Как избавиться от вируса трояна

Держим компьютер в чистоте или чистим ПК от троянов вручную (страница 2)

Baby steps

После того, как вы отбили все атаки и Windows замолчала, настало время подумать, как от всего этого избавляться.

Перво-наперво воспользуйтесь стандартными возможностями Windows и снесите к чертям все подозрительные программы. Лучше всего отсортировать их по дате установки: так вы увидите, что было установлено сегодня.

Кстати, этот самый Guard Mail.ru на самом деле не делает абсолютно ничего полезного. Как написали в одной статье очень метко – «Mail.ru просто создает собственную сеть ботнетов по всему миру». По сути, это легализованный «мэйлрушный» троян, который сам инициирует нежелательные изменения (вроде прописывания себя в автозагрузке, жесткой блокировке домашней страницы и системы поиска, и тому подобные мелкие пакости).

Mail.ru уверяет нас, что это все делается для нашей защиты, но как-то не верится. Кстати, аналогичный продукт есть и у РБК QIP: и тоже по странному совпадению называется Guard, нигде себя не указывает при установке и делает примерно то же самое.

В идеале нужно пользоваться специальными «клинерами» вроде Total Uninstall: утилитой, которая удаляет не только сами программы, но и мусор, остающийся после них в реестре и на жестком диске.

реклама

Далее удаляем вручную то, что осталось от этих зловредов; если у вас не было ничего от Mail.ru, то смело сносите все папки в Program Files, Users и ProgramData (а вдруг что еще в каталоге Windows обнаружится), в названии которых есть «Mail.ru». «Спутник Mail.ru», кстати, тот еще вредонос.

Если у вас оказался намертво забит поиск Mail.ru, Яндекса или других злоумышленников в браузере, то о том, как его разблокировать, смотрите чуть ниже в разделе «Как вернуть поиск».

После чего сносим все лишние ключи реестра. Их будет много, причем многие из них – adware совершенно сторонних сайтов, и поэтому есть смысл применить специальную программу вроде SpyHunter. К сожалению, она платная, причем пользователь узнает об этом только к моменту удаления – но вы можете снести все вредоносные ключи руками, поскольку к их списку SpyHunter дает неограниченный доступ.

В моем случае обнаружилось 114 Adware- и Malware-ключей, большинство из которых относились к Mail.ru, а остальные – к неведомым сторонним сайтам, которых ранее не было. Вполне возможно, я подхватил их ранее – и это опять-таки камень в огород ESET.

Сканеров много не бывает, поэтому логичнее скачать еще один – например, AdwCleaner – и пройтись по всей памяти и ключам реестра еще раз.

Если у вас уже стоял собственный антивирус, который все это прозевал, то пройдитесь им самим еще раз по всем областям памяти и реестра. Как уже говорилось, сканеров много не бывает.

Наконец, применяем тяжелое оружие: Dr.Web Cure-It, портативный сканер на вирусы без установки, который быстро проверяет память и запущенные программы. Cure-It обнаружил неведомые изменения в файле hosts (он единственный их обнаружил!) и удалил их. Правда, в то же время он закрыл к нему доступ, включая даже чтение, но решение этой проблемы выходит уже за рамки данной статьи, хотя, возможно, в будущем мы к ней вернемся. К слову, после работы Cure-It сайты наконец-то стали открываться нормально. Поэтому снова: сканеров много не бывает.

Как вернуть поиск

Это решение работает для всех вариантов: Mail.ru или других вредителей. Для того чтобы разблокировать возможность изменения домашней страницы, нужно последовательно сделать следующее:

1. Запустить консоль cmd от имени администратора. Быстрее всего это сделать нажатием Win+X, после чего выбрать в меню Command Prompt (Admin).
2. Последовательно скопировать и вставить три строки, нажимая Enter после каждой

RD /S /Q «%WinDir%\System32\GroupPolicyUsers»
RD /S /Q «%WinDir%\System32\GroupPolicy»
gpupdate /force

После этого перезагрузитесь, и вы сможете установить ту поисковую систему, которая вам нужна в любом браузере.

Кстати, после этого трояна через несколько дней был замечен другой – HTML/Refresh.BC.Trojan. Каким образом он попал на мой компьютер, я не понимаю пока еще, но смысл в том, что ESET Smart Security проморгал и его. Скорее всего, это «наследие» вредного Unlocker и Mail.ru.

Что же взамен?

реклама

Очевидно, что, когда уважаемый платный антивирус/файрволл настолько сильно подпортит свою репутацию, захочется чего-то иного. Что же выбрать? Очевидно, без антивируса/файрвола троянов будет еще больше.

От использования штатного Microsoft Security Essentials, который все получают в нагрузку с Windows, я отказался сразу. Его репутация очень плоха даже сегодня, и как рабочее решение его мало кто рассматривает.

Прочитав десяток статей, рейтингов и мнений, я остановился на двух продуктах. Бесплатном антивирусе Avira и файрволле Comodo. Оба они опережали в рейтингах как продукты ESET, так и Касперского, и Dr.Web; оба были полностью бесплатными с платными аналогами (с фишками, которые мне не нужны), и оба заслужили немало похвальных отзывов.

Альтернативы у них были, конечно, и их тоже десяток, но именно об этих двух продуктах хорошо отзывались больше всего. Хотя насчет «Авиры» люди ведут жаркие споры в плане конкуренции с «Авастом», но негативный опыт с этим антивирусом десять лет назад (знаю, что прошло много времени, но «и ложечку нашли, и осадок остался») не давал мне использовать его. Хотя я уверен, что с тех пор он значительно улучшился (в отличие от продуктов ESET).

Не доверяй и несколько раз проверяй

Можно сделать первый вывод: если вы ищете конкретную программу, не доверяйте общеизвестным и перегруженным рекламой файлопомойкам наподобие Download.com, CNet, и особенно всяким DepositFiles или другим мутным облачным свалкам.

Поскольку файлообменники типа MegaUpload уже давно утратили свою популярность, вредный народ предпочитает выводить в топ запросов поисковиков зараженные файлы, располагающиеся на облаках вроде Google Drive (и почему-то именно его любят больше всего). А если и есть автоматические проверки на вирусы, то они ничего не дадут по двум причинам: они не способны обнаружить трояны, инфицирующие сайты, да и владелец может файл запаролить, написав пароль в прилагаемом документе.

А уж всякие шильдики а-ля «Проверено супер-пупер антивирусом», «Троянов нет – я гарантирую это! (c)», ложные отзывы, которые появились от призраков «вот буквально минуту назад» – вот этому доверять не стоит ни разу и никогда. Ведь все это сделано с одной целью – заставить вас скачать этот вкусный файл, который вы ищете, и который внезапно нашелся точно по тому запросу, что вы делали.

Больше доверия – магазину Windows Store, который есть у каждого, потому что им «нагружена» каждая ОС Windows старше «семерки». Однако и у него есть свои недостатки, глюки и непонятные ошибки (например, он может просто не видеть соединение с интернетом), поэтому в поиске нужного приложения данный вариант может и занимает первое место, но не является панацеей. Кроме того, Windows Store стремительно разбухает, и (побуду Вангой) недалек тот час, когда его постигнет судьба Google Play Store: миллион программ приведет к тому, что их просто не будут успевать проверять, и на какие-то часы, дни и даже недели там обоснуются десятки и сотни вредоносов. Так что – ловите фишку, пока можно, но все равно проверяйте.

Второй вывод – не доверять антивирусным системам на сто процентов и проверять все, что только можно. Держать на компьютере несколько сканеров (включая сканер реестра) и периодически шерстить абсолютно все.

Ибо даже хорошая и честная программа – по аналогии с расширением для Google Chrome – может в одной из версий стать malware и adware, а то и чем похуже.

Заключение

Я описал так подробно схему заражения своего компьютера для того, чтобы и вы могли как-то учесть мой негативный опыт. Лично меня подвела излишняя самоуверенность, а также доверие к Google и платной комплексной защите ESET Smart Security.

реклама

Впрочем, скачивание непроверенных программ – это только один из путей, по которому зараза может проникнуть на ваш компьютер. Все это «добро» может маскироваться под аудиофайл, PDF- или DOC-документ, да и фактически под любой файл, который вы ищете.

Теперь я пользуюсь бесплатными антивирусом Avira и файрволлом Comodo, а в качестве основного браузера используется Chrome-базированный Chromodo (того же Comodo), к которому подключен анализатор сайтов Avira (в дополнение к «гугловскому» стандартному).

К сожалению, от Chrome мне куда-то деваться сложно, поскольку в нем сосредоточено очень много вещей, как по работе, так и по жизни. Это не значит, что я агитирую за применение Chrome, скорее – за использование сторонних проверенных инструментов для анализа сайтов, на которые вы переходите.

реклама

P.S. Кстати, в хорошем файрволле можно запускать программы в «песочнице» от греха подальше. Это некая изолированная среда для запуска, в которой вы управляете каждым «чихом» приложения – и если вредонос содержит гадость в исполняемом пакете инсталлятора или уже установленной программе, все в этой «песочнице» и останется, не затронув систему.

В принципе, это некая виртуальная машина без заморочек таковой. Рекомендуется для любой новой и непроверенной программы. Этот урок тоже был вынесен из данной ситуации, и теперь все хотя бы немного подозрительные программы будут проходить через «песочницу».

Источник

Как не стать жертвой троянца? Держать шлюзы закрытыми

Троянец (троянский вирус или троянская программа)- это тип вредоносных программ, маскирующихся под легитимное ПО. Он часто используется киберпреступниками для кражи личных данных, слежения за пользователями и получения несанкционированного доступа к системам. Если вы в последние десять лет уделяли внимание вопросам компьютерной и интернет-безопасности, вы, несомненно, встречали термин «Троянская программа». Вы, наверняка знаете, что эти ничего хорошего от этих вредоносных программ ждать не стоит, но вы можете не знать о том, что они могут сделать с вашим компьютером, как они в него попадают и как этого не допустить. Имея представление о том, что такое троянская программа и какими проблемами она может для вас обернуться, вы получаете возможность избежать столкновения с этими опасными образцами вредоносного ПО.

Что такое троянский вирус?

Термин «троянский вирус» является несколько неточным, но он обычно используется вместо более правильного термина «троян». Вирус заражает обычные компьютерные файлы — захватывает отдельный файл и разрушает или злонамеренно изменяет его в процессе. Затем он попытается распространиться на другие компьютеры, заражая другие файлы.
В отличие от вирусов троянцы — это программы, им не нужно воздействовать на другой файл, чтобы выполнять свою грязную работу. Кроме того, они неспособны к самовоспроизведению. Но не стоит обманываться: последствия действий троянцев могут быть столь же разрушительны, как и любого компьютерного вируса.

Как работает троянец (троянский вирус)

Как и в истории с троянским конем из древнегреческой мифологии троянская вредоносная программа появляется в «образе» того, что вы хотите. Она часто маскируется под бесплатное ПО или вложение в электронном письме, а затем, как только вы даете ей разрешение на установку на вашем компьютере, она открывает шлюзы.

Как только у троянца появляется доступ к вашему компьютеру, он может делать что угодно, но большинство этих вредоносных программ стремятся получить полный контроль над вашим компьютером. Иными словами, все ваши действия на компьютере записываются и отправляются на сервер, указанный трояном. Это особенно опасно, если вы на своем компьютере выполняете финансовые транзакции, поскольку троянская программа отправляет информацию о вашей банковской карте или платежных реквизитах людям, которые могут использовать или продать ее. С помощью троянцев злоумышленники могут превратить ваш компьютер в зомби и использовать его для запуска кибератак по всему миру.

Как защититься от троянских программ

Троянцы названы так потому, что им требуется ваше разрешение на запуск на вашем компьютере — либо когда вы запускаете программу самостоятельно, либо когда вы открываете документ или изображение, которое затем запускает программу. Исходя из этого, первая и лучшая защита от троянов — никогда не открывать вложение электронной почты и не запускать программу, если вы не уверены на все 100% в источнике файлов, скачанных из одноранговых программ или с веб-сайтов. Но в сегодняшнем взаимосвязанном мире такое редко возможно, поэтому нужно принять несколько конкретных мер безопасности.

Всегда обновляйте программное обеспечение. Это вдвойне актуально для важных программ, таких как ваша операционная система и браузер. Хакеры используют известные бреши в системе защиты в этих типах программ, и через них засылают на ваш компьютер троянцев, которые делают так свою черную работу. Производитель ПО, как правило, выпускает исправления для этих уязвимостей, но они не принесут вам никакой пользы, если вы не будете поддерживать последнюю версию программного обеспечения на вашем устройстве. Чтобы ваше интернет-соединение было максимально безопасным, всегда должен быть включен сетевой экран. Как программные, так и аппаратные сетевые экраны отлично справляются с фильтрацией вредоносного трафика и часто могут предотвратить загрузку троянских программ на ваш компьютер.

Все это полезно, но чтобы полностью обезопасить себя, следует установить антивирусное программное обеспечение или утилиту для удаления троянских программ. Это ПО (при условии того, что оно регулярно обновляется) сканирует вашу систему на наличие троянцев и автоматически проверяет любую программу или файл, которые вы исполняете, чтобы обеспечить его безопасность. В Интернете есть бесплатные утилиты для удаления троянских программ, но мало какие из них регулярно обновляются, а некоторые даже сами являются троянцами. Чтобы лучше защитить ваш компьютер, используйте антивирусное ПО известных производителей с бесплатной пробной версией. Это позволит вам оценить преимущества той или иной программы, прежде чем покупать ее. Такие программы часто входят в общий пакет безопасности, но при этом предоставляют вам возможность указать нужные вам функции защиты, а ненужные отключить.

Защита вашего компьютера от троянских программ не должна быть неподъёмной задачей. Следуя нескольким простым правилам безопасного поведения в Интернете и используя надежное защитное решение, вы можете быть уверены, что ваш компьютер защищен от подавляющего большинства троянских и других вредоносных программ.

Источник

Удаление программ-вымогателей | Расшифровка данных – как победить вирус

Заражение программами-вымогателями означает, что ваши данные зашифрованы или ваша операционная системазаблокирована киберпреступниками. Киберпреступники обычно требуют выкуп за расшифровку данных. Программы-вымогатели могут проникать на устройства разными способами. Наиболее распространенные пути включают заражение при посещении вредоносных веб-сайтов, загрузку нежелательных надстроек и спам-рассылки. Целями атак программ-вымогателей являются как частные лица, так и компании. Для защиты от атак программ-вымогателей могут быть предприняты различные меры, однако сохранение бдительности и использование программ безопасности – это самые важные шаги в правильном направлении. При атаке программы-вымогателя происходит либо потеря данных, либо трата крупной суммы денег, либо и то, и другое.

Обнаружение программ-вымогателей

Как узнать, заражен ли ваш компьютер? Вот несколько способов обнаружить атаку программы-вымогателя:

• Сигналы тревоги со стороны программы поиска вирусов. Если на устройстве установлена программа поиска вирусов, заражение программой-вымогателем может быть обнаружено на ранней стадии, если программа вымогатель не обошла защиту.
• Изменение расширений файлов. Например, обычное расширение файла изображения – jpg. Если это расширение заменено неизвестной комбинацией букв, возможно, файл заражен программой-вымогателем.
• Изменение имен файлов. Отличаются ли имена файлов от тех, которые вы им присваивали? Вредоносные программы часто меняет имена файлов при шифровании данных. Следовательно, это также может быть признаком заражения.
• Повышенная активность дисков или центрального процессора может свидетельствовать о том, что программа-вымогатель работает в фоновом режиме.
• Сомнительная сетевая активность. Программное обеспечение, взаимодействующее с киберпреступниками или серверами злоумышленников, может вызвать подозрительную сетевую активность.
• Зашифрованные файлы. Поздним признаком атаки программ-вымогателей является тот факт, что файлы больше не открываются.

Наконец, появляется окно с требованием выкупа, что подтверждает заражение программой-вымогателем. Чем раньше была обнаружена угроза, тем проще бороться с вредоносной программой. Раннее обнаружение факта заражения троянскими программами-шифровальщиками позволяет определить, какой тип программы-вымогателя заразил устройство. Многие троянские программы-вымогатели удаляют себя после выполнения шифрования, поэтому их невозможно изучить и расшифровать.

Произошло заражение программой-вымогателем – что делать?

Программы-вымогатели обычно бывают двух типов: программы-блокировщики с требованием выкупа и шифровальщики. Программы-блокировщики с требованием выкупа блокируют экран компьютера, в то время как шифровальщики шифруют отдельные файлы. Независимо от типа программы-вымогателя, у жертвы обычно есть три варианта:

1. Заплатить выкуп и надеяться, что киберпреступники сдержат свое слово и расшифруют данные.
2. Попытаться удалитьвредоносную программу, используя доступные инструменты.
3. Выполнить на компьютере восстановление до заводских настроек.

Удаление троянских программ-шифровальщиков и расшифровка данных

Тип программы-вымогателя и стадия, на которой было обнаружено заражение, существенно влияют на способ борьбы с вирусом. Удаление вредоносной программы и восстановление файлов возможно не для всех программ-вымогателей. Вот три способа борьбы с заражением.

Обнаружение программ-вымогателей – чем раньше, тем лучше

Если программа-вымогатель обнаружена до момента требования выкупа, ее можно удалить. Данные, которые были зашифрованы до этого момента, останутся зашифрованными, но саму программу-вымогатель можно остановить. Раннее обнаружение означает, что можно предотвратить распространение вредоносной программы на другие устройства и файлы.

Если во внешнем или в облачном хранилище имеется резервная копия данных, зашифрованные данные возможно восстановить. Но что делать, если у вас нет резервной копии данных? Рекомендуется связаться с поставщиком вашего решения для интернет-безопасности. Возможно, уже существует инструмент для расшифровки данных, зашифрованных программой-вымогателем, жертвой которой вы стали. Можно также посетить веб-сайт проекта No More Ransom. Эта общеотраслевая инициатива запущена для помощи всем жертвам программ-вымогателей.

Инструкция по удалению программ-шифровальщиков файлов

Если вы стали жертвой атаки программы-шифровальщика файлов, можно выполнить следующие действия, чтобы удалить трояна-шифровальщика.

Шаг 1. Отключитесь от интернета

Сначала удалите все подключения, как виртуальные, так и физические. К ним относятся беспроводные и проводные устройства, внешние жесткие диски, любые носители и облачные учетные записи. Это может предотвратить распространение программ-вымогателей по сети. Если вы подозреваете, что пострадали другие области, выполните действия по резервному копированию и для этих областей.

Шаг 2. Проведите расследование с использованием программ обеспечения интернет-безопасности

Выполните антивирусную проверку с помощью установленных программ для обеспечения безопасности в интернете. Это поможет определить угрозы. Если обнаружены опасные файлы, их можно удалить или поместить на карантин. Вредоносные файлы можно удалить вручную или автоматически с помощью антивирусного программного обеспечения. Выполнять удаление вредоносных программ вручную рекомендуется только опытным пользователям.

Шаг 3. Используйте инструмент для расшифровки данных, зашифрованных программами-вымогателями

Если компьютер заражен программой-вымогателем, зашифровавшей данные, для восстановления доступа к ним потребуется соответствующий инструмент расшифровки. В «Лаборатории Касперского» ведется постоянное изучение новейших типов программ-вымогателей и предоставляются инструменты расшифровки данных для противодействия атакам этих программ.

Шаг 4. Восстановите данные из резервной копии

Если резервные копии ваших данных хранятся на внешнем носителе или в облачном хранилище, создайте также резервную копию данных, которые еще не были зашифрованы программой-вымогателем. Если вы не создавали резервных копий, очистить и восстановить работу компьютера будет намного сложнее. Чтобы избежать такой ситуации, рекомендуется регулярно создавать резервные копии. Если вы склонны забывать о таких вещах, используйте службы автоматического резервного копирования в облако или создайте напоминания в календаре.

Как удалить программу-вымогатель, блокирующую экран

В случае программы-блокировщика жертва сначала сталкивается с проблемой доступа к программе безопасности. При запуске компьютера в безопасном режиме есть вероятность, что операция блокировки экрана не загрузится, и удастся использовать антивирусную программу для борьбы с вредоносным ПО.

Платить ли выкуп?

Обычно не рекомендуетсяплатить выкуп. Как в случае с политикой отказа от переговоров в реальной ситуации с заложниками, при «захвате» данных следует применять аналогичный подход. Выплачивать выкуп не рекомендуется, поскольку нет гарантии, что вымогатели действительно выполнят свое обещание и расшифруют данные. Кроме того, получение злоумышленниками выкупа будет способствовать совершению такого вида преступлений, а этого следует избегать любой ценой.

Если вы все же планируете заплатить выкуп, не удаляйте программу-вымогатель со своего компьютера. В зависимости от типа программы-вымогателя или плана киберпреступников по расшифровке данных, программа-вымогатель может являться единственным способом применить код дешифрования. В случае преждевременного удаления программы-вымогателя код дешифрования, купленный по высокой цене, станет бесполезным. Но если вы действительно получили код дешифрования и он сработал, необходимо удалить программу-вымогатель с устройства как можно скорее после расшифровки данных.

Дальнейшие действия в зависимости от типа программ-вымогателей

Существует множество различных типов программ-вымогателей, некоторые из них можно удалить всего несколькими щелчками мыши. Однако есть также распространенные вирусы, удаление которых значительно сложнее и требует много времени.

Существуют различные способы удаления и расшифровки зараженных файлов в зависимости от типа программы-вымогателя. Не существует универсального инструмента дешифрования, который работал бы с любыми программами-вымогателями.

Для корректного удаления программ-вымогателей важно ответить на следующие вопросы:

• Какой тип вируса заразил устройство?
• Существует ли подходящая программа дешифрования, и если да, то какая?
• Как вирус попал в систему?

Вирус Ryuk мог попасть в систему, например, через Emotet, что влияет на способ решения проблемы. В случае с вирусом Petya, безопасный режим – хороший способ удалить его. Более подробно различные варианты программ-вымогателей описаны в этой статье.

Выводы

Даже при соблюдении самых строгих мер безопасности нельзя с полной уверенностью исключить атаку программы-вымогателя. В худшем случае последствия атаки может смягчить использование программ безопасности, например, от «Лаборатории Касперского», надлежащая подготовка и внимательность. Внимание к первичным признакам атаки программы-вымогателя позволит обнаружить ее и начать борьбу еще на ранней стадии. Однако даже если злоумышленники потребовали выкуп, в вашем распоряжении есть различные варианты, и вы можете выбрать подходящий в зависимости от ситуации. Помните, что регулярное резервное копирование данных значительно снизит воздействие атаки.

Другие статьи по теме

What Что такое программы-вымогатели

How to prevent Ransomware Как защитить себя от программ-вымогателей

Источник