся атаке вирусов. Утилита справляется с поврежденными драйверами программ, которые отказываются запускаться после восстановления. Когда возникают проблемы работы в браузерах или же в случае блокировки доступа в сеть Интернет и многие другие неприятности.

Активируем операцию восстановления по адресу Файл \ Восстановление системы и выбираем операцию, которая необходима. На рисунке представлен интерфейс микропрограмм, которыми оперирует утилита, дадим характеристику каждой из них.

Как можно увидеть, набор операций представлен 21 пунктом, и наименование каждого из них объясняет его назначение. Отметим, что возможности программы достаточно многообразны и ее можно считать универсальным инструментов в реанимации не только самой системы, но и ликвидации последствий работы вирусов с системными данными.

Первый параметр используют, если последствиями атаки вирусов и процедуры восстановления ОС отказываются работать необходимые пользователю программы. Как правило, такое случается, если вредитель проник в файлы и драйвера программ и внес любые изменения в записанную там информацию.

Второй параметр необходим, когда вирусы осуществили подмену доменов при вводе их в поисковую систему браузера. Такая подмена — первый уровень корректировки взаимодействия системных файлов операционной системы и сети Интернет. Такая функция программы, как правило, без следа устраняет внесенные изменения, не пытаясь их обнаружить, а просто подвергая полному форматированию всего объема данных префиксов и протоколов, заменяя их на стандартные настройки.

Третий параметр возобновляет настройку стартовой страницы Интернет-браузера. Как и в предыдущем случае, по умолчанию программа корректирует проблемы браузера Internet Explorer .

Четвертый параметр корректирует работу поисковой системы и устанавливает стандартный режим работы. Опять же процедура касается браузера установленного Windows по умолчанию.

При проблеме связанной с функционированием рабочего стола (появление на нем баннеров, рисунков, посторонних записей) активируют пятый пункт программы. Такие последствия действия вредоносных программ были очень популярными еще пару лет назад и доставляли немало проблем пользователям, но и сейчас не исключено проникновение в операционную систему ПК таких пакостников.

Шестой пункт необходим в случае, если программа-вредит ель ограничила действия пользователя при выполнении ряда команд. Эти ограничения могут носить различный характер, а поскольку настройки доступа хранятся в реестре, то вредоносные программы чаще всего используют эту информацию для корректировки работы пользователя со своим ПК.

Если при загрузке ОС появляется стороннее сообщение, это означает, что программа-вредит ель смогла внедриться в параметры запуска Windows NT. Восстановление ОС, уничтожившее вирус, не убирает это сообщение. Для того что бы убрать его необходимо активировать седьмой параметр меню утилиты AVZ .

Восьмой параметр меню, в соответствии с названием, восстанавливает настройки проводника.

Иногда проблема проявляется в виде перебоев в работе системных компонентов, так например, во время запуска ОС персонального компьютера исчезает рабочий стол. Утилита AVZ проводит диагностику этих структур и вносит необходимые корректировки при помощи пункта девять меню инструментов.

Неполадки загрузки ОС в безопасном режиме устраняются пунктом десять. Обнаружить необходимость в активации данного пункта мультипрограммы рассматриваемой здесь утилиты просто. Они проявляются при любых попытках провести работу в режиме безопасности.

Если происходит блокировка диспетчера задач, то необходимо активировать пункт меню одиннадцать. Вирусы от имени администратора вносят изменения в активацию данного раздела операционной системы, и вместо рабочего окна появляется сообщение о том, что работа с диспетчером задач заблокирована.

Утилита HijackThis в качестве одной из основных своих функций использует хранение в реестре списка исключений. Для вируса достаточно проникнуть в базу утилиты и зарегистрировать файлы в списке реестра. После этого он может самостоятельно восстанавливатьс я неограниченное количество раз. Чистка реестра утилиты происходит за счет активации двенадцатого пункта меню настроек AVZ .

Следующий, тринадцатый пункт, позволяет очистить файла Hosts, это файл измененный вирусом может вызывать сложности при работе с сетью, блокировать некоторые ресурсы, мешать обновлению баз данных антивирусных программ. Работа с данным файлом более подробно будет разобрана ниже. К сожалению, редактировать этот файл стремятся практически все вирусные программы, что связано, во-первых, с простотой внесения таких изменений, а последствия могут быть более чем значительными и уже после удаления вирусов информация, занесенная в файл, может быть прямыми воротами для проникновения в ОС новых вредителей и шпионов.

Если блокирован доступ в сеть Интернет, то это, как правило, означает наличие ошибок в настройках SPI . Их исправление произойдет, если активировать пункт меню четырнадцать. Важно, что этим пунктом настроек нельзя пользоваться из терминальной сессии.

Аналогичные функции заложены в пятнадцатом пункте меню, но его активация возможна только с работой в таких ОС как XP, Windows 2003, Vista. Использовать данную мультипрограмму можно, если попытки исправить ситуацию с входом в сеть при помощи предыдущей настройки не принесли желаемого результата.

Возможности шестнадцатого пункта меню направлены на восстановление системных ключей реестра, которые отвечают за запуск Интернет-браузера.

Следующий шаг в работе по восстановлению параметров ОС после атаки вирусов – это разблокировка редактора реестра. Как правило внешнее проявление – невозможно загрузить программу работы с Сетью.

Следующие четыре пункта рекомендуется применять только если повреждения операционной системы настолько катастрофичны, что по большому счету нет никакой разницы в том, будут ли они устранены при помощи таких методов или в результате потребуется переустанавливат ь систему целиком.

Так, восемнадцатый пункт воссоздает первоначальные настройки SPI . Девятнадцатый пункт очищает реестр Mount Points /2.

Двадцатый пункт удаляет все статические маршруты. Наконец, последний, двадцать первый пункт стирает все подключения DNS .

Как можно видеть, представляемые возможности утилиты охватывают практически все сферы, в которые может проникнуть программа-вредит ель и оставить свой активный след, обнаружить который не так просто.

Поскольку антивирусные приложения не гарантируют стопроцентной защиты операционной системы вашего ПК, рекомендуем иметь такую программу в арсенале инструментов борьбы с компьютерными вирусами всех видов и форм.

В результате лечения ОС персонального компьютера не работают подключенные к нему устройства.

Один из популярных способов маскировки шпионских программ – это установление своего вирусного драйвера в дополнение к реальному программному обеспечению. В данной ситуации реальным драйвером чаще всего является файл мышки или клавиатуры. Соответственно, после того как вирус уничтожен, его след остается в реестре, по этой причине устройство к которому вредитель смог присоединиться перестает работать.

Похожая ситуация наблюдается и при некорректной работе в процессе удалении антивируса Касперского. Это так же связано со спецификой установки программы, когда ее инсталляция на ПК использует вспомогательный драйвер klmouflt. В ситуации с Касперским, этот драйвер надо найти и полностью удалить из системы персонального компьютера в соответствии со всеми правилами.

Если клавиатура и мышь отказываются функционировать в нужном режиме, в первую очередь требуется восстановить ключи реестра.

Клавиатура:
HKEY_LOCAL_MACHI NE\SYSTEM\Curren tControlSet\Cont rol\Class\{4D36E 96B-E325-11CE-BF C1-08002BE10318}
UpperFilters=kbd class

Мышь:
HKEY_LOCAL_MACHI NE\SYSTEM\Curren tControlSet\Cont rol\Class\{4D36E 96F-E325-11CE-BF C1-08002BE10318}
UpperFilters=mou class

Проблема недоступных сайтов

Последствиями атаки вредоносных программ может стать недоступность некоторых ресурсов в сети Интернет. И эти последствия результат изменений, которые успели внести в систему вирусы. Проблема обнаруживается сразу или спустя некоторое время, однако если в результате действий программ вредителей она проявилась спустя некоторое время, устранить ее не составит труда.

Существует два варианта блокировки и самый распространенный — это корректировка файла hosts . Второй вариант создание ложных статических маршрутов. Даже если вирус уничтожен, внесенные им изменения в эти инструменты не устранятся.

Рассматриваемый документ расположен в системной папке на диске С. Его адрес и место расположение можно найти здесь: С:\Windows \System 32\drivers \etc \hosts . Для быстрого поиска как правило используют строку команд из меню «Пуск».

Если при помощи указанного порядка действий файл найти невозможно, это может означать что:

— вирусная программа изменила его место нахождения в реестре;

— документ файла имеет параметр «скрыт».

В последнем случае изменяем характеристики поиска. По адресу: Параметры папок / Вид находим строку «Показывать скрытые файлы» и устанавливаем напротив метку, расширяя диапазон поиска.

Файл hosts содержит информацию преобразования буквенного наименования домена сайта в его IP адрес, поэтому программы-вредит ели прописывают в нем корректировки, способные перенаправлять пользователя на другие ресурсы. Если это произошло, то при вводе адреса нужного сайта, открывается совершенно иной. Для того чтобы эти изменения вернуть в исходное состояние и исправить, нужно найти данный файл и проанализировать его содержимое. Даже неопытному пользователю будет видно, что именно подправило вирус, но если это вызывает определенные сложности, можно восстановить стандартные настройки, тем самым устранив все изменения внесенный в файл.

Что касается исправления маршрутов, здесь принцип действий тот же. Однако, в процессе взаимодействия операционной системы ПК и сети Интернет приоритет всегда остается за файлом hosts , поэтому его восстановление достаточно для того чтобы работа осуществлялась в стандартном режиме.

Сложность возникает если нужный файл невозможно найти, так как вирус меняет место его нахождения в системных папках. Тогда надо исправлять ключ реестра.

HKEY_LOCAL_MACHI NE\SYSTEM\Curren tControlSet\serv ices\Tcpip\Param eters\DataBasePa th

Вирусы, входящие в группу Win32/Vundo в хитроумности, касающейся преобразований файлов hosts, превосходят большинство своих зловредных собратьев. Он изменяют само название файла, стирая латинскую букву о и заменяя знак на кириллическую букву. Такой файл уже не занимается преобразованием доменных наименованием сайтов в IP адреса, и даже если пользователь будет восстанавливать этот файл результат работы останется прежним. Как найти подлинный файл? Если возникают сомнения в том, что нужный нам объект реален, выполняем следующую процедуру. Первый шаг – активация режима отображения скрытых файлов. Исследуем каталог, выглядит он, так как представлено на рисунке.

Здесь представлены два одинаковых файла, но так как ОС не позволяет использовать идентичные наименования, очевидно, что мы имеем дело с ложным документом. Определить какой из них правильный, а какой нет, просто. Вирус создает объемный файл и многочисленными корректировкам, поэтому результат его вредительства на рисунке представлен скрытым файлом объемом 173 КБ.

Если открыть файл-документ, информация в нем будет содержать такие строки:

31.214.145.172 vk.com — строка которая может заменить IP адрес сайта

127.0.0.1 avast.com — строка файла прописанная вирусом с целью запрета доступа к сайту антивирусной программы

Выше мы уже отмечали, что заблокировать отдельные ресурсы можно и при помощи создания неверных маршрутов в таблице маршрутизации. Каким образом можно разрешить ситуацию, рассмотрим последовательнос ть действий.

Если файл hosts не имеет вредоносных корректировок, а работа с ресурсом невозможна, проблема кроется в таблице маршрутов. Несколько слов о сути взаимодействия данных инструментов. Если в файле hosts прописан верный адаптивный адрес домена, то происходит перенаправление по данному адресу на существующий ресурс. Как правило, IP адрес не принадлежит диапазону адресов локальной подсети, потому переадресация происходит посредством шлюза маршрутизатора, который определяется настройками Интернет — соединения.

Если скорректировать записи маршрута для конкретного адреса IP , то автоматическое подключение будет происходить на основании этой записи. При условии, что такого маршрута нет, или же шлюз не работает, соединение не произойдет, и ресурс останется недоступным. Таким образом, вирус может удалить запись в таблице маршрутов и заблокировать абсолютно любой сайт.

Маршруты, создаваемые для конкретных сайтов, остаются в базе данных реестра HKLM . Обновление маршрута происходить при активации программной команды route add или ручной корректировки данных. Когда статически маршруты отсутствуют, то раздел таблицы пуст. Просмотреть список данных маршрутизации можно, применив команду route print. Выгладит это следующим образом:

Активные маршруты:

Представленная выше таблица стандартна для ПК с единственной сетевой картой, и параметрами настройки сетевого подключения:

IP-адрес 192.168.0.0

маска 255.255.255.0

шлюз по умолчанию 192.168.0.1

Запись, представленная выше, включает IP адрес сети с кодировкой 192.168.0.0 и маску подсети с кодировкой 255.255.255.0. Если расшифровать эти данные, то информация такова. Маска включает весь объем узлов с равнозначной старшей частью адреса. Согласно метрической системе первые три байта маски подсети равны 1 во всех операционных системах ПК (исключение составляют десятеричная, где значение равно 255 и шестнадцатерична я, где значение равно 0*FF ). Младшая часть адреса принимаемых узлов составляет значение в диапазоне 1-254.

В соответствии с информацией представленной выше, младший адрес имеет кодировку — 192.168.0.0, этот код является адресом сети. Старший адрес с кодировкой 192.168.0.255 характеризуется как широковещательны й адрес. И если первый код исключает его использование для обмена данными, то второй код как раз и предназначен для выполнения этих функций. Свои узлы обмениваются пакетами данных при помощи маршрутов.

Представим следующую конфигурацию:

IP адрес — 192.168.0.0

Маска сети — 255.255.255.0

Шлюз — 192.168.0.3

Интерфейс — 192.168.0.3

Метрика — 1

Информация логически расшифровывается так: в диапазоне адресов от 192.168.0.0 — 192.168.0.255 для обмена информацией в качестве шлюза и интерфейса применяем код сетевой карты (192.168.0.3). Все это означает, что информация переходит самому адресату непосредственно.

Когда условие конечного адреса не соответствует заданному диапазону 192.168.0.0-192. 168.0.255, передать информацию напрямую не получится. Протокол сервера отправляет данные маршрутизатору, который передает ее в другую сеть. Если статические маршруты не прописаны, адрес маршрутизатора по умолчанию остается таким же, как адрес шлюза. Информация отправляется на этот адрес, затем в сеть, и по маршрутам, прописанным в таблице, до тех пор пока адресат не получит пакет. В общих чертах процесс передачи данных выглядит именно так. Представим иллюстрацию записей стандартной таблицы маршрутизатора. В примере имеется лишь несколько записей, однако их количество может достигать десятков и сотен строк.

Отталкиваясь от данных примера, опишем процесс переадресации к адресам Интернет-ресурсо в. Во время контакта с адресами Интернет-ресурсо в, расположенных в указанном диапазоне от 74.55.40.0 до 74.55.40.255 код маршрутизатора равен номеру сети 192.168.0.0, а соответственно не может применяться в процессе обмена информационными данными. IP -протокол диагностирует адрес (74.55.40.226), который не включен в пакет адресов индивидуальной локальной сети и обращается к прописанным статическим маршрутам.

Ситуация когда этот маршрут не прописан, пакет информации отправляется по идентификационно му адресу шлюза, установленному в примере по умолчанию.

Так как маршрут, представленный в примере, характеризуется высоким приоритетом, поэтому ему необходим определенный шлюз, а не стандарт, подходящий для всех. Так как шлюза удовлетворяющего запросу в таблице нет, сервер с сетевым адресом 74.55.40.226 останется вне зоны доступа. А при прописанных в примере условиях с кодом маски подсети будут заблокированы все адреса диапазона 74.55.40.0 — 74.55.40.255. Именно этот диапазон включает сетевой путь к сайту антивирусного программного обеспечения установленного на персональный компьютер, который не получит необходимых обновлений вирусных баз и не будет должным образом функционировать.

Чем больше таких данных в таблице маршрутов, тем большее количество ресурсов блокируется. В практике специалистов, вирусные программы создавали до четырехсот строк такого вида, тем самым блокируя работу порядка тысячи ресурсов сети. Причем хозяевам вирусов не особо интересно, что стремясь забанить какой-то отдельный ресурс, они исключают из возможного доступа десятки других сайтов. В этом кроется основная ошибка нечистоплотных программистов, поскольку количество недоступных ресурсов обнаруживает саму вероятность блокировки передачи данных. Так, например, если в круг исключения вошли самые популярный социальные сети, и пользователь не может войти на сайт ВКонтакте или Одноклассники, то возникает подозрение относительно правильной работы ПК с сетью.

Исправить ситуацию не сложно, для этой цели используется команда route и ключ delete. Находим в таблице ложные записи и деинсталруем. Небольшое замечание, вся операции осуществимы, только если пользователь обладает правами администратора, но и изменения в маршрут вирус может внести, только если внедрился в сеть через учетную запись админа персонального компьютера. Приведем примеры таких заданий.

route delete 74.55.40.0 — запись, удаляющая первый вариант строки маршрута;

route delete 74.55.74.0 — запись, удаляющая второй вариант строки маршрута.

Количество таких строк должно составлять общее количество ложных маршрутов.

Если подойти к процедуре проще, то необходимо применить операцию перенаправления вывода. Делается это при помощи ввода задачи route print > C:\routes.txt. Активация команды создает ситуацию, когда на системном диске создается файловый документ с названием routes.txt, в нем содержится таблица с данными маршрутов.

Список таблицы содержит символы-коды DOS . Эти символы нечитаемые, и они не имеют значения для осуществления работы. Добавляя в начале каждого маршрута задание route delete, удаляем каждую ложную запись. Выглядит эти примерно так:

route delete 84.50.0.0

route delete 84.52.233.0

route delete 84.53.70.0

route delete 84.53.201.0

route delete 84.54.46.0

Далее надо изменить расширение файла, варианты замены такого расширения – это cmd или bat. Новый файл запускается при помощи двойного клика правой кнопки мыши. Упростить задачу можно при помощи популярного файлового менеджераFAR , который работает следующим образом. Редактор, вызов которого осуществляется функциональной клавишей F 4, выделяет специальной маркировкой правую часть записи маршрута. С помощью комбинации клавиш CTRL +F 7 выполняется автоматическая перестановка всех пробелов на символ с пустым значением, а пробел в свою очередь устанавливается в начальную позицию строки. Новое сочетание указанных клавиш, устанавливает задачу route delete на нужное нам место.

Когда ложных маршрутов в таблице данных прописано очень много и корректировать их вручную представляется долгим и утомительным процессом, рекомендуется применять задачу route вместе с ключом F .

Этот ключ удаляет все неузловые маршруты, а так же полностью деинсталлирует маршруты с конечной точкой и широковещательны м адресом. Первые и последние имеют цифровой код 255.255.255.255; вторые 127.0.0.0. Иными словами, вся ложная информация прописанная в таблицу вирусом будет деинсталлирована. Но одновременно уничтожатся записи статических маршрутов, выписанных пользователем самостоятельно данные основного шлюза, поэтому их нужно будет восстановить, поскольку сеть останется недоступной. Либо отслеживать процесс чистки таблицы данных и останавливать его при намерении удалить нужную нам запись.

Антивирусная программа AVZ так же можно использовать для корректировки настроек маршрутизатора. Конкретная мультипрограмма, занимающаяся данным процессом – это двадцатый пункт настройки TCP .

Последний вариант блокировки доступа пользователя к IP адресам сайтов, которые используются вирусными программами – использование подмены адреса сервера DNS . В таком варианте подключение к сети происходит через вредоносный сервер. Но такие ситуации достаточно редки.

После поведения всех работ, необходимо делать перезагрузку персонального компьютера.

Еще раз благодарю за помощь в подготовке материала мастеров компьютерного сервисного центра Запускай.РФ — http://запускай.рф/информация/территория/коломенская/ , у которых можно заказать ремонт ноутбуков и нетбуков в Москве.