Друзі, не перестаю отримувати багато листів з питанням , Як позбутися від банера здирника, нещодавно у мене виникла цікава переписка з однією хорошою людиною, вирішив поділитися з вами, я впевнений вам буде цікаво.
Здравствуйте шановний адміністратор, день тому зайшов на один із музичних форумів, ось посилання (насправді посилання на форум додається, прим. адміністратора) і зловив банер на робочий стіл, а найголовніше, з даним сайтом це вже не перший раз. Скаржаться на них багато, віруси вони видаляють з сайту, потім вони з’являються знову. Ну що сталося, те сталося. Статтю вашу – як видалити банер читав, але так як у цьому питанні абсолютно не розбираюся, осилити її не зміг, тільки так, деякі моменти, спробував в безпечний режим увійти і невдало. Операційна система Windows 7. Заздалегідь спасибі. Макс.
Як позбутися від банера
З величезним почуттям вдячності нашому читачеві, за цю посилання на вірусний сайт, де мій комп’ютер можливо заразять банером здирником, я відключив свій антивірус і деяку захист, мова про яку піде нижче, і пройшов по даному посиланню. Відкрився сайт, в якому я тільки і встиг розгледіти обриси гітари, буквально через секунду, вірусний код, впроваджений у головну сторінку цього сайту, який представляє собою javascript, спрацював на виконання і мій робочий стіл був заблокований банером здирником, навіть натиснути ні на що не встиг (посилання на сайт з вірусом давати вам звичайно не буду, адміністрації цього сайту, я написав пізніше лист і вірус з сайту видалили, а взагалі в житті все може бути, ні один сайт на 100% не застрахований від злому).
Примітка: Друзі, багато читачів запитують у мене – Як максимально застрахувати себе при інтернет-серфінгу, а саме головне з допомогою яких інструментів? Читайте нашу статтю з гарантією не допустити зараження Windows вірусом при подорожі по інтернету навіть, якщо у Вас відсутній антивірус і все це безкоштовно!
Ну, а зараз докладна історія про те, як позбавитися від банера, якщо Ви егоуже спіймали. Наведена інформація підходить до операційних систем Windows ХР, Windows Vista, Windows 7.
Перше, що зробимо, зайдемо на сайти провідних антивірусних компаній, що надають послуги розблокування комп’ютера від банера здирника
На жаль код розблокування, підібрати мені не вдалося, мабуть вірус написаний недавно.
Друге що можна спробувати – перезавантажуємо комп’ютер і при завантаженні тиснемо F-8, заходимо до Усунення неполадок, це якщо у вас встановлена Windows 7, Windows XP йдіть відразу в безпечний режим з підтримкою командного рядка (що там робити, читайте трохи нижче).
далі середовище відновлення Windows 7,
намагаємося застосувати Відновлення системи, вибираємо точку відновлення, Далі
… відновлення системи запускається.
Далі перезавантаження і банера як не бувало…
Просканував антивирусником весь комп’ютер і ніяких слідів банера.
Е ні, – подумав я, ми так не домовлялися, куди ж ти пропав, про що ж я людям статтю писати буду. І вирішив я друзі, зайти на один знайомий мені махровий сайт, там цих вірусів, мабуть не мабуть. Посадити себе в систему справжній вірус справа п’яти хвилин, який і робочий стіл заблокує і відключить відновлення системи, коротше все по-справжньому. Давно у них я не був, у старих друзів в лапках, дивлюся нічого не змінилося, на головній сторінці сайту пропозицію отримати виграш, покладений мені, як милионному відвідувачу. Натискаю на кнопку і ОТРИМАТИ отримую те, що просив, банер на робочий стіл. Зітхаю з полегшенням, в наш час друзі, справжній вірус знайти складно.
Ось він, наш красень банер (в колекцію його заберу і потім розберу на запчастини), гроші каже давай, а найголовніше ціни ростуть, тисячу рублів вже вимагають.
Отже починаю з сервісів разблокировок, що надають свої послуги з видалення банера, на щастя невдало (а то довелося б інший вірус ловити) і ні один антивірусний сайт, код розблокування не підібрав.
Зі страхом в душі знову заходжу до Усунення неполадок->середа відновлення->вибираємо Відновлення системи і бац… зітхаю з полегшенням, ось вам.., все як положено – На системному диску цього комп’ютера немає точок відновлення.
Намагаюся ще раз, безрезультатно.
Настрій трохи піднявся, пробуємо Додаткові варіанти завантаження. Намагаємося зайти в Безпечний режим, там можна використовувати відновлення системи, почистити реєстр, автозавантаження і так далі, але нас до щастя знову чекає невдача, той же самий реальний банер.
Пробуємо потрапити в Безпечний режим з підтримкою командного рядка і… входимо в нього. А це означає, що на превеликий жаль, ми з вами майже видалили наш класний банер і довгою статті не вийде, ну да ладно, іншої шукати вже не будемо.
В безпечному режимі з підтримкою командного рядка, можна запустити відновлення системи, тобто набрати в командному рядку rstrui.exe, але ми вже намагалися це зробити в простому, безпечному режимі і у нас нічого не вийшло, повторюватися не будемо.
Тоді в командному рядку вводимо команду msconfig (знову ж, якщо у вас встановлена Windows 7, але от в операційній системі Windows XP msconfig не спрацює, набирайте спочатку команду explorer, потрапите на робочий стіл, а потім вже йдіть в автозавантаження звичайним шляхом Пуск-Виконати-msconfig)
і потрапляємо в автозавантаження, зверніть увагу незнайомий процес Salero:
В першу чергу дивимося шлях до самого файлу вірусу, він знаходиться, як ми бачимо за адресою.
C:UsersІм’я КористувачаAppDataLocalTempRar$EX20.61624kkk290347.exe
Дивимося, в якому саме розділі вірус прописався в реєстрі:
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun
Якщо зараз зайти в розділ реєстру Run, то ми побачимо таку картину
Знімаємо галочку з шкідливого процесу і тиснемо Застосувати і ГАРАЗД.
Якщо зараз зайти в згаданий розділ реєстру, то ви побачите що ключ відповідно видалений, так як ми його виключили з автозавантаження.
Як з командного рядка потрапити в реєстр? Набираємо команду regedit:
Знаходимо даний розділ.
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun
Так само варто перевірити знаходиться поруч розділ
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnce.
- Примітка: Раніше вірус часто вносив свої зміни в гілку реєстру
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon
Змінюючи там два параметра Shell і Userinit (це на всякий випадок), наводжу ідеальні значення даних параметрів. У нашому випадку вірус їх не торкнувся.
Shell = Explorer.exe і Userinit = C:WINDOWSsystem32userinit.exe,
Реєстр ми з вами почистили, тепер потрібно видалити файл вірусу за адресою:
C:Users або ім’я КористувачаALEXAppDataLocalTempRar$EX20.61624kkk290347.exe
Вводимо команду explorer і відкривається провідник Windows. Заходимо в Комп’ютер
Проходимо в папку
C:Users або ім’я КористувачаALEXAppDataLocalTemp і бачимо папку з вірусом Rar$EX20.616, можемо видалити її всю відразу, але бачу вам цікаво подивитися на вірус, так давайте в неї зайдемо.
Бачимо там разом з нашим вірусом 24kkk290347.exeгрупу файлів, створених системою практично в одне і теж час разом з вірусом, видаляємо все. До речі, всі файли в папці Temp, можна і потрібно видалити, так як це папка тимчасових файлів.
В кінці перевіряємо папку Автозавантаження, у ній нічого немає
C:UsersALEXAppDataRoamingMicrosoftWindowsStart MenuProgramsStartup
На останок я перевірив корінь диску (С:) і папку C:WindowsSystem32 на предмет файлів з назвою Rar$EX20.616 або 24kkk290347 чи за датою створення 09.04.2012 час 18.01.
Закриваємо командний рядок і перезавантажуємося
Перезавантаження і будь ласка, перед нами виникає наш нормальний робочий стіл. У нас з вами вийшло позбавитися від вірусу. Зараз не буде зайвим, перевірити весь комп’ютер на наявність шкідливих програм – антивірусом з останніми базами оновлень.
Що ще можна зробити, якщо в командний рядок увійти нам не вдасться. Можна використовувати диски відновлення ESET NOD32 або Dr. Web (читайте наші докладні статті).
Або наприклад, якщо у вас Windows 7, можете завантажитися в середу відновлення сімки. Для цього можна використовувати завантажувальний диск Windows 7 або диск відновлення Windows 7 , зайдете в командний рядок, наберете notepad, відкриється блокнот- файл–відкрити, потім потрібно замінити файли реєстру SAM, SEKURITY, SOFTWARE, DEFAULT, SYSTEM з папки C:WindowsSystem32config,
такими файлами з папки C:WindowsSystem32configRegBack.
Кожні 10 днів Планувальник завдань створює резервну копію файлів реєстру – навіть якщо у вас Відключено Відновлення системи.
Потім видалимо сам вірус з папки Temp або весь вміст папки, як показано вище:
C:Users або ім’я КористувачаALEXAppDataLocalTempRar$EX20.61624kkk290347.exe видаляємо просто, заходимо в неї і вибираємо видалити. Потім перезавантажуємося.
Взагалі друзі більш повна інформація наведена в статті Як видалити банер.
Тепер мова піде не про те, як позбавитися від банера, а про те, як застрахувати себе при інтернет-серфінгу, від зараження комп’ютера банером здирником.
В першу чергу багато хто з вас цікавляться питанням, чи може допомогти в нашому випадку контроль облікових записів UAC – компонент безпеки в операційних системах Windows Vista і Windows 7, на жаль тут він не допоміг, хоча й стояв біля мене стояв на останній шкалою. Рекомендується при установці нового програмного забезпечення і відвідуванні незнайомих веб-сайтів. Але зовсім відключати його не варто, буває він корисний у багатьох випадках, так як повідомляє користувача про будь-якої активності в системі, можете почитати нашу статтю Відключення UAC.
Реально вам допоможе створення додаткової обліковий запис з обмеженими правами наприклад «звичайний користувач» або використовуйте «гість»
Ось дивіться, я створив обліковий запис «1» і надав їй звичайний, НЕ привілейований доступ до комп’ютера.
Зайшов на той же заражений сайт і мій комп’ютер був так само заблокований банером здирником. З цієї ситуації можна вийти таким чином. Ви заходите в комп’ютер вже під обліковим записом адміністратора, далі заходите в папку (C:Users або Користувачі), вибираєте папку користувача «1», а далі або видалити вірус, який може знаходиться в папці
C:UsersГостьAppDataRoamingMicrosoftWindowsStartMenuProgramsStartup, тобто Автозавантаження, так само все потрібно видалити з папки.
C:UsersГостьAppDataLocalTemp
Чи краще просто відключити обліковий запис «1»,
вам запропонують видалити файли, пов’язані з створеної вами облікового запису «1»,
погодьтеся, якщо папка за адресою (C:Users1 не видаляються, з неї потрібно зняти атрибут Тільки читання і видалити.
В подальшому ви можете створити обліковий запис з обмеженими правами знову. Стаття про те, як краще створювати і керувати обліковими записами користувачів, готується.
Далі розглянемо ще один корисний плагін для браузерів Dr.Web LinkChecker (особливо на нього не сподівайтеся) http://www.freedrweb.com/linkchecker він створений для перевірки веб-сторінок і файлів, що завантажуються з мережі Інтернет. Принцип роботи плагіна такий – скачується і перевіряється сторінка сайту, на який ви заходите і всі зовнішні скрипти, які вона містить. При бажанні, якщо вам щось не сподобається, ви завжди зможете відключити в меню браузера. Меню->розширення->керування розширеннями->Вимкнути
Ще можна встановити собі QuickJava – плагін для браузера Firefox, досить непогана річ, дозволить вам дозволити або заборонити виконання Java і javascript у вашому браузері.
Ну і не втомлюся говорити про програми резервного копіювання даних, можете почитати, у нас багато цікавих статей.
Але що ще хочу сказати, якщо ви помітили на якому-небудь сайті постійну шкідливу активність, то не варто туди заходити зовсім.
