Запускаем WORD, ставим на чистом листе точку, или пробел, или
стихотворение пишем (баннер вдохновляет). Жмём Пуск – Выключить
компьютер (или кратковременно Power). Баннер пропадает, а WORD
запрашивает сохранение документа. Давим «Отменить» - перед нами чистый
(в смысле - без баннера) рабочий стол.
Ну а дальше – всё просто.
Идём туда, куда уже знаем и убиваем гада. Потом – Пуск – Выполнить –
Regedit –Ctrl F – «имя урода», находим – мочим, F3 – находим – мочим ну и
т. д. В принципе, все эти действия уничтожают трояна окончательно и
бесповоротно. Но для верности проверяем чем нибудь антивирусным, и
продолжаем трудиться. Ну а небольшая доза адреналина не повредит.
Главное не паниковать!!!.
Есть ещё один красавец, которого
трудно причислить к какому – либо типу. Но баннер тоже непростой и для
непосвящённого может показаться ну оооочень страшным. Вот он:
Ну что ж. Посмотрим, что он нам тут наблокировал. На первый взгляд
ничего, кроме ввода кода, мы сделать не можем. Но мы знаем «волшебную»
комбинацию Ctrl+Alt+Del. Быстренько жмакаем её на клавиатуре и – увы,
ничего не происходит. Это огорчает! Начинают закрадываться мысли о
Format C:\!
Но тут мы вспоминаем, что есть ещё одна «волшебная» комбинация клавиш – Ctrl+Esc !!! Жмём!
Вуаля! Есть Главное меню!!! Оказывается, не настолько они ( хакеры т.е.) и крутые. Здесь мы круче оказались!
Ну а дальше уже совсем просто.
Запускаем AnVir , переходим на вкладку Процессы и вычисляем наш процесс.
В нашем случае это services.exe, замаскировался под системную службу.
Завершаем процесс и пожалуйста, баннер исчез. Но, хотя перед нами
чистый рабочий стол (в смысле - без баннера), на нём попрежнему нет
кнопки Пуск да и Диспетчер задач не запускается. А нам надо удалить
вредителя, а то ведь он остался и при перезагрузке опять вылезет!
Применяем проверенный метод – Ctrl+Esc – Главное меню – Программы – Стандартные – Проводник.
Здесь удаляем красавца. Ну а далше действуем по уже отработанной
технологии. Перезагружаемся (для того, чтобы иметь полноценный рабочий
стол со всеми кнопочками и пимпочками), запускаем наши «лекарства» и
лечим систему. Как говорится: «Не так страшен черт, как его малюют….».
На бескрайних просторах Интернета есть ещё один баннер, который тоже не
совсем подпадает под нашу классификацию. Но, зная методы борьбы,
описанные выше Вы, уважаемый читатель, справитесь с ним без особого
напряга. Ведь не зря же мы тут стараемся? Не так ли?
Добавим только, что лечится он с помощью FAV(FixAfterVirus) или
ProcessKiller. Иногда для просмотра видео, проигрыватель требует
обновить Flash Player. Здесь надо быть особенно осторожным. Почему? Да
потому, что под видом этого самого плейера Вам могут подсунуть вот такую
бяку.
После того, как мы соглашаемся, нам на комп устанавливается вот такой красавец – баннер:
Причём красота эта закрывает почти весь рабочий стол, так что
какие-либо действия невозможны. Впрочем, этот screensaver блокирует и
regedit и «восстановление системы» и в SAFE MODE он присутствует. То,
что эта мразь не перемещается, не закрывается, не сворачивается, не
реагирует на LKM, RKM и т.д я думаю говорить не надо, это и так понятно.
Короче — полный пипец.
Его можно было бы отнести к Третьему типу, но он всё же не всё
блокирует. Вот позволил же скриншот сделать. Кроме того, появляется он
не сразу, а по истечении 1 часа после «обновления» Flash Player’a. Я об
этом знал и заблаговременно нашёл его местоположение:
Спрятался он здесь:С:\Documents and Settings\User\Local Settings\Temp
А «прописался» в разделе реестра
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
NT\CurrentVersion\Winlogon. На картинке хорошо видно, какое значение
параметра было до «обновления» (нижняя строчка) и после (верхняя
строчка).
И хотя мы знаем, где собака зарыта, мы ничего не можем
сделать, поскольку добраться туда нам не даёт баннер. Поэтому
перезагружаемся, предварительно «зарядив» в дисковод Live CD ERD
Commander (или любой другой с возможностью доступа к зараженному
реестру).
А там уже всё просто: запускаем Regedit , в поиск
забиваем userinit и возвращаем его в первоначальное состояние.
Если
LiveCD не имеет возможности редактировать реестр, то просто идём в
С:\Document and Setting\User\Lokal Setting\Temp и удаляем оттуда файл
баннера. В нашем случае это der1.tmp. Перезагружаем компьютер –
вымогатель пропал, что и требовалось доказать,запускаем Regedit , в
поиск забиваем userinit и возвращаем его в первоначальное состояние. А
теперь надо восстановить систему в состояние «до заражения». Как видим, и
здесь ничего страшного нет.
3 Тип
- Ну, а теперь самый страшный зверь. Здесь нахрапом не возмёшь по той
простой причине, что он просто ничего не даёт делать. Есть возможность
только ввести код разблокировки. Но чтобы его получить, надо отправить
SMS сообщение. Код разблокировки можно найти в интернете, более полные
собрания рабочих кодов по всем типам баннеров - официальные сайты
антивирусников.
Итак, Вы нашли код деактивации, ввели его и вздохнули с
облегчением – баннер исчез! Но успокаиваться рано! Дело в том, что
«хвосты» этой гадости остались в Вашей системе и не факт, что они не
будут портить Вам жизнь в будущем. Поэтому надо провести чистку системы.
Средств и способов сделать это существует великое множество, можете
выбирать на свой вкус. Я же рекомендую следующее:
Установите и
просканируйте систему вот этими программами Malwarebytes' Anti-Malware,
AVZ, SUPERAntiSpyware, затем выполнить восстановление системы на точку
до того, как поймали баннер. Некоторые не советуют, но можно попробовать
прогу ComboFix (прежде чем её использовать, очень рекомендую
ознакомиться с её описанием). Потом пройтись программой HijackThis, FAV.
И наконец любым антивирусом с обновлёнными базами. Эти мероприятия
дадут Вам некоторую уверенность в том, что в Вашей системе следов вируса
не осталось.
Всё вышеизложенное хорошо, но ведь в жизни не
всегда бывает так (точнее, всегда бывает не так), как хочется. В нашем
случае это – я не нашёл кода разблокировки и баннер нам удалить не
удаётся. В принципе, ничего смертельного в этом нет. Просто здесь уже
надо быть хоть немножко в курсе того, что происходит и что нужно
предпринимать. Хотя и здесь наши доблестные «антивирусники» попытались
облегчить нам жизнь.
- Вот образчик заботы об users:
Kaspersky Rescue CD.
Здесь всё просто. Качаем iso образ, пишем его на болванку и грузимся с
неё. Как это сделать? Ну если Вы этого не знаете, то лучше найти
знакомого хакера и он быстренько всё исправит. Загрузились? Запускаете
то, что там предложат и идёте пить кофе – времени процедура занимает
немало. Опять же всё зависит от Вашего процессора, объёма жёсткого диска
и т.д. В принципе, после завершения проверки и лечения, всё должно
работать безупречно. Перезагружаемся и наслаждаемся девственно чистой
системой.
- Ещё один инструмент, с помощью которого можно вылечить больную систему –
ERD Commander LiveCD.
Это очень мощный инструмент и пользоваться им нужно с осторожностью. Он
позволяет редактировать реестр зараженной системы, даёт доступ ко всем
файлам и папкам, в общем позволяет как вылечить систему, так и не менее
успешно – убить её окончательно!!!
Если Вы не знаете, что нужно делать,
то лучше делать всё в автоматическом режиме. Запускайте
RegOrganizer
(предварительно загрузившись с LiveCD), и предоставьте ему самому
решать, что делать. После завершения процесса перезагружаемся в свой
любимый Windows и идём в Интернет искать новых приключений!
Появились другие баннеры. Пришлось искать методы борьбы и с ними. Вот образец такого баннера:
Его можно отнести ко 2 типу, но я предложу более простой путь борьбы с
этой гадосью. Итак, мои исследования показали, что «виновником» такой
красоты на мониторе является файл plugin.exe, который находится в
C:/Program Files. Казалось бы, чего проще – удали его и делу конец! Но
не тут-то было. Для этого надо завершить процесс, а диспетчер задач,
естественно, заблокирован.
Но мы ведь уже опытные и нас этот факт не
пугает. Мы будем действовать как настоящие профи, т.е. воспользуемся
командной строкой. Как это сделать? Да очень просто:
1. Способ - Пуск – Выполнить и перед нами окошко для ввода любой команды!
- Ввести строку taskkill /f /im plugin.exe - Нажать Ок
Баннер пропадает!
- Затем удалить этот файл из С:/Program Files /plugin.exe
2. Способ - прога ProcessKiller (при установленной программе - нажимаем сочетание клавиш: Ctrl+Shift+~)
- Выбираем и завершаем plugin.exe
- Затем удалить этот файл из С:/Program Files /plugin.exe
Всё!!!
Можно бы и в реестре подчистить ссылку на этот файл, но предоставим
работу с реестром антивирусникам. Они найдут и удалят несуществующие
ссылки.
Ещё один баннер, который достаётся любителям «халявы».
Предлагаемые услуги можно оплатить с помощью отправки СМС или
«альтернативно» - просмотром рекламы. Вот один из распространителей.
При нажатии на «скачать книгу», выскакивает это:
После сохранения видим:
Запустив любой из этих файлов, видим следующее:
Короче, вы сами разрешаете установить себе баннер.
Читайте «соглашение»!!!!!!!!!! Потом не удивляйтесь, если у Вас вылезет вот это:
При нажатии на кнопку Закрыть (или при нажатии на ссылку Убрать
рекламу) появляется окно с сообщением, что вы «обязаны просмотреть еще …
показов рекламных рассылок, либо отказаться от просмотра рекламы, путём
отправки смс с текстом 7728 на номер 4125»:
Ну что ж, посмотрим, что можно сделать в этой ситуации.
При установке вирус создаёт в С:\Documents and
Settings\Имя_пользователя\Application Data\ вирус создает папки CMedia и
FieryAds, а также файл fieryads.dat
Если вы попытаетесь удалить
программу посредством файла Uninstall.exe, (есть такой файл в этих
папках, то откроется окно с сообщением, что вы обязаны просмотреть еще
1000 показов этой рекламы:
Как ликвидировать порно-баннер вручную и устранить последствия вирусной атаки: 1. Отключитесь от Интернета и от локальной сети;
– закройте все открытые веб-страницы;
– очистите кэш временных файлов Интернета, сохраненных веб-браузером;
– удалите cookies.
2. Поскольку у папки \Documents and
Settings\Имя_пользователя\Application Data\ установлены атрибуты
Скрытый, Системный, Только для чтения, чтобы найти и уничтожить вирусы:
– откройте Мой компьютер, выберите меню Сервис –> Свойства папки…
(или нажмите Пуск –> Настройка –> Панель управления –> Свойства
папки);
– в открывшемся диалоговом окне Свойства папки откройте вкладку Вид;
– в разделе Дополнительные параметры установите флажок Отображать
содержимое системных папок, снимите флажок Скрывать защищенные системные
файлы, установите переключатель Показывать скрытые файлы и папки –>
OK.
3. Выгрузите порно-баннер из памяти с помощью утилиты Process
Explorer, ProcessKiller или дождитесь, когда его окно закроется само;
– найдите папку \Documents and Settings\Имя_пользователя\Application Data\CMedia;
– удалите ее со всем содержимым (возможно, что файлы CMedia.dll и g.fla
просто так – без перезагрузки – вам не удастся удалить; чтобы удалить
их без перезагрузки, потребуется помощь Process Explorer);
– найдите папку \Documents and Settings\Имя_пользователя\Application Data\FieryAds;
– удалите ее вместе с содержимым (файлами FieryAds.dll и FieryAdsUninstall.exe);
– в папке \Documents and Settings\Имя_пользователя\Application Data удалите файл fieryads.dat.
Опять же, надо почистить реестр! Здесь лучше довериться антивирусам!
Частенько после удаления баннера пользователь не находит на мониторе ни
привычных значков, ни кнопки «Пуск», короче – чистые обои. При этом
нельзя запустить ни Диспетчер задач ни что либо другое. Всё это происки
того же баннера. Он поотключал эти функции и нам нужно восстановить их.
А как же это сделать, спросите Вы, ведь ничего абсолютно запустить нельзя, чем же восстанавливать?!
К счастью МелкоМягкие догадались предусмотреть возможность «Загрузки в
защищённом режиме с поддержкой командной строки» (есть такой пунктик в
меню входа в Безопасный режим (F8 при загрузке). Вот этой возможностью
мы и воспользуемся.
Для восстановления работы Диспетчера задач перепишите эту строку на бумажку:
REG add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 0 /f - Загрузитесь в безопасный режим с поддержкой командной строки (там в меню есть такой вариант загрузки)
- Появится окно ввода с мигающим курсором
- Введите эту строку (ооооочень желательно без ошибок!!!!)
- Нажмите Enter
- Должно появиться сообщение о том, что команда успешно выполнена.
- Перезагрузитесь в обычном режиме. Диспетчер задач должен запускаться.
Аналогичным методом можно «вернуть к жизни» и Regedit . Для этого нужно ввести вот эту строку:
REG add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableRegistryTools /t REG_DWORD /d 0 /f Отсюда же можно отключить всю автозагрузку:
REG DELETE HKLM\Software\Microsoft\Windows\CurrentVersion\Run /va /f
А вот теперь можно заняться и восстановлением работоспособности всей
системы с помощью программ, указанных в начале этой статьи. Читайте и
лечите свою систему.
