Для борьбы с вирусами - как починить компьютер

[uuu99950]

 Если Ваш компьютер оказался заражен вирусом, то Вы можете преследовать две цели:

1. Восстановить работоспособность, не разбираясь почему и что там случилось

2. Вы хотите не только восстановить работоспособность, но Вам еще интересно и поковыряться,  посмотреть куда этот вирус прописался.
--------------------------------------------------------------------------------------------------

Для первой цели, наиболее надежный путь - это откат к тому состоянию файлов системного реестра, которое было, пока компьютер был еще не заражен.

Сделать это можно только, если у Вас на компе осталась такая копия системного реестра.  По умолчанию, все компьютеры настроены так, что раз в сутки автоматически делается такая копия, правда для этого нужно чтобы компьютер был включен.  Некоторые пользователи отключают ежедневное
создание точек отката, и потом им откатываться не к чему.

Через Пуск - Все программы - Стандартные - Служебные - Восстановление системы, Вы можете посмотреть как выглядит этот стандартный инструмент - "календарик" Windows, и сделать еще одну контрольную точку отката прямо сейчас.

Файлы, необходимые для осуществления отката, WINDOWS прячет от обычных пользователей, они находятся в папке "System Volume Information". Сама папка имеет атрибут "скрытая", и на нее по умолчанию назначены NTFS-права такие, чтобы в нее не лазили посторонние. Вирусам это ограничение не помешает
повредить точки отката, если Вы работаете в WINDOWS под правами администратора.

Можно, если есть охота, залогинившись в WINDOWS  с правами администратора, назначить себе такие же NTFS-права на папку "System Volume Information", как назначены у ее владельца. И тогда Вы сможете заходить в эту папку, и увидеть сколько много там всего разного припасено, для отката к контрольным точкам на разные дни.  

Вопрос в том, как Вы собрались откатываться к этой точке отката, когда вирус поразит Ваш компьютер ?
Достаточно вредоносный вирус Вам так заблокирует Вам компьютер, что из под зараженной Windows Вы не сможете загрузиться даже в безопасном режиме.  И тогда Вам понадобится загрузочный CD.
Без него Вы просто не дотянетесь до нужных файлов незараженного системного реестра, чтобы починить компьютер.

Нужно загрузиться из под загрузочного CD.

Если у Вас нем загрузочного CD, то Вы можете скачать, например, образ который я выложил по ссылке, приведенной внизу поста.
И записать его на болванку CD-R или CD-RW при помощи программы CloneCD. А вообще, нам подойдет любой загрузочный CD, который позволяет копировать файлы с места на место.
С оговоркой, что копировать мы будем не стандартным проводником WINDOWS, а свежей версией программы FAR. Которую надо будет записать на флэшку.

На флэшку Вы записываете программу FAR.  Сначала вставляете флэшку, только потом перезапускаете комп, вставив этот CD. Если вставлять флэшку уже загрузившись c CD, то компьютер такую флэшку не увидит.

Когда будете грузиться с CD, на вопрос "Хотите загрузить сетевые драйверы" - ответьте "NO". Далее кликаете мышкой на GO -> Run -> Обзор - переходим на нашу флэшку и запускаем FAR.exe.  Раскрываем его во все окно.

На одной половине FAR - заходите в папку "C:\WINDOWS\system32\config"

На второй половине FAR - заходите в папку "System Volume Information", и ищете в ней вложенные папки с названием "snapshot", сравнивая их даты создания (они отображаются внизу синего окна)

Выбираете папку "snapshot" не за последнюю дату, а дней за несколько до того.
Нам нужна папка "snapshot" за такое число, когда предположительно, вируса на компе еще не было.

И вручную копируем эти 5 файлов системного реестра в папку "WINDOWS\system32\config",
под именами соответственно:  (речь везде идет про WINDOWS XP)

SAM
SECURITY
software
system
user,

   предварительно удалив все файлы из этой папки, которые там были.
   Папку "systemprofile" не трогаем при этом.

Файлы, которые нам нужно скопировать из папки
System Volume Information\...\snapshot\ -> в папку WINDOWS\system32\config,
имеют другие названия, но по их названиям понятно, какие именно надо забирать:

файл _REGISTRY_MACHINE_SAM       копируем в WINDOWS\system32\config, под именем SAM (без расширения)
файл _REGISTRY_MACHINE_SECURITY  копируем в WINDOWS\system32\config, под именем SECURITY (без расширения)
файл _REGISTRY_MACHINE_SOFTWARE  копируем в WINDOWS\system32\config, под именем software (без расширения)
файл _REGISTRY_MACHINE_SYSTEM    копируем в WINDOWS\system32\config, под именем system (без расширения)
файл _REGISTRY_USER_.DEFAULT     копируем в WINDOWS\system32\config, под именем user (без расширения)

Смотрим последнюю дату создания папок "snapshot" в папке System Volume Information\..., и выбираем
одну из папок "snapshot" с датой создания за несколько дней до этого.
Из нее мы будем копировать 5 нужных нам файлов.

Для копирования файлов удобно использовать программу FAR, так как стандартный проводник WINDOWS часто настроен так, что он то скрытые файлы и папки не показывает, то эти резервные копии системного реестра не показывает, то еще чего нибудь не отображает...

Как скопировали здоровые 5 файлов системного реестра в папку С:\WINDOWS\system32\config

- так пробуем перезагрузить компьютер, вынув CD.  Если здоровая копия файлов системного реестра у нас была, то с высокой вероятностю компьютер у нас починится.

*******************************************************************
Ниже приведена ссылка на файлообменник narod.ru, по которой я залил
ISO-файл для записи загрузочного CD, программу для создания резервного образа логического диска "Acronis True Image 10 Home", тот ее вариант который можно записатьна болванку CD-R/CD-RW, и программу FAR:

http://narod.ru/disk/2439324001/%20%20%D0%...%D0%BC.rar.html

[black-rook]

 Подбор кода для разблокировки Windows, если вирус просит отправить sms



http://www.esetnod32.ru/.support/winlock/

[ktn2000]

 А если уже грянуло - можно ли что-либо сделать?

Вчера днем дочка сидела в контакте и ей пришло сообщение от знакомой (кума дочка младшая) - типа ссылка на видео. и написано - посмотри там про тебя   Ролик и штук 10 комментов к нему от друзей (Страницы которых, как оказалось, впоследствии были взломаны, как и у девочки пятиклассницы, якобы это сообщение приславшей).
При этом ролик не открывается, а предлагается обновить флэш плеер и ссылка, якобы с сайта.
Я подошла посмотреть, думаю. какого фига - я только позавчера утром обновляла плеер  (автоматически предложил).
Да и у меня есть с сайта скачанный где-то.
Пока я им это рассказывала, а они мне орали - обновляй типа скачивай,  аваст - рассказал, что обнаружен троян. Лечению не подлежит, для удаления надо перезагрузиться и , кажется сам и начал перзагрузку.
Потом минут 10 я пыталась загрузиться, вернее он сам. Сначала выходил  безопасный режим, раза с третьего пошло.
Повышибало антивирусники.
Аваст не крутится, а стоит красный и написано – «Работает в режиме усиленной защиты. Временная мера необходимая для моментального реагирования на угрозы со стороны вирусных программ.
От Вас  не требуется никаких действий»
McAfee security scan plus вышибло вместе с папкаой "C:\Program Files\McAfee Security Scan\2.0.181"

Систему откатить, естественно не удалось, т.к. при

.   восстановление более раннего состояния компьютера
наблюдается всего одна (когда накрылось 3.06.2011 в 16.34. 26) системная контрольная точка
Сейчас уже и в Программы – Стандартные - Служебные - Восстановление системы не заходит.
Поиск тоже не работает...

Можно ли принять какие либо меры по изгнанию вредоносного вируса, кроме переустановки системы?

Я пока, сделала что могла:
1.Переинсталлировала  flash player, т.к. тюбик выдавал ошибку. После этого  начал показывать.
2. Заново скачала Avast и установила, но результат не изменился.
3. Запустила FAR – но  папку "System Volume Information" не нашла…

[alexander.1964]

 

(ktn2000 @ Jun 4 2011, 06:02 PM)

2. Заново скачала Avast и установила, но результат не изменился.

Скачай Dr.Web Cureit и просканируй в режиме усиленной защиты (сначала пойдёт быстрое сканирование - останови и нажми полное сканирование). Утилита бесплатная,если что есть - вылечить -не вылечит,но что найдёт - эт точно (конечно если что-то есть)

P.S. Ну можно было куда-то в один раздел за помощью...,кстати:советы совпали

[uuu99950]

 Жалко, что не делали заблаговременно копии системного реестра.
Теперь Вы осложнили себе жизнь, и нет гарантии, что удастся корректно восстановиться.

Что сейчас позволяет делать Ваш компьютер ?  Доступ в интернет работает ?
Попробуйте скачать и запустить программу Osam Portable:

http://www.online-solutions.ru/products/downloads.html

(Переносимая версия (не требует установки; “распаковал-и-используешь”): Help
osam_autorun_manager_5_0_portable.rar (4.07mb))

, и получить список файлов, прописанных в автозагрузку, и отображаемых в Osam Portable как недоверенные.

Если удастся запустить Osam, то один из недоверенных или красным отображаемых файлов - это Ваш вирус.  Нужно загрузить недоверенный файл (файлы) на

http://www.virustotal.com/ru/

убедиться что это именно он является вирусом, после чего загрузиться из под загрузочного CD, и переместить этот файл в другую папку. После чего перезагрузить компьютер еще раз, но уже с вынутым CD.

-----------
Но вообще, бороться с вирусом из под активной (и зараженной этим вирусом) операционной системы - это неправильно.  Нужно копировать исправный системный реестр, заранее припасенный, на голову зараженному, и делать это надо из под другой копии операционной системы. Обычно из под загрузочного CD/DVD

[sua]

 Добрый  день всем кстати всех с праздником !!! Может кому пригодится как я решил проблему с вирусами. Было много всего и смс и трояны вобщем хватало гадости.Dr.Web CureIt и AVZ хоршие проги но они много не видят. Установил Spybot Search & Destroy и глазам не поверил сколько всего было найдено перед тем как всё удалить обязательно проверяйте что вы удаляете там есть инструкция вобщем ничо полезного не нашёл там даже майкрософт прописался и всё удалил. К слову сказать эта прога реально помогла удаляет любой баннер открытие новых окон браузера но немного тормозит систему пришлось её удалить но это у меня может у кого она будет работать нормально. Пришлось искать оптимальный вариант и нашёл пока система работает без перебоев это Advanced SystemCare 5 есть ключ на год кому нужно без проблем поделюсь с антивирусами дружит. В заключении прогнал компьютер безплатной утилитой Kaspersky Virus Removal Tool 2011 и всё. Вирусов пока нет даже если появятся думаю справлюсь.

p.s. как пользоваться данными прогами могу рассказать хотя там и так всё понятно

С Уважением Юрий. :)  

[iwabo]

 Ага. Всех с праздниками! Вопрос прост. Если нету антивируса, но никуда в потенциально не лазить?

[sua]

(iwabo @ May 2 2012, 01:09 PM)

Ага. Всех с праздниками! Вопрос прост. Если нету антивируса, но никуда в потенциально не лазить?

 

Ну почему же ходите где хотите если вам так хочется есть проги которые и без антивируса в принципе могут удалить всё что вы наловите да и некоторые расширения для браузера справляюся.  

[uuu99950]

 К тому же, совсем никуда не лазить - не получится.
Принцип "не выходите из дома, и с Вами ничего не случится" - в данном случае все равно не спасет. :)

Лазить можно, и везде, но подготовившись.
Нужно иметь копию (как правило не одну) всего ценного, что Вам могут испортить на компьютере. Как минимум:

1. Копию файлов системного реестра, хотя бы раз в 7-10 дней. Но поскольку ее можно создавать автоматически, то проще сделать, чтобы ежедневно делалась.
Старые накопившиеся - периодически удалять.

2. Копию папки WINDOWS\system32 и копию папки Program Files (правильнее их делать из под загрузочного CD, а не из под активной WINDOWS).

3. Ценные для Вас фотографии, музыку, видеозаписи, WORD и EXEL файлы, и т.п. пользовательскую информацию.

Все эти копии нужно держать на автономных носителях: переносном жестком диске, и/или флэшках большого объема.  Год назад я купил флэшку на 32 Gb за 1000 руб :)  Оказалась довольно большая.

4. Держать рядом с компом проверенный работоспособный загрузочный CD, и уметь с него загружаться, копировать из под него файлы с места на место.

5. Держать CD с программой Акронис (или аналогом), и при помощи него делать раз в 1-2 месяца образ Вашего активного диска (почти у всех это диск С)

Тогда, можно считать, Вы подготовились.
На компьютере обязательно должен стоять файерволл, из рейтинга лучших на момент установки. Файерволом нужно научиься пользоваться (это несложно).

Если не ставите антивирус (что правильно делаете, т.к. они все равно пропускают) - то тогда ставите HIPS-программу. Т.е. такую, которые работают по принципу "белого списка": в здание пускают только тех, у кого есть пропуск.
Перед тем, как выдать пропуск новой, неизвестной программе - Вы проверяете ее 44 антивирусами на сайте VirusTotal. Это покруче будет, чем проверять каким-то одним антивирусом.

HIPS системы еще хороши тем, что мало потребляют ресурсов компьютера, и что больше всего мне нравится - их можно поставить несколько одновременно, они не конфликтуют между собой. И тогда они выстроют последовательную цепочку. У меня работало на компьютере одновременно 3 HIPS-программы, плюс 2 файерволла. Справлялись отлично, и совсем не тормозили комп. Чего не скажешь об антивирусах.

[alexander.1964]

 Доброго!

Вот получил по почте - не знаю правда или нет,но на всякий случай:

(...
09:11

Привет.В друзья будет проситься Андрей Федотов, Тамбов, 27 лет -не соглашайся и не смотри его страницу, разрушает комп. Передай тем, кто у тебя в друзьях. Если кто-то из друзей его хапнет, то он автоматически перейдет к тебе. И еще кузнечик@майл.ру и сателит@бк.ру тоже вирус. В "Одноклассники" запустили ВИРУС. Он разрушает весь жесткий диск. Если кто-то схватит из твоего списка, то ты тоже. Скажи всем своим друзьям, чтобы они не добавляли в контакт bernar, kz@mail.ru, потому что это ВИРУС. Windows летит при первом выключении компьютера. А если кто-то из твоих контактов его словит, то он у тебя тоже будет автоматически. Скопируй это и перешли всем своим друзьям. Попросили все


Хотите верьте - хотите нет...

[ktn2000]

 А само это послание, которое надо скопировать, случайно не под вирусом уже?
Подобное уже и раньше рассылалось..

[sua]

(alexander.1964 @ May 18 2012, 01:28 PM)

Доброго!

Вот получил по почте - не знаю правда или нет,но на всякий случай:

(...
09:11

Привет.В друзья будет проситься Андрей Федотов, Тамбов, 27 лет -не соглашайся и не смотри его страницу, разрушает комп. Передай тем, кто у тебя в друзьях. Если кто-то из друзей его хапнет, то он автоматически перейдет к тебе. И еще кузнечик@майл.ру и сателит@бк.ру тоже вирус. В "Одноклассники" запустили ВИРУС. Он разрушает весь жесткий диск. Если кто-то схватит из твоего списка, то ты тоже. Скажи всем своим друзьям, чтобы они не добавляли в контакт bernar, kz@mail.ru, потому что это ВИРУС. Windows летит при первом выключении компьютера. А если кто-то из твоих контактов его словит, то он у тебя тоже будет автоматически. Скопируй это и перешли всем своим друзьям. Попросили все


Хотите верьте - хотите нет...

 

Не бывает сайта-вируса или человека-вируса )))))) Эх... надо было в детстве больше с компьютером тыркаться, чтобы панику такую не поднимать. Вирус - это программа. Программа может быть в файле. На веб-странице может быть вирус только в том случае, если владелец этой страницы специально туда его закачал. Владелец проекта Одноклассники.ру не станет закачивать вирус себе на сайт, приносящий доход. А если левый человек дает вам левую ссылку - это ваша проблема, лезть туда или нет.;)  

[ktn2000]

 

Владелец проекта Одноклассники.ру не станет закачивать вирус себе на сайт,

Так и не говорится, что владелец запустил себе вирус, а какой-то "доброжелатель"... А дальше

Если кто-то схватит из твоего списка, то ты тоже

Вот и интересуюсь - возможно ли это...
А насчет вируса в файле - это известно...
Но тут же рассказывается про автоматически

Передай тем, кто у тебя в друзьях. Если кто-то из друзей его хапнет, то он автоматически перейдет к тебе.

 

[sua]

 Я думаю если ты игнарируешь левые ссылки и сообщения ничо не будет на счёт автоматически точно не могу сказать но думаю нельзя, 4 года сижу в одноклассниках ни разу ничего не было хоть мне и отправляли всякие письма якобы друзья и не понятно кто, если кто то опасается всевозможного спама и ссылок ну не ходите в одноклассники или установите на компе хорошую защиту.;)  

[uuu99950]

 

(alexander.1964 @ May 19 2012, 12:17 AM)

Хорошо   прописаный    троян  (+    кейлоггер)   и    не    на    такое    способен.


Хорошо прописанному ХХХ (название впишите сами) требуется исполниться на компьютере атакуемого пользователя, а драйверу или библиотеке - необходимо загрузиться.

Любая нормальная HIPS-программа - сразу же пресечет эту попытку, по принципу что контрольная сумма EXE-шника, или SYS (драйвер), или LIB (библиотека), или аналогичной,(защищенная, т.е. SHA256 или наподобие) - не входит в список разрешенных.

HIPS-программа задаст Вам много вопросов: Действительно ли Вы хотите разрешить загрузить/исполнить подозрительный софт  1 раз ?  А много раз ?  А разрешить постоянно ?  

[alexander.1964]

 

один из последних и таких с украденными страничками только я могу дать с десяток и двух - кто украл

Может обьяснишь - как воруют?

P.S.    на   счет   -   "автоматически    к    Вам"  -здесь     uuu99950 прав,       --    не  должен    перейти

[МихалычЪ]

(alexander.1964 @ Oct 12 2012, 10:49 PM)

Шо хотели?

 

Ноутбук то заказал?

[alexander.1964]

 

(МихалычЪ @ Oct 12 2012, 11:15 PM)

Ноутбук то заказал?

Не,только    присматриваю      :)
Чтот     радикал   не   смог    загрузить,это    только    у   меня?

[МихалычЪ]

 

(alexander.1964 @ Oct 12 2012, 11:33 PM)

радикал не смог загрузить

У многих..с утра гружу через их прогу...через раз на пятый удается..

[МихалычЪ]