Трояны-блокировщики Windows: рецепты лечения

Продолжаем бороться с блокировщиками Windows, далее мы попытаемся дать несколько практических советов по борьбе с этим неприятным видом «троянов». Для начала напомним, что же такое троян блокировщик Windows. Итак, трояны («троянские кони») семейства Winlock, известные как «блокировщики Windows», семейство вредоносных программ, блокирующих или затрудняющих работу с операционной системой, и требующих перечисление денег злоумышленникам за восстановление работоспособности компьютера, частный случай Ransomware (программ-вымогателей). Впервые появились в конце 2007 года. Широкое распространение вирусы-вымогатели получили зимой 2009—2010 годов, по некоторым данным оказались заражены миллионы компьютеров, преимущественно среди пользователей русскоязычного Интернета. Второй всплеск активности такого вредоносного ПО пришёлся на май 2010 года.

Ранее для перевода денег обычно использовались короткие премиум-номера, в настоящее время подобные программы также могут требовать перечисления денег на электронные кошельки (например, «Яндекс.Деньги», WebMoney), либо на баланс мобильного номера. Необходимость перевести деньги часто объясняется тем, что «Вы получили временный бесплатный доступ к сайту для взрослых, необходимо оплатить продолжение его использования», либо тем, что «на Вашем компьютере обнаружена нелицензионная копия Windows». Также возможен вариант «за просмотр и копирование и тиражирование видео с насилием над детьми и педофилии». Пути распространения Trojan.Winlock и подобных вирусов разнообразны, в значительной части случаев инфицирование происходит через уязвимости браузеров при просмотре заражённых сайтов, либо при использовании мошенниками специальных «связок», позволяющих заражать только необходимые компьютеры также через браузер.

Пример баннера, особенно пугает неопытных пользователей

К настоящему времени представители этого класса вредоносных программ серьёзно эволюционировали и стали одной из самых частых проблем. Появление трояна в системе обычно происходит быстро и незаметно для пользователя. Человек выполняет привычный набор действий, просматривает веб-страницы и не делает чего-то особенного. В какой-то момент просто появляется полноэкранный баннер, который не удаётся убрать обычным способом. Картинка может быть откровенно порнографической, или наоборот – оформлена максимально строго и грозно. Итог один: в сообщении, расположенном поверх других окон, требуется перечислить указанную сумму на некий кошелек WebMoney или отправить платное SMS-сообщение. Часто оно дополняется угрозами уголовного преследования или уничтожения всех данных, если пользователь не поторопится с оплатой.

1. Самые общие рекомендации

Итак, это были общие рекомендации, а теперь перейдем к более детальному рассмотрению проблемы. Методики лечения основаны на понимании тех изменений, которые троян вносит в систему. Остаётся выявить их и отменить любым удобным способом. Если вы являетесь представителем бизнеса или столкнулись с подобной проблемой на офисной машине, рекомендуем обратиться к профессионалам для обслуживания компьютеров в офисе. И от троянов вылечат, и принтерр/МФУ настроят и другие проблемы решат.

2. Надеемся на честность вирусмейкеров

Для некоторых троянов действительно существует код разблокировки. В редких случаях они даже честно удаляют себя полностью после ввода верного кода. Узнать его можно на соответствующих разделах сайтов антивирусных компаний – смотрите примеры ниже. Но, как ни крути, такой метод работает все реже и реже — в практике Вашего покорного слуги разблокировать Windows с помощью кода разблокировки получается примерно один раз десяти-двенадцати заражений.

Сервис разблокировки Windows компании «Доктор Веб»

Сервис разблокировки Windows компании «Лаборатория Касперского»

Зайти в специализированные разделы сайтов «Доктор Веб», «Лаборатории Касперского» и других разработчиков антивирусного ПО можно с другого компьютера или телефона.

После разблокировки не радуйтесь преждевременно и не выключайте компьютер. Скачайте любой бесплатный антивирус и выполните полную проверку системы. Для этого воспользуйтесь, например, утилитой Dr.Web CureIt!, Eset NOD или Kaspersky Virus Removal Tool.

3. Если б я имел коня.

Прежде чем использовать сложные методы и спецсофт, попробуйте обойтись имеющимися средствами. Вызовите диспетчер задач комбинацией клавиш CTRL+ALT+DEL или CTRL+SHIFT+ESC. Если получилось, то мы имеем дело с примитивным трояном, борьба с которым не доставит проблем. Найдите его в списке процессов и принудительно завершите.

Подозрительный процесс в диспетчере задач

Посторонний процесс выдаёт невнятное имя и отсутствие описания. Если сомневаетесь, просто поочерёдно выгружайте все подозрительные до исчезновения баннера.

Если диспетчер задач не вызывается, попробуйте использовать сторонний менеджер процессов через команду «Выполнить», запускаемую нажатием клавиш Win+R. Вот как выглядит подозрительный процесс в System Explorer. Конечно, стоит сказать, что для этого нужен предустановленный сторонний менеджер процессов.

Расширенный менеджер запущенных процессов System Explorer

Скачать программу можно с другого компьютера или даже с телефона. Она занимает всего пару мегабайт. По ссылке «проверить» происходит поиск информации о процессе в онлайновой базе данных, но обычно и так всё понятно. После закрытия баннера часто требуется перезапустить «Проводник» (процесс explorer.exe). В диспетчере задач нажмите:

Когда троян деактивирован на время сеанса, осталось найти его файлы и удалить их. Это можно сделать вручную или воспользоваться бесплатным антивирусом.

Типичное место локализации трояна – каталоги временных файлов пользователя, «Мои документы», системные каталоги (WINDOWS, system32 etc) и каталоги браузеров. Целесообразно всё же выполнять полную проверку, так как копии могут находиться где угодно, а беда не приходит одна. Посмотреть полный список объектов автозапуска поможет бесплатная утилита Autoruns. Также можно использовать очень популярный CCleaner.

AutoRuns покажет все объекты автозапуска (на скриншоте видна лишь малая часть)

4. Военная хитрость

Справиться с трояном на первом этапе поможет особенность в поведении некоторых стандартных программ. При виде баннера попробуйте запустить «вслепую» Блокнот или WordPad. Нажмите WIN+R, напишите notepad и нажмите ENTER. Под баннером откроется новый текстовый документ. Наберите любую абракадабру и затем коротко нажмите кнопку выключения питания на системном блоке. Все процессы, включая троянский, начнут завершаться, но выключения компьютера не произойдёт.

Блокнот — коня на скаку остановит и доступ админу вернёт!

Останется диалоговое окно «Сохранить изменения в файле?». С этого момента на время сеанса мы избавились от баннера и можем добить трояна до перезагрузки. Еще раз повторюсь — это относится к разряду довольно примитивных троянов, такой способ помогает в трети случаев.

5. Если б конь имел меня.

Более продвинутые версии троянов имеют средства противодействия попыткам избавиться от них. Они блокируют запуск диспетчера задач, подменяют другие системные компоненты. В этом случае перезагрузите компьютер и удерживайте клавишу F8 в момент загрузки Windows. Появится окно выбора способа загрузки. Нам требуется «Безопасный режим с поддержкой командной строки» (Safe Mode with Command Prompt). После появления консоли пишем explorer и нажимаем ENTER – запустится проводник. Далее пишем regedit, нажимаем ENTER и видим редактор реестра. Здесь можно найти созданные трояном записи и обнаружить место, откуда происходит его автозапуск.

Ключи реестра, часто модифицируемые троянами семейства Winlock

Чаще всего вы увидите полные пути к файлам трояна в ключах Shell и Userinit в ветке

В «Shell» троян записывается вместо explorer.exe, а в «Userinit» указывается после запятой. Подробнее — тут. Копируем полное имя троянского файла в буфер обмена из первой обнаруженной записи. В командной строке пишем del, делаем пробел и вызываем правой клавишей мыши контекстное меню.

Удаление трояна из консоли (полное имя файла взято из реестра и скопировано в буфер обмена)

В нём выбираем команду «вставить» и нажимаем ENTER. Один файл трояна удалён, делаем тоже самое для второго и последующих.

Удаление трояна из консоли — файл находился во временной папке.

Затем выполняем в реестре поиск по имени файла трояна, внимательно просматриваем все найденные записи и удаляем подозрительные. Очищаем все временные папки и корзину. Даже если всё прошло идеально, не поленитесь затем выполнить полную проверку любым антивирусом.

Если из-за трояна перестали работать сетевые подключения, попробуйте восстановить настройки Windows Sockets API утилитой AVZ.

Восстановление сетевых сервисов с помощью AVZ

6. Доктор, Вы меня вылечите.

Со случаями серьёзного заражения бесполезно бороться из-под инфицированной системы. Логичнее загрузиться с заведомо чистой и спокойно вылечить основную. Существуют десятки способов сделать это, но один из самых простых – воспользоваться бесплатной утилитой Kaspersky WindowsUnlocker, входящей в состав Kaspersky Rescue Disk. Как и DrWeb LiveCD, он основан на Gentoo Linux. Файл-образ можно записать на болванку или сделать из него загрузочную флэшку утилитой Kaspersky USB Rescue Disk Maker. Также можно использовать ERD Commander или Windows XPE, такой пример будет рассмотрен позже.

Создание загрузочной флэшки из образа Kaspersky Rescue Disk

Предусмотрительные пользователи делают это заблаговременно, а остальные обращаются к друзьям или идут в ближайшее интернет-кафе уже во время заражения.

При включении заражённого компьютера удерживайте клавишу для входа в BIOS. Обычно это DEL или F2, а соответствующее приглашение отображается внизу экрана. Вставьте Kaspersky Rescue Disk или загрузочную флэшку. В настройках загрузки (Boot options) выберите первым загрузочным устройством привод оптических дисков или флэшку (иногда она может отображаться в раскрываемом списке HDD). Сохраните изменения F10 и выйдите из BIOS.

Современные версии BIOS позволяют выбирать загрузочное устройство на лету, без входа в основные настройки. Для этого требуется нажать F12, F11 либо сочетание клавиш – подробнее смотрите в сообщении на экране, в инструкции к материнской плате или ноутбуку. После перезагрузки начнётся запуск Kaspersky Rescue Disk.

Загрузка Kaspersky Rescue Disk

Kaspersky Rescue Disk в графическом режиме

Доступен русский язык, а лечение можно выполнить в автоматическом или ручном режиме – смотрите пошаговую инструкцию на сайте разработчика.

7. Русский вирус влезет и BIOS

Отдельный подкласс составляют трояны, поражающие главную загрузочную запись (MBR). Они появляются до загрузки Windows, и в секциях автозапуска вы их не найдёте.

Троян семейства Winlock, заразивший MBR

Первый этап борьбы с ними заключается в восстановлении исходного кода MBR. В случае XP для этого загружаемся с установочного диска Windows, нажатием клавиши вызываем консоль восстановления и пишем в ней команду fixmbr. Подтверждаем её клавишей и выполняем перезагрузку. Для Windows 7 аналогичная утилита называется BOOTREC.EXE, а команда fixmbr передаётся в виде параметра:

После этих манипуляций система вновь загружается. Можно приступать к поиску копий трояна и средств его доставки любым антивирусом.

8. Сестра, стакан кефиру и скальпель, будем вскрывать больного!

На маломощных компьютерах и особенно ноутбуках борьба с троянами может затянуться, так как загрузка с внешних устройств затруднена, а проверка выполняется очень долго. В таких случаях просто извлеките заражённый винчестер и подключите его для лечения к другому компьютеру. Для этого удобнее воспользоваться боксами с интерфейсом eSATA или USB 3.0/2.0.

Антивирусная проверка жёстких дисков на другом компьютере

Чтобы не разносить заразу, предварительно отключаем на «лечащем» компьютере автозапуск с HDD (да и с других типов носителей не мешало бы). Сделать это удобнее всего бесплатной утилитой AVZ, но саму проверку лучше выполнять чем-то другим. Зайдите в меню «Файл», выберите «Мастер поиска и устранения проблем». Отметьте «Системные проблемы», «Все» и нажмите «Пуск». После этого отметьте пункт «Разрешён автозапуск с HDD» и нажмите «Исправить отмеченные проблемы».

Отключение автозапуска с помощью AVZ

Также перед подключением заражённого винчестера стоит убедиться, что на компьютере запущен резидентный антивирусный мониторинг с адекватными настройками и есть свежие базы.

Не запускается windows троян

После удаления вирусов система может работать со сбоями (или вообще не загружаться), может пропасть доступ в Интернет или к определенным сайтам, поэтому после того как антивирус отрапортовал «Все вирусы уничтожены» пользователь остается один на один с неисправной системой. Также проблемы могут быть вызваны ошибками программ или их несовместимостью с вашей системой. Давайте рассмотрим варианты решения проблем.

Внимание! Все рекомендации даны только для работы с домашним компьютером, на сервере эти рекомендации выполнять нельзя!

:: Не работает Интернет

Причиной проблем с сетью может быть как последствие вируса, так и работа кривого софта. Существует несколько вариантов решения этой проблемы. Тут рассмотрим один — утилита AntiSMS.

Запустите с правами админа и выполните полное восстановление настроек сети. Работа утилиты проста: один клик мыши и готово.

:: Стандартное восстановление системы Windows

Если в системе не было отключено восстановление системы, то воспользуйтесь данным стандартным функционалом Windows для решения проблем. Также данный способ восстановления системы эффективен, если урон системе нанесен действиями неопытного пользователям или ошибками программ.

Windows XP: Пуск -> Все программы -> Стандартные -> Служебные -> Восстановление системы. И выберите точку восстановления за несколько дней до появления проблем.
В Windows 7: Откройте восстановление системы, нажав кнопку Пуск . В поле поиска введите восстановление системы, а затем в списке результатов выберите Восстановление системы. Введите пароль администратора или подтверждение пароля, если отобразится соответствующий запрос. Выполните указания мастера, чтобы выбрать точку восстановления и восстановить компьютер.

Если компьютер не загружается, то попробуйте зайти в Безопасном режиме Windows. Чтобы его выбрать нужно зайти в сервисное меню — для его вызова производите многократные нажатия клавиши F8 (или F5) сразу после включения компьютера. В Безопасном режиме также используйте кнопку «Пуск» для восстановления системы, как написано выше.

Полезно знать: в системе Windows’7 Восстановление можно вызвать с помощью пункта «Устранение неполадок компьютера».

Меню дополнительных вариантов загрузки Windows’XP:

Меню дополнительных вариантов загрузки Windows’7:

Если и Безопасный режим не работает, то попробуйте зайти в Безопасный режим с поддержкой командной строки. В этой режиме кнопки «Пуск» уже не будет, поэтому нужно будет вызывать восстановление системы через командную строку, для этого в командной строке наберите строку:

%SystemRoot%\system32\restore\rstrui.exe

и нажмите клавишу Enter. Это для Windows’XP !

Для Windows версий Vista/7/8 достаточно ввести команду rstrui.exe и нажать Enter.

Если не получилось и у вас есть загрузочный диск Windows, то можно загрузиться с него и попытаться восстановить систему. Рассмотрим на примере Windows’7:

вставьте загрузочный диск в компьютер и загрузитесь с него.

Выберите «Восстановление системы«.

Откроется окно с вариантами действий.

Выберите пункт «Восстановление запуска«, затем попробуйте загрузится обычным способом. Если не помогло, то выберите «Восстановление системы» (это аналог восстановления системы, который рассмотрен выше) и выберите точку восстановления на момент нормальной работы системы. Попробуйте загрузится обычным способом. Если и это не помогло, то выберите «Командная строка» и наберите в командной строке chkdsk c: /f /r и нажмите Enter — будет запущена проверка на ошибки жесткого диска, возможно эта проверка даст положительный результат.

:: Восстановление системных файлов командой sfc

Если после лечения Windows будет работать со сбоями, то Пуск -> Выполнить, введите команду:

sfc /scannow

и нажмите Enter — Windows будет проверять целостность защищённых файлов на вашем компе. Для восстановления может потребоваться установочный диск ОС.

Если не найдете кнопку «Выполнить», то вызвать ее можно сочетанием клавиш [Win] + [R]. Если система не грузится в обычном режиме, то используйте Безопасный режим.

Далее разберем ряд сторонних программ для восстановления системы после вируса. Рекомендую использовать их в Безопасном режиме Windows. Не забывайте про права администратора.

:: Восстановление с помощью программы Windows Repair (All In One)

Windows Repair (All In One) – это утилита, которая поможет исправить ошибки в системном реестре, восстановить оригинальные настройки, модифицированные при заражении компьютера или установке программ, восстановить стабильную работу браузера Internet Explorer, сервиса Windows Update, межсетевого экрана Windows Firewall и других служб и компонентов ОС.

Скачать: http://www.tweaking.com/content/page/windows_repair_all_in_one.html (выберите «Download — Direct Download«). Можно скачать инсталляцию программы или портабельную версию, которая не требует установки.

После запуска программы, можете выбрать вкладку «Step 1» для скачивания бесплатных антивирусных решений и последующей проверки, если не уверены, что система полностью вылечена. Также можно выбрать вкладку «Step 2» для проверки жесткого диска на ошибки. А теперь перейдем к главному: выберите вкладку «Start Repairs«, нажмите кнопку Start для запуска инструмента восстановления. Будет предложено сделать точку восстановления перед внесением изменений в систему — рекомендую выполнить.

Выставьте галки на все пункты и нажмите Start. Советую использовать эту программу только если ничего другое не помогло!

:: Антивирусная утилита AVZ

Данная утилита имеет большой функционал, здесь разберем только те функции, которые можно применить обычному пользователю для восстановления системы и исправления ошибок после вируса.

Разархивируйте скачанный архив, затем запустите программу. Обязательно обновите ее: Файл -> Обновление баз.

Запустите «Мастер поиска и устранения проблем» (в меню «Файл«).

Нажмите «Пуск«. Если AVZ нашла какие-то проблемы, то поставьте галки на них и нажмите «Исправить отмеченные проблемы«.

Затем в меню «Файл» выберите «Восстановление системы«. Поставьте галки на все пункты, КРОМЕ этих:

• Автоматическое исправление настроек SPl/LSP;
• Сброс настроек SPI/LSP и TCP/IP (XP+);
• Полное пересоздание настроек SPI;
• Заменить DNS всех подключений на Google DNS

Затем нажмите «Выполнить отмеченные операции«, немного подождите, закройте программу и перезагрузите компьютер.

Если после заражения компьютера возникают проблемы с доступом к некоторым сайтам, например, социальные сети ложно сообщают о блокировке или всплывает какая-то левая реклама, то есть вероятность подмены DNS на зловредный — в этом случае можно воспользоваться пунктом «Заменить DNS всех подключений на Google DNS«. Но это делать только после проверки компьютера антивирусными сканерами (если они не помогли). Также данный пункт можно попробовать если никак не получается вернуть интернет после заражения.

Пункт «Автоматическое исправление настроек SPl/LSP» можно использовать, если после вируса пропал доступ в интернет (после применения перезагрузить компьютер). Пункт «Сброс настроек SPI/LSP и TCP/IP (XP+)» предназначен тоже для восстановления доступа в сеть, но применять этот пункт можно только, если ничего другое уже не помогает (после применения перезагрузить компьютер). Если оба пункта выше не помогли вернуть интернет, то есть еще один пункт «Полное пересоздание настроек SPI» — применять только если ничего другое уже не помогает. Обратите внимание относительно этих трех пунктов, что идет речь о том, что доступа в сеть вообще нет.

:: Проверка жесткого диска (chkdsk)

Речь идет о стандартной программе Windows для проверки винчестера на ошибки. Откройте «Мой компьютер» (в Windows’7 просто «Компьютер«) на Рабочем столе или через меню «Пуск«. Выберите нужный раздел или диск, кликните по нему правой кнопкой мыши, нажмите «Свойства«, выберите вкладку «Сервис» и нажмите «Выполнить проверку«, поставьте галки на «Автоматически исправлять системные ошибки» и «Проверять и восстанавливать поврежденные сектора«. Если проверяете системный раздел, то нужно будет запланировать проверку на следующее включение (для проверки нужно будет перезагрузить компьютер).

Пример запуска через командную строку: chkdsk c: /f /r

:: Windows не загружается ни в каких режимах

Причиной отказа Windows может быть повреждение реестра или системных файлов. Придется использовать LiveCD — это диск или флэшка, которая работает в обход системы установленной на компьютере. Потребуется на здоровом компьютере скачать образ (файл с расширением iso) и смонтировать его на диск или флэшку, а затем загрузиться с него.

Будем использовать LiveCD AntiSMS: скачать страница загрузки. Для записи на флэшку на странице загрузки есть специальная программа.

После того, как загрузитесь с LiveCD на проблемном компьютере, вы увидите обычный Рабочий стол. Нажмите ярлык «AntiSMS«. После того, как утилита AntiSMS сообщит что все хорошо, выньте LiveCD и загружайтесь обычным способом. Утилита AntiSMS восстанавливает некоторые ветки реестра и системные файлы, которые необходимы для правильной работы Windows — возможно этого будет достаточно для восстановления системы.

Если не помогло, то попробуйте восстановить реестр из резервной копии:

для Windows’7: загрузитесь с LiveCD AntiSMS и запустите Total Commander, который имеется на данном LiveCD. Перейдите в папку Windows\System32\Config (это папка Windows, установленной на проблемной компьютере). Файлы SYSTEM и SOFTWARE переименуйте в SYSTEM.bad и SOFTWARE.bad соотвественно. Затем из папки Windows\System32\Config\RegBack скопируйте файлы SYSTEM и SOFTWARE в папку Windows\System32\Config Это должно помочь, попоробуйте загрузить компьютер обычным способом.

для Windows’XP: зайдите в папку windows\system32\config , файлы system и software переименуйте в system.bad и software.bad соотвественно. Далее скопируйте файлы system и software из папки windows\repair в папку windows\system32\config

Для справки: в папке Windows\System32\Config\RegBack храняться резервные копии кустов реестра. Их создает Планировщик заданий каждые десять дней.