Вирус vbs как избавиться

990x.top

Простой компьютерный блог для души)

movemenoreg.vbs, helper.vbs, installer.vbs — что это за файлы на флешке?

Приветствую. Я постараюсь написать простую инструкцию о том как удалить вирус, который создает ярлык на флешке.

movemenoreg.vbs, helper.vbs, installer.vbs — что это такое?

Файлы вируса, который создает на флешке ярлык (название может быть как у самой флешки), при запуске которого вы можете заразить ПК вирусом. Содержимое флешки при этом скрыто, иногда к нему можно получить доступ если вы запустите вирусный ярлык.

Расширение файла vbs это скрипт (Visual Basic Script), при запуске которого будет выполняться то, что прописано внутри файла. Такие скрипты VBS — встроенная функция Windows, но вирусописатели иногда используют такие скрипты и для своих нехороших целей.

Важно понимать

1. Часто схема таких вирусов — скрытие содержимого флешки и создание ярлыка с таким названием, чтобы вы по нему нажали.
2. При этом, если зайти в свойства ярлыка, то можно увидеть — происходит запуск некого скрипта, часто это именно movemenoreg.vbs. Поэтому запускать ярлык ни в коем случае нельзя.
3. На самом деле кроме ярлыка на флешке также могут присутствовать файлы/папки, но вы их не видите, так как им присвоен атрибут скрытый и системный. Увидеть их можно только если на ПК включен показ скрытых файлов/папок.

На флешке ярлык может быть вообще без названия:

Может показаться что какая-то системная ошибка и нужно просто еще раз зайти на флешку. На это и рассчитано, если так сделаете, то ПК будет заражен вирусом.

Удаляем вирус с ПК

Может у вас и не будет вируса на компе. Но лучше проверить и если обнаружите — то сперва удалите вирус с компа, а потом уже заняться флешкой.

1. Запускаем командную строку от администратора. В Windows 10 просто нажмите правой кнопкой по пуску и там будет пункт Командная строка (администратор).
2. Прописываем команды, которые снимут атрибуты с папки вируса — WindowsServices.
3. Удаляем файлы и папку вируса.

Важно: USER_NAME — имя вашей учетной записи.

В командной строке выполните такие команды (выполняйте по очереди):

attrib -s -h -a -r /d C:\Users\USER_NAME\AppData\Roaming\WindowsServices

attrib -s -h -a -r /s C:\Users\USER_NAME\AppData\Roaming\WindowsServices\installer.vbs

attrib -s -h -a -r /s C:\Users\USER_NAME\AppData\Roaming\WindowsServices\helper.vbs

attrib -s -h -a -r /s C:\Users\USER_NAME\AppData\Roaming\WindowsServices\movemenoreg.vbs

Когда все атрибуты сняты — вирусные файлы и папка станут видны и их можно будет удалить. Советую сразу удалять папку WindowsServices. При проблемах с удалением используйте утилиту Unlocker (при установке снимите галочку чтобы не поставился Delta Toolbar).

После всех действий настоятельно рекомендую проверить ПК антивирусными утилитами AdwCleaner, HitmanPro, Dr.Web CureIt!.

Получаем доступ к файлам флешки

1. Открываем флешку.
2. Рядом с ярлыком создайте текстовый документ с любым названием. В конце названия должно быть .txt, если этого нет — включите отображение расширений файлов (в интернете море инструкций как это сделать). Ваша задача — создать текстовый документ и чтобы было видно разрешение файла, например test.txt (test — просто название файла).
3. Теперь откройте текстовый документ и пропишите внутри команду: attrib «*» -s -h -a -r /s /d , потом закройте документ и сохраните изменения.
4. Теперь у текстового документа смените окончание .txt на .bat, например у вас был файл test.txt, а вы переименуйте его в test.bat.
5. Запустите переименованный файл (должно появиться черное окошко). После — все файлы/папки на флешке должны стать видимыми.
6. Теперь на флешке найдите папку с вашими файлами. Скопируйте их всех на ПК в какую-то отдельную папку. Саму флешку — форматируйте (правой кнопкой по флешке > пункт Форматировать). Форматировать советую используя кластер 4К и файловую систему NTFS.

Когда все файлы на флешке покажутся видимыми, то вы можете увидеть папку с названием WindowsServices — ее нужно удалить:

Здесь видим, что ярлык и правда имеет название самой флешки. В папке с названием — (тире или нижний пробел) скорее всего содержатся все ваши файлы, которые были на флешке. Ну а папка System Volume Information — служебная, ее можно тоже удалить.

Источник

Как удалить Run.vbs

Run.vbs — это файл, который запускается каждый раз, когда компьютер включен. Как вы можете видеть, этот файл имеет расширение .vbs, это означает, что это VBS скрипт (VBS стенды для сценариев Visual Basic). Этот файл не является вредоносных на свой собственный, но он имеет тенденцию быть связан с adware.

Если вы в последний раз видел ошибок связанных Тоа Run.vbs, Â объявил в Windows Script Host вкладки как один видели ниже, это означает, что вы, вероятно, либо неисправности adware или паразит программа была удалена, но без полностью удалить свои скрипты.

Используйте средство удаления вредоносных программ Spyhunter только для целей обнаружения. Узнайте больше о SpyHunter Spyware Detection Tool и шаги для удаления SpyHunter.

Если вы просто удалите файл Run.vbs программу, вы может в конечном итоге занимающихся черный экран при попытке запустить Windows. В таких случаях выполните следующие действия:

• Нажмите одновременно клавиши CTRL + ALT + DEL
• Открыть диспетчер задач
• Выберите в меню FileÂ, затем choose новой задачи
• Написать explorer.exe и нажмите OK

После делать это, вы будете иметь возможность использовать руководство ниже исправить любые ошибки, связанные с Run.vbs. Â

В будущем, если вы хотите, чтобы избежать adware, будьте осторожны с того, что вы решили выполнить на вашем компьютере и держаться подальше от просмотра вредоносные веб-сайты, вы можете найти после нажатия на сложные объявления или сообщения на Facebook; не забывайте, что некоторые веб-сайты имеют возможность использовать some подключаемые модули безопасности завершается неудачей.

Шаг 1: Остановите все Run.vbs процессы в диспетчере задач

1. Нажмите и удерживайте Ctrl + Alt + Del, чтобы открыть диспетчер задач
2. Перейдите на вкладку Подробности и конец всех связанных с ними процессов Run.vbs (выберите процесс и нажмите кнопку завершить задачу)
   

Шаг 2: Удалите Run.vbs сопутствующие программы

1. Нажмите кнопку Пуск и откройте панель управления
2. Выберите удалить программу в разделе программы
   
3. Подозрительного программного обеспечения и нажмите кнопку Удалить/изменить
   

Шаг 3: Удалите вредоносные Run.vbs записи в системе реестра

1. Нажмите Win + R чтобы открыть выполнить, введите «regedit» и нажмите кнопку ОК
   
2. Если контроль учетных записей пользователей, нажмите кнопку ОК
3. Однажды в редакторе реестра, удалите все связанные записи Run.vbs
   

Шаг 4: Устранить вредоносные файлы и папки, связанные с Run.vbs

1. Нажмите кнопку Пуск и откройте панель управления
2. Нажмите Просмотр, выберите крупные значки и откройте свойства папки
   
3. Перейдите на вкладку Вид, проверить показывать скрытые файлы, папки или драйверы и нажмите кнопку ОК
   
4. Удалить все Run.vbs связанные файлы и папки
   %AllUsersProfile%\random.exe
   %Temp%\random.exe
   %AllUsersProfile%\Application Data\random

Шаг 5: Удаление Run.vbs из вашего браузера

Используйте средство удаления вредоносных программ Spyhunter только для целей обнаружения. Узнайте больше о SpyHunter Spyware Detection Tool и шаги для удаления SpyHunter.

Internet Explorer

1. Запуск Internet Explorer, нажмите на значок шестерни → Управление надстройками
   
2. Выбрать раздел панели инструментов и расширения и отключите подозрительные расширения
   

Скачать утилиту чтобы удалить Run.vbs

Используйте средство удаления вредоносных программ Spyhunter только для целей обнаружения. Узнайте больше о SpyHunter Spyware Detection Tool и шаги для удаления SpyHunter.

Mozilla Firefox

Используйте средство удаления вредоносных программ Spyhunter только для целей обнаружения. Узнайте больше о SpyHunter Spyware Detection Tool и шаги для удаления SpyHunter.

1. Откройте Mozilla, нажмите сочетание клавиш Ctrl + Shift + A и перейти к расширения
   
2. Выберите и удалите все ненужные расширения

Скачать утилиту чтобы удалить Run.vbs

Используйте средство удаления вредоносных программ Spyhunter только для целей обнаружения. Узнайте больше о SpyHunter Spyware Detection Tool и шаги для удаления SpyHunter.

Google Chrome

1. Откройте браузер, нажмите меню и выберите инструменты → расширения
   
2. Выберите подозрительные надстройки и нажмите на значок корзины для его удаления
   

* SpyHunter сканера, опубликованные на этом сайте, предназначен для использования только в качестве средства обнаружения. более подробная информация о SpyHunter. Чтобы использовать функцию удаления, вам нужно будет приобрести полную версию SpyHunter. Если вы хотите удалить SpyHunter, нажмите здесь.

Источник

Анализ Worm.VBS.Dinihou и советы по удалению

Dragokas

Very kind Developer

Всем привет !
[bimg=25%|fright]http://safezone.cc/attachments/cherv-jpg.21405/?temp_hash=e65dcf6b9a7e2d9eb43416bd87d5e7d2[/bimg]
В сегодняшнем меню будет подан на растерзание Worm.VBS.Dinihou.dt (по классификации Kasperky) с компонентами Worm:VBS/Jenxcus.

Целевое назначение: клиент, выполняющий различные команды с удаленного сервера.

На момент написания статьи оригинальный дроппер распознавался 7 AV вендорами.
https://www.virustotal.com/ru/file/. 0630287ce3bc1e53f03faed4650e2ce099e/analysis/
хотя если его чуть подправить, то распознавать будут только 5: AVG, Avast, ESET-NOD32, McAfee, ( + Qihoo-360, хотя на ориг. дроппер он не ругался).
https://www.virustotal.com/ru/file/. d38894463727a57b1511fed3/analysis/1424641112/

Имеем скрипт, написанный на языке Visual Basic Scripting с двойной обфускацией.
В обертке получаем файл, который ни разу не проверялся на VirusTotal, хотя для антивирусов он уже хорошо знакомо — 36 / 56 детектов.
https://www.virustotal.com/ru/file/. 821096512db8abb7ea4d9f08/analysis/1424698033/

Расшифровка скрипта после запуска происходит не сразу, а через 5 минут (возможно, защита от поведенческого анализа).

Устанавливает соединение с сервером по специальному порту и передает в качестве user-агента информацию о системе:
— серийные номера дисков;
— имя компьютера и пользователя;
— версия ОС;
— имена антивирусов;
— запущен ли червяк со съемного диска (проверка любопытная: расположен ли скрипт в корне диска).

После чего он превращается по сути в сервер, запрашивая каждые 5 секунд такие команды на исполнение:
[bimg=09%|fright]http://safezone.cc/attachments/serv_comm-png.21408/?temp_hash=e65dcf6b9a7e2d9eb43416bd87d5e7d2[/bimg]
— открыть / выполнить файл (программу);
— обновление тела скрипта и его перезапуск;
— удаление скрипта с исправлением последствий его работы (если не учитывать команды с сервера);
— выгрузка произвольного файла;
— скачивание файла и затем его запуск (с произвольного адреса или сервера злоумышленника по указанному порту);
— перечисление дисков и их типов;
— листинг файлов и папок в указанной директории (с отображением их атрибутов и размера);
— список процессов (имя, ProcessID, полный путь к образу);
— выполнить консольную команду или файл с отправкой на сервер результата вывода консоли;
— удалить файл или папку;
— завершить процесс принудительно с всеми дочерними экземплярами;
— заснуть на N секунд.

Выполнение каждой команды сопровождается повторной отправкой информации о системе (данные генерируются только один раз за работу скрипта).
К моменту тестирования командный сервер уже был неактивен.

1) Автозапуск:
Помещает свою копию:
— в папку «%programdata%» (или «%temp%», если первая не существует), которую прописывает в ключи автозапуска.
— в папку «Автозагрузка».

2) Самовосстанавливление:
Восстанавливает тело, если удалить скрипт, не завершив процесс.
Есть защита от одновременного запуска из нескольких папок (именно папок, а не экземпляров процесса).
По причине ошибки реализации, после перезагрузки работают одновременно 2 экземпляра процесса.

Если подключен съемный накопитель, копирует себя в его корень.
Для каждого файла или папки первого уровня (на выбор)* создается ярлык, маскируя свою иконку под изображение соответствующего типа файла, взятого из реестра.
Настоящим файлам/папкам присваивает атрибут скрытый и системный.
При клике по такому ярлыку сначала запускается вредоносный скрипт и за ним сразу же оригинальный файл.
Все происходит в свернутом режиме, поэтому пользователь может не сразу заметить подмены.
Разницу можно увидеть только по наличию стрелочки на пиктограмме иконки
Это говорит о том, что файл является ярлыком (кстати, это не есть 100% гарантия, т.к. стрелочку можно замаскировать).

* Мне в руки попал скрипт, у которого отключено создание ярлыков. Остался только сам код, но есть переключатель в шапке кода.
Т.к. предусмотрено автообновление тела скрипта, автор может быстро изменять его поведение.

На сами ярлыки у нас красуются такие разнообразные детекты: Worm.VBS.Dinihou.r (по классификации Kaspersky), Worm.LNK.Jenxcus, LNK/Dorkbot, VBS.Dunihi!lnk и прочие.
https://www.virustotal.com/ru/file/. f535c3ce1112fa530b7c1434/analysis/1424653773/

Здесь у автора своеобразный почерк. Обычно в поле объект ярлыка путь прописывают в кавычках вида:

Источник