Десять способов избавиться от троянов-вымогателей и разблокировать Windows

С помощью троянов семейства Winlock, известных как «блокировщики Windows», у рядовых пользователей вымогают деньги уже более пяти лет. К настоящему времени представители этого класса вредоносных программ серьёзно эволюционировали и стали одной из самых частых проблем. Ниже предлагаются способы самостоятельной борьбы с ними и даются рекомендации по предотвращению заражения.

Появление трояна в системе обычно происходит быстро и незаметно для пользователя. Человек выполняет привычный набор действий, просматривает веб-страницы и не делает чего-то особенного. В какой-то момент просто появляется полноэкранный баннер, который не удаётся убрать обычным способом.

Картинка может быть откровенно порнографической, или наоборот – оформлена максимально строго и грозно. Итог один: в сообщении, расположенном поверх других окон, требуется перечислить указанную сумму на такой-то номер или отправить платное SMS-сообщение. Часто оно дополняется угрозами уголовного преследования или уничтожения всех данных, если пользователь не поторопится с оплатой.

Разумеется, платить вымогателям не стоит. Вместо этого можно выяснить, какому оператору сотовой связи принадлежит указанный номер, и сообщить его службе безопасности. В отдельных случаях вам даже могут сказать код разблокировки по телефону, но очень рассчитывать на это не приходится.

Методики лечения основаны на понимании тех изменений, которые троян вносит в систему. Остаётся выявить их и отменить любым удобным способом.

Голыми руками

Для некоторых троянов действительно существует код разблокировки. В редких случаях они даже честно удаляют себя полностью после ввода верного кода. Узнать его можно на соответствующих разделах сайтов антивирусных компаний – смотрите примеры ниже.

Зайти в специализированные разделы сайтов «Доктор Веб», «Лаборатории Касперского» и других разработчиков антивирусного ПО можно с другого компьютера или телефона.

После разблокировки не радуйтесь преждевременно и не выключайте компьютер. Скачайте любой бесплатный антивирус и выполните полную проверку системы. Для этого воспользуйтесь, например, утилитой Dr.Web CureIt! или Kaspersky Virus Removal Tool.

Простым коням — простые меры

Прежде чем использовать сложные методы и спецсофт, попробуйте обойтись имеющимися средствами. Вызовите диспетчер задач комбинацией клавиш ++ или ++. Если получилось, то мы имеем дело с примитивным трояном, борьба с которым не доставит проблем. Найдите его в списке процессов и принудительно завершите.

Посторонний процесс выдаёт невнятное имя и отсутствие описания. Если сомневаетесь, просто поочерёдно выгружайте все подозрительные до исчезновения баннера.

Если диспетчер задач не вызывается, попробуйте использовать сторонний менеджер процессов через команду «Выполнить», запускаемую нажатием клавиш +. Вот как выглядит подозрительный процесс в System Explorer.

Скачать программу можно с другого компьютера или даже с телефона. Она занимает всего пару мегабайт. По ссылке «проверить» происходит поиск информации о процессе в онлайновой базе данных, но обычно и так всё понятно. После закрытия баннера часто требуется перезапустить «Проводник» (процесс explorer.exe). В диспетчере задач нажмите: Файл -> Новая задача (выполнить) -> c:Windowsexplorer.exe.

Когда троян деактивирован на время сеанса, осталось найти его файлы и удалить их. Это можно сделать вручную или воспользоваться бесплатным антивирусом.

Типичное место локализации трояна – каталоги временных файлов пользователя, системы и браузера. Целесообразно всё же выполнять полную проверку, так как копии могут находиться где угодно, а беда не приходит одна. Посмотреть полный список объектов автозапуска поможет бесплатная утилита Autoruns.

Военная хитрость

Справиться с трояном на первом этапе поможет особенность в поведении некоторых стандартных программ. При виде баннера попробуйте запустить «вслепую» Блокнот или WordPad. Нажмите +, напишите notepad и нажмите . Под баннером откроется новый текстовый документ. Наберите любую абракадабру и затем коротко нажмите кнопку выключения питания на системном блоке. Все процессы, включая троянский, начнут завершаться, но выключения компьютера не произойдёт.

Останется диалоговое окно «Сохранить изменения в файле?». С этого момента на время сеанса мы избавились от баннера и можем добить трояна до перезагрузки.

Старая школа

Более продвинутые версии троянов имеют средства противодействия попыткам избавиться от них. Они блокируют запуск диспетчера задач, подменяют другие системные компоненты.

В этом случае перезагрузите компьютер и удерживайте клавишу в момент загрузки Windows. Появится окно выбора способа загрузки. Нам требуется «Безопасный режим с поддержкой командной строки» (Safe Mode with Command Prompt). После появления консоли пишем explorer и нажимаем – запустится проводник. Далее пишем regedit, нажимаем и видим редактор реестра. Здесь можно найти созданные трояном записи и обнаружить место, откуда происходит его автозапуск.

Чаще всего вы увидите полные пути к файлам трояна в ключах Shell и Userinit в ветке

В «Shell» троян записывается вместо explorer.exe, а в «Userinit» указывается после запятой. Копируем полное имя троянского файла в буфер обмена из первой обнаруженной записи. В командной строке пишем del, делаем пробел и вызываем правой клавишей мыши контекстное меню.

В нём выбираем команду «вставить» и нажимаем . Один файл трояна удалён, делаем тоже самое для второго и последующих.

Затем выполняем в реестре поиск по имени файла трояна, внимательно просматриваем все найденные записи и удаляем подозрительные. Очищаем все временные папки и корзину. Даже если всё прошло идеально, не поленитесь затем выполнить полную проверку любым антивирусом.

Если из-за трояна перестали работать сетевые подключения, попробуйте восстановить настройки Windows Sockets API утилитой AVZ.

Операция под наркозом

Со случаями серьёзного заражения бесполезно бороться из-под инфицированной системы. Логичнее загрузиться с заведомо чистой и спокойно вылечить основную. Существуют десятки способов сделать это, но один из самых простых – воспользоваться бесплатной утилитой Kaspersky WindowsUnlocker, входящей в состав Kaspersky Rescue Disk. Как и DrWeb LiveCD, он основан на Gentoo Linux. Файл-образ можно записать на болванку или сделать из него загрузочную флэшку утилитой Kaspersky USB Rescue Disk Maker.

Предусмотрительные пользователи делают это заблаговременно, а остальные обращаются к друзьям или идут в ближайшее интернет-кафе уже во время заражения.

При включении заражённого компьютера удерживайте клавишу для входа в BIOS. Обычно это или , а соответствующее приглашение отображается внизу экрана. Вставьте Kaspersky Rescue Disk или загрузочную флэшку. В настройках загрузки (Boot options) выберите первым загрузочным устройством привод оптических дисков или флэшку (иногда она может отображаться в раскрываемом списке HDD). Сохраните изменения и выйдите из BIOS.

Современные версии BIOS позволяют выбирать загрузочное устройство на лету, без входа в основные настройки. Для этого требуется нажать , либо сочетание клавиш – подробнее смотрите в сообщении на экране, в инструкции к материнской плате или ноутбуку. После перезагрузки начнётся запуск Kaspersky Rescue Disk.

Доступен русский язык, а лечение можно выполнить в автоматическом или ручном режиме – смотрите пошаговую инструкцию на сайте разработчика.

Борьба на раннем этапе

Отдельный подкласс составляют трояны, поражающие главную загрузочную запись (MBR). Они появляются до загрузки Windows, и в секциях автозапуска вы их не найдёте.

Первый этап борьбы с ними заключается в восстановлении исходного кода MBR. В случае XP для этого загружаемся с установочного диска Windows, нажатием клавиши вызываем консоль восстановления и пишем в ней команду fixmbr. Подтверждаем её клавишей и выполняем перезагрузку. Для Windows 7 аналогичная утилита называется BOOTREC.EXE, а команда fixmbr передаётся в виде параметра:

После этих манипуляций система вновь загружается. Можно приступать к поиску копий трояна и средств его доставки любым антивирусом.

В крестовый поход с крестовой отвёрткой

На маломощных компьютерах и особенно ноутбуках борьба с троянами может затянуться, так как загрузка с внешних устройств затруднена, а проверка выполняется очень долго. В таких случаях просто извлеките заражённый винчестер и подключите его для лечения к другому компьютеру. Для этого удобнее воспользоваться боксами с интерфейсом eSATA или USB 3.0/2.0.

Чтобы не разносить заразу, предварительно отключаем на «лечащем» компьютере автозапуск с HDD (да и с других типов носителей не мешало бы). Сделать это удобнее всего бесплатной утилитой AVZ, но саму проверку лучше выполнять чем-то другим. Зайдите в меню «Файл», выберите «Мастер поиска и устранения проблем». Отметьте «Системные проблемы», «Все» и нажмите «Пуск». После этого отметьте пункт «Разрешён автозапуск с HDD» и нажмите «Исправить отмеченные проблемы».

Также перед подключением заражённого винчестера стоит убедиться, что на компьютере запущен резидентный антивирусный мониторинг с адекватными настройками и есть свежие базы.

Если разделы внешнего жёсткого диска не видны, зайдите в «Управление дисками». Для этого в окне «Пуск» -> «Выполнить» напишите diskmgmt.msc и затем нажмите . Разделам внешнего жёсткого диска должны быть назначены буквы. Их можно добавить вручную командой «изменить букву диска…». После этого проверьте внешний винчестер целиком.

Для предотвращения повторного заражения следует установить любой антивирус с компонентом мониторинга в режиме реального времени и придерживаться общих правил безопасности:

• старайтесь работать из-под учётной записи с ограниченными правами;
• пользуйтесь альтернативными браузерами – большинство заражений происходит через Internet Explorer;
• отключайте Java-скрипты на неизвестных сайтах;
• отключите автозапуск со сменных носителей;
• устанавливайте программы, дополнения и обновления только с официальных сайтов разработчиков;
• всегда обращайте внимание на то, куда на самом деле ведёт предлагаемая ссылка;
• блокируйте нежелательные всплывающие окна с помощью дополнений для браузера или отдельных программ;
• своевременно устанавливайте обновления браузеров, общих и системных компонентов;
• выделите под систему отдельный дисковый раздел, а пользовательские файлы храните на другом.

Следование последней рекомендации даёт возможность делать небольшие образы системного раздела (программами Symantec Ghost, Acronis True Image, Paragon Backup and Recovery или хотя бы стандартным средством Windows «Архивация и восстановление»). Они помогут гарантированно восстановить работу компьютера за считанные минуты независимо от того, чем он заражён и могут ли антивирусы определить трояна.

В статье приведены лишь основные методы и общие сведения. Если вас заинтересовала тема, посетите сайт проекта GreenFlash. На страницах форума вы найдёте множество интересных решений и советы по созданию мультизагрузочной флэшки на все случаи жизни.

Распространение троянов Winlock не ограничено Россией и ближним зарубежьем. Их модификации существуют практически на всех языках, включая арабский. Помимо Windows, заражать подобными троянами пытаются и Mac OS X. Пользователям Linux не дано испытать радость от победы над коварным врагом. Архитектура данного семейства операционных систем не позволяет написать сколь-нибудь эффективный и универсальный X-lock. Впрочем, «поиграть в доктора» можно и на виртуальной машине с гостевой ОС Windows.

Вирус закрывает браузер и блокирует антивирусы – как удалить троян

Недавно мой знакомый столкнулся с проблемой — вирус закрывает браузер и блокирует антивирусы, не позволяет ни скачать, ни установить защитные приложения. Встроенное ПО Windows 10 никак не реагировало на ситуацию, даже глубокая проверка оказывалась бесполезной. Сейчас подскажу решение, расскажу про trojan multi gen autorun что это за угроза, как с ней бороться.

Как удалить троян?

Сначала пробовал искать в реестре. Поскольку веб-обозреватель «вырубался» после попытки открыть сайт AdwCleaner (и не только), я предположил, что вирус должен иметь базу адресов и стоп-слов. В системном реестре ничего не обнаружил.

Проверил папки Appdata, Program Data на наличие подозрительных элементов — результата ноль. Полез на форумы в надежде увидеть решения. Но практически везде советовали скачать утилиту AVZ и с её помощью выполнить скрипт, удаляющий вредоносный код. Но загрузить АВЗ я никак не мог — окно браузера закрывалось. Потом удалось загрузить на флешку с другого компьютера. Увы, троян блокировал запуск приложения.

Каким-то чудом удалось скачать DrWeb Cure It, который я всем рекомендую чуть ли не в каждой инструкции. Увы, бесплатный антивирус не помог. Та же участь постигла и 360 Total Security.

Теперь поделюсь методами, которые нашел на форумах. Многим они были полезны.

Проверяем файл hosts

Вирус, который закрывает браузер, может внести IP адреса и названия сайтов в системный файл, расположенный по пути:

Открываем документ в обычном блокноте с правами администратора и смотрим, чтобы не было строк, слева от которых отсутствует знак #, В идеале содержимое должно быть таким:

Всё, что будет ниже — удаляем, сохраняем изменения и перезагружаем ПК.

К сожалению, этот метод не помог мне удалить троян, блокирующий антивирусы.

Утилита KVRT

На англоязычном ресурсе прочитал, что подобная проблема решается с помощью утилиты Kaspersky Virus Removal Tool. Официально она уже не поддерживается, вместо нее Лаборатория Касперского выпускает условно бесплатные сканеры нового поколения. Интерфейс у них другой, но начинка, скорее всего, аналогичная. Суть не в том.

Я вспомнил, что на сайте IT Техник когда-то писал статью про это приложение. Попробовал скачать и получилось. Вот ссылка:

Думал, что не запуститься, как было с другими защитными инструментами. Но случилось чудо, вирус никак не отреагировал! Окно программы предельно простое и не требует разъяснений — просто кликаете по кнопке «Сканировать» и ждете.

Практически сразу нашло несколько зловредов, я открыл отчет и увидел их наименования:

• trojan multi genautoruntask a;
• trojan multi gen autorun task b и с.

Windows 10 был спасен! После перезагрузки Kaspersky Virus Removal Tool успешно удалил вредоносные скрипты из системы. Браузер перестал блокироваться, я сразу же загрузил AdwCleaner, который нашел еще парочку рекламных вирусов.

Видео

По этому поводу записал короткий ролик, где показываю всё то, о чем написано в инструкции выше.

P.S. Еще можно попробовать этот антивирус:

Важное дополнение!

Если в режиме Windows указанные выше методы не оправдывают себя, тогда рекомендуется создать загрузочную флешку, на которую записать образ Rescue Tool от Касперского с помощью утилиты Rufus. Инструкцию смотрите в следующем ролике:

Hi All. В конце 90-х, начале 2000-х инсталировали лицензионные КАV на пользовательские ПК. Потом, после нескольких крупных скандалов в антивирусной сфере тех времен, мы начали анализировать слишком быстрый отзыв лаборатории К на новые версии и подверсии вирусов. При том, что количество вновь-обнаруженных вирусов в разы отличалось от Др.Веба в сторону увеличения. Последний указывал только версии вирусов, а КАВ увеличивал БД за счет подверсий. А это уже обман пользователей! К тому же складывалось такое ощущение, будто у Каспера было две лаборатории. Одна вирусписательская, а вторая, тут же писала алгоритмы дезактивации на основании исходников первой лаборатории и добавляла их в БД KAVa. Затем у них начались траблы с оптимизацией процессов даже на производительном железе, что в свою очередь привело к полному отказу от KAV как от продукта. Перешли на Dr.WEB. Благо многие из нас помнили еще первый советский антивирус Дмитрия Лозинского Aidstest. Лицензионный Доктор очень удачно и даже очень мирно и комфортно вписывался в системы наших клиентов: частных и юрлиц. Дрежественный интерфейс, оптимизация загрузки процессора, частые обновления БД. Подспорьем в «выездном» лечении стало записывание образов Dr.WEB CureIt! не только на CD-RW, кои имели свойство повреждения поверхности, но и на USB-флешки. Емкость накопителя в 128Мб тогда было очень даже не плохо, хотя и дорого. Очень важно было регулярно обновлять антивирусные БД и презаписывать данные на носителях. Затем, мы столкнулись с проблемой первых шифровщиков на НЖМД. Dr.WEB уже не справлялся и пришлось срочно искать замену. Этой заменой стал ESET и его SysRescue Live. До сих пор, к счастью, очень редко пользуюсь им, поскольку существующий Linux дистрибутив может проверять наличие вредоносного ПО и удалять зараженные файлы (перенесенные файлы в «Карантин» при желании можно восстановить на прежнее место, и включить нужные папки и файлы в «Исключения») Сам образ запускается с CD/DVD (сейчас актуально если USB-порты физически не работают) с USB-устройства независимо от операционной системы хоста, а также имеет прямой доступ к диску и файловой системе. Это позволяет удалять угрозы, которые в обычных условиях невозможно решить. Как для особо сложных случаев качаю свежий образ Bitdefender. Как для простого пользователя — немного сложный у него GUI с англоязычным интерфейсом. Но, в конечном итоге все решается. И достаточно часто, даже без антивирусов, а просто, с помощью старого-доброго FARа, Unlocker и regedit.
P.S. У некоторых пользователей случаются проблемы с загрузкой с ESET SysRescue Live и не только. Не все утилиты позволяют корректно записать образ на флеш-накопитель. Даже мой любимый “Rufus”,не смотря на его якобы универсальность. Существует freeware утилита для записи образов на флеш-накопители и SD-карты “Etcher” https://www.balena.io/etcher/# Именно ее рекомендует ESET в своем User Guide. Утилита в портативной версии достаточно прилична в размерах, по сравнению с Rufus -111Мб. Но тем не менее она очень проста и действенна.
Удачи в борьбе за дружбу софта и железа!

Читайте также:  После обновления windows 10 откатывается назад

Немного помучался, IObit Malware Fighter и KVRT через гугл скачались но не запустились, а вот Zemana AntiMalware действительно помог.

Капец, нажал скачать kvrt, скачалось два файла запускаю первый, нифига. Меняю файл hosts, нифига. Запускаю второй скачанный файл, сработало!

Признаки:
Сразу, закрывает яндекс браузер, гугл не трогает, однако не даёт запускать некоторые скачанные файлы. Стали жёстко тормозить игры. Закрывает диспетчер через некоторое время.

Даже его он блокирует

Помог коммент Эльдара который скачал «драгон» браузер, но только у меня «куррент» там тоже «заблочил», а вот «земана» скачалась и эту «падлу» убила)) Спасибо автору!

Почему у меня нет файла hosts?

Там где надо искали? Не забыли включить показ скрытых файлов? Если ответ на оба вопроса – да, то значит, его блокирует троян. Создайте новый файл hosts на рабочем столе (то есть создаёте блокнот и убираете расширение txt). Потом закидываете в папку etc, и если спросит заменить файл, меняете его. Кстати может помочь и с трояном. Ещё можно скачать файл в интернете с уже прописанными строками.

Спасибо автору за пошаговый алгоритм)
KPVT скачался, но кнопка проверки не действует
Почитал комментарии на предмет доп.вариантов — Земана подошла, прогнал сперва лёгкой (найден 1 зверь: ChromePlugin/enhanced-h264ify + краем глаза успел заметить упомянутые здесь «хостесы», с производными типа: uphosts или ruphosts (в процессе первого прогона — много файлов со статусом «Не удаётся проверить»)
При глубокой проверке (запустил сразу, без перезагрузки) — мама моя. штук 20 коней, адваров и прочих упырей))
Спасибо ещё раз автору и комментаторам — больше инфы, легче разобраться 🙂