Исправляем и оптимизируем с помощью программы AVZ. Восстановление системы Windows после вирусов - Операционные стстемы - Каталог статей - SysAdmin

Мой лучший друг принёс мне посмотреть нетбук, на котором сурово погуляли вирусы, и попросил помочь почистить систему от зоопарка. Впервые увидел воочию забавную ветку в развитии вредоносного ПО: «вымогатели». Такие программы блокируют часть функций операционной системы и требуют отправить SMS сообщение для получения кода разблокировки. Лечение вышло не совсем тривиальным, и я подумал, что возможно эта история сбережёт кому-нибудь немного нервных клеток. Я постарался приводить ссылки на все сайты и утилиты, которые понадобились в ходе лечения.

В данном случае, вирус изображал из себя антивирусную программу Internet Security и требовал отправки SMS K207815200 на номер 4460. На сайте Лаборатории Касперского есть страница позволяющая сгенерировать коды ответа «вымогателям»: support.kaspersky.ru/viruses/deblocker

Тем не менее, после введения кода, функции ОС оставались заблокированными, а запуск любой антивирусной программы приводил к мгновенному открытию окна вируса, старательно эмулировавшего работу антивируса:

Попытки загрузиться в безопасных режимах приводили точно к такому же результату. Также дело осложняло то, что пароли на все учётные записи администраторов были пустые, а вход на компьютер по сети для администраторов с пустым паролем по умолчанию закрыт политикой.
Пришлось загружаться с USB Flash диска (в нетбуке по определению отсутствует привод для дисков). Самый простой способ сделать загрузочный USB-диск:
1. Форматируем диск в NTFS
2. Делаем раздел активным (diskpart -> select disk x -> select partition x -> active)
3. Используем утилиту \boot\bootsect.exe из дистрибутива Vista/Windows 2008/ Windows 7: bootsect /nt60 X: /mbr
4. Копируем все файлы дистрибутива (у меня под рукой был дистрибутив Windows 2008) на usb диск. Всё, можно грузиться.

Так как нам надо не устанавливать ОС, а лечить вирусы, копируем на диск набор бесплатных лечилок (AVZ , CureIt) и вспомогательных утилит (забегая вперёд, мне потребовалась Streams от Марка Руссиновича) и Far . Перезагружаем нетбук, в BIOS выставляем загрузку с USB.

Загружается программа установки Windows 2008, соглашаемся с выбором языка, Install now и после этого нажимаем Shift+F10. Появляется окно командной строки, из которого мы можем запускать наши антивирусные средства и искать заразу на системном диске. Тут я столкнулся с трудностью, CureIt ронял систему в синий экран смерти с руганью на ошибку работы с NTFS, а AVZ, хотя и отрабатывал, ничего не мог найти. Видимо вирус очень и очень свежий. Единственная зацепка - сообщение AVZ о том что обнаружен исполняемый код в дополнительном NTSF-потоке для одного из файлов в каталоге Windows. Мне это показалось странным и подозрительным, поскольку дополнительные потоки NTFS используются в очень специфических случаях и ничего исполняемого там храниться на нормальных машинах не должно.

Поэтому пришлось скачать утилиту Streams (http://technet.microsoft.com/en-us/sysinternals/bb897440.aspx) от Марка и удалить этот поток. Размер его составлял 126464 байта, точно также как и dll-файлы которые вирус раскладывал на флеш-диски вставленные в систему.

После этого я при помощи Far проискал весь системный диск на предмет файлов такого же размера и обнаружил ещё 5 или 6 подозрительных файлов, созданных за последние 2-3 дня. Они точно так же были удалены. После этого CureIt смог отработать (видимо он спотыкался на дополнительных потоках) и успешно вычистил ещё два трояна:)

После перезагрузки всё заработало, дополнительные прогоны антивирусных сканеров ничего не обнаружили. При помощи AVZ были восстановлены политики, ограничивающие функции ОС. Другу было сделано строгое внушение о том, как важно пользоваться антивирусами, тем более что, есть много бесплатных (

Лайкнуть

Твитнуть

Существуют универсальные как швейцарский нож программы. Герой моей статьи - как раз такой «универсал». Зовут его AVZ (Антивирус Зайцева). С помощью этого бесплатного антивируса и вирусы выловить можно, и систему оптимизировать, и проблемы исправить.

Возможности AVZ

О том, что это антивирусная программа, я уже рассказывал в . О работе AVZ в качестве одноразового антивируса (точнее, антируткита) хорошо рассказано в справке к ней, я же покажу вам иную сторону программы: проверка и восстановление настроек.

Что можно «починить» с помощью AVZ:

Восстановить запуск программ (.exe, .com, .pif файлов)
Сбросить настройки Internet Explorer на стандартные
Восстановить настройки рабочего стола
Снять ограничения прав (например, если вирус заблокировал запуск программ)
Удалить баннер или окно, появляющееся до входа в систему
Удалить вирусы, которые умеют запускаться вместе с любой программой
Разблокировать диспетчер задач и редактор реестра (если вирус запретил их запуск)
Очистить файл
Запретить автозапуск программ с флешек и дисков
Удалить ненужные файлы с жесткого диска
Исправить проблемы с Рабочим столом
И многое другое

Также с ее помощью можно проверить на безопасность настройки Windows (дабы лучше защитить от вирусов), а также оптимизировать систему, почистив автозагрузку.

Страница загрузки AVZ находится .

Программа бесплатна.

Сначала обезопасим свою Windows от неосторожных действий

Программа AVZ имеет очень много функций, затрагивающих работу Windows. Это опасно , потому что в случае ошибки может случиться беда. Просьба внимательно читать текст и справку, прежде чем что-то делать. Автор статьи не несет ответственности за ваши действия.

Чтобы иметь возможность все «вернуть как было» после неосторожной работы с AVZ, я написал эту главу.

Это обязательный шаг, по сути создание «пути отхода» в случае неосторожных действий - благодаря точке восстановления можно будет восстановить настройки, реестр Windows до более раннего состояния.

Система восстановления Windows - обязательный компонент всех версий Windows, начиная с Windows ME. Жаль, что о нем обычно не вспоминают и теряют время, переустанавливая Windows и программы, хотя можно было всего лишь пару раз кликнуть мышкой и избежать всех проблем.

Если повреждения серьезные (например, удалена часть системных файлов), то «Восстановление системы» не поможет. В остальных случаях - если вы неправильно настроили Windows, «намудрили» с реестром, поставили программу, от которой Windows не загружается, неправильно воспользовались программой AVZ - «Восстановление системы» должно помочь.

После работы AVZ создает в своей папке подпапки с резервными копиями:

/Backup - там хранятся резервные копии реестра.

/Infected - копии удаленных вирусов.

/Quarantine - копии подозрительных файлов.

Если после работы AVZ начались проблемы (например, вы бездумно воспользовались инструментом AVZ «Восстановлением системы» и Интернет перестал работать) и Восстановление системы Windows не откатило сделанные изменения, можно пооткрывать резервные копии реестра из папки Backup.

Как создать точку восстановления

Идем в Пуск - Панель управления - Система - Защита системы:

Нажимаем «Защита системы» в окне «Система».

Нажимаем кнопку «Создать».

Процесс создания точки восстановления может занять с десяток минут. Затем появится окно:

Точка восстановления будет создана. Кстати, они автоматически создаются при установке программ и драйверов, но не всегда. Поэтому перед опасными действиями (настройкой, чисткой системы) лучше лишний раз создать точку восстановления, чтобы в случае беды хвалить себя за предусмотрительность.

Как восстановить компьютер с помощью точки восстановления

Существует два варианта запуска Восстановления системы - из-под запущенной Windows и с помощью диска с установкой.

Вариант 1 - если Windows запускается

Идем в Пуск - Все программы - Стандартные - Служебные - Восстановление системы:

Запустится Выбрать другую точку восстановления и нажимаем Далее. Откроется список точек восстановления. Выбираем ту, которая нужна:

Компьютер автоматически перезагрузится. После загрузки все настройки, его реестр и часть важных файлов будут восстановлены.

Вариант 2 - если Windows не загружается

Нужен «установочный» диск с Windows 7 или Windows 8. Где его достать (или скачать), я написал в .

Загружаемся с диска (как загружаться с загрузочных дисков, написано ) и выбираем :

Выбираем «Восстановление системы» вместо установки Windows

Починка системы после вирусов или неумелых действий с компьютером

До всех действий избавьтесь от вирусов, например, с помощью . В противном случае толку не будет - исправленные настройки запущенный вирус снова «поломает».

Восстановление запуска программ

Если вирус заблокировал запуск каких-либо программ, то AVZ вам поможет. Конечно, надо еще запустить сам AVZ, но это довольно легко:

Сначала идем в Панель управления - ставим любой вид просмотра, кроме Категории - Параметры папок - Вид - снять галку с Скрывать расширения для зарегистрированных типов файлов - OK. Теперь у каждого файла видно расширение - несколько символов после последней точки в имени. У программ это обычно .exe и .com . Чтобы запустить антивирус AVZ на компьютере, где запрещен запуск программ, переименуйте расширение в cmd или pif:

Тогда AVZ запустится. Затем в самом окне программы нажимаем Файл - :

Надо отметить пункты:

1. Восстановление параметров запуска.exe, .com, .pif файлов (собственно, решает проблему запуска программ)

6. Удаление всех Policies (ограничений) текущего пользователя (в некоторых редких случаях этот пункт также помогает решить проблему запуска программ, если вирус попался очень вредный)

9. Удаление отладчиков системных процессов (очень желательно отметить и этот пункт, потому что даже если вы проверили систему антивирусом, от вируса что-то могло остаться. Также помогает в случае, если Рабочий стол не появляется при запуске системы)

, подтверждаем действие, появляется окно с текстом «Восстановление системы выполнено». После остается перезагрузить компьютер - проблема с запуском программ будет решена!

Восстановление запуска Рабочего стола

Достаточно частая проблема - при запуске системы не появляется Рабочий стол.

Запустить Рабочий стол можно так: нажимаем Ctrl+Alt+Del, запускаем Диспетчер задач, там нажимаем Файл - Новая задача (Выполнить…) - вводим explorer.exe :

ОК - Рабочий стол запустится. Но это только временное решение проблемы - при следующем включении компьютера придется все повторить заново.

Чтобы не делать так каждый раз, надо восстановить ключ запуска программы explorer («Проводник», который отвечает за стандартный просмотр содержимого папок и работу Рабочего стола). В AVZ нажимаем Файл - и отмечаем пункт

Выполнить отмеченные операции , подтверждаем действие, нажимаем OK. Теперь при запуске компьютера рабочий стол будет запускаться нормально.

Разблокировка Диспетчера задач и Редактора реестра

Если вирус заблокировал запуск двух вышеупомянутых программ, через окно программы AVZ можно запрет убрать. Просто отметьте два пункта:

11. Разблокировка диспетчера задач

17. Разблокировка редактора реестра

И нажмите Выполнить отмеченные операции.

Проблемы с интернетом (не открываются сайты Вконтакте, Одноклассники и сайты антивирусов)

Чистка системы от ненужных файлов

Программы AVZ умеет чистить компьютер от ненужных файлов. Если на компьютере не установлена программа очистки жесткого диска , то сойдет и AVZ, благо возможностей много:

Подробнее о пунктах:

Очистить кеш системы Prefetch - очистка папки с информацией о том, какие файлы подгружать заранее для быстрого запуска программ. Опция бесполезная, потому что Windows сама вполне успешно следит за папкой Prefetch и чистит ее, когда требуется.
Удалить файлы журналов Windows - можно очистить разнообразные базы данных и файлы, хранящие в себе различные записи о происходящих в операционной системе событиях. Опция полезна, если надо освободить с десяток-другой мегабайт места на жестком диске. То есть выгода от использования мизерна, опция бесполезная.
Удалить файлы дампов памяти - при возникновении критических ошибок Windows прерывает свою работу и показывает BSOD (синий экран смерти), заодно сохраняя информацию о запущенных программах и драйверах в файл для последующего анализа специальными программами, чтобы выявить виновника сбоя. Опция почти бесполезна, так как позволяет выиграть всего лишь десяток мегабайт свободного места. Очистка файлов дампов памяти системе не вредит.
Очистить список Недавние документы - как ни странно, опция очищает список Недавние документы. Этот список находится в меню Пуск. Очистку списка можно произвести и вручную, нажав правой кнопкой по этому пункту в меню Пуск и выбрав «Очистить список последних элементов». Опция полезная: мной было замечено, что очистка списка недавних документов позволяет меню Пуск отображать свои меню чуть-чуть быстрее. Системе не повредит.
Очистка папки TEMP - Святой Грааль для тех, кто ищет причину исчезновения свободного места на диске C:. Дело в том, что в папке TEMP многие программы складируют файлы для временного использования, забывая потом «убрать за собой». Типичный пример - архиваторы. Распакуют туда файлы и забудут удалить. Очистка папки TEMP системе не вредит, места может освободить много (в особо запущенных случаях выигрыш свободного места достигает полусотни гигабайт!).
Adobe Flash Player - очистка временных файлов - «флеш-плеер» может сохранять файлы для временного использования. Их можно удалить. Иногда (редко) опция помогает в борьбе с глюками Flash Player. Например, с проблемами воспроизведения видео и аудио на сайте Вконтакте. Вреда от использования нет.
Очистка кеша терминального клиента - насколько я знаю, эта опция очищает временные файлы компонента Windows под названием «Подключение к удаленному рабочему столу» (удаленный доступ к компьютерам по протоколу RDP). Опция вроде бы вреда не наносит, места освобождает с десяток мегабайт в лучшем случае. Смысла использовать нет.
IIS - удаление журнала ошибок HTTP - долго объяснять, что это такое. Скажу лишь, что опцию очистки журнала IIS лучше не включать. В любом случае вреда не наносит, пользы тоже.
Macromedia Flash Player - пункт дублирует «Adobe Flash Player - очистка временных файлов» , но затрагивает довольно древние версии Флеш Плеера.
Java - очистка кеша - дает выигрыш в пару мегабайт на жестком диске. Я не пользуюсь программами на Java, поэтому последствия включения опции не проверял. Не советую включать.
Очистка корзины - назначение этого пункта абсолютно понятно из его названия.
Удалить протоколы установки обновлений системы - Windows ведет журнал установленных обновлений. Включение этой опции очищает журнал. Опция бесполезна, потому что выигрыша свободного места никакого.
Удалить протокол Windows Update - аналогично предыдущему пункту, но удаляются другие файлы. Тоже бесполезная опция.
Очистить базу MountPoints - если при подключении флешки или жесткого диска не создаются значки с ними в окне Компьютер, эта опция может помочь. Советую включать только в том случае, если у вас проблемы с подключением флешек и дисков.
Internet Explorer - очистка кеша - очищает временные файлы Internet Explorer. Опция безопасна и полезна.
Microsoft Office - очистка кеша - очищает временные файлы программ Microsoft Office - Word, Excel, PowerPoint и других. Проверить безопасности опции не могу, потому что у меня нет Microsoft Office.
Очистка кеша системы записи на компакт-диск - полезная опция, позволяющая удалить файлы, которые вы подготовили для записи на диски.
Очистка системной папки TEMP - в отличии от пользовательской папки TEMP (см. пункт 5) очистка этой папки не всегда безопасна, да и места обычно освобождается немного. Включать не советую.
MSI - очистка папки Config.Msi - в этой папки хранятся различные файлы, созданные инсталляторами программ. Папка имеет большой объем, если программы установки некорректно завершали свою работу, поэтому очистка папки Config.Msi оправданна. Тем не менее, предупреждаю - могут возникнуть проблемы с удалением программ, использующих.msi-инсталляторы (например, Microsoft Office).
Очистить протоколы планировщика задач - Планировщик задач Windows хранит журнал, где записывает информацию о выполненных заданиях. Не рекомендую включать этот пункт, потому что выгоды нет, зато проблем прибавит - Планировщик заданий Windows довольно глючный компонент.
Удалить протоколы установки Windows - выигрыш места несущественен, смысла удалять нет.
Windows - очистка кеша иконок - полезно, если у вас проблемы с ярлыками. Например, при появлении Рабочего стола значки появляются не сразу. Включение опции на стабильность системы не повлияет.
Google Chrome - очистка кеша - очень полезная опция. Google Chrome хранит копии страниц в отведенной для этого папке, чтобы быстрее открывать сайты (страницы подгружаются с жесткого диска вместо загрузки через интернет). Иногда размер этой папки достигает полугигабайта. Очистка полезна ввиду освобождения места на жестком диске, на стабильность ни Windows, ни Google Chrome не влияет.
Mozilla Firefox - очистка папки CrashReports - каждый раз, когда с браузером Firefox случается проблема и он аварийно закрывается, создаются файлы отчета. Эта опция удаляет файлы отчетов. Выигрыш свободного места достигает пару десятком мегабайт, то есть толку от опции мало, но есть. На стабильность Windows и Mozilla Firefox не влияет.

В зависимости от установленных программ, количество пунктов будет отличаться. Например, если установлен браузер Opera, можно будет очистить и его кеш тоже.

Чистка списка автозапуска программ

Верный способ ускорить включение компьютера и скорость его работы - чистка списка автозапуска. Если ненужные программы не будут запускаться, то компьютер не только будет включаться быстрее, но и работать быстрее тоже - за счет освободившихся ресурсов, которые не будут забирать запущенные в фоне программы.

AVZ умеет просматривать практически все лазейки в Windows, через которые запускаются программы. Просмотреть список автозапуска можно в меню Сервис - Менеджер автозапуска:

Рядовому пользователю столь мощный функционал абсолютно ни к чему, поэтому я призываю не отключать все подряд . Достаточно посмотреть только два пункта - Папки автозапуска и Run* .

AVZ отображает автозапуск не только вашего пользователя, но и всех остальных профилей:

В разделе Run* лучше не отключать программы, находящиеся в разделе HKEY_USERS - это может нарушить работу других профилей пользователей и самой операционной системы. В разделе Папки автозапуска можно отключать все, что вам не нужно.

Зеленым отмечены строчки, опознанные антивирусом как известные. Сюда входят как системные программы Windows, так и посторонние программы, имеющие цифровую подпись.

Черным отмечены все остальные программы. Это не значит, что такие программы являются вирусами или чем-то подобным, просто не все программы имеют цифровую подпись.

Не забудьте растянуть первую колонку пошире, чтобы было видно название программы. Обычное снятие галочки временно отключит автозапуск программы (можно будет потом поставить галку снова), выделение пункта и нажатие кнопки с черным крестиком удалит запись навсегда (или до того момента, как программа снова себя пропишет в автозапуск).

Возникает вопрос: как определить, что можно отключать, а что нет? Есть два пути решения:

Во-первых, есть здравый смысл: по названию.exe файла программы можно принять решение. Например, программа Skype при установке создает запись для автоматического запуска при включении компьютера. Если вам это не нужно - снимайте галочку с пункта, заканчивающегося на skype.exe. Кстати, многие программы (и Скайп в их числе) умеют сами убирать себя из автозагрузки, достаточно снять галку с соответствующего пункта в настройках самой программы.

Во-вторых, можно поискать в интернете информацию о программе. На основе полученных сведений остается принять решение: удалять ее из автозапуска или нет. AVZ упрощает поиск информации о пунктах: достаточно лишь нажать правой кнопкой мыши по пункту и выбрать ваш любимый поисковик:

Отключив ненужные программы, вы ощутимо ускорите запуск компьютера. Однако все подряд отключать нежелательно - это чревато тем, что вы потеряете индикатор раскладки, отключите антивирус и т.д.

Отключайте только те программы, о которых вы знаете точно - они вам в автозапуске не нужны.

Итог

В принципе, то, о чем я написал в статье, сродни забиванию гвоздей микроскопом - программа AVZ подходит для оптимизации Windows, но вообще-то это сложный и мощный инструмент, подходящий для выполнения самых разных задач. Однако, чтобы использовать AVZ на полную катушку, нужно досконально знать Windows, поэтому можно начать с малого - а именно с того, о чем я рассказал выше.

Если у вас есть какие-либо вопросы или замечания - под статей есть блок комментариев, где можно написать мне. Я слежу за комментариями и постараюсь как можно быстрее вам ответить.