Где прячутся вирусы. Удаляем вирус-баннер в реестре Windows

При заражении компьютера вирусы поступают таким образом, чтобы при загрузке операционной системы они тоже загружались, либо загружалась их самая основная необходимая часть. Для этого они обычно вносят изменения в реестр Windows.

В зависимости от продвинутости создателя вируса это может быть реализовано по-разному. Рассмотрим самые распространенные случаи, где прячутся вирусы:



1. В автозагрузке операционной системы

Проверить это можно с помощью команды msconfig , запущенной через меню Пуск - Выполнить

В столбце "Команда" не должно быть подозрительных элементов, например C:\Program Files\novirus.exe



Команда msconfig позволяет только отображать и отключать ненужные программы из автозагрузки, для полного удаления следов необходимо почистить соответствующие ветки реестра (посмотреть в столбце "Расположение").

Как альтернативe команде msconfig можно использовать программу .

В разделе "Система" перейти на закладку "Загрузка системы", прокрутить скроллом немного вниз до заголовка "Автозагрузка". Также просмотреть внимательно список загружаемых вместе с операционной системой приложений и при необходимости удалить ненужные. Программа удаляет информацию сразу и в реестре Windows.

Внимание! Для того, чтобы случайно не удалить важный системный процесс Windows - уточните предварительно у компьютерных гуру или найдите ответ через поисковую систему Яндекс или Гугл о неизвестных вам загружаемых приложений, например RTHDCPL.EXE

Данный способ загрузки вируса - самый элементарный. Он легко обнаруживается, и вирус удаляется. Так действовали вирусы 5-10-летней давности.



Дополнительно:

Если вы словили порно-баннер, и нет возможности посмотреть автозагрузку, то, загрузившись с любого загрузочного диска удалите все файлы из директорий C:\Temp , C:\WINDOWS\Temp , C:\Documents and Settings\user\Local Settings\Temp , т.к. существует очень большая вероятность загрузки вируса из этих папок.

Если загрузочный диск позволяет подключиться к удаленному реестру операционной системы (к вашей) - типа ERD, то можно проверить ключи реестра, отвечающие за автозагрузку. Для операционной системы Windows XP это:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run и

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

При нахождении в них подозрительных элементов - мочить гадов! :)

2. Вместо проводника

Это очень распространенный случай при заражении вирусами, особо часто он был замечен при установке порно-баннеров на операционную систему. Вирус в этом случае грузится вместо проводника Windows, заменив запись в реестре:

В ветке HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Параметр Shell (reg_sz) вместо значения "explorer.exe " заменяется вирусом на свой, например C:\WINDOWS\system32\h6d8dn.exe или подобную хрень.

Исправить это с наименьшими потерями можно, загрузившись с загрузочного CD-ROM или USB, проверить систему с помощью утилиты от Доктора Веба - launcher.exe . Но только в том случае, если в базе вирусов Доктора Веба есть информация об этом вирусе.



Более действенный и быстрый способ - загрузившись с загрузочного диска запустить программу редактирования реестра с возможностью подключения к удаленному реестру. Для этого идеально подходит сборка ERD.

Нужно посмотреть запись в реестре по адресу HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon , исправить "хрень" у записи параметра Shell (reg_sz) на "explorer.exe " и запомнить путь нахождения и имя файла вируса, чтобы удалить его вручную.

3. Вместе с userinit.exe или uihost.exe

В этом случае рабочий стол может отображаться и компьютер может вроде бы нормально работать, но могут быть заблокированы некоторые функции браузера по умолчанию или всех браузеров, невозможность отрыть сайты антивирусных программ и др.

Userinit.exe - программа, которая открывает Рабочий стол и активирует сетевые функции после запуска Windows. Находится он по адресу C:\WINDOWS\system32\userinit.exe . Размер оригинального файла составляет 26,0 КБ (26 624 байт) , на диске: 28,0 КБ (28 672 байт) .

Некоторые вирусы могут изменить запись в реестре у трех параметров (у всех или только некоторых) Userinit , UIHost и Shell , расположенных по адресу:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Оригинальные параметры записи в реестре должны быть следующими :

Userinit = C:\WINDOWS\system32\userinit.exe
UIHost = logonui.exe
Shell = explorer.exe

Вирус может прописать себя например так :

Userinit = C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\gertinw.exe

В данном примере файл gertinw.exe - это 100% вирус! Обязательно запомнить путь к файлу вируса и удалить его!



После удаления нужно заменить файлы userinit.exe , logonui.exe (находятся в C:\WINDOWS\system32\ ) и explorer.exe (находится в C:\WINDOWS\ ) на аналогичные файлы из дистрибутива виндовса (найдете поиском), т.к. остатки червя могут находиться в файлах ключей. Или .

После нужно проверить файл hosts (открыть любым тестовым редактором) на наличие запретов на известные сайты антивирусных программ: C:\windows\system32\drivers\etc\hosts . Удалить все после строки 127.0.0.1 localhost

Также запрет на загрузку сайтов может быть прописан в реестре по следующим адресам:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\PersistentRoutes

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet {номера 001 или 002}\Services\Tcpip\Parameters \PersistentRoutes

Удалить их содержимое полностью кроме строки "По умолчанию" с неприсвоенным значением.

Инструкция

Regedit - это встроенный в операционную систему редактор реестра. Название является сокращением от фразы Registry edit. Эта программа служит для систематизации всех ключей реестра, их создания, а также удаления. При удалении программы необходимо очищать реестр от ненужных ключей, которые ранее были использованы средствами операционной системы.

Перед редактированием файлов реестра необходимо удалить папку с программой. Откройте каталог Program Files, выберите нужную директорию и нажмите клавишу Delete для перемещения в «Корзину» либо Shift + Delete для полного удаления с жесткого диска.

Стоит сказать, что редактирование файлов реестра новичком - дело опасное, поэтому лучше создать резервную копию. Нажмите верхнее меню «Файл» и выберите пункт «Экспорт». В открывшемся окне поставьте отметку напротив строки «Весь реестр», введите название файла и нажмите кнопку «Сохранить».

Экспорт файлов реестра можно осуществлять посредством командной строки. Запуск командной строки обычно производится через меню «Пуск», раздел «Стандартные программы». В окне необходимо ввести команду regedit /E d:export.reg и нажать Enter. Данной командой вы копируете файл реестра export.reg в корневой каталог диска «D:».

Для поиска ключей, оставленных самой программой, необходимо нажать верхнее меню «Правка» и выбрать пункт «Найти». В появившемся окне введите название программы или компании, которая занимается ее распространением. Нажмите клавишу Enter или F2 для начала операции поиска.

Найденные ключи можно удалить, выделив и нажав клавишу Delete. Затем нужно закрыть редактор реестра и перезагрузить компьютер. Теперь ваш компьютер чист от удаленной программы.

Надоедает ли пчеле делать одно и то же? Сложно представить, чтобы пчела вдруг занялась заготовлением орехов, словно белка. В природе все сбалансировано. Когда человек занят любимым делом, он похож на пчелу. Ему не надоедает. Он годами оттачивает навыки. Нас бы удивило, если бы известный футболист без особых причин оставил футбол и занялся продажей чего-нибудь. Зачем ему это? Как же найти свое дело, в котором можно полностью реализоваться? Применим фантастический подход.

Инструкция

Запишите три вещи, которые вы взяли бы с собой на необитаемый остров. Там всегда тепло, так что об одежде заботиться не придется. Там много фруктовых деревьев, так что разнообразной пищей вы обеспечены. Никто не потребует оплачивать счета, вы свободны ото всего. Никто не приезжает к вам в гости без разрешения. Рядом находится остров, на котором проживают цивилизованные племена. Они знают ваш язык. Вы можете приезжать к ним в любое . Вам предстоит прожить на своем острове 20 лет. Какие же три вещи вы туда возьмете? Думайте , потом будет поздно. Вернетесь только 20 лет. Все необходимое для этих трех вещей на острове будет, а больше ничего.

Какую из этих трех вещей вам захочется привезти на соседний обитаемый остров или показать , которых пригласите на ваш остров? С какой вы им покажете эту вещь или результаты ее использования? Помните, что ни в пище, ни в одежде, ни в деньгах вы не нуждаетесь.

Видео по теме

Обратите внимание

Бывает трудно мечтать, потому что мы привыкли находиться в ограничивающих рамках. За один раз может не получиться. Не оставляйте мыслей о вашем острове. Выделите целый день, уйдите куда-нибудь и прорабатывайте варианты фантастической жизни.

Полезный совет

Важно попробовать то, что вы представили. Сделайте что-нибудь, не думая о деньгах. Прибыль часто приходит к людям, увлеченным одной идеей.

Источники:

• Премьер-министр поздравил тех, кто занимается любимым делом

Бывают случаи, когда полностью просканировав систему на вирусы и удалив их, после перезагрузки компьютера они появляются опять. При этом никаких носителей информации к ПК не подключалось и соединения с интернетом также не было. Возникает вопрос, а откуда же мог взяться этот вирус? Вероятнее всего, он может срабатывать с операционной системы. В таком случае обычного сканирования компьютера будет недостаточно. Потребуются дополнительные методы, которые позволят решить проблему.

Вам понадобится

• Компьютер, антивирусная программы ESET NOD32

Инструкция

В самом реестре вирусов быть не может. Но в параметрах реестра, которые отвечают за автозагрузку приложений, может быть ссылка на вредоносную программу или . Прежде чем начать процесс очистки, нужно установить дополнительные параметры, которые помогут обнаружить и решить проблему.

Дальнейшие инструкции по удалению вредоносных ссылок и ключей будут приведены на примере антивирусной программы ESET NOD32. Войдите в меню антивируса. Сделать это можно просто дважды щелкнув мышкой по значку программы на панели задач операционной системы. В меню программы выберите параметр «Сканирование». В окне появятся возможные варианты сканирования компьютера, из которых выберите «Выборочное сканирование».

Самая верхняя строка называется «Профиль сканирования». Нажмите по стрелочке возле этой строки. Откроются названия профилей сканирования. Среди них выберите «Интеллектуальное сканирование». Такой метод позволит более детально проверить неизвестные файлы.

Следующая строка называется «Объекты сканирования». Отметьте полностью все объекты, которые будут в этом окне, включая даже оперативную память и виртуальные приводы. Снизу в этом окне есть также параметр «Настройка». Нажмите по нему левой клавишей мышки и в появившемся окне выберите вкладку «Методы». В следующем окне отметьте полностью все пункты галочками, после чего нажмите ОК.

Теперь, когда все параметры работы антивирусной программы заданы, нажмите «Сканировать». Дождитесь завершения процесса. Если антивирусом будут обнаружены потенциально опасные программы или ссылки, они будут удалены автоматически. После завершения сканирования перезагрузите компьютер.

Источники:

• вирус реестр

Системный реестр операционной системы Windows любой версии - один из главных инструментов управления компьютером. Стандартным инструментом для работы с реестром является утилита regedit.exe.

Инструкция

Получите доступ к главному инструменту управления системным реестром Windows. Для этого вызовите главное меню, нажав кнопку «Пуск», и перейдите в диалог «Выполнить». Напечатайте gpedit.msc в строке «Открыть» и подтвердите запуск утилиты редактора групповых политик, нажав кнопку OK. Раскройте ссылку «Конфигурация пользователя» и перейдите в раздел «Административные шаблоны». Разверните узел «Система» двойным кликом мыши и откройте политику «Сделать недоступными средства редактирования реестра» также двойным кликом. Примените флажок в строке «Не задан» и сохраните сделанные изменения, нажав кнопку «Применить». Подтвердите выполнение выбранного действия, нажав кнопку OK.

Запустите инструмент «Редактор реестра». Для этого снова вернитесь в главное меню «Пуск» и еще раз перейдите в диалог «Выполнить». Напечатайте regedit в строке «Открыть» и подтвердите запуск утилиты, нажав кнопку OK.

Используйте стандартный механизм поиска нужного файла системного реестра. Для этого воспользуйтесь командой «Найти» в меню утилиты regedit.exe. Обратите внимание на то, что при вызове контекстного меню любого ключа реестра кликом правой кнопки мыши также становятся доступными опции:- развернуть;- создать;- найти;- удалить;- переименовать.

Ознакомьтесь со структурой корневых разделов реестра для облегчения поиска нужного файла :- HKEY_CLASSES_ROOT, или HKCR - ассоциации приложений и файловых расширений;- HKEY_CURRENT_USER, или HKCU - параметры настроек текущего пользователя;- HKEY_LOCAL_MACHINE, или HKLM - общая конфигурация системы;- HKEY_USERS, или HKU - параметры настроек всех пользователей;- HKEY_CURRENT_CONFIG, или HKCC - настройки данного аппаратного профиля.Последняя ветвь - не полноценный раздел системного реестра, а является ссылкой на раздел профилей в HKLM.

При попадании вируса в компьютер, вирус имеет свойство прописываться в автозагрузку, а далее в реестр. Для малоопытных пользователей, эти слова мало о чем говорят. Вирус – это программное обеспечение, которое наносит вред компьютеру, так же это могут быть скрипты или зараженные архивы и pdf файлы. В момент попадания вирус начинает самораспространяться, при этом риску заражения в основном подвергаются exe и bat файлы, а так же архивы zip и rar.

На что стоит обратить внимание, если вы подозреваете или просканировали компьютер антивирусными утилитами, но проблема осталась, прежде всего смотрим автозагрузку. Для этого нужно ввести следующие команды в командную строку:
1. Открываем: Пуск далее жмем выполнить или в строке поиска «msconfig.exe»

Открывается окно: «Конфигурация системы» , нажимаем на вкладку «Автозагрузка», и смотрим что у нас там стоит в автозапуске. Прежде всего обращаем внимание на названия программ, а так же на название файла и пути его нахождения. Обычно вирусами являются файлы с нечитаемым названиями, либо файлы названия которых состоят из цифр допустим «004284.exe» «73294.exe».

2. Снимаем галочки с данных видов программ, жмем кнопку «Применить», далее «Ок».

Следующее действие это редактирование реестра. Почему и зачем нам это нужно сделать. При настройке автозагрузки, через конфигурацию системы, не всегда с автозагрузки убирается то что нам не нужно.

1. Открываем меню «Пуск», ищем строку поиска либо вкладка «Выполнить», вводим команду «regedit».Открывается окно редактора реестра.

2. Первым делом проверяемm ветку:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon

Ищем в списке запись «Shell» (XP) В Windows7 данного раздела нет. Смотрим: значение параметра, по умолчанию должно быть «Explorer.exe», если есть еще что то удаляем.

08.05.2012

Как удалить вирус без антивирусной программы.

Если компьютер стал работать не стабильно , то возможно ваш компьютер возможно подвергся заражению вируса. Чаще всего для удаления вирусов используют антивирусные программы, но что делать, если вы заранее не позаботились о безопасности и не установили антивирус. Есть несколько методов поиска и удаления вирусов после заражения компьютера. Проследуйте нашим советам и удаление вирусов станет для вас пустяковым делом.

1. Можно попробовать загрузить временный или бесплатный антивирус с сайтов разработчиков. Для этого вам нужно перейти на сайт Dr Web, Касперского или Avira и скачать бесплатный антивирус.
2. Если скачать антивирус нет возможности из-за отсутствия доступа к интернету, то можно попробовать определить и удалить вирус, запустив диспетчер задач . После запуска диспетчера задач следует перейти во вкладку процессы и внимательно посмотреть, нет ли запущенных неизвестных процессов. Если вы нашли неизвестный вам процесс, вы можете завершить его, нажав на него правой кнопкой «завершить процесс». В этом действие нет ничего страшного, ведь если даже вы закроете нужный процесс, то после перезагрузки все восстановиться. Перед завершением процесса следует записать имя процесса, и постараться найти его на компьютере используя «поиск».
3. Возможно, что вирус загружается вместе с запуском windows . Для того, чтобы определить и удалить вирус, необходимо нажать сочетание клавиш win+R и в появившемся окне набрать «msconfig». Далее перейти на вкладку «автозагрузка» и посмотреть, не запускается ли какие либо непонятные файлы. Идентификатором запуска вируса может служить запуск файла из папки C:\Users\имя пользователя\AppData. После отключения следует перезагрузить компьютер. При отсутствие результатов вы всегда сможете включить запуск программ обратно.
4. Вирус может загружаться через запись в реестре . Для того, чтобы проверить нет ли лишних записей в реестре, необходимо нажать сочетание клавиш win+R и в появившемся окне ввести «regedit». Далее используя папки в левой части экрана перейти в ветки реестра HKEY_LOCAL_MACHINE / SOFTWARE / Microsoft / Windows / CurrentVersion / Run, HKEY_LOCAL_MACHINE / SOFTWARE / Microsoft / Windows / CurrentVersion / RunOnce, HKEY_CURRENT_USER / SOFTWARE / Microsoft / Windows / CurrentVersion / Run,HKEY_CURRENT_USER / SOFTWARE / Microsoft / Windows / CurrentVersion / RunOnce.

В данных ветках вы найдете программы, которые запускаются при старте windows, но которых вы не увидите, если зайдете в «msconfig».

Если ваш компьютер заражен баннер вирусом , то для его удаления вам потребуется загрузочный диск или флешка Live CD. Загрузить Live CD вы можете с сайтов антивирусных программ или с торрентов. Для удаления баннер вируса потребуется редактор реестра вашего windows. Чтобы отредактировать реестр не рабочего windows используйте программы ERD Commander. Для windows XP нужна версия программы 5. Для windows редактирования реестра операционной системы windows vista и seven используйте версию программы 6.5. Чтобы удалить вирус из реестра необходимо открыть ветку HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon и найти там «userinit» и «shell». Проверьте их значения. Они должны иметь следующие записи: «userinit= c:\Windows\system32\userinit.exe,», «shell = Explorer.exe». Если значения отличные от вышенаписанных, их стоит изменить, перед этим запомнив путь и имя к вирусным файлам. Далее следует удалить вирус с жесткого диска компьютера.

Используйте эти нехитрые действия, чтобы обнаружить и удалить вирус с вашего компьютера. Если вирус не удалось обнаружить и удалить, прибегните к помощи профессионалов.

Операционная система Windows, стоящая на большинстве компьютеров, достаточно уязвима к вирусному заражению. Если ОС регулярно не обновляется, угроза заражения становится очень большой, так как под любую найденную уязвимость тут же создаются эксплоиты – программные коды, позволяющие заражать операционную систему. То же самое касается другого установленного на компьютере софта – браузеров, проигрывателей и т.д. Любая уязвимость может привести к тому, что ПК будет заражен.

Нередко вредоносные программы попадают на компьютер с зараженными файлами. Многие передаются через флешки, карты памяти, другие носители информации. Чтобы уменьшить вероятность заражения, следует регулярно обновлять ОС, иметь на компьютере хорошую антивирусную систему, не использовать непроверенные файлы.

Как удалить вирус с компьютера

Далеко не всегда деструктивный софт может быть замечен антивирусной программой, нередко его приходится удалять вручную. Если вы видите признаки заражения, откройте «Диспетчер задач», посмотрите список процессов. Опытный пользователь обычно знает, какие процессы запущены в системе, появление незнакомых строчек может свидетельствовать о заражении. Найдя незнакомый процесс, введите его название в поисковике. Это может оказаться легальный процесс какого-то приложения, процесс вредоносного ПО или о нем не будет никакой информации. В последнем случае речь тоже почти наверняка идет о хакерской программе.

Остановите незнакомый процесс, предварительно записав его название. После этого следует удалить файлы вредоносной программы и ключи ее запуска. Откройте «Пуск» - «Поиск», введите название вирусной программы и проведите поиск в системных папках. Все найденные файлы удалите (их может быть несколько).

Следующий шаг - удаление вирусов с компьютера через редактор реестра. Необходимо найти и удалить ключи запуска, которые хакерская программа прописала в системном реестре. Запустите редактор, для этого откройте командную строку, введите команду regedit. Откроется окно программы, нажмите «Правка» - «Найти». Введите название деструктивного процесса, нажмите «Найти далее». Начнется поиск – удалите найденные параметры, затем снова нажмите «Найти далее». Когда поиск будет закончен и все ключи удалены, сохраните изменения и перезагрузите систему. Проверьте, появился ли процесс вируса в «Диспетчере задач». Если нет, вы справились с задачей. Если процесс появился снова, значит, ОС еще содержит файлы вируса и ключи запуска.

Профессиональное удаление вирусов

Далеко не каждый пользователь может самостоятельно справиться с заразившими компьютер вирусами. Многие из них написаны профессионалами, поэтому удалить их может только опытный мастер. Нередко приходится использовать специальный софт, позволяющий контролировать запись в системный реестр – только так удается выяснить, куда записываются ключи автозапуска. Все это требует больших знаний.

Если ваш компьютер заражен и вы не можете сами справиться с проблемой, позвоните нам. Эксперт нашей компании приедет к вам на дом и быстро очистит ваш ПК от вирусов. Опыт наших специалистов позволяет им справляться даже с самыми серьезными случаями. Звоните нам в любое время, вы останетесь довольны качеством наших услуг!