Как удалить вирус вручную с компьютера? Как найти вирусы в компьютере вручную? Как вручную найти вирусы

Как удалить вирус вручную с компьютера? Как найти вирусы в компьютере вручную? |

Итак, сегодня мы поговорим с вами о том, как удалить вирус вручную с компьютера. Помимо этого, посмотрим, какие могут встречаться трояны, как они проявляют себя и откуда могут быть занесены на компьютер. Давайте же поскорее приступим к изучению нашей сегодняшней темы.

Что ж, но перед тем, как удалить вирус вручную с компьютера, стоит поговорить с вами о том, какая зараза вообще встречается на компьютере. Ведь в большинстве случаев именно от этого зависит то, каким образом следует проводить лечение. Так что, давайте начнем.

Первый вирус — это троян. Из себя представляет вредоносный файл, который «селится» в операционной системе, да еще и вредит ей. Например, повреждает или уничтожает важные документы. Сейчас их очень много.

Второй довольно распространенный вид вируса — это разнообразные шифровальщики. Это такие файлы, которые попадают в систему и блокируют ее. Но не разрушая, а всего лишь зашифровывая документы. В конце такого шифра, как правило, оставляется e-mail создателя, на который надо перевести энную сумму денег ради возврата документов в первоначальный вид.

Третий вирус, который можно подцепить — это, конечно же, разнообразные надстройки браузера, или спам. Как правило, они очень сильно тормозят компьютер, да еще и мешают работе в интернете. Это происходит из-за того, что у пользователя может смениться стартовая страница, плюс ко всему, в браузере всюду будут расположены рекламные баннеры. Когда пользователи видят эту картину, то они задумываются, как найти вирусы в компьютере вручную, а потом убрать их. Сейчас мы попытаемся разобраться с этим.

Итак, перед тем как найти вирусы вручную и избавиться от них раз и навсегда, давайте попробуем разобраться, что может указывать вам на наличие компьютерной заразы в системе. Ведь если вовремя обнаружить сигналы, то можно избежать повреждения большого количества файлов и потери «операционки».

Первый, наиболее явный признак — это не что иное, как сообщения вашей антивирусной программы. Она будет «ругаться» на какие-то документы и файлы, выдавая вам название предполагаемого вируса. Правда, иногда антивирус так ведет себя по отношению к различным крякам и «таблеткам» к компьютерным играм. Тем не менее, без внимания это оставлять нельзя.

Второй вариант развития событий — у вас начинает «тормозить» компьютер. Именно тогда пользователи начинают активно думать, как удалить вирус вручную, особенно, если у них нет антивируса. Так что, как только вы заметили, что ваша система стала «тугодумом», начинайте бить тревогу.

Очередной вариант развития событий — на компьютере стали появляться новые программы, которые вы не устанавливали. Довольно распространенный ход среди компьютерной заразы.

Кроме того, на инфицирование компьютера может указывать еще и реклама в браузере. Смена стартовой страницы без возможности восстановления, рекламные баннеры везде и всюду — все это довольно тревожные сигналы. Так что, давайте поскорее посмотрим, как происходит удаление вируса с компьютера вручную.

Что ж, первым делом стоит начать с поиска тех мест, где кроется зараза. Иногда сделать это очень трудно. Особенно, если у вас нет антивирусной программы. В общем, давайте посмотрим, что можно сделать в сложившейся ситуации.

Итак, когда вы решили самостоятельно побороть вирус, то вам придется найти папку на компьютере, в которой он хранится. Иногда зараза сама выдает себя, создав свои процессы в диспетчере задач. Откройте его (Ctrl + Alt + Del), после чего перейдите во вкладку «процессы». Теперь найдите там любую подозрительную строчку (она будет как-то странно называться, или вообще подписана иероглифами) и нажмите на кнопку «показать расположение файла». Готово, вирус найден.

Правда, не все всегда так легко и просто. Если вы думаете, как удалить вирус вручную с компьютера, то вам стоит знать и то, что компьютерная зараза зачастую хорошо скрывается. В отображении папок отметьте пункт «отображать скрытые файлы и папки». Теперь осуществлять поиск будет значительно проще.

Помните и то, что компьютерные вирусы очень часто «оседают» в папке Windows. Например, большинство троянов встречается в System32. Некоторая зараза способна «прописаться» в файл host. Излюбленные места вирусов мы знаем. Но как же избавиться от них?

Первый вариант развития событий — это удаление заразы автоматически. Точнее, полуавтоматически. Речь идет о проверке компьютера на наличие вирусов при помощи антивирусной программы.

Для того чтобы обеспечить себе надежную защиту данных, запаситесь хорошим антивирусом. Отлично подходит Dr.Web. Если он вам не понравился, можете испробовать еще и Nod32. Он тоже довольно хорошо справляется с задачей.

Проведите глубокую проверку. После того, как программа выдаст вам результаты, постарайтесь вылечить документы автоматически. Не получилось? Тогда сотрите их. Правда, если вы думаете, как удалить вирус вручную с компьютера, то, скорее всего, проверки антивирусом вам не помогли. Давайте посмотрим, что же еще можно сделать.

Второй шаг на пути к исцелению системы — это, конечно же, удаление разнообразного контента, который вам наставил вирус. Это довольно частое явление. Так что, загляните в «панель управления», а оттуда проследуйте в «установку и удаление программ». Немного подождите, пока завершится проверка контента на компьютере.

Когда перед вами появится список программ, удалите все, чем вы не пользуетесь. Особое внимание уделите контенту, который вы не устанавливали. Или же тому, что появился «прицепом» после завершения установки какой-нибудь другой «проги». Кликните по нужной строчке правой кнопкой мышки, после чего выберите команду «удалить». Готово? Тогда можно думать дальше, как удалить вирус вручную с компьютера.

А теперь давайте прибегнем к некоторым службам и приемам, которые обязательно помогут нам. Если вы знаете название вируса (особенно, если вы столкнулись со спамом), то вам подойдет поиск заразы при помощи компьютерного реестра.

Для того чтобы перейти в необходимую службу, нажмите сочетание клавиш Win + R, а затем выполните команду «regedit». Посмотрите, что перед вами появится. С левой стороны окна расположены папки с длинными и непонятными названиями. Именно в них зачастую прячутся вирусы. Но мы немного упростим себе задачу по поиску. Достаточно зайти в «правку», а затем нажать на «поиск». Наберите имя вируса, после чего осуществите проверку.

После получения результатов все появившиеся строки требуется стереть. Для этого кликайте поочередно на каждую из них, после чего выбирайте необходимую команду. Все готово? Тогда перезагрузите компьютер. Теперь вы знаете, как удалить вирус вручную с компьютера.

beauty-x.info

Как удалить вирус вручную с компьютера? Как найти вирусы в компьютере вручную?

Виды вирусов

Первый вирус - это троян. Из себя представляет вредоносный файл, который "селится" в операционной системе, да еще и вредит ей. Например, повреждает или уничтожает важные документы. Сейчас их очень много.

Признаки заражения

Первый, наиболее явный признак - это не что иное, как сообщения вашей антивирусной программы. Она будет "ругаться" на какие-то документы и файлы, выдавая вам название предполагаемого вируса. Правда, иногда антивирус так ведет себя по отношению к различным крякам и "таблеткам" к компьютерным играм. Тем не менее, без внимания это оставлять нельзя.

Второй вариант развития событий - у вас начинает "тормозить" компьютер. Именно тогда пользователи начинают активно думать, как удалить вирус вручную, особенно, если у них нет антивируса. Так что, как только вы заметили, что ваша система стала "тугодумом", начинайте бить тревогу.

Очередной вариант развития событий - на компьютере стали появляться новые программы, которые вы не устанавливали. Довольно распространенный ход среди компьютерной заразы.

Кроме того, на инфицирование компьютера может указывать еще и реклама в браузере. Смена стартовой страницы без возможности восстановления, рекламные баннеры везде и всюду - все это довольно тревожные сигналы. Так что, давайте поскорее посмотрим, как происходит удаление вируса с компьютера вручную.

Поиск

Итак, когда вы решили самостоятельно побороть вирус, то вам придется найти папку на компьютере, в которой он хранится. Иногда зараза сама выдает себя, создав свои процессы в диспетчере задач. Откройте его (Ctrl + Alt + Del), после чего перейдите во вкладку "процессы". Теперь найдите там любую подозрительную строчку (она будет как-то странно называться, или вообще подписана иероглифами) и нажмите на кнопку "показать расположение файла". Готово, вирус найден.

Правда, не все всегда так легко и просто. Если вы думаете, как удалить вирус вручную с компьютера, то вам стоит знать и то, что компьютерная зараза зачастую хорошо скрывается. В отображении папок отметьте пункт "отображать скрытые файлы и папки". Теперь осуществлять поиск будет значительно проще.

Помните и то, что компьютерные вирусы очень часто "оседают" в папке Windows. Например, большинство троянов встречается в System32. Некоторая зараза способна "прописаться" в файл host. Излюбленные места вирусов мы знаем. Но как же избавиться от них?

Проверки

Первый вариант развития событий - это удаление заразы автоматически. Точнее, полуавтоматически. Речь идет о проверке компьютера на наличие вирусов при помощи антивирусной программы.

Стираем программы

Второй шаг на пути к исцелению системы - это, конечно же, удаление разнообразного контента, который вам наставил вирус. Это довольно частое явление. Так что, загляните в "панель управления", а оттуда проследуйте в "установку и удаление программ". Немного подождите, пока завершится проверка контента на компьютере.

Когда перед вами появится список программ, удалите все, чем вы не пользуетесь. Особое внимание уделите контенту, который вы не устанавливали. Или же тому, что появился "прицепом" после завершения установки какой-нибудь другой "проги". Кликните по нужной строчке правой кнопкой мышки, после чего выберите команду "удалить". Готово? Тогда можно думать дальше, как удалить вирус вручную с компьютера.

Тотальное сканирование

Для того чтобы перейти в необходимую службу, нажмите сочетание клавиш Win + R, а затем выполните команду "regedit". Посмотрите, что перед вами появится. С левой стороны окна расположены папки с длинными и непонятными названиями. Именно в них зачастую прячутся вирусы. Но мы немного упростим себе задачу по поиску. Достаточно зайти в "правку", а затем нажать на "поиск". Наберите имя вируса, после чего осуществите проверку.

autogear.ru

Как удалить вирус вручную с компьютера? Как найти вирусы в компьютере вручную? |

eda-x.ru

Поиск и удаление вирусов вручную — Windows ИНФО

Поиск и удаление вирусов вручную

Пока что я не знаю никого, кто бы прямо или косвенно не пострадал от действий компьютерных вирусов. Антивирусные компании много хотят за свои продукты, которые так и не обеспечивают надлежащей защиты. Спрашивается, зачем вообще тогда покупать антивирусное ПО? Все что создано человеком может быть уничтожено, это относится как к антивирусам, так и к вирусам. Человека обмануть намного сложнее, чем программу. Поэтому эта статья посвящена описанию методики обнаружения и деактивации вирусного программного обеспечения без антивирусного продукта. Запомните есть только одна вещь, ценность которую невозможно обойти/сломать/обмануть — это Знание, собственное понимание процесса. Сегодня я расскажу на реальных примерах как обнаружить и поймать у себя на компьютере Интернет-червей и шпионское ПО. Конечно есть еще много видов, но я взял самые распространенные и решил написать про то, что было у меня на практике, дабы не сказать чего лишнего. Если повезет в поиске расскажу про макро-вирусы, бэкдоры и руткиты. Итак перед тем как приступись, отмечу, в данной статье рассматриваю только операционную систему семейства NT, подключенную к интернету. У меня самого стоит Win2000 SP4, вирусы ловлю на WinXP PE. Итак перейдем к беглому, а затем и детальному анализу системы на предмет червей и шпионов. Беглым осмотром мы просто обнаружаем наличие программы и локализуем ее, детальный анализ уже идет на уровне файла и процессов. Там я расскажу о прекрасной программе PETools, впрочем всему свое время.

[Анализ системы]

Логично, что для того чтобы обнаружить и обезвредить вредоносную программу необходимо существование таковой программы. Профилактика остается профилактикой, о ней поговорим позже, однако надо первым делом определить есть ли на компьютере вообще вирусы. Для каждого типа вредоносных программ соответственно есть свои симптомы, которые иногда видны невооруженным глазом, иногда незаметны вовсе. Давайте посмотрим, какие вообще бывают симптомы заражения. Поскольку мы ведем речь о компьютере, подключенном к глобальной сети, то первым симптомом является чрезмерно быстрый расход, как правило, исходящего трафика, это обуславливается тем, что очень многие интернет-черви выполняют функции DDoS-машин или просто ботов. Как известно , при DDoS атаке величина исходящего трафика равна максимальной величине трафика за единицу времени. Конечно, на гигабитном канале это может быть и не так заметно если проводится DdoS атака шириной с диалап соединение, но как правило бросается в глаза заторможенность системы при открытии интернет ресурсов (Еще хотелось бы отметить, что речь пойдет о вирусах, которые хоть как то скрывают себя системе, ведь не надо объяснять ничего если у вас в папке Автозагрузка лежит файл kfgsklgf.exe который ловится фаерволлом и т.д.). следующее по списку, это невозможность зайти на многие сайты антивирусных компаний, сбои в работе платных программ типа CRC-error, это уже обусловлено тем, что достаточно многие коммерческие протекторы поддерживают функцию проверки четности или же целости исполняемого файла (и не только протекторы, но и сами разработчики защит), что сделано для защиты программы от взлома. Не будем говорить об эффективности данного метода против крякеров и реверсеров, однако сигнализацией к вирусному заражению это может сработать идеально. Плата начинающих вирмейкеров за не убиваемые процессы, то что при выключении или перезагрузке компьютера идет длительное завершение какого нибудь-процесса, или же вообще компьютер зависает при завершении работы. Думаю про процессы говорить не надо, а так же про папку автозагрузка, если там есть что-то непонятное или новое, то, возможно, это вирус, однако про это попозже. Частая перезагрузка компьютера, вылет из интеренета, завершение антивирусных программ, недоступность сервера обновления системы microsoft, недоступность сайтов антивирусных компаний, ошибки при обновлении антивируса, ошибки вызванные изменением структуры платных программ, сообщение windows, что исполняемые файлы повреждены, появление неизвестных файлов в корневом каталоге, это лишь краткий перечень симптомов зараженной машины. Помимо прямых вредоносных программ существует так называемое шпионской программное обеспечение, это всевозможные кейлоггеры, дамперы электронных ключей, нежелательные «помощники» к браузеру. Честно говоря, по методу обнаружения их можно разделить на два противоположных лагеря. Допустим кейлоггер, присоединенный динамической библиотекой к оболочке операционной системы обнаружить на лету крайне сложно, и наоборот, невесть откуда взявшийся помощник (плагин, строка поиска и т.д.) к internet Explorer’у (как правило) бросается в глаза сразу же. Итак, я думаю, настало время оставить эту пессимистическую ноту и перейти к реалистичной практике обнаружения и деактивации вредоносного программного обеспечения.

[Обнаружение на лету]

Первым делом мы научимся обнаруживать и уничтожать интернет-черви. Про почтовые черви я рассказывать не буду, алгоритм он один для всех, однако метод распространения почтовых червей настолько банален, что если вы умудрились запустить файл из аттача, то эта статья вам не поможет все равно. Для наглядности приведу пример из жизни, как обнаружил недектируемый ни одним антивирусом (до сих пор) IRC-bot, на уязвимой машине. Принцип распространения таких червей довольно прост, через найденную уязвимость в операционной системе. Если подумать головой то можно понять, что основным способом забросить себя на уязвимую машину является вызов ftp-сервера на этой машине. По статистике уязвимостей это печально известный tftp.exe (который, кстати, я не разу не использовал и думаю, что и создан он был только для вирусописателей). Первый симптом таких червей это исходящий трафик и не только из-за DDoS атак, просто вирус, попадая на машину, начинает поиск другой уязвимой машины в сети, то есть попросту сканирует диапазоны IP-адресов. Далее все очень просто, первым делом смотрим логи в журнале событий ОС, что находится по адресу Панель управления->Администрирование->Журнал событий. Нас интересуют уведомления о запущенных службах и главное уведомления об ошибках. Уже как два года черви лезут через ошибку в DCOM сервере, поэтому любая ошибка, связанная с этим сервером уже есть повод полагать о наличие вируса в системе. Чтобы точно убедится в наличии последнего, в отчете об ошибке надо посмотреть имя и права пользователя допустившего ошибку. Если на этом месте стоит «пользователь неопределен» или что-то подобное то радуйтесь, вы заражены! и вам придется читать дальше. Я именно так и обнаружил своего первого вируса на специальной сборочной машине (просто компьютер подключенный к сети с win2000, безо всяких пакетов обновление, экранов и т.д. специально для сбора таких программ =)). Если действовать по логике, а не по инстинкту, то первым делом вы должны закрыть дыру в системе для последующих проникновений, а потом уже локализовывать вирусы. Как я уже говорил, такие вирусы обычно лезут через tftp.exe, поэтому (если он вам действительно не нужен! если никогда его не видели, значит, не нужен) просто удаляем его из системы. Для этого сначала удаляем его из архива

%WINDIR%\Driver Cache\driver.cabзатем из папок обновления ОС, если таковые имеются, после этого из %WINDIR%\system32\dllcache\ и уже потом просто из%WINDIR%\system32\

Возможно, ОС скажет, что файлы повреждены и попросит диск с дистрибутивом, не соглашайтесь! А не то он восстановится и опять будет открыта дыра. Когда вы проделаете этот шаг можно приступать к локализации вируса. Посмотреть какие приложения используют сетевое подключение, помогает маленькая удобная программа TCPView, однако некоторые черви имеют хороший алгоритм шифрации или хуже того, прикрепляются к процессам либо маскируются под процессы. Самый распространенный процесс для маскировки — это, несомненно, служба svhost.exe, в диспетчере задач таких процессов несколько, а что самое поразительное, можно создать программу с таким же именем и тогда отличить, кто есть кто практически невозможно. Но шанс есть и зависит от внимательности. Первым делом посмотрите в диспетчере задач (а лучше в программе Process Explorer) разработчика программ. У svhost.exe это как не странно M$, конечно можно добавить подложную информацию и в код вируса, однако тут есть пара нюансов. Первый и наверное главный состоит в том, что хорошо написанный вирус не содержит не таблицы импорта, не секций данных. Поэтому ресурсов у такого файла нет, а, следовательно, записать в ресурсы создателя нельзя. Либо можно создать ресурс, однако тогда появится лишний объем файла, что крайне нежелательно вирмейкеру. Еще надо сказать про svhost.exe, это набор системных служб и каждая служба — это запущенный файл с определенными параметрами. Соответственно в Панели управления -> Администрирование -> Службы,содержатся все загружаемые службы svhost.exe, советую подсчитать количество работающих служб и процессов svhost.exe, если не сходиться , то уже все понятно (только не забудьте сравнивать количество РАБОТАЮЩИХ служб). Подробнее в приложении А.Надо так же отметить, что возможно и среди служб есть вирус, на это могу сказать одно, список служб есть и на MSDN и еще много где в сети, так что просто взять и сравнить проблемы не составит. После таких вот действий вы сможете получить имя файла, который возможно является вирусом. О том, как определять непосредственно вирус или нет, я расскажу чуть дальше, а сейчас оторвемся от рассуждений и посмотрим еще несколько моментов. Как вы, наверное, уже знаете, для нормальной работы ОС необходимо всего 5 файлов в корневом каталоге, поэтому все остальные файлы вы можете смело удалять, если конечно вы не умудряетесь ставить программы в корневой каталог. Кстати файлы для нормальной работы, вот они: ntldrboot.inipagefile.sysBootfont.binNTDETECT.COMБольше ничего быть не должно. Если есть и вы не знаете, откуда оно там появилось то переходите к главе [Детальный анализ].Приаттачивание к процессам мы так же рассмотрим в главе [детальный анализ], а сейчас поговорим про автозапуск. Естественно вирус должен как-то загружаться при старте системы, как правило. Соответственно смотрим следующие ключи реестра на предмет подозрительных программ. (А если вы уже нашли вирус, то ищите имя файла везде в реестре и удаляйте):HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\NotifyHKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserinitHKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\ShellHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKLM\SOFTWARE\Microsoft\Active Setup\Installed ComponentsHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Exp lorer\SharedTaskSchedulerHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellSer viceObjectDelayLoadHKCU\Software\Microsoft\Windows\CurrentVersion\Run Это все было сказано про детектирование простых червей. Конечно, вычислить хороший скрытый вирус сложно. Обнаружение этого червя и его деативация заняли у меня около 10 минут времени, конечно, я знал, где искать, это упростило задачу. Однако допустим на обнаружение хорошего бэкдора, кейлоггера, стелс-вируса, или же просто вируса, в котором используется перехват вызовов API-функций файловой системы (тогда вирус получается действительно невидимым), потокового вируса, в общем, есть еще ряд нюансов, однако таких творений действительно мало, мало настоящих вирмейкеров в наши дни. Огорчает… Постараюсь рассказать о них в следующих статьях. теперь перейдем к шпионским программам, или, как их называют буржуи SpyWare. Объяснять буду опять же на примерах шпионов, которых я ловил сам лично, чтобы мои слова не казались пустой фантазией.

Начну я свой рассказ с самых распространенных шпионов. В одном небезызвестном журнале один хороший программист правильно назвал их блохами ослика. Простейший шпион очень часто скрывается за невинным на вид тулбаром. Знайте, что если у вас, вдруг, откуда не возьмись, появилась новая кнопка или же строка поиска в браузере то считайте, что за вами следят. Уж очень отчетливо видно, если у вас вдруг изменилась стартовая страница браузера, тут уж и говорить нечего. Конечно, прошу простить меня за некоторую некорректность в терминах. Вирусы, меняющие стартовые страницы в браузере вовсе не обязательно будут шпионами, однако, как правило, это так и поэтому позвольте здесь в этой статье отнести их к шпионам. рассмотрим пример из жизни, когда я пришел на работу и увидел на одном компьютере странного вида строку поиска в браузере, на мой вопрос откуда она взялась я так ничего и не получил. пришлось разбираться самому. Как вообще может пролезть шпион в систему? Есть несколько методов, как вы уже заметили речь идет про Internet Explorer, дело в том, что самый распространенный метод проникновения вируса в систему через браузер — это именно посредством использование технологии ActiveX, саму технологию уже достаточно описали и зацикливаться я на ее рассмотрении не буду. Так же заменить стартовую страницу, к примеру, можно простым Java-скриптом, расположенным на странице, тем же javascript можно даже закачивать файлы и выполнять их на уязвимой системе. Банальный запуск программы якобы для просмотра картинок с платных сайтов известного направления в 98% случаев содержат вредоносное ПО. Для того чтобы знать, где искать скажу, что существует три наиболее распространенных способа, как шпионы располагаются и работают на машине жертвы. Первый — это реестр и ничего более, вирус может сидеть в автозагрузке, а может и вообще не присутствовать на компьютере, но цель у него одна — это заменить через реестр стартовую страницу браузера. В случае если вирус или же скрипт всего лишь однажды заменил стартовую страницу, вопросов нет, всего лишь надо очистить этот ключ в реесре, если же после очищения, через некоторое время ключ снова появляется, то вирус запущен и постоянно производит обращение к реестру. Если вы имеете опыт работы с отладчиками типа SoftIce то можете поставить точку останова на доступ к реестру (bpx RegSetValueA, bpx RegSetValueExA) и проследить, какая программа, кроме стандартных, производит обращении к реестру. Дальше по логике уже. Второй — это именно перехватчики системных событий, так назваемые хуки. Как правило, хуки используются больше в кейлоггерах, и представляют собой библиотеку, которая отслеживает и по возможности изменяет системные сообщения. Обычно есть уже сама программа и прикрепленная к ней библиотека, поэтому исследуя главный модуль программы вы ничего интересного не получите.Подробнее об этом и следующем способе смотрите ниже в главе детальный анализ.

И, наконец, третий способ это прикрепление своей библиотеки к стандартным программам ОС, таким как explorer.exe и iexplorer.exe, проще говоря написание плагинов к этим программам. Тут опять же есть пара способов, это прикрепление с помощью BHO (об самом способе прикрепления писал Gorlum, пользуясь случаем привет ему и почет) и просто внедрение своей библиотеки в исполняемый файл. разница, какой понимаю ее я в том что Browser Helper Object описано и предложено самой корпорацией M$, и используется как плагин к браузеру, а внедрение библиотек — это уже не столько плагин, сколько как самодостаточная программа, больше напоминающая файловый вирус прошлых лет.

Предоставлю вам для общего обучения ключи реестра, куда могут прописаться недоброкачественные товары, в виде тулбаров, кнопок и стартовых страниц браузера.

Стартовая страницаHKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main параметр StartPage.HKEY_USERS\S-1-5-21-….\Software\Microsoft\Internet Explorer\Main параметр StartPage (S-1-5-21-…. этот ключ может быть разный на разных машинах)

Регистрирование объектов типа кнопок, тулбаров и т.д.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\Вот тут регистрируется все «помошники» и если у вас таковых нет то ключ должен быть пуст, если не пуст, то удаляйте.

Итак, если у вас не все в порядке с этими ключами, и вы хотите разобраться дальше, то смотрим дальше.

[Ищем получше]

Поскольку к моменту написания данной статью я хотел сделать ее понятной всем, то эта глава может и показаться некоторым людям непонятной, но я старался упростить все как мог. Я не буду объяснять вас архитектуру PE-файла, хотя мы будем к ней обращатся. Подробнее есть множество мануалов в сети, а про PE-файлы хорошо было написано Iczelion’ом. Может быть, когда ни будь, да опишу тоже.Итак, приступая к детальному анализу нам потребуются некоторые инструменты, я использую в этом случае и советую использовать PETools by NEOx и PEiD (Можно вообще обойтись одним Soft Ice’ом, но лучше побольше инструментов да попроще, для реверсеров отмечу, что сейчас пойдет речь о просмотре таблицы импорта и упакованности файла, поэтому пропустите мимо ушей то извращение, которое вы сейчас увдите)Значит, как я уже говорил, был такой случай, что в браузере появилась непонятно откуда строка поиска и стартовая страница. Проверив реестр, я не нашел изменения статовой страницы, а так же не нашел регистрации плагинов в браузере. При детальном осмотре оказалась, что данная строка поиска (тулбар проще) появляется во всех окнах ОС. Это уже немного меняло суть дела. Я предположил, что занимаются этим два независимых друг от друга шпиона и именно методом внедрения динамической библиотеки. При этом надо различать, что если тулбар был бы только в браузере, значит, внедрился он в процесс iexplorer.exe, но у нас был он везде, следовательно, проверять надо было в explorer.exe. Я начал проерять браузер. Для этого я запустил PETools и просто посмотрел, какие библиотеки использует браузер. Мне подвернулась удача в лице нерадивого вирмейкера, на фоне системных библиотек из %SYSTEMROOT% красовалась некая smt.dll с путем, уходящем, куда то в TEMP. Перезагрузка в безопасном режиме и удаление этой библиотеки, и все в норме, шпион убит. Осталось только опять вызвать PETools, кликнуть правой кнопкой мыши на нашем процессе и произвести пересборку файла. Это самый простой случай в моей практике. Перейдем к следующему, находим и убиваем тулбар. Тем же образом я посмотрел процесс explorer.exe и ничего бросающегося в глаза, не нашел. Из этого следует два варианта, либо я не знаю наизусть всех библиотек, и тулбар затерялся среди них, либо мне не дано по знаниям его обнаружить. К счастью вышло первое. Но как же тогда отличить настоящую библиотеку от подложной. я скажу, а вы уже поймете сами. Как известно вирмейкеры гонятся за минимализацией и зашифрованостью кода. То есть не один тулбар как правило не будет лежать в открытом виде, во-первых код можно уменьшить, а значит нужно, и во-вторых если кто нибудь (чаще даже не антивирус, а конкурент) обнаружит данную библиотеку то ему незашифрованный код легче понять. Поэтому берем PEiD и производим массовое сканирование импортируемых библиотек. Библиотеки от microsoft естественно написаны на visual C++ и ничем не упакованы, поэтому если мы видим (а я как раз увидел подозрительную seUpd.dll упакованную UPX) упакованную или зашифрованную библиотеку то 99% это, то, что мы искали. Проверит она это или нет очень просто, переместите в безопасном режиме ее и посмотрите результат. Конечно, можно было бы распаковать, посмотреть дизасм листинг и подумать, что же она делает, но не бдем в то углубляться. Если вы не нашли все-таки упакованную библиотеку, то полезно редактором ресурсов типа Restorator посмотреть версии файла, как я уже говорил у всех библиотек от M$ там так и написано. Вот на таких делах прокалываются вирмейкеры. Стыдно должно быть им вообще писать такие вирусы. На последок хочу еще заметить, что библиотека *.dll не обязательно может внедрятся в процессы. В ОС Windows есть такое полезное приложение, как rundll32.exe, и я могу запускать с помощью этого процесса любую библиотеку. И при этом не обязательно в автозагрузке писать rundll32.exe myspy.dll, достаточно прописать это внутри зараженного файла. Тогда вы будете видеть только свои (зараженные файлы, которые маловероятно будут детектироваться антивирусом) и процесс rundll32.exe, и больше ничего. Как быть в таких случаях? Здесь уже придется углубляться в структуру файла и ОС, поэтому оставим это за рамками данной статьи. Насчет упакованности/зашифрованности вируса относится не только к библиотекам, но и ко всем системным файлам. На этой приятной ноте я хочу закончить главную часть статьи, написано было много, однако это только 1% всех способов обнаружения. Мой способ пускай и не лучший, но я им пользуюсь сам и довольно продуктивно (хорошо только не на своем компьютере). По возможности если получится, напишу продолжение про макро-вирусы, кейлоггеры и бэкдоры, словом про то, что я уже ловил.

Список системных служб svhost.exe (WinXP)

DHCP-клиентsvchost.exe -k netsvcsDNS-клиент svchost.exe -k NetworkServiceАвтоматическое обновление svchost.exe -k netsvcsВторичный вход в систему svchost.exe -k netsvcsДиспетчер логических дисков svchost.exe -k netsvcsЗапуск серверных процессов DCOM svchost -k DcomLaunchИнструментарий управления Windows svchost.exe -k netsvcsКлиент отслеживания изменившихся связей svchost.exe -k netsvcsМодуль поддержки NetBIOS через TCP/IP svchost.exe -k LocalServiceОбозреватель компьютеров svchost.exe -k netsvcsОпределение оборудования оболочки svchost.exe -k netsvcsРабочая станция svchost.exe -k netsvcsСервер svchost.exe -k netsvcsСлужба восстановления системы svchost.exe -k netsvcsСлужба времени Windows svchost.exe -k netsvcsСлужба регистрации ошибок svchost.exe -k netsvcsСлужбы криптографии svchost.exe -k netsvcsСправка и поддержка svchost.exe -k netsvcsТемы svchost.exe -k netsvcsУведомление о системных событиях svchost.exe -k netsvcsУдаленный вызов процедур (RPC) svchost -k rpcssЦентр обеспечения безопасности svchost.exe -k netsvcsДиспетчер авто-подключений удаленного доступа svchost.exe -k netsvcsПротокол HTTP SSLsvchost.exe -k HTTPFilterРасширения драйверов WMI svchost.exe -k netsvcsСлужба загрузки изображений (WIA)svchost.exe -k imgsvcСлужба обеспечения сетиsvchost.exe -k netsvcsСлужба серийных номеров переносных устройств мультимедиаsvchost.exe -k netsvcsСовместимость быстрого переключения пользователейsvchost.exe -k netsvcsСъемные ЗУsvchost.exe -k netsvcsУзел универсальных PnP-устройствsvchost.exe -k LocalServiceУправление приложениямиsvchost.exe -k netsvcsФоновая интеллектуальная служба передачиsvchost.exe -k netsvcsДиспетчер подключений удаленного доступаsvchost.exe -k netsvcsСетевые подключенияsvchost.exe -k netsvcsСистема событий COM+svchost.exe -k netsvcsСлужба обнаружения SSDP svchost.exe -k LocalServiceСлужба сетевого расположения (NLA)svchost.exe -k netsvcsСлужбы терминаловsvchost -k DComLaunchТелефонияsvchost.exe -k netsvcsWindows Audiosvchost.exe -k netsvcsДоступ к HID-устройствамsvchost.exe -k netsvcsМаршрутизация и удаленный доступsvchost.exe -k netsvcsОповещатель svchost.exe -k LocalServiceПланировщик заданийsvchost.exe -k netsvcsСлужба сообщений svchost.exe -k netsvcs—— Итого шесть процессов при работе всех служб ——

wininfo.org.ua

Как найти вирусы вручную — Как удалить вирус вручную? — 22 ответа

Как удалить вирус

В разделе Прочее компьютерное на вопрос Как удалить вирус вручную? заданный автором Eleine13 лучший ответ это скачай бесплатной версие все отсканируешь и вытащишь бесплатная от платной практически не отличается) скачай а ключи если надо кину тебе до про версии расширишь)

Ответ от 22 ответа[гуру]

Привет! Вот подборка тем с ответами на Ваш вопрос: Как удалить вирус вручную?

Ответ от Просыхать[новичек]Инструкция 1 Признаком наличия вируса является возросший исходящий Интернет-трафик, появление новых файлов в необычных местах, другие настораживающие признаки. Если антивирус не дал положительного результата, необходимо выявить присутствие вредоносной программы.

2 Для этого, откройте диспетчер задач, нажав сочетание клавиш Ctrl+Alt+Del и внимательно изучите запущенные процессы. Обнаружив неопознанные процессы, смело удаляйте их, тем самым вы выгрузите его из памяти и остановите действие вируса.

3 Следующий шаг – удаление вирусной программы из автозагрузки. Для этого нажмите кнопку Пуск / выполнить, в командной сроке наберите regedit. Необходимо просмотреть следующие ветки: HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOnce HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnce В них не должно быть запущено никаких неизвестных программ или библиотек.

4 Вирусы могут присоединяться к системным исполняемым файлам в ветке HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon, убедитесь, что запись выглядит следующим образом: Shell=explorer.exe UIHost=logonui.exe Userinit=userinit.exe Все лишние присоединившиеся файлы необходимо удалить.

5 Проделав данную процедуру, вы обездвижите вирус, но не удалите его со своего компьютера.

6 Несмотря на то, причинить вреда вирус уже не сможет, как правило, пользователи предпочитают удалить и само тело вируса. Для этого просмотрите системную папку system32 и удалите все ненужные посторонние файлы. Чтобы было легче отыскать файлы вируса, отсортируйте содержимое папки по дате создания и ищите вирус среди наиболее свежих файлов.

7 Удалив тело вируса, можно удалить и все следы его пребывания на вашем компьютере. Эта процедура доступна пользователям, умеющим работать с реестром Windows, где находятся и удаляются следы вируса.

Ответ от Особенный[гуру]-Наличие следующих файлов: % AppData% netprotocol.exe

-Наличие следующих изменений реестра: В разделе HKLM Software Microsoft Windows CurrentVersion Run

-Устанавливает значение: "Netprotocol" с данными: "% AppData% netprotocol.exe"

При запуске Trojan: Win32/Vundo.gen.AW обычно копирует себя в следующие файлы:

% AppData% netprotocol.exe

Создает следующую запись в реестре, чтобы обеспечить выполнении загрузки копии при каждом запуске Windows:

В разделе: HKLM Software Microsoft Windows CurrentVersion Run

Устанавливает значение: "Netprotocol"

С данных: "% AppData% netprotocol.exe"

Также создается следующая запись реестра в рамках своего процесса установки:

В разделе: HKLM SOFTWARE Microsoft Netprotocol

Устанавливает значение: "UniqueNum" С данными: "<номер>"

Например: В разделе: HKLM SOFTWARE Microsoft Netprotocol Устанавливает значение: "UniqueNum" С данными: "5084571747328449280"

Trojan: Win32/Vundo.gen.AW может связаться с несколькими веб-сайтами для загрузки дополнительных файлов.

Для удаления Trojan:Win32/Vundo.gen.AW необходимо произвести чистку реестра куда создалась запись и удаление созданного файла. После чего произвести повторную проверку системы на наличие вредоносного кода

Ответ от Єедор Смирницев[гуру]По ссылка методике пролечите систему

Ответ от Евровидение[гуру]А зачем вручную, если есть программы - сканеры. ссылка

Ответ от Аркадий Баклагин[активный]Да неужели трудно: ПКМ > Удалить.

Ответ от Владимир Татаркин[новичек]Здравствуйте у меня к Вам такой вопрос поймал какой то вирус который заблокировал все мои сохраненные фотографии и картинки, не дает их открыть и выглядит в виде зеленого замка подскажите плиз как его удалить.

Ответ от Ёветочка[активный]ну я советую использовать онлайн сканер Eset, хотя многие его ругают непонятно почему, тем не менее он реально может помочь в любом случае он бесплатный нужно просто скачать запустить и все, если что то вот тут очень доступно написано как это сделать:ссылкаХочу заранее пожелать вам удачки =)

Ответ от Ирина Чибисова[новичек]Скачай программу HitmanPro, там бесплатная версия на 30 дней, ищет весь спам и вирусы и удаляет их.

Ответ от Олег Демидов[новичек]AVZ Эта бесплатная программа, разработанная Олегом Зайцевым, умеет обезвреживать трояны, руткиты, черви, кейлогеры и т. д. Ее достоинство в том, что она не требует установки, ее можно запустить даже с обычной флешки. После старта в области поиска нужно выбрать места, где будет происходить сканирование, и в правой части окна в «Методике лечения» поставить галочку напротив пункта «Выполнять лечение». Кроме того, у этой программы есть ряд расширенных возможностей, таких как восстановление системы, поиск файлов, анализатор портов и т. д. Dr.Web CureIt Удаление вирусов этой утилитой – весьма популярный способ борьбы с различными компьютерными заразами. Она также не требует установки, отличается мощностью и простотой в управлении, а также не конфликтует с прочими, уже установленными антивирусами. После запуска нужно выбрать способ проверки: выборочная, быстрая или полная. Вся текущая информация показывается в основной панели, снизу. AVPTool (Kaspersky Virus Removal Tool) Было бы непростительно для студии Касперского позабыть о разработке собственной утилиты. AVPTool также неплохо справляется с лечением «заболевшего» компьютера. В отличие от предыдущих программ, ее вначале нужно установить. Это можно сделать в безопасном режиме, если в основном есть какие-то проблемы с установкой. Удаление вирусов может быть выполнено в автоматическом или ручном режиме. В настройках сканирования можно установить опцию выключения компьютера по завершении процесса и спокойно запустить программу на ночь. Антивирус сам сделает всю работу: просканирует, затем вылечит все, что сумеет (а что не сумеет - удалит) и выключит ПК. Ручной режим пригодится тем, кто предпочитает тонкую настройку лечения, и в случае если сканирование стопорится на какой-то стадии своего процесса. Выбор утилиты и способа лечения зависит от конкретных обстоятельств и предпочтений владельца машины. Самое главное – это не запускать «болезнь», а то, как это будет сделано, не имеет большого значения.

Ответ от Андрей Фурсов[гуру]Как удалить рекламный вирус bhd4.xyz?

Ответ от Dyglas 333[активный]Можешь перепрошить. Но только сотрутся все скаченные с GooglePlay и из интернета приложения и игры. Но это лучший способ.

Ответ от TDSko[активный]Вот подробная инструкция как удалить вирус в ручную ссылка расписано более чем доходчиво, а так же приведены примеры программ которые это сделают за вас в автоматическом режиме.

Ответ от Магира[новичек]ссылка как удалить

Ответ от 2 ответа[гуру]

Привет! Вот еще темы с нужными ответами:

Ответить на вопрос:

22oa.ru

Как удалить вирус вручную с компьютера? Как найти вирусы в компьютере вручную?

Виды вирусов

Второй довольно распространенный вид вируса - это разнообразные шифровальщики. Это такие файлы, которые попадают в систему и блокируют ее. Но не разрушая, а всего лишь зашифровывая документы. В конце такого шифра, как правило, оставляется e-mail создателя, на который надо перевести энную сумму денег ради возврата документов в первоначальный вид.

Третий вирус, который можно подцепить - это, конечно же, разнообразные надстройки браузера, или спам. Как правило, они очень сильно тормозят компьютер, да еще и мешают работе в интернете. Это происходит из-за того, что у пользователя может смениться стартовая страница, плюс ко всему, в браузере всюду будут расположены рекламные баннеры. Когда пользователи видят эту картину, то они задумываются, как найти вирусы в компьютере вручную, а потом убрать их. Сейчас мы попытаемся разобраться с этим.

Признаки заражения

Поиск

Итак, когда вы решили самостоятельно побороть вирус, то вам придется найти папку на компьютере, в которой он хранится. Иногда зараза сама выдает себя, создав свои процессы в диспетчере задач. Откройте его (Ctrl + Alt + Del), после чего перейдите во вкладку "процессы". Теперь найдите там любую подозрительную строчку (она будет как-то странно называться, или вообще подписана иероглифами) и нажмите на кнопку "показать расположение файла". Готово, вирус найден.

Правда, не все всегда так легко и просто. Если вы думаете, как удалить вирус вручную с компьютера, то вам стоит знать и то, что компьютерная зараза зачастую хорошо скрывается. В отображении папок отметьте пункт "отображать скрытые файлы и папки". Теперь осуществлять поиск будет значительно проще.

Проверки

Стираем программы

Тотальное сканирование

4u-pro.ru

Как найти самостоятельно вирус на своём компьютере. - 20 Мая 2012 - Блог

Подключившись к Интернету, пользователи подвергают свою систему опасности заражения вирусами в гораздо большей степени, чем если бы компьютер работал без соединения с информационными сетями. И это естественно, ведь выходя во внешнее электронное пространство, пользователь дает "видеть” себя практически всем компьютерам, находящимся в этой сети. И далеко не все из этих систем являются "дружественными”. Может и так случиться, что зараженная машина, решит соединиться именно с Вашим компьютером и если найдет на нем какую-либо уязвимость, то немедленно поделится с Вами своими вирусами. Однако в большинстве случаев, пользователь сам соединяется с зараженными машинами, когда переходит на их сайты и качает с них файлы. Даже "навесив” на свою систему мощнейшую защиту, нельзя быть уверенным в полной неуязвимости.

Вирусописатели достаточно хитры, чтобы поймать на свои крючки даже достаточно опытных пользователей. Ниже я расскажу о том, как найти вирус на своем компьютере, если Вам кажется, что зараза все же проникла в Вашу систему.

Признаки заражения компьютера вирусами

Первое, что необходимо сделать пользователю, перед тем как начать "паниковать” это провести детальную процедуру поиска программной заразы и обнаружить признаки этого самого вируса. В чем они могут проявляться?

Вход в систему блокируется окном с сообщениями о переводе денег за возможность дальнейшей работы.
Вход на некоторые популярные сайты блокируется полностью, либо блокируется с выводом окна, в котором вымогатели требуют перечислить деньги за дальнейшее их пользование.
Вы не можете попасть на свои страницы в социальных сетях и почтовых сервисах. Ранее действовавший пароль, теперь не является верным.
Система периодически начинает очень медленно реагировать на команды пользователя: запуск программ, подключение к Интернету, копирование файлов, сканирование антивирусом, работа в Интернете.
Система стала загружаться в несколько раз медленнее, при том, что дополнительных программ пользователем не устанавливалось.
Подключение к Интернету запускается самостоятельно, даже если пользователь запретил автоматический запуск такого подключения.
Ваши друзья и знакомые начинают жаловаться на спам, который приходит от Вас через Интернет.
Появились неизвестные сообщения, отправленные с Ваших учетных записей в социальных сетях, почтовых сервисах, службах обмена сообщениями.
Нет возможности открыть файловые диски в системе по двойному клику. При этом, обычно, открытие через контекстное меню правой кнопкой мыши продолжает работать.
В системе обнаружилось исчезновение ранее установленных программ и созданных документов.
В документах пользователя стали появляется надписи, которых он не оставлял.
Некоторые из программ в системе перестали запускаться или запускаются с ошибками.

Конечно, далеко не все из выше перечисленного в явном виде указывает на причастность вирусов к проблемам в компьютерной системе, однако такое поведение уже должно насторожить Вас и заставить более детально заняться дальнейшей проверкой компьютера.

Как правильно найти вирус с помощью антивируса

Вы думаете, что наличие в Вашей системе антивируса или его установка избавит от программной заразы или даже обнаружит ее сразу же? Боюсь, что Вы немного ошибаетесь, возлагая такие надежды на антивирусы, если не знаете основных правил их работы и наиболее эффективных принципов нахождения и лечения вирусов с их помощью.

Во-первых, антивирус должен быть обновлен как можно более свежими версиями в двух аспектах. Один из которых означает постоянное обновление антивирусных баз данных. То есть тех источников данных, в которых описываются шаблоны всех известных вирусов. Без этих обновленных шаблонов, Вам не поможет ни один антивирус, так как он попросту не сможет распознать новый вирус среди и без того больших потоков информации, которые он исследует в реальном времени.

Второй аспект означает последнюю версию самой программы-антивируса. Так как методы заражения и распространения вирусов постоянно меняются, так же как и развитие операционных систем, антивирусу требуется постоянное обновление знаний о методах заражения, а также о поведении операционных систем, в которых находят новые уязвимости для проникновения программной заразы. Поэтому старый антивирус, даже с последними обновлениями вирусных баз может быть бесполезен при поиске уже известных ему вирусов, которые, тем не менее, знают как его обмануть и заставить не обращать на них внимание.

Но допустим, что у вас имеется последняя версия какого-либо антивируса с обновленными вирусными базами. Можно ли с его помощью найти все вирусы, плавающие в Вашей системе? Шанс конечно уже гораздо выше, но не достаточен для максимальной эффективности такой работы. В этом плане можно представить вирус как мошенника, уже втершегося в доверие к Вашей системе и способного манипулировать ее действиями, а значит и действиями антивирусной программы. Вирусы, которые еще только пытаются проникнуть на Ваш компьютер и вирусы, уже находящиеся в системе действуют в совершенно разных жизненных условиях и имеют несопоставимые привилегии. Первые являются как бы спящими и их достаточно легко обнаружить обновленными антивирусами. А вот вторые, это уже активные самостоятельные программные враги, которые по своему усмотрению могут совершить все необходимое, для того чтобы их не обнаружили. В том числе и грамотный обход проверки антивируса.

Как Вы уже поняли, не достаточно достоверно искать вирусы, запустив антивирус из своей же операционной системы. Значит нужно запустить его из внешней сторонней системы. Например, сняв винчестер и подключив его к другому, заведомо безвредному компьютеру. Если же такового под рукой не найдется, есть прекрасный способ запуска антивируса из сторонней системы с помощью уже подготовленных комплектов от антивирусных компаний. К примеру, таких как Kaspersky Rescue Disk или Dr.Web LiveCD.

Среда для запуска антивируса Касперского с внешнего CD диска

Запускаем антивирусный сканер от Dr.Web, загрузившись с CD диска

Вышеназванные комплекты представлены в виде ISO образов, которые могут быть записаны на CD или DVD диски с помощью таких программ как Nero Burning ROM, Daemon Tools, CDBurnerXP и тому подобных. После записи образов на диск, достаточно будет перезапустить компьютер и произвести загрузку с этих дисков. Теперь Вы можете управлять антивирусом из гарантированно безопасной системы и быть уверенным в том, что никакие вирусы ее не контролируют. А это означает максимальную эффективность в деле поиска вирусов на своем компьютере.

Как найти вирус самостоятельно

Поиск вируса, что называется "вручную” требует от пользователя достаточно хороших знаний процессов и ресурсов операционной системы. В некоторых случаях вирусы удается распознать практически сразу, иногда приходиться повозиться с изучением того или иного неизвестного процесса. Однако в любом случае следует иметь в виду, что антивирусы далеко не полная панацея от сетевой заразы. Если Вам посчастливилось "схватить” виртуальную инфекцию, только что выпущенную на просторы глобальной сети, то, скорее всего, антивирусные компании даже не знают об этом типе вируса. А значит и найти его, с их помощью, вряд ли удастся, даже не смотря на то, что неизвестные вирусы антивирусными программами все же могут быть идентифицированы в ряде случаев. Как же тогда пользователь сможет распознать программного врага в своем стане? Для этого я приведу здесь несколько советов.

I. Воспользуйтесь "Диспетчером задач”.

Этот простой инструмент Ваш первый друг и помощник в деле поиска вирусов. Именно с его помощью можно получить список процессов (или попросту говоря программ), которые крутятся в памяти Вашего компьютера на данный момент. Есть и более продвинутые версии для анализа процессов. Например, Process Explorer или System Explorer. Однако даже с простым системным "диспетчером задач” можно провести весь необходимый анализ, а расширенными версиями пользоваться, только если этот диспетчер блокируется вирусами. Запустить диспетчер можно комбинацией клавиш "Ctrl + Shift + Esc” или вызвать посредством стандартного "Ctrl + Alt + Del”.

На какие подозрительные процессы нужно обращать внимание.

Процессы, имена которых сходны с именами главных системных процессов, таких как
- csrss.exe,
- explorer.exe,
- lsass.exe,
- svchost.exe,
- system,
- wininit.exe,
- winlogon.exe
Процессы с подозрительными именами
Процессы с подозрительным описанием или без описания вовсе

Все найденные подозрительные названия файлов нужно будет проверить в базе данных известных процессов. Такие базы можно найти по следующим адресам:

http://wiki.compowiki.info/ProcessyWindows (русскоязычный)

http://www.what-process.com (англоязычный)

http://www.tasklist.org (англоязычный)

Либо воспользоваться обыкновенной поисковой системой, куда в качестве запроса нужно ввести имя подозрительного процесса.

Если Вы заподозрили какие-либо уже известные процессы, но они помечены в базах как безвредные, то можно оставить их в покое. Даже в том случае, если они и содержат вирусы исследовать их можно только с помощью глубоких знаний ассемблера и специальных программных инструментов.

Обратите внимание на процессы, упоминание о которых не нашлось на вышеописанных сайтах. Во-первых, определите текущую директорию запуска подозрительной программы. Для этого нужно просто кликнуть по процессу правой кнопкой мыши и перейди к окну "Свойства”.

Данное действие применимо к операционной системе версии Windows 7. Для пользователей Windows XP рекомендуется воспользоваться продвинутыми версиями "Диспетчера задач”, ссылки на которые я приводил выше.

В этом окне можно увидеть информацию о названии исполняемого файла, посредством которого произошел запуск процесса и папку, где эта программа расположена. Обратите внимание на атрибуты исследуемого EXE файла. Если он имеет свойство "Скрытый”, то доверия такой файл уже точно не вызывает.

Также на причастность к семейству вирусов может указывать и сам путь, указанный в пункте "Расположение”. Самыми подозрительными являются каталоги временных файлов, такие как Temporary Internet Files и Temp. Большое число вирусов используют именно эти папки как площадки для запуска. Также будет весьма странным, если неизвестная (даже по базам с описаниями процессов) программа окажется запущенной из каталога System.

Далее изучите информацию из вкладки "Подробно”.

Здесь можно увидеть сведения о версии программы, ее разработчике и официальном названии. Вирусописатели не часто стараются подделывать подобные сведения, чтобы запутать пользователей или не вызвать подозрения отсутствием такого описания. По крайней мере, отсутствие данных сведений даст еще один повод подозревать исследуемую программу во вредоносности.

Процесс также может обладать свойством цифровой подписи, что отразиться на появлении одноименной вкладки. Конечно, далеко не все процессы могут иметь такую вкладку, однако наличие ее уже говорит о том, что данный файл прошел соответствующую проверку и сертификацию и скорее всего не представляет никакого вреда для системы.

И хотя подделать такую подпись весьма затруднительно, но все же возможно, вряд ли вирусописатели станут тратить свои силы ресурсы ради небольшой выгоды от такого "дорогого” в разработке вируса. Поэтому анализ подобных файлов можно со спокойной душой отложить в сторону.

II. Проверьте автозагрузку

Весьма полезным делом будет также проверка программ, находящихся в автозапуске. Не редко вирусы запускаются, не маскируясь, прямо из стандартных ресурсов для автозагрузки. Чтобы посмотреть список таких программ, перейдите в "Пуск”, откройте окно "Выполнить” и наберите команду "msconfig”. В результате должно появиться окно следующего вида:

Здесь действуют те же правила что и при анализе процессов из "диспетчера задач”. Обращайте внимание на все подозрительные имена объектов и их производителей, исследуйте каталоги, посредством которых они запускаются (столбец "Команда”).

Самые подозрительные программы можно отключать на запуск. Для этого просто снимите галочку напротив них. Однако будьте внимательны, если после перезапуска системы деактивированные программы, вновь поставили себя на запуск, то подобное поведение очень подозрительно и такие файлы стоит обследовать более досконально.

Теперь Вы знаете, как найти вирус на своем компьютере, если обнаружили подозрительное поведение системы. Остается только избавиться от него простым удалением файла с жесткого диска. Правда, не все вирусы позволяют безропотно удалять себя из системы, однако даже в этом случае вам на помощь придут антивирусные CD комплекты, о которых я рассказывал выше. Ведь достаточно только загрузиться с них и можно без проблем удалять идентифицированные Вами вирусы.

vidra-am.ucoz.ru