Как вылечить флешку от авторанов
Статьи » Удаляем вирус Autoran с Флешки
Если Вы удаляете вирус с флешки, а папки становятся ярлыками снова?
Или как удалить вирус Autoran c флешки?
Антивирусы уже научились блокировать вирусы вида “autorun.inf“, который запускает вирус при открытии флешки.
По сети и от флешки к флешке довольно давно разгуливает новый тип вирусов одного семейства, попросту – очередные трояны. Заражение ими можно сразу обнаружить невооруженным взглядом без всяких антивирусов, главный признак – это все папки на флешке превратились в ярлыки.
Если на флешке важные файлы, первым делом Вы броситесь открывать все папки (ярлыки) по очереди, чтобы удостовериться в наличии файлов – вот это делать, совсем не стоит!
Проблема в том, что в этих ярлыках записано по две команды, первая – запуск и установка вируса в ПК, вторая – открытие Вашей драгоценной папки.
Чистить флешку от таких вирусов будем пошагово.
Шаг 1. Отобразить скрытые файлы и папки.
Если у Вас Windows XP, то проходим путь: “Пуск-Мой компьютер-Меню Сервис-Свойства папки-Вкладка вид”:
На вкладке “Вид” отыскиваем два параметра и выполняем:
- Скрывать защищенные системные файлы (рекомендуется) – снимаем галочку
- Показывать скрытые файлы и папки – устанавливаем переключатель.
Если у Вас Windows 7, нужно пройти немного другой путь: ”Пуск-Панель Управления-Оформление и персонализация-Параментры папок-Вкладка Вид”.
Вам нужны такие же параметры и их нужно включить аналогичным образом. Теперь Ваши папки на флешке будет видно, но они будут прозрачными.
Шаг 2. Очистка флешки от вирусов.
Зараженная флешка выглядит так, как показано на рисунке ниже:
Чтобы не удалять все файлы с флешки, можно посмотреть, что запускает любой из ярлыков (обычно они запускают один и тот же файл на той же флешке). Для этого нужно посмотреть свойства ярлыка, там Вы найдете двойной запуск – первый открывает Вашу папку, а второй – запускает вирус:
Нас интересует строка “Объект”. Она довольно длинная, но в ней легко найти путь к вирусу, чаще всего это что-то типа 118920.exe в папке Recycle на самой флешке. В моем случае, строка двойного запуска выглядела так:
%windir%system32cmd.exe /c “start %cd%RECYCLER6dc09d8d.exe &&%windir%explorer.exe %cd%support
Вот тот самый путь: RECYCLER6dc09d8d.exe – папка на флешке и вирус в ней.
Удаляем его вместе с папкой – теперь клик по ярлыку не опасен (если вы до этого не успели его запустить).
Шаг 3. Восстановление прежнего вида папок.
1. Удаляем все ярлыки наших папок – они не нужны.
2. Папки у нас прозрачные – это значит, что вирус загрузчик пометил их системными и скрытыми. Просто так эти атрибуты Вам не отключить, поэтому нужно воспользоваться сбросом атрибутов через командную строку.
Для этого есть 2 пути:
Путь 1:
Открываем “Пуск”-Пункт “Выполнить”-Вводим команду CMD-нажимаем ENTER. Откроется черное окно командной строки в ней нужно ввести такие команды:
- cd /d f: нажать ENTER, где f: – это буква нашей флешки (может отличатся от примера)
- attrib -s -h /d /s нажать ENTER – эта команда сбросит атрибуты и папки станут видимыми.
Путь 2:
1. Создать текстовый файл на флешки.
2. Записать команду attrib -s -h /d /s в него, переименовать файл в 1.bat и запустить его.
3. В случае, когда у Вас не получается создать такой файл – Вы можете скачать мой: Bat файл для смены атррибутов
Если файлов много, то возможно потребуется время на выполнение команды, иногда до 10 минут!
4. После этого, можно вернутся к первому шагу и восстановить прежний вид папок, то есть, скрыть системные скрытые файлы.
Как проверить является ли Ваш ПК переносчиком вируса?
Если у Вас есть подозрение, что именно Ваш ПК разносит этот вирус по флешкам, можно просмотреть список процессов в диспетчере задач. Для этого нажмите CTRL+ALT+DEL и поищите процесс с названием похожим на FS..USB…, вместо точек – какие либо буквы или цифры.
Источник данного процесса не удаляется ни AviraAntivir, ни DrWeb CureIT, ни Kaspersky Removal Tool.
Я лично удалил его F-Secure пробной версией, а прячется он в виде драйвера и отыскать его можно с помощью утилиты Autoruns.
Источник
Вообще, в файле autorun.inf нет ничего криминального — он предназначен для того, чтобы операционная система Windows могла автоматически запустить ту или иную программу. Тем самым существенно облегчить жизнь пользователю, особенно начинающему.
К сожалению, довольно часто этот файл используется вирусами. Если ваш компьютер заразился подобным вирусом, то вы можете даже не зайти на ту или иную флешку или раздел диска. В этой статье попробуем разобраться, как можно удалить файл autorun.inf и избавиться от вируса.
1. Способ борьбы №1
1) Первым дело скачайте один из антивирусов (если у вас его нет) и проверьте полностью весь компьютер, в том числе и флешку. Кстати, хорошие результаты показывает антивирусная программа Dr.Web Cureit (к тому же, ее не нужно устанавливать).
2) Скачайте специальную утилиту Unlocker (ссылка на описание). При помощи нее можно удалить любой файл, который не удается удалить обычным образом.
3) Если файл удалить не удалось, попробуйте загрузить компьютер в безопасном режиме. Если удалось — то удалить подозрительные файлы, к том числе и autorun.inf.
4) После удаления подозрительных файлов, установите какой-нибудь современный антивирус и полностью проверьте компьютер еще раз.
2. Способ борьбы № 2
1) Заходим в диспетчер задач «Cntrl+Alt+Del» (иногда, диспетчер задач может быть недоступен, тогда воспользуйтесь способом №1 или удалите вирус с помощью аварийного диска).
2) Закрываем все лишние и подозрительные процессы. Оставляем только*:
explorer.exe
taskmgr.exe
ctfmon.exe
* — удаляете процессы только те, которые запущены от имени пользователя, процессы помеченные от имени SYSTEM — оставляете.
3) Убираем из автозагрузки все лишнее. О том, как это сделать — см. в этой статье. Кстати, отключить можно практически все!
4) После перезагрузки, можно попытаться удалить файл с помощью «Total Commander». Кстати, вирус, запрещает видеть скрытые файлы, но в Commandor’e это легко можно обойти — достаточно в меню нажать по кнопке «показ скрытых и системных файлов». См. на картинке ниже.
5) Чтобы в дальнейшем не испытывать с подобным вирусом проблем, рекомендую установить какой-нибудь антивирус. Кстати, хорошие результаты показывает программа USB Disk Security, предназначенная специально для защиты флешек от подобной заразы.
3. Удаление autorun.inf с помощью аварийного диска
Вообще, конечно, аварийный диск нужно сделать заранее, чтобы в случае чего он был. Но ведь все заранее не предусмотришь, тем более, если с компьютером вы еще пока только знакомитесь…
Более подробно о аварийных Live CD дисках…
1) Для начала нужен диск CD/DVD или флешка.
2) Далее нужно скачать образ диска с системой. Обычно такие диски называются Live. Т.е. благодаря ним можно загрузить операционную систему с CD/DVD диска, практически такую же по возможностям, как если бы она была загружена с вашего жесткого диска.
3) В загруженной операционной системе с Live CD диска мы должны спокойно смочь удалить файл autorun да и многие другие. Будьте аккуратны, когда вы загрузились с такого диска, вы можете удалять абсолютно любые файлы, в том числе и системные.
4) После удаления всех подозрительных файлов, установите антивирус и проверьте полностью ПК.
4. Еще один способ удаления autorun с помощью антивируса AVZ
Очень хорошая антивирусная программа AVZ (Скачать можно здесь. Кстати, мы о ней уже упоминали в статье про удаление вирусов). При помощи нее можно проверить компьютер и все носители (в том числе и флешки) на вирусы, а так же проверить систему на уязвимости и исправить их!
Про то, как при помощи AVZ, проверить компьютер на вирусы, см. в этой статье.
Здесь же затронем, как исправить уязвимость, связанную с Autorun.
1) Открываете программу и жмете по «файл/мастер поиска и устранения проблем«.
2) Перед вами должно открыться окно, в котором можно найти все системные проблемы и настройки, которые необходимо исправить. Можно сразу же нажать на «Пуск», программа по умолчанию выбирает оптимальные настройки поиска.
3) Отмечаем галочками все пункты, которые рекомендует нам программа. Как видим среди них есть и «разрешение на автозапуск с разных типов носителей». Желательно отключить автозапуск. Ставим галочки и жмем «исправить отмеченные проблемы».
5. Профилактика и защита от вируса autorun (Flash Guard)
Часть антивирусов не всегда способна надежно защитить ваш компьютер от вирусов, распространяющихся через флешки. Именно поэтому появилась такая замечательная утилита как Flash Guard.
Эта утилита способна перекрыть полностью все попытки заразить ваш ПК через Autorun. Она легко блокирует, способна даже удалять эти файлы.
Чуть ниже представлена картинка с настройками программы по умолчанию В принципе, их достаточно, чтобы оградить вас от всех неприятностей, связанных с эти файлом.
6. Заключение
В статье мы рассмотрели несколько способов удаления вируса, который используется для распространения флешки и файл autorun.inf.
Сам в свое время столкнулся с этой «заразой», когда по учебе приходилось таскать и использовать флешку на многих компьютерах (видимо часть из них или, по крайней мере один, был заражен). Поэтому, время от времени, флешка заражалась подобным вирусом. Но проблемы он создал только первый раз, затем был установлен антивирус и отключен запуск autorun файлов с помощью утилиты для защиты флешек (см. выше).
Собственно на этом все. Кстати, знаете еще способ удаления подобного вируса?
Источник
Доброго времени суток, уважаемый хабра–читатель. Я работаю в университете, в лаборатории вычислительной техники. Администрируем около сотни компьютеров. Перед нами встала проблема защиты от Autorun–вирусов на флэшках. Естественно у нас отключен автозапуск в Windows, однако нужно было защитить сами флэшки, чтобы работник дома, вставив рабочую флэшку, не заразил свой компьютер. Под катом решение проблемы.
Прежде чем начать…
Уважаемые пользователи, нижеописанные действия были произведены в ОС Microsoft Windows Xp, в других операционных системах процесс может отличаться от изложенного. Также хотелось бы сказать, что автор текста не несет ответственности за оборудование, испорченное в следствии выполнения нижеописанных действий.
Подготовка.
Для реализации задуманного нам понадобится отформатировать флэшку в NTFS, для этого есть несколько, известных мне способов. Для меня самым простым является использование Acronis Disk Director.
После запуска Disk Director’а, вы увидите список дисков подключенных к вашей системе. В этом списке находим свою флэшку, жмем правой кнопкой мыши и выбираем «Удалить раздел», в новом окошке оставляем все как есть(Особой разницы там нет). Далее опять правый клик по нашему диску и выбираем «Создать раздел». В окне «Создать раздел» выбираем:
- Файловая система: NTFS.
- Создать как: Основной раздел.
Теперь жмем на иконке «Флажка» и в появившемся окне нажимаем «Приступить». После сделанных изменений перезагрузите компьютер.
Флэшку также можно отформатировать и более простым способом, указанным ув. maxshopen:
Пуск → Выполнить → cmd →
convert f: /FS:NTFS < — это если данные на флэшке нужны и их некуда сбэкапить
или
format f: /FS:NTFS < — если данные нафик
Настройка.
Итак, карточка готова к настройке, заходим на флэшку и в корневом каталоге создаем каталог, в котором будут хранится данные, я назвал его «DATA». Правый клик по новому каталогу и переходим на вкладку безопасность, затем нажимаем на кнопку «Дополнительно». Здесь снимаем галочку с пункта «Разрешить наследование разрешений от родительского объекта к этому…», в появившемся диалоге жмем «Копировать», затем жмем «Ок» в обоих окошках. Теперь зайдем в раздел «Безопасность» корневого каталога нашего носителя и настраиваем разрешения следующим образом:
В столбце «Разрешить», оставляем отмеченными следующие пункты:
- Чтение и выполнение
- Список содержимого папки
- Чтение
В столбце «Запретить» ставим галочку напротив пункта «Запись», в появившемся диалоге жмем «Да».
Все, в итоге мы получаем флэшку, на которую не сможет записаться Autorun. За это мы жертвуем малую долю производительности, возможность записи в корневой каталог носителя и, естественно, невозможность использования меню «Отправить» для копирования данных на носитель.
Возможные проблемы и их решение.
После форматирования накопителя в NTFS, его не видно в системе.
Правый клик на «Мой компьютер», выбираем «Управление», в появившемся окне заходим в «Управление дисками», там жмем на нашей флэшке правой кнопкой и выбираем «Изменить букву диска или путь к диску». Выбираем букву, жмем «Ок».
К сожалению или счастью, больше мною проблем не было найдено, если вдруг найдете — пишите, попробуем решить.
Отключаем автозапуск.
Кроме XP Home Edition:
пуск — выполнить — gpedit.msc — конфигурация компутера — административные шаблоны — Система — отключить автозапуск (выберите, где отключать). Далее примените новую политику командой gpupdate в консоли.
В Home оснастка управления групповыми политиками отсутствует, однако тот же эффект может быть достигнут ручной правкой реестра:
1) Пуск -> выполнить -> regedit
2) открыть ветку HKLMSOFTWAREMicrosoftWindowsCurrentVersionPolicies
3) Создать новый раздел
4) Переименовать созданный раздел в Explorer
5) В этом разделе создать ключ NoDriveTypeAutoRun
Допустимые значения ключа:
0x1 — отключить автозапуск на приводах неизвестных типов
0x4 — отключить автозапуск сьемных устройств
0x8 — отключить автозапуск НЕсьемных устройств
0x10 — отключить автозапуск сетевых дисков
0x20 — отключить автозапуск CD-приводов
0x40 — отключить автозапуск RAM-дисков
0x80 — отключить автозапуск на приводах неизвестных типов
0xFF — отключить автозапуск вообще всех дисков.
Значения могут комбинироваться суммированием их числовых значений.
Значения по умолчанию:
0x95 — Windows 2000 и 2003 (отключен автозапуск сьемных, сетевых и неизвестных дисков)
0x91 — Windows XP (отключен автозапуск сетевых и неизвестных дисков)
Комментарий: в XP Home по умолчанию этот ключ отсутствует (как и сам раздел Explorer), поэтому выше описан процесс его создания. Для остальных версий создавать не надо, он уже есть, просто исправьте его.
Полезно полистать на сайте Майкрософт Resource Kit
Источник
Здравствуйте дорогие читатели! Сегодня я хочу поговорить о безопасности, а именно о том, как удалить autorun.inf с флешки или компьютера. Он используется для автоматического запуска программ на носителях информации (начиная с Windows 95). Файл должен находиться в корневом каталоге того устройства, в котором будет происходить автозапуск программ.
Autorun.inf очень популярен не только как файл, который может помочь пользователю в установке программ, но и как средство, способное навредить системе или данным. А если быть точнее, то в настоящее время этот файл часто используется для распространения вирусов через носители информации.
Для того чтобы активировать зараженный объект, авторы вирусов добавляют имя исполняемого файла в код. Как вы уже успели понять, файл autorun.inf это всего лишь рычаг, в котором сказано, где находится вирус для дальнейшего его действия.
В момент подключения зараженного flash — накопителя к компьютеру, Windows запускает прописанный файл (вирус) в autorun.inf к исполнению. Именно в это время происходит заражение компьютера. Когда файл скопируется в систему, он запустится в фоновом режиме и через определенное время, автоматически сканирует систему на новые устройства.
При обнаружении нового устройства, на них создается файл autorun.inf с копией исполняемого файла. Таким образом, вирус обеспечивает себе дальнейшее распространение на иные устройства, посредством других носителей информации.
Редко в файле autorun.inf прописывают не путь к файлу, а сразу используют текст с вирусным кодом, но только в текстовом виде, тем самым не требуя дополнительных файлов для заражения компьютера и flash накопителей.
Для наглядного примера на рисунке ниже, можно увидеть, как выглядит файл autorun.inf на flash накопителе.
Файл autorun.inf обычно имеет атрибуты скрытого файла, поэтому увидеть его можно только при включённой функции просмотра скрытых файлов. И так, мы поняли, для чего нужен файл и как он работает. Остался главный вопрос – как удалить autorun.inf, в том случае, если в нем есть вирус?
Многие антивирусные программы без особого труда находят вирусы, которые прячутся под безвредным autorun.inf , однако часть из них отказывается воспринимать зараженный файл как угрозу. В этой статье я расскажу о том, как можно защищаться программой и как настроить Windows для безопасного использования носителей информации.
Удаление через программу Flash Guard
Программа Flash Guard распространяется как бесплатный программный продукт, имеет встроенный русский язык и не выставляет особых требований к ресурсам компьютера. После установки программы Flash Guard будет информировать вас о том, имеются ли зараженные объекты на носителе. В том случае, когда флешка чистая, на экране не будет предоставляться ни какой информации. Очень важно понимать, что программа Flash Guard не является антивирусом, она — лишь дополнение для удаления Autorun файлов.
И так, с теорией закончили теперь давайте перейдем к практике. Чтобы скачать программу нажмите на ссылку здесь.
После запуска файла откроется окно приветствия, нажимаем кнопку «Далее».
В следующем окне оставляем выбранные по умолчанию галочки и нажимаем «Далее».
Теперь программа предложит путь установки, нажимаем кнопку «Далее».
Жмем на кнопку «Установить», после чего начинается установка программы.
Появится окно, в котором будет сказано, что программа установилась на компьютер. Оставляем выбранную галочку «Запустить Flash Guard 1.0» и нажимаем «Готово».
Чтобы открыть настройки программы, нужно в области уведомлении (tray) нажать правой кнопкой мыши по значку программы, и выбрать «Показать окно» или нажать двойным щелчком левой кнопкой мыши.
Откроется окно с настройками.
Здесь вы можете настроить программу под себя. По умолчанию параметры выставлены оптимально и не требуют вмешательств со стороны пользователя.
Удаление с помощью AVZ
Существует также полезная утилита AVZ, которой я частенько удаляю всякую «гадость» с компьютера. В AVZ есть замечательные функции для пользователей, которые просто необходимо знать, вот мы и поговорим об одной из них в разрезе нашей темы.
Программа распространяется бесплатно, полностью на русском языке, не нуждается в установке на компьютер, что является дополнительным плюсом. Краткий обзор о том, как пользоваться ей со скриптами, можете прочитать в моей статье «Выдержит ли удар антивирус или потеряет концентрацию?».
Скачать программу можно с моего блога по ссылке здесь. После скачивания программы разархивируйте файл, зайдите в папку, куда распаковали архив и запустите файл AVZ.exe.
Затем нажмите «Файл» — «Мастер поиска и устранения проблем».
Откроется окно, где выставляем:
- Категория: Системные проблемы;
- Степень опасности: Все проблемы.
После этого нажимаем на кнопку «Пуск».
Если у вас не установлено никаких программ, проверяющих накопители информации, или вы не изменяли настройки Windows, должно появиться окно, в котором надо отметить следующие пункты:
- Разрешен автозапуск с HDD;
- Разрешен автозапуск с сетевых дисков;
- Разрешен автозапуск с CD-ROM;
- Разрешен автозапуск со сменных носителей.
На моем компьютере не отключен автозапуск только для CD-ROM, выбираю галочку и нажимаю кнопку «Исправить отмеченные проблемы».
Когда неполадки будут исправлены, на экране появится сообщение, информирующее вас о том, что «Отмеченные проблемы успешно исправлены».
Для того чтобы обезопасить ваш компьютер от вирусов, проверяйте используемые носители информации!
До скорых встреч!
Дополнительно посмотрите полезное видео:
Источник