Трояни-блокувальники Windows: рецепти лікування

1. 1. Найбільш загальні рекомендації
2. 2. Сподіваємося на чесність вірусмейкеров
3. 3. Якщо б я мав коня ...
4. 4. Військова хитрість
5. 5. Якщо б кінь мав мене ...
6. 6. Доктор, Ви мене вилікуєте? ..
7. 7. Російська вірус влізе і BIOS
8. 8. Сестра, стакан кефіру і скальпель, будемо розкривати хворого!
9. 9. Ще способи
10. 9. Секір башка ...
11. 10. Протигрибковий ...

Продовжуємо боротися з блокувальниками Windows, далі ми спробуємо дати кілька практичних порад щодо боротьби з цим неприємним видом "троянів". Для початку нагадаємо, що ж таке троян блокувальник Windows. Отже, трояни ( "троянські коні") сімейства Winlock, відомі як «блокувальники Windows», сімейство шкідливих програм, які блокують або ускладнюють роботу з операційною системою, і вимагають перерахування грошей зловмисникам за відновлення працездатності комп'ютера, окремий випадок Ransomware (програм-вимагачів). Вперше з'явилися в кінці 2007 року. Широке поширення віруси-вимагачі отримали взимку 2009-2010 років, за деякими даними виявилися заражені мільйони комп'ютерів, переважно серед користувачів російськомовного Інтернету. Другий сплеск активності такого шкідливого ПО припав на травень 2010 року.

Раніше для переказу грошей зазвичай використовувалися короткі преміум-номери, в даний час подібні програми також можуть вимагати перерахування грошей на електронні гаманці (наприклад, «Яндекс.Деньги», WebMoney), або на баланс мобільного номера. Необхідність перевести гроші часто пояснюється тим, що «Ви отримали тимчасовий безкоштовний доступ до сайту для дорослих, необхідно оплатити продовження його використання», або тим, що «на Вашому комп'ютері виявлено неліцензійна копія Windows». Також можливий варіант «за перегляд і копіювання і тиражування відео з насильством над дітьми і педофілії». Шляхи поширення Trojan.Winlock і подібних вірусів різноманітні, в значній частині випадків інфікування відбувається через уразливості браузерів при перегляді заражених сайтів, або при використанні шахраями спеціальних «зв'язок», що дозволяють заражати тільки необхідні комп'ютери також через браузер.

Приклад банера, особливо лякає недосвідчених користувачів

До теперішнього часу представники цього класу шкідливих програм серйозно еволюціонували і стали однією з найчастіших проблем. Поява трояна в системі зазвичай відбувається швидко і непомітно для користувача. Людина виконує звичний набір дій, переглядає веб-сторінки і не робить чогось особливого. В якийсь момент просто з'являється повноекранний банер, який не вдається прибрати звичайним способом. Картинка може бути відверто порнографічної, або навпаки - оформлена максимально строго і грізно. Підсумок один: в повідомленні, розташованому поверх інших вікон, потрібно перерахувати вказану суму на якийсь гаманець WebMoney або відправити платне SMS-повідомлення. Часто воно доповнюється погрозами кримінального переслідування або знищення всіх даних, якщо користувач не поквапиться з оплатою.

1. Найбільш загальні рекомендації

• Ні в якому разі не можна виконувати вимоги зловмисників. Слід пам'ятати, що вартість SMS може доходити до декількох десятків доларів незалежно від зазначеної в «інтерфейсі» вірусу. У переважній більшості випадків після відправки SMS обіцяний код розблокування не приходить.

• У разі пропонованої оплати по SMS можна зателефонувати в службу підтримки контент-агрегатор, якому належить номер. (Якому оператору належить короткий номер можна на цих ресурсах - kodtelefona.ru - для Росії, ktozvonit.com.ua - для України) В окремих випадках вам навіть можуть сказати код розблокування по телефону, але дуже розраховувати на це не доводиться, тому що такий спосіб не завжди прийнятний - блокувальники останнім часом все частіше користуються платіжними системами, напрмер запит до арбітражу WebMoney нічим не допоможе - в кращому випадку заблокують гаманець, але це Windows розблокувати не допоможе

• При можливості скористатися онлайн-сервісами підбору коду розблокування на сайтах виробників антивірусного ПЗ.

• Провести повне сканування комп'ютера антивірусною утилітою зі свіжими оновленнями антивірусної бази (наприклад, «одноразовим» антивірусом Dr.Web CureIt або Kaspersky Virus Removal Tool , Скачати його бажано зі «здорового» комп'ютера, навіть в разі успішної розблокування системи підбором коду).
• Якщо вірус блокує доступ до певних ресурсів Інтернет (зазвичай до популярних соціальних мереж і сайтів з антивірусним ПЗ), необхідно видалити зайві записи (Крім рядка «127.0.0.1 localhost») з файлу C: \\ WINDOWS \\ System32 \\ drivers \\ etc \\ hosts і очистити кеш DNS (командою ipconfig / flushdns від імені адміністратора), а також очистити cookies і кеш в браузері (CCleaner Вам в допомогу).

• У деяких випадках допомагає перестановка дати в BIOS на пару років назад.

• При повному блокуванні можна завантажитися в систему за допомогою LiveCD і спробувати видалити трояна за допомогою антивірусів.

• Відкрити диспетчер задач (якщо це можливо). Подивитися процеси на предмет підозрілих. Спробувати завершити процес. Швидше за все, процес перезапуститься. Перезавантажитися в безпечному режимі і видалити програму вручну.

• Якщо троян блокує звичайний безпечний режим, то при натисканні клавіші F8 необхідно вибрати безпечний режим з підтримкою командного рядка. На даний момент часу більшість вінлокеров не здатні його заблокувати. Після завантаження треба запустити редактор реєстру за допомогою команди regedit і шукати там підозрілі записи. В першу чергу, необхідно перевірити гілку HKEY_LOCAL_MACHINE \\ SOFTWARE \\ Microsoft \\ Windows NT \\ CurrentVersion \\ Winlogon, зокрема в параметрі Shell має бути написано explorer.exe, а в параметрі Userinit - C: \\ WINDOWS \\ System32 \\ userinit.exe, (обов'язково з коми). Якщо там все в порядку, необхідно перевірити цей же шлях, але в гілці HKEY_CURRENT_USER. Також бажано перевірити гілки, в яких прописані автозавантажувані програми, наприклад, HKEY_LOCAL_MACHINE \\ SOFTWARE \\ Microsoft \\ Windows \\ CurrentVersion \\ Run. У разі виявлення підозрілих записів їх необхідно замінити на стандартні значення (у випадку з автозавантаженням видалити). Після перезавантаження і входу в систему трояна можна видалити вручну за вже відомим шляху. Цей спосіб хоч і ефективний, але підходить тільки для досвідчених користувачів.

• Крім того, деякі трояни замінюють собою один з файлів userinit.exe, winlogon.exe і explorer.exe у відповідних каталогах. Рекомендується відновити їх з дистрибутива або каталогу C: \\ WINDOWS \\ System32 \\ DLLCACHE.

• Троян може створювати розділ HKEY_LOCAL_MACHINE \\ SOFTWARE \\ Microsoft \\ Windows NT \\ CurrentVersion \\ Image File Execution Options \\ userinit.exe, де прописує виклик свого виконуваного файлу (найчастіше debug.exe), а для відновлення роботи системи необхідно видалити даний розділ.

• Одна з останніх версій трояна не робить нічого з перерахованого вище, а створює файл з ім'ям за типом 0.5887702400506266.exe в кореневій папці профілю користувача і прописує в реєстрі за адресою будь-якої гілки, звідки може проводитися автозапуск (наприклад, HKEY_LOCAL_MACHINE \\ SOFTWARE \\ Microsoft \ \ Windows NT \\ CurrentVersion \\ Image File Execution Options) розділ з незрозумілим ім'ям. Якщо на комп'ютері є другий профіль адміністратора, то його легко вичистити, зайшовши з під іншого профілю, просто видаливши файл і гілку реєстру. Однак було відмічено, що безкоштовні і платні антивіруси не реагують на файл. Також можна знайти і видалити цей файл, увійшовши в Windows через безпечний режим.

Отже, це були загальні рекомендації, а тепер перейдемо до більш детального розгляду проблеми. Методики лікування засновані на розумінні тих змін, які троян вносить в систему. Залишається виявити їх і скасувати будь-яким зручним способом. Якщо ви є представником бізнесу або зіткнулися з подібною проблемою на офісній машині, рекомендуємо звернутися до професіоналів для обслуговування комп'ютерів в офісі . І від троянів вилікують, і ПрінТерра / МФУ налаштують і інші проблеми вирішать.

2. Сподіваємося на чесність вірусмейкеров

Для деяких троянів дійсно існує код розблокування. У рідкісних випадках вони навіть чесно видаляють себе повністю після введення вірного коду. Дізнатися його можна на відповідних розділах сайтів антивірусних компаній - дивіться приклади нижче. Але, як не крути, такий метод працює все рідше і рідше - в практиці Вашого покірного слуги розблокувати Windows за допомогою коду розблокування виходить приблизно один раз десяти-дванадцяти заражень.

Сервіс розблокування Windows компанії «Доктор Веб»

Сервіс розблокування Windows компанії «Лабораторія Касперського»

Зайти в спеціалізовані розділи сайтів «Доктор Веб» , «Лабораторії Касперського» і інших розробників антивірусного ПО можна з іншого комп'ютера або телефону.

Після розблокування не тіштеся тим передчасно і не вимикайте комп'ютер. Скачайте будь-який безкоштовний антивірус і виконайте повну перевірку системи. Для цього скористайтеся, наприклад, утилітою Dr.Web CureIt! , Eset NOD або Kaspersky Virus Removal Tool .

3. Якщо б я мав коня ...

Перш ніж використовувати складні методи і спецсофт, спробуйте обійтися наявними засобами. Викличте диспетчер задач комбінацією клавіш CTRL + ALT + DEL або CTRL + SHIFT + ESC. Якщо вийшло, то ми маємо справу з примітивним трояном, боротьба з яким не доставить проблем. Знайдіть його в списку процесів і примусово завершите.

Підозрілий процес в диспетчері завдань

Сторонній процес видає невиразне ім'я і відсутність опису. Якщо сумніваєтеся, просто по черзі вивантажуйте всі підозрілі до зникнення банера.

Якщо диспетчер задач не викликається, спробуйте використовувати сторонній менеджер процесів через команду «Виконати», що запускається натисканням клавіш Win + R. Ось як виглядає підозрілий процес в System Explorer . Звичайно, варто сказати, що для цього потрібен встановлений сторонній менеджер процесів.

Розширений менеджер запущених процесів System Explorer

Завантажити програму можна з іншого комп'ютера або навіть з телефону. Вона займає всього пару мегабайт. За посиланням «перевірити» відбувається пошук інформації про процес в онлайновій базі даних, але зазвичай і так все зрозуміло. Після закриття банера часто потрібно перезапустити «Провідник» (процес explorer.exe). У диспетчері завдань натисніть:

Файл -> Нова задача (виконати) -> c: \\ Windows \\ explorer.exe.

Коли троян деактивовано на час сеансу, залишилося знайти його файли і видалити їх. Це можна зробити вручну або скористатися безкоштовним антивірусом.

Типове місце локалізації трояна - каталоги тимчасових файлів користувача, "Мої документи", системні каталоги (WINDOWS, system32 etc) і каталоги браузерів. Доцільно все ж виконувати повну перевірку, так як копії можуть перебувати де завгодно, а біда не приходить одна. Подивитися повний список об'єктів автозапуску допоможе безкоштовна утиліта Autoruns . Також можна використовувати дуже популярний CCleaner .

AutoRuns покаже всі об'єкти автозапуску (на скріншоті видно лише мала частина)

4. Військова хитрість

Справитися з трояном на першому етапі допоможе особливість в поведінці деяких стандартних програм. При вигляді банера спробуйте запустити «наосліп» Блокнот або WordPad. Натисніть WIN + R, напишіть notepad і натисніть ENTER. Під банером відкриється новий текстовий документ. Наберіть будь-яку абракадабру і потім коротко натисніть кнопку вимкнення живлення на системному блоці. Всі процеси, включаючи троянський, почнуть завершуватися, але виключення комп'ютера не відбудеться.

Блокнот - коня на скаку зупинить і доступ адміну поверне!

Чи залишиться діалогове вікно «Зберегти зміни у файлі?». З цього моменту на час сеансу ми позбулися банера і можемо добити трояна до перезавантаження. Ще раз повторюся - це відноситься до розряду досить примітивних троянів, такий спосіб допомагає в третині випадків.

5. Якщо б кінь мав мене ...

Більш просунуті версії троянів мають засоби протидії спробам позбутися від них. Вони блокують запуск диспетчера завдань, підміняють інші системні компоненти. В цьому випадку перезавантажте комп'ютер і утримуйте клавішу F8 в момент завантаження Windows. З'явиться вікно вибору способу завантаження. Нам потрібно «Безпечний режим з підтримкою командного рядка» (Safe Mode with Command Prompt). Після появи консолі пишемо explorer і натискаємо ENTER - запуститься провідник. Далі пишемо regedit, натискаємо ENTER і бачимо редактор реєстру. Тут можна знайти створені трояном записи і виявити місце, звідки походить його автозапуск.

Ключі реєстру, часто модифікуються троянами сімейства Winlock

Частіше за все ви побачите повні шляхи до файлів трояна в ключах Shell і Userinit в гілці

HKLM \\ Software \\ Microsoft \\ Windows NT \\ CurrentVersion \\ Winlogon

В «Shell» троян записується замість explorer.exe, а в «Userinit» вказується після коми. Детальніше - тут . Копіюємо повне ім'я троянського файлу в буфер обміну з першої виявленої записи. У командному рядку пишемо del, робимо пробіл і викликаємо правою клавішею миші контекстне меню.

Видалення трояна з консолі (повне ім'я файлу взято з реєстру і скопійовано в буфер обміну)

У ньому вибираємо команду «вставити» та натискаємо ENTER. Один файл трояна що знаходиться на відстані, робимо те ж саме для другого і наступних.

Видалення трояна з консолі - файл знаходився в тимчасовій папці.

Потім виконуємо в реєстрі пошук по імені файлу трояна, уважно переглядаємо всі знайдені записи і видаляємо підозрілі. Очищаємо всі тимчасові папки і кошик. Навіть якщо все пройшло ідеально, не полінуйтеся потім виконати повну перевірку будь-яким антивірусом.

Якщо через трояна перестали працювати мережеві підключення, спробуйте відновити настройки Windows Sockets API утилітою AVZ.

Відновлення мережевих сервісів за допомогою AVZ

6. Доктор, Ви мене вилікуєте? ..

З випадками серйозного зараження марно боротися з-під інфікованої системи. Логічніше завантажитися з явно чистої і спокійно вилікувати основну. Існують десятки способів зробити це, але один з найпростіших - скористатися безкоштовною утилітою Kaspersky WindowsUnlocker, що входить до складу Kaspersky Rescue Disk . як і DrWeb LiveCD, він заснований на Gentoo Linux. Файл-образ можна записати на болванку або зробити з нього завантажувальний флешку утилітою Kaspersky USB Rescue Disk Maker . Також можна використовувати ERD Commander або Windows XPE, такий приклад буде розглянуто пізніше.

Створення завантажувальної флешки з образу Kaspersky Rescue Disk

Завбачливі користувачі роблять це завчасно, а решта звертаються до друзів або йдуть в найближчим інтернет-кафе вже під час зараження.

При включенні зараженого комп'ютера утримуйте для входу в BIOS. Зазвичай це DEL або F2, а відповідне запрошення відображається внизу екрана. Вставте Kaspersky Rescue Disk або завантажувальний флешку. В налаштуваннях завантаження (Boot options) виберіть першим завантажувальним пристроєм привід оптичних дисків або флешку (іноді вона може відображатися в списку, що розкривається HDD). Збережіть зміни F10 і вийдіть з BIOS.

Сучасні версії BIOS дозволяють вибирати завантажувальний пристрій на льоту, без входу в основні настройки. Для цього потрібно натиснути F12, F11 або поєднання клавіш - докладніше дивіться в повідомленні на екрані, в інструкції до материнської плати або ноутбука. Після перезавантаження почнеться запуск Kaspersky Rescue Disk.

Завантаження Kaspersky Rescue Disk

Kaspersky Rescue Disk в графічному режимі

Доступний російську мову, а лікування можна виконати в автоматичному або ручному режимі - дивіться покрокову інструкцію на сайті розробника.

7. Російська вірус влізе і BIOS

Окремий підклас складають трояни, що вражають головний завантажувальний запис (MBR). Вони з'являються до завантаження Windows, і в секціях автозапуску ви їх не знайдете.

Троян сімейства Winlock, що заразив MBR

Перший етап боротьби з ними полягає у відновленні вихідного коду MBR. У разі XP для цього завантажується з інсталяційного диска Windows, натисканням клавіші {R} викликаємо консоль відновлення і пишемо в ній команду fixmbr. Підтверджуємо її клавішею {Y} і виконуємо перезавантаження. Для Windows 7 аналогічна утиліта називається BOOTREC.EXE, а команда fixmbr передається у вигляді параметра:

Після цих маніпуляцій система знову завантажується. Можна приступати до пошуку копій трояна і засобів його доставки будь-яким антивірусом.

8. Сестра, стакан кефіру і скальпель, будемо розкривати хворого!

На малопотужних комп'ютерах і особливо ноутбуках боротьба з троянами може затягнутися, оскільки завантаження з зовнішніх пристроїв утруднена, а перевірка виконується дуже довго. У таких випадках просто витягніть заражений вінчестер і підключите його для лікування до іншого комп'ютера. Для цього зручніше скористатися боксами з інтерфейсом eSATA або USB 3.0 / 2.0.

Антивірусна перевірка жорстких дисків на іншому комп'ютері

Щоб не розносити заразу, попередньо відключаємо на «лікуючим» комп'ютері автозапуск з HDD (та й з інших типів носіїв не завадило б). Зробити це найзручніше безкоштовною утилітою AVZ, але саму перевірку краще виконувати чимось іншим. Зайдіть в меню «Файл», виберіть «Майстер пошуку та усунення проблем». Відзначте «Системні проблеми», «Все» і натисніть «Пуск». Після цього відзначте пункт «Дозволено автозапуск з HDD» і натисніть «Виправити зазначені проблеми».

Відключення автозапуску за допомогою AVZ

Також перед підключенням зараженого вінчестера варто переконатися, що на комп'ютері запущено резидентний антивірусний моніторинг з адекватними настройками і є свіжі бази.

Якщо розділи зовнішнього жорсткого диска не помітні, зайдіть в "Керування дисками". Для цього у вікні «Пуск» -> «Виконати» напишіть diskmgmt.msc і потім натисніть {ENTER}. Розділом зовнішнього жорсткого диска повинні бути призначені літери. Їх можна додати вручну командою «змінити букву диска ...». Після цього перевірте зовнішній вінчестер цілком.

9. Ще способи

Часто допомагає завантаження Windows з затиснутою клавішею SHIFT, що відключає автозапуск програм зі списку автозавантаження. Такий спосіб нерідко допомагає, коли ні в один з безпечних режимів Windows не вантажиться (на чорному екрані блимає курсос і все або з'являється BSOD "синій екран смерті"). Кілька разів виходило таким чином тимчасово знешкодити трояна.

Використання Windows XPE, яка завантажує з флешки. Таку збірку можна скачати з торрентів - їх там дуже багато. Суть в тому, що даний спосіб дозволяє редагувати реєстр і файли на жорсткому диску з іншого, чистою ОС.

У складі цих операційних систем є сторонній редактор реєстру, на скріншоті нижче показаний Regedit PE, який автоматом завантажує файли реєстру віддаленої машини () і таким чином дозволяє вносити зміни до реєстру. Які параметри потрібно перевірити і які зміни вносити розказано в статті Прибираємо рекламний банер з робочого столу .

Інший випадок, коли сторонній редактор реєстру сам не підключає файли реєстру зараженої ОС - в такій ситуації йому їх потрібно "підсунути". Робиться це в такий спосіб (актуально для способу №8 (про підключення зараженого жорсткого диска до іншого ПК):

1. Запускаємо редактор реєстру (штатний або сторонній).

2.Виделяем гілку HKEY_LOCAL_MACHINE і жмакаем на Файл -> Завантажити кущ.

3. Вказуємо шлях до файл [диск на якому лежить заражена ОС]: / windows / system32 / config / software

4. Потім, редактор реєстру запропонує назвати завантаження кущ, головне щоб назва не співпало з існуючою гілкою - називаєте як завгодно, наприклад Winlocked.

5. Кущ реєстру із зараженою вінди і дасть можливість підправити її.

6. Переходимо за наступним шляхом: [HKEY_LOCAL_MACHINE \\ Software_Bad_Tree \\ Microsoft \\ Windows NT \\ CurrentVersion \\ Winlogon] і шукаємо запис «Userinit«. На здоровому комп'ютері вона виглядає так (кома в кінці потрібна!)

Userinit C: \\ WINDOWS \\ system32 \\ userinit.exe,

У хворих комп'ютерів до цього запису після коми буде додано шлях до якогось іншого файлу. Для лікування комп'ютера подивіться куди веде другий шлях і видаліть за цією адресою все що там є. Потім, видаліть саму запис про цей файл в реєстрі залишивши тільки шлях до userinit.exe і кому в кінці. Тепер треба вивантажити кущ - Файл -> Вивантажити кущ.

7. Profit!

Те ж саме, але для системних адміністраторів

Есллі ви - системний адміністратор, до того ж ще й має права «адміністратора домену». А заражений комп'ютер знаходиться в домені Active Directory .Ви зі свого робочого (адміністраторського) ПК запускаєте редактор реєстру на своєму робочому комп'ютері і за допомогою команди «Файл -> Підключити мережевий реєстр» шукаєте заражену машину в домені. Служба віддаленого реєстру повинна бути заущена. Решта по опису вище.

9. Секір башка ...

Останній спосіб позбутися від блокувальника, format C: / s, як би намекакет нам про те, що на диску С: /, тобто на системному розділі потрібно тримати тільки систему і більш нічого. До слова, для багатьох буває відкриттям, що папки "Робочий стіл", "Мої документи" і т.п. також знаходяться на диску С: /. Якщо всі способи пробувати лінь, або деякі недоступні в силу якихось причин, залишається тільки зносити операційну систему з форматуванням системного розділу, як правило, локального диска С: /, і інсталювати нову і чисту ОС. Але цей спосіб - крайній захід. До нього не варто вдаватися відразу, адже той Trojan.Winlock може виявитися примітивним і Ви від нього швидко позбудетеся.

10. Протигрибковий ...

Для запобігання повторного зараження слід налаштувати антивірус (з особистого досвіду скажу, що Касперський, Avast і AVG - справляються на "ура") з компонентом моніторингу в режимі реального часу і дотримуватися загальних правил безпеки:

• вимкніть автозапуск зі змінних носіїв;
• встановлюйте програми, доповнення та оновлення тільки з офіційних сайтів розробників;
• завжди звертайте увагу на те, куди насправді веде пропонована посилання;
• блокуйте небажані спливаючі вікна за допомогою додатків для браузера або окремих програм;
• своєчасно встановлюйте оновлення браузерів, загальних і системних компонентів;
• виділіть під систему окремий дисковий розділ, а призначені для користувача файли зберігайте на іншому.

Дотримання останньої рекомендації дає можливість робити невеликі образи системного розділу (програмами Symantec Ghost, Acronis True Image, Paragon Backup and Recovery або хоча б стандартним засобом Windows «Архівація та відновлення»). Вони допоможуть гарантовано відновити роботу комп'ютера за лічені хвилини незалежно від того, чим він заражений і чи можуть антивіруси визначити трояна.

У статті наведено лише основні методи і загальні відомості. Якщо вас зацікавила тема, відвідайте сайт проекту GreenFlash. На сторінках форуму ви знайдете безліч цікавих рішень і поради щодо створення Мультізагрузочний флешки на всі випадки життя.

Поширення троянів Winlock не обмежена Росією і ближнім зарубіжжям. Їх модифікації існують практично на всіх мовах, включаючи арабську. Крім Windows, заражати подібними троянами намагаються і Mac OS X. Користувачам Linux не дано відчути радість від перемоги над підступним ворогом. Архітектура даного сімейства операційних систем не дозволяє написати скільки-небудь ефективний і універсальний X-lock. Втім, «пограти в доктора» можна і на віртуальній машині з гостьової ОС Windows.

У статті використані матеріали і зображення з сайту iXBT