В этой статье мы поговорим о самом неприятном. Злобный вирус просочился на ваш компьютер сквозь все барьеры и кордоны. Рассмотрим самую неприятную разновидность из тех что лечатся.
Активировавшись вирус не даёт вам не только пользоваться интернетом, но и вовсе заблокировал вам возможность нормальной работы. Горячие клавиши не работают. Окно вымогатель всегда находится поверх всех других окон. В окне содержится угроза что все данные зашифрованы и в случае отсутствия ввода кода разблокировки в течении небольшого времени будут удалены с вашего компьютера.
В этом случае у вас есть несколько способов получить доступ к системе для борьбы с вирусом.
1. Работа по поиску и удалению вируса в безопасном режиме загрузки виндовс.
2. Подключение заражённого жёсткого диска к другому компьютеру.
3. Загрузка операционной системы с загрузочного диска или флешки.
Последовательность действий по первому варианту.
Перезагрузите компьютер и как только началась загрузка начните непрерывно нажимать клавишу "F8" на компьютере. Спустя некоторое время вы увидите предложение выбрать режим загрузки Windows. Выбираете "Безопасный режим" загрузки.
После того как операционная система загрузилась и вы вошли на рабочий стол, нажмите сочетание клавиш "Win+R"
В появившемся окне введите "msconfig" и нажмите кнопку "Ок".
И в появившемся окне "Конфигурация системы" перейдите на вкладку "Автозагрузка".
Именно здесь мы и будем искать наш вирус. Ищем среди тех названий у которых установлена галочка и в столбце "Производитель" написано "Нет данных". Из выбранных ищем программу у которой ни о чём не говорящее название. Просто некий набор букв и цифр. Что то вроде a37c. Или просто название программы вам незнакомо и вы видите его в первый раз. Если таких программ несколько, то любая из них может быть вирусом, или программой вызывающей вирус.
В принципе на этой странице можно отключить любую программу из списка автозагрузки просто сняв галочку. На работоспособности компьютера это никак не скажется в худшую сторону. Однако поступив так мы не избавимся от вируса даже если он не будет больше загружаться и мешать нам работать за компьютером. Ибо сам вирус останется в системе. И в любой момент может снова активизироваться.
Нас ждёт нудная и возможно долгая работа по определению вируса и его загрузчиков дублёров. Всё зависит от количества подозрительных программ включённых в автозагрузке. Мы снимаем по одной галочке и применяем изменения нажав на кнопку "Применить". После того как мы выключили подозрительную программу из автозагрузки, перезагружаемся в нормальном режиме, и смотрим - пропало мешающее нам окно блокировщик или нет. Если нет, перезагружаемся в безопасном режиме и повторяем все операции со следующей подозрительной программой. Если да, то мы снова загружаемся в безопасном режиме и в обратном порядке, по очереди, включаем все ранее отключённые подозрительные программы, кроме последней. Если на включении какой либо из них вирус снова активировался, значит это программа дублёр вируса или его загрузчика. Обнаружив таким образом все программы имеющие отношение к вирусу, мы их отключаем. Теперь вирус не сможет загружаться при старте компьютера и мешать работать. Однако он всё ещё остаётся в системе и очень опасен.
Для обнаружения и нейтрализации собственно вируса делаем следующие действия. В уже известном нам окне "Конфигурация системы", на вкладке "Автозагрузка", в столбце "Команда" смотрим и записываем пути к к обнаруженным программам вредителям и их названия. Как пример:
Заходим в проводник и пройдя по записанным путям удаляем в корзину, и из корзины, программы вредители. Однако и это ещё не всё. Теперь нам надо зайти в святая святых Windows и вычистить оттуда все упоминания об этих программах. А также найти собственно сам вирус. Мы идём в реестр.
И тут нам снова поможет волшебное сочетание клавиш "Win+R". Только вместо команды "msconfig" мы введём команду "regedit" и таки снова нажмём на кнопку "Ок".
Нам откроется редактор реестра. Запомните! Здесь надо быть очень осторожным и внимательным. Иначе малейшим неосторожным действием вы можете превратить свой компьютер в груду дохлого железа. Или убьёте какую нибудь полезную программу. И помочь вам тогда сможет, только полная переустановка Windows, с сопутствующей потерей данных. А мы ведь их спасти хотели, а не убить.
По этому, прежде чем редактировать реестр мы подстрахуемся и создадим копию реестра в текущем виде. Она поможет нам вернуть систему к текущему состоянию, если мы вдруг удалим что то нужное. Делается это так: идем в меню "Файл" редактора реестра и выбираем пункт "Экспорт".
В открывшемся окне указываем имя архива реестра, место сохранения файла и в диапазоне экспорта указываем значение "Весь реестр". После чего нажимаем кнопку "Сохранить".
Созданный файл достаточно всего лишь дважды кликнуть мышкой, что бы распаковать его в реестр. Или можно в открытом окне реестра его "Импортировать" в меню "Файл". Результат будет тот же.
Теперь мы можем приступать к поиску вируса в реестре и редактированию оного. Для этого на клавиатуре нажимаем сочетание клавиш "Ctrl+F". В открывшемся окне поиска пишем имя программы вредителя и нажимаем на кнопку "Найти далее".
После чего начнётся поиск упоминания об этой программе в реестре. Когда поиск завершится и откроется ветка в реестре, смотрим в правой части окна редактора реестра упоминание о данной программе если оно там есть - удаляем. Если нет, смотрим в левой части окна. Если оно там есть, то смотрим снова в правую часть окна и ищем любые упоминания других программ и путей к ним. Если там таковые найдутся, то переписываем эти пути и названия файлов. Скорее всего это и есть искомый вирус. После чего удаляем открытую папку в левой части окна редактора реестра. Удаляем с помощью правой кнопки мыши.
Далее снова повторяем поиск упоминания программе вредителе и удаляем либо упоминание, либо папку в реестре принадлежащую этой программе. Повторяем процедуру до тех пор пока не увидим:
Переходим к следующей программе вредителю или, в случае отсутствия таковой, собственно к вирусу. И начинаем всё с начала. А я предупреждал вас, что процедура чрезвычайно нудная и долгая. Но бывают моменты, когда по другому никак.
И вот, мы наконец закончили процедуру чистки реестра. Потянулись! Хрустнули пальцами и пошли скачать собственно файлы вируса по путям обнаруженным нами в реестре во время чистки. Файлы с расширением .dll не удаляем сразу. Сначала идём в интернет (уже можно), и ищем там описание данного файла по его названию. Если в системе такого нет и интернет ничего про него сказать не может, то удаляем смело. А вот если такой файл есть, то всё намного сложнее. Скорее всего вирус подменил системный файл своим, где помимо прописанного программистами функционала, содержится и код вируса. Удаление такого файла может, опять же, убить систему. А оставление файла как есть, может привести к возвращению вируса из небытия. В этом случае надо найти аналогичный файл на загрузочном диске с аналогичной версией виндовс, или на диске с которого ставили систему. После чего скопировать чистый файл с заменой вместо заражённого в нужную папку. И вот только после этого можете считать что очистили свой компьютер от вируса. Вы круты! Вы почти хакер!
Бывает что вирус прописывается не в автозагрузку а в службы. В этом случае все процедуры аналогичны описанным. Только в утилите "msconfig" работать надо не во вкладке "Автозагрузка", а во вкладке "Службы". А поскольку служб больше, искать вирус дольше. Но есть и приятная неожиданность. В случае вычисления и отключения службы вируса, лезть в реестр и искать файлы вируса на компьютере уже не обязательно. Пока служба остановлена вирус вам мешать не будет.
Со службами тоже надо быть весьма осторожным. Ибо так же можно повредить систему отключив критически важную для системы службу. Искать службу вирус надо там, где в колонке "Изготовитель" не указан "Microsoft Corporation". Лучше всего в окне сразу поставить галочку "Не отображать службы Майкрософт".
Второй и третий варианты чистки компьютера опишу как нибудь в следующий раз.
