Однажды, включив свой компьютер, Вы можете увидеть на рабочем столе инфобаннер-вымогатель, который закрывает часть экрана, или того хуже, вообще тёмный экран монитора и некие требования по отправке СМС.
|
«Здравствуй, Вася, я снеслася…» (Из комментариев «счастливчиков»)
|
Инфобаннеры-вымогатели в последнее время все чаще появляются на мониторах наших компьютеров. Как только «ласково» не называют «счастливые» обладатели этих «непрошенных гостей»! Некоторые выражения и печатать стыдно! Согласен, это очень неприятный инцидент, особенно, когда Вы увлечены каким-либо процессом на своём компе, когда ограничены по времени, а тут такое! Эта ситуация мне слегка напоминает анекдотическую, когда два товарища, одноглазый и слепой пошли через лес к девочкам. Наткнувшись последним глазом на торчащую ветку, одноглазый изрек: «Ну, вот мы и пришли!» На что слепой ответил сакраментальной фразой: «Здравствуйте, девочки!»
После нескольких попыток самостоятельно убрать баннер, а это, как правило, не удаётся, Вы начинаете нервничать, проклинать умников — его создателей и корить себя, недоучку, что не можете справиться с такой ерундой. А представьте за экраном монитора подростка у которого строгие родители! Что скажет как всегда некстати появившийся отец… И в этот момент начинает развиваться упадническо-капитуляционное решение, отправить это злосчастное СМС и дело с концом. И понятно желание поскорее убрать эту гадость с глаз долой. Тем более, что плата за разблокировку заявлена бывает небольшая.
Никогда, ни под каким предлогом НЕ шлите СМС!
Разновидности программ
Целью действий программ-вымогателей является блокирование доступа пользователя к данным на компьютере или ограничение возможностей работы на компьютере и требование выкупа за возврат к исходному состоянию системы. Отличие вредоносных программ класса «Trojan-Ransom» заключается в их изначальной коммерческой направленности. Каждая программа этого поведения является инструментом для получения денег киберпреступниками. Существует несколько видов вредоносных программ. Они представлены в порядке сложности борьбы с ними вручную, без антивируса. Избавиться от последствий запуска первых двух видов достаточно просто, третьего и четвертого – немного сложней, а устранение последствий работы программ, отнесенных к пятому виду, не всегда возможно.
Программы:
- Ограничивающие доступ к web-сайтам;
- Ограничивающие работу с обозревателем;
- Блокирующие доступ к ресурсам операционной системы;
- Ограничивающие действия пользователя в операционной системе;
- Шифрующие файлы пользователя.
Способы борьбы
Во всех случаях появления баннера попытайтесь вначале удалить его с помощью антивируса. Если получается, проверьте в обычном режиме работы. Естественно, базы должны быть самые свежие. Поэтому необходимо строго следить за обновлением баз. Желательно в настройках обновления установить в «Автомат»!
Не хочется далеко заходить в дебри, потому, что есть очень много вариантов, разновидностей, как самих баннеров, так и способов борьбы с ними. Хотелось бы остановиться на самых простых и действенных, которые опробовал сам и о которых имею представление.
Баннер, ограничивающий работу с обозревателем
Такого типа баннер блокирует доступ пользователя ко многим web-сайтам, в том числе и к сайтам антивирусов.
Если он не удаляется антивирусом, выполните следующее:
- В текстовом редакторе, например Блокнот откройте файл Hosts . Путь к файлу для Windows XP, Vista: C: → папка Windows/System32/drivers/etc/hosts
- Вручную исправьте данный файл, удалив все строки ниже строки 127.0.0.1 localhost
Баннеры, ограничивающие доступ в Интернет
Эта вредоносная программа блокирует доступ к Интернету и выводит на экран сообщение о якобы нарушении лицензионного соглашения с требованием отправить СМС и так далее…
Такого типа программа-вымогатель создаёт в обозревателе всплывающее окно, которое нельзя закрыть. Оно мешает или полностью препятствует работе в Интернете.
В Internet Explorer откройте окно Управление надстройками (Сервис → Надстройки → Включение отключение надстроек) . В открытом окне обратите внимание на надстройки, у которых в графе Издатель либо нет ничего, либо Не проверено . В графе Файл проверьте расширения файлов подозрительных настроек и отключите подозрительные расширения. Перезапустите Internet Explorer и убедитесь, что окно исчезло.
Баннеры, блокирующие доступ к ресурсам операционной системы
Эти «красавцы» блокируют доступ пользователя к ресурсам операционной системы. Диспетчер задач не запускается. Клавиатура и мышь работают, но окно баннера свернуть нельзя. Оно поверх всех окон, не даёт работать с другими программами и требует оплату за предоставление пароля для восстановления работоспособности системы.
ВНИМАНИЕ : для устранения баннеров такого типа достаточно применить ЛЮБОЙ из представленных ниже вариантов.
1. Восстановление системы
Один из лучших способов − откатить систему на 1-2 дня назад с помощью восстановления системы. «Коварная сволочь-баннер», несомненно, будет всячески препятствовать, мешать выполнить процедуру восстановления, но изловчиться можно и нужно, так как убрать эту «пакость» жизненно необходимо. Если у вас Windows ХР, то этот метод действует безотказно. Как сделать откат, все наверное, знают: Пуск → Все программы → Стандартные → Служебные → Восстановление системы → Восстановление более раннего состояния компьютера . Выбрать прошлую дату, отмеченную жирным шрифтом. Нажать кнопку «далее» и система самостоятельно восстановится до состояния на дату, указанную Вами.
Более прогрессивный и удобный метод восстановления системы предоставляет программа Acronis True Image Home . Установите эту замечательную программу на компьютер, сделайте резервные копии системы и при любых неприятностях, сбоях в работе, баннерах и т.д., просто восстановите систему. Огромное преимущества этого способа заключается в том, что при «поимке» баннера, например, вам необходимо просто сделать перезагрузку и, нажав клавишу F11 , активировать программу Acronis True Image Home, которая восстановит систему на дату создания резервной копии.
2. Использование сервисов деактивации вымогателей-блокеров
Производители антивирусов помогают нам найти код от баннера, поэтому обязательно посмотрите каждый из разблокираторов. В этом варианте можно попросить друзей о помощи с их компьютера, конечно, если у них эти ссылки в закладках. Пройдите по ссылкам. Понравившиеся, сохраните в закладках.
- //virusinfo.info/deblocker/
- //support.kaspersky.ru/viruses/deblocker
- //news.drweb.com/show/?i=304
- //www.drweb.com/unlocker/index
- //www.esetnod32.ru/support/winlock/
После разблокировки необходимо пройти процедуру лечения, предложенную лабораторией Касперского для полного удаления вредоносной программы!
Служба технической поддержки лаборатории Касперского предоставляет Kaspersky Rescue Disk 10 , который можно скачать бесплатно по ссылке //support.kaspersky.ru/viruses/rescuedisk?level=2
(Техническая поддержка предоставляется только пользователям, купившим коммерческую лицензию на Антивирус Касперского или Kaspersky Internet Security.)
3. Удаление из Автозагрузки
Можно попробовать вручную удалить баннер из Автозагрузки . Команда на запуск баннера должна быть в Автозагрузке (он ведь запускается вместе с Windows!). Можно попробовать убрать его оттуда с помощью какой-нибудь программы с функцией редактирования команд в Автозагрузке, например, EasyCleaner, CCleaner, TuneUp Utilites и много других. Сделать перезагрузку, войти в безопасный режим под учётной записью Администратора. Обратить внимание на новые, неизвестные Вам файлы, особенно с текущей датой, которые запускают баннер. Например plugin.exe . Удалить этот файл с Автозагрузки. Перезагрузиться в рабочий режим. Почистить реестр. Проблема исчезнет.
4. Вход в безопасный режим
Безопасный режим - режим защиты от сбоев. В безопасном режиме загружаются только те драйверы и службы, которые необходимы для работы системы. Безопасный режим Windows XP позволит исправить все ошибки и вернуть систему в рабочее состояние.
При перезагрузке компьютера не дожидаясь начала загрузки windows нажмите F8 . Вы попадёте в меню дополнительных вариантов загрузки.
1 . Загружаемся в безопасном режиме с поддержкой командной строки. (При перезагрузке компьютера не дожидаясь начала загрузки Windows после характерного сигнала часто нажимаем либо удерживаем в нажатом состоянии клавишу . В появившемся диспетчере задач выбираем: файл → новая задача (выполнить) .
3 . В открывшемся окошке вводим слово regedit . Откроется редактор реестра.
4 . В редакторе: . Делаем двойной щелчок мышью на папке Winlogon .
5 . В параметре Shell должно быть Explorer.exe , а там будет прописан путь к зараженному файлу. Удаляем всё лишнее.
6 . Находим ключ Userinit . Восстанавливаем значение на (запятая должна быть!). Перезагружаемся. Баннер устранён!
5. Диск Live CD
В сложном случае, если при перезагрузке невозможно перейти в безопасный режим (когда вредоносная программа отключает эту возможность), нужно воспользоваться компакт-диском Live CD .
Live CD — это аварийная ОС, которая загружается в оперативную память ПК. Может работать с неисправным жёстким диском или с отсутствием его. Имеет софт, чтобы посмотреть содержимое жёсткого диска и произвести действия для восстановления системы и решения других проблем.
Порядок действий практически такой же, как и в предыдущем методе, но, как Вы понимаете, сложность заключается в том, что необходим диск Live CD. Объём диска примерно 700-720мб. Windows_XP_LiveCD вы можете скачать в .
Запишите Windows_XP_LiveCD на CD-диск и он не раз выручит вас в критических ситуациях.
Перезагружаем с диском Live CD. Ждём пока установится аварийная ОС. Далее: Пуск → Программы → ERD Commander → утилиты → редактор реестра . Будьте особо внимательны при внесении изменений в системный реестр!
В редакторе: HKEY_LOKAL_MACHINE\Software\Microsoft\Windows NT\Current Version\Winlogon . Двойной щелчок мышью откроет папку Winlogon в правой половине в развёрнутом виде. Находим ключ Userinit . Восстанавливаем значение на C:\Windows\system32\userinit.exe, В параметре Shell (находится немного выше…) не должно быть ничего более, чем запись: Explorer.exe . Всё лишнее необходимо удалить.
А теперь всё вышесказанное в картинках:
Вставили диск Live CD, перезагружаемся. При помощи стрелок «вверх — вниз» на клавиатуре выбираем верхнюю ссылку (обозначенную на рисунке зелёным цветом), иначе при бездействии загрузится ваша ОС.
Аварийная операционная система загружена успешно. На рабочем столе видны значки загруженных программ. Присутствуют несколько антивирусов, программа Everest , благодаря которой можно узнать все данные о своём компьютере, AcronisTrueImage для восстановления системы, TotalCommander и др.
Нажимаем: Пуск → Программы → ERD Commander → утилиты → редактор реестра .
В редакторе находим: HKEY_LOKAL_MACHINE\Software\Microsoft\Windows NT\Current Version\Winlogon . Кликнув два раза кнопкой мыши, открываем папку Winlogon в правой части в развёрнутом виде.
Находим ключ Userinit , кликаем правой кнопкой мыши и в контекстном окне нажимаем вкладочку Modify .
Восстанавливаем значение на C:\Windows\system32\userinit.exe,
В параметре Shell (подчёркнуто красной линией) не должно быть ничего более, чем запись: Explorer.exe . Всё лишнее необходимо удалить.
Извлекаем диск LiveCD, перезагружаемся в обычный режим работы. Баннер умер!
6. Дополнительные варианты
- Один из способов убрать баннер — отнести жесткий диск другу и проверить его антивирусом.
- Переустановка Windows. Радикальный способ, надёжный, но не стоит им злоупотреблять. Необходимо начинать с простого, попробовать самому решить вопрос, испробовать все известные методы устранения проблемы, если не получается, обратиться к более продвинутым пользователям, тем более, что «не так уж и страшен чёрт, как его малюют!»
- Обратиться в полицию. Заполнить заявление по соответствующей форме и ждать помощи от наших правоохранительных органов! Подумайте, почему так распоясались кибермошенники? Кто из пострадавших от этих людей написал заявление? Многие подумают, мол, ладно, сам виноват, не велики деньги, все-равно никто не поможет, или что-либо в этом роде. Ну, обманули, ограбили, главное, что не убили. Как-то и я так подумал, когда несколько лет тому назад «обчистили» квартиру. Вещи наживём, а, если бы в это время в квартире были маленькие дети или жена, думаете, пожалели бы их? Если представить себе на секунду, что баннер поймал, ну, например Путин, или Медведев! А они молодые люди и часто пользуются интернетом. Я, не то что уверен, это просто аксиома, что через каких-то 15 с половиной минут злоумышленник уже будет давать показания в соответствующем месте. Как может быть так, что в наше время невозможно вычислить кому принадлежит конкретный короткий номер? Ведь кто-то кому-то этот номер в пользование давал, и, наверняка, не за спасибо! Вот и пусть милиция разыскивает…. Как-то смотрел «Горячий вечер с Кеосаяном» на тему об СМС-мошенничестве. Он там сказал, что надо, мол, «включать мозги». Хорошо, конечно, включать их тем, во-первых, у кого они есть! А во-вторых, не все ведь и с мозгами сообразят, например, ребёнок, пожилой человек, жители деревни, глубинки, просто доверчивые люди и т.д. Если мы чаще будем обращаться, значит будет статистика данного рода нарушений закона и у органов будут наработки в этом вопросе. Нет обращений — значит нет проблем!
Резюме
В предотвращении подобных явлений очень хорошим гарантом может выступать лицензионный антивирус и постоянное обновление баз. Это, в первую очередь, конечно же, Касперский , D.WEB , NOD .
Если вы используете в качестве антивирусной программы KIS лаборатории Касперского, в настройках можно включить Анти-Баннер:
В этом случае баннер-вымогатель вы точно не поймаете, но и при установке всех галочек в чекбоксах настроек, лишитесь возможности наблюдать все остальные баннеры, как «чужие», так и «свои», включая и рекламу Гугла. Выбор в любом случае остаётся за вами.
Постарайтесь ограничить посещение п#рн#сайтов, не идите на поводу у мошенников при предложениях устанавливать незнакомые программы. Подобными действиями Вы самолично устанавливаете программу к себе на компьютер, даже, кликая якобы на крестик закрытия окна с предложением. В случае, когда окно невозможно закрыть, лучше закройте вкладку или выключите браузер. Если компьютер просит что-то обновить или переустановить (на п#рн#сайте!), при этом работая нормально, никакой нужды в обновлении или переустановке нет. Если сомневаетесь, лучше спросите у более продвинутых пользователей.
Установите браузер Mozilla Firefox и скачайте с официального сайта ADBLOCK Plus и установите (подключите обновляемые фильтры). Будет блокироваться вся реклама вообще, а о п#рн#баннерах и всплывающих окнах можно забыть.
| Firefox на русском //www.mozilla-europe.org/ru/firefox/ | |
| //addons.mozilla.org/ru/firefox/addon/adblock-plus/ |
Создайте две учётные записи: одну с правами администратора, а другую с правами обычного пользователя. Даже если компьютер не надо ни с кем делить. Режим обычного пользователя предпочтителен в повседневной работе. Если Вы работаете от имени администратора, то вирусы и другие вредоносные средства, случайно попавшие на компьютер, имеют полную свободу действий. А в тех сравнительно редких случаях, когда необходимо выполнить специальную настройку или установить программу, в систему можно войти с административными правами. Этот нехитрый приём значительно повышает безопасность.
Скачивайте с сайта Microsoft и устанавливайте все критические обновления безопасности, выходящие ежемесячно. Делайте это регулярно. Включите Автоматическое обновление.
Установите надёжный сетевой защитный экран — файервол (брандмауэр).
Всего Вам доброго и светлого! Пока. Ваш Л.М.
Баннер вымогатель, Маскировка под МВД России:
- На вашем устройстве Android появилась картинка заставка и не дает работать блокируя доступ к устройству. Картинка примерного содержания:
- Если у вас включен режим отладки по usb/ то можно подключить ваше устройство к компьютеру и зайти в папку system/app в этой папке ищите неизвестное вам приложение или то что вы устанавливали до того как появиться баннер, с расширением файла "АРК". Это самый простой способ. Режим отладки включается в разделе параметры разработчика я о нем писал в статье .
- Если вы не можете подключиться по usb. Тогда при включения вашего устройства есть мало но есть время между появлением баннера и загрузкой android. В этот промежуток идем в настройки значек такой или далее нам надо быстренько пока не загрузился наш, ваш, баннер) нажать на раздел ПАРАМЕТРЫ РАЗРАБОТЧИКА они в самом низу меню, предпоследние. Выглядит это так:
- В параметрах разработчика нужно успеть пока баннер не запустился, повторюсь это надо делать все быстро. Нажать "отладка по usb" и подождать отладчик если он доступен. У меня он был не доступен, но это не страшно, он автоматом подождет значит. Все просто "отладка по USB". Даже если у вас после этой галочки "Отладка по USB" если вы успели нажать, появился баннер. Не беда она уже включена эта опция. Снова перезагружаем устройство и делаем все быстренько. Самое главное успевать нажимать до появления баннера а уже если вы не увидели поставленную галочку потому что вам перекрыл баннер, она уже стоит.Заходим в папку которую я называл выше и удаляем баннер. Предварительно подключившись по usb.
- Идем: "НАСТРОЙКИ > БЕЗОПАСНОСТЬ > АДМИНИСТРАТОРЫ УСТРОЙСТВ" Так как мы разбираем разблокировку устройства не буду долго вам объяснять, снимаем все галочки которые там есть.
- Теперь заходим там же в "настройках > диспетчер приложений" Если в предыдущем описании "АДМИНИСТРАТОРЫ УСТРОЙСТВ" Было еще какое приложение типо sauna.apk или что наподобие. Тогда тоже самое ищем в диспетчере приложений, это и будет ваш баннер установленный.
- Тут надо знать что вы устанавливали или что у вас установлено в системе. Когда вы посещали сайт со взрослым контентом, вам наверняка предложили воспользоваться услугой и предложили установить утилиту или приложение? Вспомните название и вперед на поиск какое приложение в вашем планшете или другом устройстве Android лишнее. Можно по названию странному понять.
- Все выше сказанное можно проделать в безопасном режиме, чтобы несколько раз не перезагружать устройство и не вылавливать время пока не загрузился баннер. Как зайти в безопасный режим Android читаем в статье " ", также если вы столкнулись с проблемами и вам стало что то не понятно, напишите ниже в комментарий или откройте новую тему на нашем форуме по этой ссылке "
Убираем баннер:
Если не получилось?
Дополнение ко всему выше сказанному:
Трояны-винлокеры - это разновидность вредоносного ПО, которое путем блокировки доступа к рабочему столу вымогает у пользователя деньги - якобы если тот переведет на счет злоумышленника требуемую сумму, получит код разблокировки.
Если включив однажды ПК вы видите вместо рабочего стола:
Либо что-то еще в том же духе - с угрожающими надписями, а иногда с непристойными картинками, не спешите обвинять своих близких во всех грехах.
Они, а может быть и вы сами, стали жертвой вымогателя trojan.winlock.
Как блокировщики-вымогатели попадают на компьютер?
Чаще всего блокировщики попадают на компьютер следующими путями:
- через взломанные программы, а также инструменты для взлома платного софта (кряки, кейгены и прочее);
- загружаются по ссылкам из сообщений в соц.сетях, присланным якобы знакомыми, а на самом деле - злоумышленниками со взломанных страниц;
- скачиваются с фишинговых веб-ресурсов, имитирующих хорошо известные сайты, а на самом деле созданных специально для распространения вирусов;
- приходят по e-mail в виде вложений, сопровождающих письма интригующего содержания: «на вас подали в суд…», «вас сфотографировали на месте преступления», «вы выиграли миллион» и тому подобное.
Внимание! Порнографические баннеры далеко не всегда загружаются с порносайтов. Могут и с самых обычных.
Такими же способами распространяется другой вид вымогателей - блокировщики браузеров. Например, такой:
Они требуют деньги за доступ к просмотру веб-страниц через браузер.
Как удалить баннер «Windows заблокирован» и ему подобные?
При блокировке рабочего стола, когда вирусный баннер препятствует запуску любых программ на компьютере, можно предпринять следующее:
- зайти в безопасный режим с поддержкой командной строки, запустить редактор реестра и удалить ключи автозапуска баннера.
- загрузиться с Live CD («живого» диска), например, ERD commander, и удалить баннер с компьютера как через реестр (ключи автозапуска), так и через проводник (файлы).
- просканировать систему с загрузочного диска с антивирусом, например Dr.Web LiveDisk или Kaspersky Rescue Disk 10 .
Способ 1. Удаление винлокера из безопасного режима с поддержкой консоли.
Итак, как удалить баннер с компьютера через командную строку?
На машинах с Windows XP и 7 до старта системы нужно успеть быстро нажать клавишу F8 и выбрать из меню отмеченный пункт (в Windows 8\8.1 этого меню нет, поэтому придется грузиться с установочного диска и запускать командную строку оттуда).
Вместо рабочего стола перед вами откроется консоль. Для запуска редактора реестра вводим в нее команду regedit и жмем Enter.
Следом открываем редактор реестра, находим в нем вирусные записи и исправляем.
Чаще всего баннеры-вымогатели прописываются в разделах:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon - здесь они изменяют значения параметров Shell, Userinit и Uihost (последний параметр есть только в Windows XP). Вам необходимо исправить их на нормальные:
- Shell = Explorer.exe
- Userinit = C:\WINDOWS\system32\userinit.exe, (C: - буква системного раздела. Если Windows стоит на диске D, путь к Userinit будет начинаться с D:)
- Uihost = LogonUI.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows - смотрите параметр AppInit_DLLs. В норме он может отсутствовать или иметь пустое значение.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run - здесь вымогатель создает новый параметр со значением в виде пути к файлу блокировщика. Имя параметра может представлять собой набор букв, например, dkfjghk. Его нужно удалить полностью.
То же самое в следующих разделах:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
Для исправления ключей реестра кликните правой кнопкой по параметру, выберите «Изменить», введите новое значение и нажмите OK.
После этого перезапустите компьютер в нормальном режиме и сделайте сканирование антивирусом Он удалит все файлы вымогателя с жесткого диска.
Способ 2. Удаление винлокера с помощью ERD Commander.
ERD commander содержит большой набор инструментов для восстановления Windows, в том числе при поражении троянами-блокировщиками.
C помощью встроенного в него редактора реестра ERDregedit можно проделать те же операции, что мы описали выше.
ERD commander будет незаменим, если Windows заблокирован во всех режимах. Его копии распространяются нелегально, но их несложно найти в сети.
Наборы ERD commander для всех версий Windows называют загрузочными дисками MSDaRT (Microsoft Diagnostic & Recavery Toolset), они идут в формате ISO, что удобно для записи на DVD или переноса на флешку.
Удалять баннеры с компьютера как с помощью диска Dr.Web, так и Касперского одинаково эффективно.
Как защитить свой компьютер от блокировщиков?
- Установите надежный антивирус и держите его постоянно активным.
- Все загруженные из Интернета файлы перед запуском проверяйте на безопасность.
- Не кликайте по неизвестным ссылкам.
- Не открывайте почтовые вложения, особенно пришедшие в письмах с интригующим текстом. Даже от ваших знакомых.
- Следите, какие сайты посещают ваши дети. Пользуйтесь средствами родительского контроля.
- По возможности не используйте пиратский софт - очень многие платные программы можно заменить безопасными бесплатными.
Винлокер (Trojan.Winlock) - компьютерный вирус, блокирующий доступ к Windows. После инфицирования предлагает пользователю отправить SMS для получения кода, восстанавливающего работоспособность компьютера. Имеет множество программных модификаций: от самых простых - «внедряющихся» в виде надстройки, до самых сложных - модифицирующих загрузочный сектор винчестера.
Предупреждение! Если ваш компьютер заблокирован винлокером, ни при каких обстоятельствах не отправляйте SMS и не переводите денежные средства, чтобы получить код разблокировки ОС. Нет никакой гарантии, что вам его отправят. А если это и случится, знайте, что вы отдадите злоумышленникам свои кровно заработанные за просто так. Не поддавайтесь уловкам! Единственно правильное решение в этой ситуации - удалить вирус-вымогатель из компьютера.
Самостоятельное удаление баннера-вымогателя
Данный метод применителен к винлокерам, которые не блокируют загрузку ОС в безопасном режиме, редактор реестра и командную строку. Его принцип действия основан на использовании исключительно системных утилит (без задействования антивирусных программ).
1. Увидев зловредный баннер на мониторе, первым делом отключите интернет-соединение.
2. Перезагрузите ОС в безопасном режиме:
- в момент перезагрузки системы удерживайте клавишу «F8» до тех пор, пока на мониторе не появится меню «Дополнительные варианты загрузки»;
- используя стрелки курсора выберите пункт «Безопасный режим с поддержкой командной строки» и нажмите «Enter».
Внимание! Если ПК отказывается загружаться в безопасном режиме или не запускается командная строка/ утилиты системы, попробуйте винлокер удалить другим способом (смотрите ниже).
3. В командной строке наберите команду - msconfig, а затем нажмите «ENTER».
4. На экране появится панель «Конфигурация системы». Откройте в ней вкладку «Автозагрузка» и тщательно просмотрите список элементов на предмет присутствия винлокера. Как правило, в его имени содержатся бессмысленные буквенно-цифровые комбинации («mc.exe», «3dec23ghfdsk34.exe» и др.) Отключите все подозрительные файлы и запомните/запишите их названия.
5. Закройте панель и перейдите в командную строку.
6. Введите команду «regedit» (без кавычек) + «ENTER». После активации откроется редактор реестра Windows.
7. В разделе «Правка» меню редактора кликните «Найти...». Напишите имя и расширение винлокера, найденного в автозагрузке. Запустите поиск кнопкой «Найти далее...». Все записи с названием вируса необходимо удалить. Продолжайте сканирование при помощи клавиши «F3», пока не будут проверены все разделы.
8. Тут же, в редакторе, перемещаясь по левому столбику, просмотрите директорию:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\Current Version\Winlogon.
Запись «shell» - должна иметь значение «explorer.exe»; запись «Userinit» - «C:\Windows\system32\userinit.exe,».
В противном случае, при обнаружении зловредных модификаций, посредством функции «Исправить» (правая кнопка мышки - контекстное меню) установите верные значения.
9. Закройте редактор и снова перейдите в командную строку.
10. Теперь нужно удалить баннер с рабочего стола. Для этого введите в строке команду «explorer» (без кавычек). Когда появится оболочка Windows, уберите все файлы и ярлыки с необычными названиями (которые вы не устанавливали в систему). Скорее всего, один из них и есть баннер.
11. Перезапустите Windows в обычном режиме и убедитесь, что вам удалось удалить зловреда:
- если баннер исчез - подключите интернет, обновите базы установленного антивируса или воспользуйтесь альтернативным антивирусным продуктом и просканируйте все разделы винчестера;
- если баннер продолжает блокировать ОС - воспользуйтесь другим методом удаления. Возможно, ваш ПК поразил винлокер, который «закрепляется» в системе немного по-другому.
Удаление при помощи антивирусных утилит
Чтобы скачать утилиты, удаляющие винлокеры, и записать их диск, вам понадобится другой, неинфицированный, компьютер или ноутбук. Попросите соседа, товарища или друга попользоваться его ПК часок-другой. Запаситесь 3-4 чистыми дисками (CD-R или DVD-R).
Совет! Если вы читаете эту статью в ознакомительных целях и ваш компьютер, слава богу, жив-здоров, всё равно скачайте себе лечащие утилиты, рассматриваемые в рамках это статьи, и сохраните их на дисках или флешке. Заготовленная «аптечка», увеличивает ваши шансы победить вирусный баннер вдвое! Быстро и без лишних волнений.
1. Зайдите на оф.сайт разработчиков утилиты - antiwinlocker.ru.
2. На главной странице кликните кнопку AntiWinLockerLiveCd.
3. В новой вкладке браузера откроется список ссылок для скачивания дистрибутивов программы. В графе «Образы диска для лечения заражённых систем» пройдите по ссылке «Скачать образ AntiWinLockerLiveCd» с номером старшей (новой) версии (например, 4.1.3).
4. Скачайте образ в формате ISO на компьютер.
5. Запишите его на DVD-R/CD-R в программе ImgBurn или Nero, используя функцию «Записать образ диск». ISO-образ должен записаться в распакованном виде, чтобы получился загрузочный диск.
6. Вставьте диск с AntiWinLocker в ПК, в котором бесчинствует баннер. Перезапустите ОС и зайдите в БИОС (узнайте горячую клавишу для входа применительно к вашему компьютеру; возможные варианты - «Del», «F7»). Установите загрузку не с винчестера (системного раздела С), а с DVD-привода.
7. Снова перезагрузите ПК. Если вы сделали всё правильно - корректно записали образ на диск, изменили настройку загрузки в БИОС - на мониторе появится меню утилиты AntiWinLockerLiveCd.
8. Чтобы автоматически удалить вирус-вымогатель с компьютера нажмите кнопку «СТАРТ». И всё! Других действий не понадобится - уничтожение в один клик.
9. По окончанию процедуры удаления, утилита предоставит отчёт о проделанной работе (какие сервисы и файлы она разблокировала и вылечила).
10. Закройте утилиту. При перезагрузке системы опять зайдите в БИОС и укажите загрузку с винчестера. Запустите ОС в обычном режиме, проверьте её работоспособность.
WindowsUnlocker (Лаборатория Касперского)
1. Откройте в браузере страницу sms.kaspersky.ru (оф.сайт Лаборатории Касперского).
2. Кликните кнопку «Скачать WindowsUnlocker» (расположена под надписью «Как убрать баннер»).
3. Дождитесь пока на компьютер скачается образ загрузочного диска Kaspersky Rescue Disk с утилитой WindowsUnlocker.
4. Запишите образ ISO таким же образом, как и утилиту AntiWinLockerLiveCd - сделайте загрузочный диск.
5. Настройте БИОС заблокированного ПК для загрузки с DVD-привода. Вставьте диск Kaspersky Rescue Disk LiveCD и перезагрузите систему.
6. Для запуска утилиты нажмите любую клавишу, а затем стрелочками курсора выберите язык интерфейса («Русский») и нажмите «ENTER».
7. Ознакомьтесь с условиями соглашения и нажмите клавишу «1» (согласен).
8. Когда на экране появится рабочий стол Kaspersky Rescue Disk, кликните по крайней левой иконке в панели задач (буква «K» на синем фоне), чтобы открыть меню диска.
9. Выберите пункт «Терминал».
10. В окне терминала (root:bash) возле приглашения «kavrescue ~ #» введите «windowsunlocker» (без кавычек) и активируйте директиву клавишей «ENTER».
11. Отобразится меню утилиты. Нажмите «1» (Разблокировать Windows).
12. После разблокировки закройте терминал.
13. Доступ к ОС уже есть, но вирус по-прежнему гуляет на свободе. Для того, чтобы его уничтожить, выполните следующее:
- подключите интернет;
- запустите на рабочем столе ярлык «Kaspersky Rescue Disk»;
- обновите сигнатурные базы антивируса;
- выберите объекты, которые нужно проверить (желательно проверить все элементы списка);
- левой кнопкой мыши активируйте функцию «Выполнить проверку объектов»;
- в случае обнаружения вируса-вымогателя из предложенных действий выберите «Удалить».
14. После лечения в главном меню диска кликните «Выключить». В момент перезапуска ОС, зайдите в БИОС и установите загрузку с HDD (винчестера). Сохраните настройки и загрузите Windows в обычном режиме.
Сервис разблокировки компьютеров от Dr.Web
Этот способ заключается в попытке заставить винлокер самоуничтожиться. То есть дать ему, то что он требует - код разблокировки. Естественно деньги для его получения вам тратить не придётся.
1. Перепишите номер кошелька или телефона, который злоумышленники оставили на баннере для покупки кода разблокировки.
2. Зайдите с другого, «здорового», компьютера на сервис разблокировки Dr.Web - drweb.com/xperf/unlocker/.
3. Введите в поле переписанный номер и кликните кнопку «Искать коды». Сервис выполнит автоматический подбор кода разблокировки согласно вашему запросу.
4. Перепишите/скопируйте все коды, отображённые в результатах поиска.
Внимание! Если таковых не найдётся в базе данных, воспользуйтесь рекомендацией Dr.Web по самостоятельному удалению винлокера (пройдите по ссылке, размещённой под сообщением «К сожалению, по вашему запросу... »).
5. На заражённом компьютере в «интерфейс» баннера введите код разблокировки, предоставленный сервисом Dr.Web.
6. В случае самоликвидации вируса, обновите антивирус и просканируйте все разделы жёсткого диска.
Предупреждение! Иногда баннер не реагирует на ввод кода. В таком случае необходимо задействовать другой способ удаления.
Удаление баннера MBR.Lock
MBR.Lock - один из самых опасных винлокеров. Модифицирует данные и код главной загрузочной записи жёстокого диска. Многие пользователи, не зная как удалить баннер-вымогатель данной разновидности, начинают переустанавливать Windows, в надежде, что после этой процедуры, их ПК «выздоровеет». Но, увы, этого не происходит - вирус продолжает блокировать ОС.
Чтобы избавиться от вымогателя MBR.Lock выполните следующие действия (вариант для Windows 7):
1. Вставьте установочный диск Windows (подойдёт любая версия, сборка).
2. Зайдите в BIOS компьютера (узнайте горячую клавишу для входа в БИОС в техническом описании вашего ПК). В настройке First Boot Device установите «Сdrom» (загрузка с DVD-привода).
3. После перезапуска системы загрузится установочный диск Windows 7. Выберите тип своей системы (32/64 бит), язык интерфейса и нажмите кнопку «Далее».
4. В нижней части экрана, под опцией «Установить», кликните «Восстановление системы».
5. В панели «Параметры восстановления системы» оставьте всё без изменений и снова нажмите «Далее».
6. Выберите в меню средств опцию «Командная строка».
7. В командной строке введите команду - bootrec /fixmbr, а затем нажмите «Enter». Системная утилита перезапишет загрузочную запись и тем самым уничтожит вредоносный код.
8. Закройте командную строку, и нажмите «Перезагрузка».
9. Просканируйте ПК на вирусы утилитой Dr.Web CureIt! или Virus Removal Tool (Kaspersky).
Стоит отметить, что есть и другие способы лечения компьютера от винлокера. Чем больше в вашем арсенале будет средств по борьбе с этой заразой, тем лучше. А вообще, как говорится, бережённого Бог бережёт - не искушайте судьбу: не заходите на сомнительные сайты и не устанавливайте ПО от неизвестных производителей.
Пусть ваш ПК баннеры-вымогатели минуют стороной. Удачи!