Как вылечить блокирующий компьютер
Как правило, это «троян» из семейства Winlock. Определить его легко: если на экране появляется изображение порнографического или, наоборот, делового характера, и при этом компьютер прекращает отвечать на команды – это наш клиент.
Баннер при этом часто содержит сообщение «Ваш компьютер заблокирован» и предложение отправить платное SMS или внести деньги на указанный счёт, – якобы только после этого вредный баннер (а с ним и блокировка ПК) исчезнет. На изображении даже есть поле, куда нужно вписать специальный код, который должен прийти после выполнения вышеуказанных требований. Принцип действия таких вредоносных элементов сводится к подмене параметров Shell в оболочке операционной системы и нивелированию функций проводника Виндовс
Есть несколько поколений вирусов-вымогателей. Некоторые из них обезвреживаются в пару кликов, другие требуют манипуляций посерьезней. Мы приведём способы, применив которые, вы сможете справиться с любым трояном такого рода.
Способ №1
Диспетчер задач
Этот метод сработает против примитивных троянов. Попробуйте вызвать обычный диспетчер задач (комбинация клавиш CTRL+ALT+DEL или CTRL+SHIFT+ESC). Если это удастся, найдите в перечне процессов то, что не должно быть запущено, и завершите его.
Если диспетчер не вызывается, можно еще воспользоваться менеджером процессов через клавиши Win+R. В поле «Открыть» впишите слово «notepad» и нажимайте ENTER, – таким образом, вы откроете приложение Блокнот. В отрывшемся окне приложения наберите произвольные символы и коротко нажмите кнопку включения/выключения на своем ноутбуке или стационарном ПК. Все процессы, в том числе, и троянский, тут же завершатся, но компьютер не выключится. Пока вирус деактивирован, вы сможете найти относящиеся к нему файлы и ликвидировать их или же выполнить проверку антивирусом.
Если вы не успели установить антивирусное ПО, вы спросите: как удалить вирус-вымогатель с компьютера? В большинстве случаев отпрыски злобного семейства Winlock пробираются в каталоги каких-нибудь временных файлов или временные файлы браузера. Прежде всего, проверьте пути:
C: Documents and Settings каталог, в котором указано имя пользователя и
C: Users каталог по имени пользователя AppData Roaming .
Там ищите «ms.exe», а также подозрительные файлы с произвольным набором символов вроде «0.277949.exe» или «Hhcqcx.exe» и удалите их.
Способ №2
Удаление файлов вируса в безoпасном рeжиме
Если первый способ не подействовал и Виндовс заблокирован – что делать в таком случае? Здесь также расстраиваться не стоит. Значит, мы столкнулись с продвинутым троянчиком, который подменяет системные компоненты и устанавливает блокировку на запуск Диспетчера задач.
В этом случае нам придётся выбрать работу в безопасном режиме. Перезагрузите компьютер. При запуске Windows удерживайте F8. В отобразившемся меню выберите «Безопасный режим с поддержкой командной строки».
Дальше в консоли следует написать: «explorer» и нажать ENTER – вы запустите проводник. После этого прописываем в командной строке слово «regedit» и снова-таки жмём ENTER. Так мы вызовем редактор реестра. В нём вы сможете найти созданные трояном записи, а еще – место, откуда происходит его автозапуск.
Пути к файлам злопакостного компонента будут, скорее всего, в ключах Shell и Userinit (в первом он прописывается explorer.exe, а в «Userinit» его легко определить по запятой). Дальше порядок действий таков: копируем полное имя обнаруженного вирусного файла правой кнопкой в буфер обмена, в командной строке пишем «del», после чего ставим пробел и вставляем скопированное имя. ENTER – и готово. Теперь вы знаете, как удалить вирус-вымогатель.
Также делаем и с остальными заразными файлами.
Способ № 3
Восстановление системы
Загружаем систему в безопасном режиме, как это описано выше. В командной строке прописываем: «C:WINDOWSsystem32Restorerstrui.exe». Современные версии поймут и просто «rstrui». Ну и, естественно, ENTER.
Перед вами всплывет окно «Восстановление системы». Здесь вам нужно будет выбрать точку восстановления, а вернее – дату, предшествующую попаданию вируса на ПК. Это может быть вчерашний день, а может быть месяц назад. Словом, выбирайте то время, когда ваш компьютер был 100% чист и здоров. Вот и вся разблокировка Windows.
Способ №4.
Аварийный диск
Этот способ предполагает, что у вас есть время загрузить софт с другого компьютера или сходить за ним к другу. Хотя, может быть, вы предусмотрительно им уже обзавелись?
Специальное ПО для экстренного лечения и восстановления системы многими разработчиками поставляется прямо в антивирусных пакетах. Однако аварийный диск можно также скачать отдельно – бесплатно и без регистрации.
Вы можете воспользоваться ESET NOD32 LiveCD, Comodo Rescue Disk, Kaspersky Rescue Disk илиDr.Web LiveDisk. Все эти приложения работают по одному принципу и могут быть размещены как на CD, DVD, так на USB-накопителе. Они автоматически загружаются вместе с интегрированной ОС (чаще всего это Linux), блокируют запуск Windows и, соответственно – вредоносных элементов, сканируют компьютер на предмет вирусов, удаляют опасное ПО, лечат зараженные файлы.
Они автоматически загружаются вместе с интегрированной ОС (чаще всего это Linux), блокируют запуск Windows и, соответственно – вредоносных элементов, сканируют компьютер на предмет вирусов, удаляют опасное ПО, лечат зараженные файлы.
Вывод:
Если разблокировка Windows, удаление баннера с рабочего стола проведены успешно, не спешите на радостях обо всём забыть и дальше так же беспечно бороздить просторы Интернета. Раз в вашей системе безопасности есть брешь, поторопитесь скачать антивирус. Мы рекомендуем выбрать один из лучших вариантов бесплатной защиты от всех типов вирусов – Avast Free Antivirus, AVG Antivirus Freeили 360 Total Security.
Заметки Хакера – ПОДПИШИСЬ
Источник
class=”eliadunit”>
Самым неприятным Баннером является баннер, блокирующий рабочий стол и любые действия с ним, так называемый Winlock. Рассмотрим варианты решения данной проблемы.
Как я уже говорил, не в коем случае никаких СМС не отправляем на короткие номера, не кладем деньги через терминал и не ждем пароля на чеке из терминала. Первое, что нужно сделать – это попробовать загрузить компьютер в безопасном режиме.
Вариант 1. Делается это так – при включении компьютера, после заставки БИОС нажимаем клавишу F8.
Появится список с вариантами загрузки. Выбираем Безопасный режим и нажимаем ENTER (Как выглядит это меню можно увидеть на картинках:Windows XP, Windows Vista, Windows 7). Если все хорошо, и компьютер удалось запустить, нажимаем ПУСК-ВСЕ ПРОГРАММЫ-СТАНДАРТНЫЕ-СЛУЖЕБНЫЕ-ВОССТАНОВЛЕНИЕ СИСТЕМЫ и пробуем вернуть состояние компьютера на дату, когда Баннера попрошайки не было. Если получилось и Баннер исчез – УРА!!! Если остался на месте – переходим к следующему пункту.
Вариант 2. Пишем в пункте ВЫПОЛНИТЬ (нажать ПУСК-ВЫПОЛНИТЬ и в окошке ввести) “msconfig” (полный список системных команд можно посмотреть тут). Запустится окно с параметрами загрузки Windows. На вкладке АВТОЗАГРУЗКА ищем подозрительные или незнакомые программы, которые запускаются автоматически и снимаем с них галки. Нажимаем ПРИМЕНИТЬ и перезагружаем компьютер. Замечу, что данные операции надо производить от имени администратора системы, т.е. при загрузке Безопасного режима выполнить вход от имени администратора компьютера-показывается под именем пользователя. Баннер исчез – УРА!!! Если остался на месте, переходим к следующему пункту.
Вариант 3. Загружаемся опять в Безопасном режиме. В пункте ВЫПОЛНИТЬ пишем “regedit”. Запустится редактор реестра. ВНИМАНИЕ! Тут надо быть предельно осторожным, не удалять и не изменять ничего лишнего, иначе все попытки вернуть компьютер к жизни могут сойти на нет и Ваш единственный вариант будет номер “Х” – переустановка Windows. Итак приступим. Ищем путь
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/WindowsNT/CurrentVersion/Image File Execution Options/
в нем смотрим на наличие подразделы “explorer.exe” и “iexplore.exe”. Если такие оказываются – нещадно удаляем их (для этого нажимаем правой кнопкой на подразделе, в данном случае на “explorer.exe”, выбираем УДАЛИТЬ и на вопрос о подтверждении удаления нажимаем ДА), если нет – действуем дальше. Теперь проверяем параметры запуска “explorer.exe”. Для этого ищем путь
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/WindowsNT/CurrentVersion/Winlogon/, нажимаем на разделе Winlogon левой клавишей мыши и в правом окне ищем параметр “SHELL“. Кликаем на нем правой клавишей мыши и нажимаем ИЗМЕНИТЬ в выпавшем меню. В окошке “Изменение строкового параметра” должно быть написано “explorer.exe” (без кавычек) и ничего другого. Таким же образом в этой ветке реестра ищем параметр “Userinit“. В нём должна быть надпись “C:WINDOWSsystem32userinit.exe,” (в конце обязательно запятая. “С:” – диск, на котором установлена Windows). Если записи отличается от нужного – все исправляем. Закрываем редактор реестра и перезагружаемся. Баннер исчез – троекратное УРА!!! Остался на месте – переходим к следующему пункту.
Вариант 4. В обычном режиме компьютер не загружается – и висит баннер. В безопасном режиме компьютер не запускается. Пробуем загрузку в Безопасном режиме с поддержкой командной строки. Нажимаем ENTER. Выбираем нашу операционную систему и жмём также ENTER. Заходим от имени Администратора. Windows запустится без рабочего стола, ярлыков и разных иконок и кнопок. Зато запустится Командная строка – окошко с надписью “cmd.exe” в самом верху. В самом окне будет написано что-то вроде этого:
Нам необходимо попасть в каталог C:Windows. Для этого вводим команду “CD..” (без кавычек) и нажимаем ENTER. Это действие переведёт нас на уровень выше. Далее повторяем команду – и вот мы уже в корне диска С. Далее необходимо попасть в саму папку WINDOWS. Для этого пишем “CD WINDOWS” и нажимаем клавишу ENTER. Теперь запускаем Explorer набрав команду “explorer.exe” и нажав кнопку ENTER. Если запустился Рабочий стол – прекрасно, выполняем Вариант 3 (кроме конечно загрузки в безопасном режиме, так как мы уже в нём). Если запустился Проводник, то так же выполняем Вариант 3, а после этого скачиваем программу RAZBLOCKER (есть описание и ссылка на скачивание у нас на сайте- вот тут) и разблочем всё нужные функции.
Вариант 5. Скачать на любом компьютере программу RansomHide (есть описание и ссылка на скачивание у нас на сайте – вот тут). Программа предоставляет возможность подбора ответного кода для ввода в поле баннера. Это почти полный клон сервисов с аналогичными функциями, таких как DRWEB, Касперский и т.д. за одним исключение – не требуется подключения к интернету.
Вариант 6. Если на Рабочем столе красуется баннер и ничего не работает, а при одновременном нажатии клавиш CTRL ALT DEL Диспетчер задач запускается и закрывается через долю секунды (грубо говоря моргает), то не всё так плохо! Делаем следующее- Зажимаем все три кнопки CTRL ALT DEL и не отпуская пробуем найти и закрыть эту заразу в процессах (вторая слева вкладка, выбираем подозрительный процесс и нажимаем кнопку Завершить процесс справа внизу окна). Ну а дальше Вариант 1-3 Вам в помощь! И не бойтесь чего испортить. Максимум компьютер повиснет.
Вариант 7. Заходим в БИОС компьютера и пробуем перевести часы компьютера на несколько дней вперёд. Бывает, что информер или баннер пропадает (редко, но бывает помогает).
Если ни один вариант Вам не подошел, Можно воспользоваться так называемыми LiveCD, записав их на болванку (как записать образ на диск-смотрим тут)(как записать образ на флешку или USB-HDD – смотрим тут):
_____________________________________________________________
Образ Dr.WEB LiveCD- скачать.
Руководство пользователя – скачать.
Цитата с официального сайта:
“Диск аварийного восстановления системы
Если действия вредоносных программ сделали невозможной загрузку компьютера под управлением Windows или Unix, восстановите работоспособность пораженной системы бесплатно с помощью Dr.Web LiveCD!
Dr.Web LiveCD поможет не только очистить компьютер от инфицированных и подозрительных файлов, но и скопировать важную информацию на сменные носители или другой компьютер, а также попытается вылечить зараженные объекты.”
_____________________________________________________________
Образ Dr.Web LiveUSB – скачать.
Руководство пользователя – скачать.
Цитата с официального сайта:
“Dr.Web LiveUSB — продукт, позволяющий провести аварийное восстановление операционной системы с помощью загрузочного USB-накопителя.
Предназначен для работы в операционных системах Windows (32- и 64-битные версии). Для загрузки с флеш-накопителя BIOS вашего компьютера должен поддерживать устройство USB-HDD в качестве загрузочного.”
_____________________________________________________________
Образ Kaspersky Rescue Disk – скачать.
Руководство пользователя – скачать.
Цитата с официального сайта:
“Kaspersky Rescue Disk предназначен для проверки и лечения зараженных x86 и х64-совместимых компьютеров. Программа применяется при такой степени заражения, когда не представляется возможным вылечить компьютер с помощью антивирусных программ или утилит лечения (например, Kaspersky Virus Removal Tool), запускаемых под управлением операционной системы. При этом эффективность лечения повышается за счет того, что находящиеся в системе вредоносные программы не получают управления во время загрузки операционной системы.”
_____________________________________________________________
ERD Commander 5.0
Образ загрузочного диска со всеми необходимыми средствами для удаления баннеров, вымогалок и информеров.
В составе:
– редактор реестра восстанавливаемой системы
– откат системы до ранее созданной точки восстановления
– управление дисками
– средство сброса системных паролей
– редактор автозагрузки
– управление службами и драйверами
– просмотр системных событий
Ссылка на программы записи образов находится выше.
Инструкция использования:
– Загружаемся с диска.
– Запускаем редактор реестра.
– Ищем раздел HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon
– Находим два параметра, которые должны иметь такие значения:
Shell = Explorer.exe
Userinit = C:WINDOWSsystem32userinit.exe,
– Исправляем эти параметры согласно положенных значений.
– Перезагружаем компьютер.
– Если удалось загрузиться, первым делом запускаем антивирус и выполняем полное сканирование.
В 90% случаев этот вариант помогает.
Ссылка на образ диска ERD Commander 5.0:
torrent
class=”eliadunit”>
Источник
Список лечащих утилит со ссылками на скачивание. Это не антивирусы работающие постоянно, это утилиты для лечения уже зараженных компьютеров! Запустил утилиту – полечил.
С помощью утилиты Dr.Web CureIt!® без установки Dr.Web в системе Вы можете быстро проверить Ваш компьютер и, в случае обнаружения вредоносных объектов, вылечить его. 
https://free.drweb.ru/cureit
С помощью утилиты Kaspersky Virus Removal Tool без установки Антивируса Касперского в системе Вы можете быстро проверить Ваш компьютер и, в случае обнаружения вредоносных объектов, вылечить его.
https://www.kaspersky.ru/antivirus-removal-tool
Антивирусная утилита AVZ предназначена для обнаружения и удаления:
SpyWare и AdWare модулей – это основное назначение утилиты
Dialer (Trojan.Dialer)
Троянских программ
BackDoor модулей
Сетевых и почтовых червей
TrojanSpy, TrojanDownloader, TrojanDropper
Утилита является прямым аналогом программ TrojanHunter и LavaSoft Ad-aware 6. Первичной задачей программы является удаление SpyWare и троянских программ.
https://z-oleg.com/secur/avz/download.php
Дополнение к “Восстановления системы” от AVZ
1.Восстановление параметров запуска .exe, .com, .pif файлов
Данная микропрограмма восстанавливает реакцию системы на файлы exe, com, pif, scr.
Показания к применению:
после удаления вируса перестают запускаться программы.
2.Сброс настроек префиксов протоколов Internet Explorer на стандартные
Данная микропрограмма восстанавливает настройки префиксов протоколов в Internet Explorer
Показания к применению:
при вводе адреса типа www.yandex.ru идет его подмена на что-то вида www.seque.com/abcd.php?url=www.yandex.ru
3.Восстановление стартовой страницы Internet Explorer
Данная микропрограмма восстанавливает стартовую страницу в Internet Explorer
Показания к применению:
подмена стартовой страницы
4.Сброс настроек поиска Internet Explorer на стандартные
Данная микропрограмма восстанавливает настройки поиска в Internet Explorer
Показания к применению:
При нажатии кнопки “Поиск” в IE идет обращение к какому-то постороннему сайту
5.Восстановление настроек рабочего стола
Данная микропрограмма восстанавливает настройки рабочего стола. Восстановление подразумевает удаление всех активных элементов ActiveDesktop, обоев, снятие блокировок на меню, отвечающее за настройки рабочего стола.
Показания к применению:
Исчезли закладки настройки рабочего стола в окне “Свойства:экран”, на рабочем столе отображаются посторонние надписи или рисунки
6.Удаление всех Policies (ограничений) текущего пользователя
Windows предусматривает механизм ограничений действий пользователя, называемый Policies. Этой технологией пользуются многие вредоносные программы, поскольку настройки хранятся в реестре и их несложно создавать или модифицировать.
Показания к применению:
Заблокированы функции проводника или иные функции системы.
7.Удаление сообщения, выводимого в ходе WinLogon
Windows NT и последующие системы в линейке NT (2000, XP) позволяют установить сообщение, отображаемое в ходе автозагрузки. Этим пользуется ряд вредоносных программ, причем уничтожение вредоносной программы не приводит к уничтожению этого сообщения.
Показания к применению:
В ходе загрузки системы вводится постороннее сообщение.
8.Восстановление настроек проводника
Данная микропрограмма сбрасывает ряд настроек проводника на стандартные (сбрасываются в первую очередь настройки, изменяемые вредоносными программами).
Показания к применению:
Изменены настройки проводника
9.Удаление отладчиков системных процессов
Регистрация отладчика системного процесса позволят осуществить скрытый запуск приложение, что и используется рядом вредоносных программ
Показания к применению:
AVZ обнаруживает неопознанные отладчики системных процессов, возникают проблемы с запуском системных компонент, в частности после перезагрузки исчезает рабочий стол.
10.Восстановление настроек загрузки в безопасном режиме (SafeMode)
Некоторые вредоносные программы, в частности червь Bagle, повреждают настройки загрузки системы в защищенном режиме. Данная микропрограмма восстанавливает настройки загрузки в защищенном режиме.
Показания к применению:
Компьютер не загружается в защищенном режиме (SafeMode). Применять данную микропрограмму следует только в случае проблем с загрузкой в защищенном режиме.
11.Разблокировка диспетчера задач
Блокировка диспетчера задач применяется вредоносными программами для защиты процессов от обнаружения и удаления. Соответственно выполнение данной микропрограммы снимает блокировку.
Показания к применению:
Блокировка диспетчера задач, при попытке вызова диспетчера задач выводится сообщение “Диспетчер задач заблокирован администратором”.
12.Очистка списка игнорирования утилиты HijackThis
Утилита HijackThis хранит в реестре ряд своих настроек, в частности – список исключений. Поэтому для маскировки от HijackThis вредоносной программе достаточно зарегистрировать свои исполняемые файлы в списке исключений. В настоящий момент известен ряд вредоносных программ, использующих данную уязвимость. Микропрограмма AVZ выполняет очистку списка исключений утилиты HijackThis
Показания к применению:
Подозрения на то, что утилита HijackThis отображает не всю информацию о системе.
13. Очистка файла Hosts
Очистка файла Hosts сводится к поиску файла Hosts, удалению из него всех значащих строк и добавлению стандартной строки “127.0.0.1 localhost”.
Показания к применению:
Подозрения на то, файл Hosts изменен вредоносной программой. Типичные симптомы – блокировка обновления антивирусных программ. Проконтролировать содержимое файла Hosts можно при помощи менеджера Hosts файла, встроенного в AVZ.
14. Автоматическое исправление настроек SPl/LSP
Выполняет анализ настроек SPI и в случае обнаружения ошибок производит автоматическое исправление найденных ошибок. Данную микропрограмму можно запускать повторно неограниченное количество раз. После выполнения данной микропрограммы рекомендуется перезагрузить компьютер. Внимание ! Данную микропрограмму нельзя запускать из терминальной сессии
Показания к применению:
После удаления вредоносной программы пропал доступ в Интернет.
15. Сброс настроек SPI/LSP и TCP/IP (XP+)
Данная микропрограмма работает только в XP, Windows 2003 и Vista. Ее принцип работы основан на сбросе и пересоздании настроек SPI/LSP и TCP/IP при помощи штатной утилиты netsh, входящей в состав Windows. Подробно про сброс настроек можно прочитать в базе знаний Microsoft – https://support.microsoft.com/kb/299357 Обратите внимание ! Применять сброс настроек нужно только в случае необходимости при наличие неустранимых проблем с доступом в Интернет после удаления вредоносных программ !
Показания к применению:
После удаления вредоносной программы пропал доступ в Интернет и выполнение микропрограммы “14. Автоматическое исправление настроек SPl/LSP” не дает результата.
16. Восстановление ключа запуска Explorer
Восстанавливает системные ключи реестра, отвечающие за запуск проводника.
Показания к применению:
В ходе загрузки системы не запускается проводник, но запуск explorer.exe вручную возможен.
17. Разблокировка редактора реестра
Разблокирует редактор реестра путем удаления политики, запрещающей его запуск.
Показания к применению:
Невозможно запустить редактор реестра, при попытке выводится сообщение о том, что его запуск заблокирован администратором.
18. Полное пересоздание настроек SPI
Выполняет резервное копирование настроек SPI/LSP, после чего уничтожает их и создает по эталону, который хранится в базе.
Показания к применению:
Тяжелые повреждения настроек SPI, неустранимые скриптами 14 и 15. Применять только в случае необходимости !
19. Очистить базу MountPoints
Выполняет очистку базы MountPoints и MountPoints2 в реестре. Данная операция нередко помогает в случае, когда после заражения Flash-вирусом в проводнике не открываются диски Для выполнения восстановления необходимо отметить один или несколько пунктов и нажать кнопку “Выполнить отмеченные операции”. Нажатие кнопки “ОК” закрывает окно.
На заметку:
Восстановление бесполезно, если в системе работает троянская программа, выполняющая подобные перенастройки – необходимо сначала удалить вредоносную программу, а затем восстанавливать настройки системы
На заметку:
Для устранения следов большинства Hijacker необходимо выполнить три микропрограммы – “Сброс настроек поиска Internet Explorer на стандартные”, “Восстановление стартовой страницы Internet Explorer”, “Сброс настроек префиксов протоколов Internet Explorer на стандартные”
На заметку:
Любую из микропрограмм можно выполнять несколько раз подряд без ущерба для системы. Исключения – “5.Восстановление настроек рабочего стола” (работа этой микропрограммы сбросит все настройки рабочего стола и придется заново выбирать раскраску рабочего стола и обои) и “10. Восстановление настроек загрузки в SafeMode” (данная микропрограмма пересоздает ключи реестра, отвечающие за загрузку в безопасном режиме).
Источник