Подписывайтесь:


Технотрон » Программная часть » Трояны-блокировщики Windows: рецепты лечения

Данная статья является продолжением и дополнением Убираем рекламный баннер с рабочего стола

Продолжаем бороться с блокировщиками Windows, далее мы попытаемся дать несколько практических советов по борьбе с этим неприятным видом "троянов". Для начала напомним, что же такое троян блокировщик Windows. Итак, трояны ("троянские кони") семейства Winlock, известные как «блокировщики Windows», семейство вредоносных программ, блокирующих или затрудняющих работу с операционной системой, и требующих перечисление денег злоумышленникам за восстановление работоспособности компьютера, частный случай Ransomware (программ-вымогателей). Впервые появились в конце 2007 года. Широкое распространение вирусы-вымогатели получили зимой 2009—2010 годов, по некоторым данным оказались заражены миллионы компьютеров, преимущественно среди пользователей русскоязычного Интернета. Второй всплеск активности такого вредоносного ПО пришёлся на май 2010 года.

Ранее для перевода денег обычно использовались короткие премиум-номера, в настоящее время подобные программы также могут требовать перечисления денег на электронные кошельки (например, «Яндекс.Деньги», WebMoney), либо на баланс мобильного номера. Необходимость перевести деньги часто объясняется тем, что «Вы получили временный бесплатный доступ к сайту для взрослых, необходимо оплатить продолжение его использования», либо тем, что «на Вашем компьютере обнаружена нелицензионная копия Windows». Также возможен вариант «за просмотр и копирование и тиражирование видео с насилием над детьми и педофилии». Пути распространения Trojan.Winlock и подобных вирусов разнообразны, в значительной части случаев инфицирование происходит через уязвимости браузеров при просмотре заражённых сайтов, либо при использовании мошенниками специальных «связок», позволяющих заражать только необходимые компьютеры также через браузер.

 
Трояны-блокировщики Windows: рецепты лечения

Пример баннера от имени СБУ Украины, особенно пугает неопытных пользователей


К настоящему времени представители этого класса вредоносных программ серьёзно эволюционировали и стали одной из самых частых проблем. Появление трояна в системе обычно происходит быстро и незаметно для пользователя. Человек выполняет привычный набор действий, просматривает веб-страницы и не делает чего-то особенного. В какой-то момент просто появляется полноэкранный баннер, который не удаётся убрать обычным способом. Картинка может быть откровенно порнографической, или наоборот – оформлена максимально строго и грозно. Итог один: в сообщении, расположенном поверх других окон, требуется перечислить указанную сумму на некий кошелек WebMoney или отправить платное SMS-сообщение. Часто оно дополняется угрозами уголовного преследования или уничтожения всех данных, если пользователь не поторопится с оплатой.



1. Самые общие рекомендации


  • Ни в коем случае нельзя выполнять требования злоумышленников. Следует помнить, что стоимость SMS может доходить до нескольких десятков долларов независимо от указанной в «интерфейсе» вируса. Практически во всех случаях после отправки SMS обещанный код разблокировки не приходит.
  • В случае предлагаемой оплаты по SMS можно позвонить в службу поддержки контент-аггрегатора, которому принадлежит номер. (Какому оператору принадлежит короткий номер можну на этих ресурсах - kodtelefona.ru - для России, ktozvonit.com.ua - для Украины)  В отдельных случаях вам даже могут сказать код разблокировки по телефону, но очень рассчитывать на это не приходится, так как такой способ не всегда приемлем - блокировщики последнее время все чаще пользуются платежными системами, напрмер запрос в арбитраж WebMoney ничем не поможет - в лучшем случае заблокируют кошелек, но это Windows разблокировать не поможет
  • При возможности воспользоваться онлайн-сервисами подбора кода разблокировки на сайтах производителей антивирусного ПО.
  • Произвести полное сканирование компьютера антивирусной утилитой со свежими обновлениями антивирусной базы (например, «одноразовым» антивирусом Dr.Web CureIt или Kaspersky Virus Removal Tool, скачать его желательно со «здорового» компьютера, даже в случае успешной разблокировки системы подбором кода).
  • Если вирус блокирует доступ к определённым ресурсам Интернет (обычно к популярным социальным сетям и сайтам с антивирусным ПО), необходимо удалить лишние записи (кроме строки «127.0.0.1 localhost») из файла C:\WINDOWS\System32\drivers\etc\hosts и очистить кэш DNS (командой ipconfig /flushdns от имени администратора), а также очистить cookies и кэш в браузере (CCleaner Вам в помощь).
  • В некоторых случаях помогает перестановка даты в BIOS на пару лет назад.
  • При полной блокировке можно загрузиться в систему с помощью LiveCD и попытаться удалить трояна при помощи антивирусов.
  • Открыть диспетчер задач (если это возможно). Посмотреть процессы на предмет подозрительных. Попробовать завершить процесс. Скорее всего, процесс перезапустится. Перезагрузиться в безопасном режиме и удалить программу вручную.
  • Если троян блокирует обычный безопасный режим, то при нажатии клавиши F8 необходимо выбрать безопасный режим с поддержкой командной строки. На данный момент времени большинство винлокеров не способны его заблокировать. После загрузки надо запустить редактор реестра при помощи команды regedit и искать там подозрительные записи. В первую очередь, необходимо проверить ветку HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, в частности в параметре Shell должно быть написано explorer.exe, а в параметре Userinit - C:\WINDOWS\System32\userinit.exe, (обязательно с запятой). Если там всё в порядке, необходимо проверить этот же путь, но в ветке HKEY_CURRENT_USER. Также желательно проверить ветки, в которых прописаны автозагружаемые программы, например, HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run. В случае обнаружения подозрительных записей их необходимо заменить на стандартные значения (в случае с автозагрузкой удалить). После перезагрузки и входа в систему трояна можно удалить вручную по уже известному пути. Этот способ хоть и эффективен, но подходит только для опытных пользователей.
  • Кроме того, некоторые трояны заменяют собой один из файлов userinit.exe, winlogon.exe и explorer.exe в соответствующих каталогах. Рекомендуется восстановить их из дистрибутива или каталога C:\WINDOWS\System32\DLLCACHE.
  • Троян может создавать раздел HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\userinit.exe, где прописывает вызов своего исполняемого файла (чаще всего debug.exe), а для возобновления работы системы необходимо удалить данный раздел.
  • Одна из последних версий трояна не делает ничего из вышеперечисленного, а создает файл с именем по типу 0.5887702400506266.exe в корневой папке профиля пользователя и прописывает в реестре по адресу любой ветки, откуда может производиться автозапуск (например, HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options) раздел с непонятным именем. Если на компьютере есть второй профиль администратора, то его легко вычистить, зайдя из под другого профиля, просто удалив файл и ветку реестра. Однако было замечено, что бесплатные и платные антивирусы не реагируют на файл. Также можно найти и удалить этот файл, войдя в Windows через безопасный режим.

Итак, это были общие рекомендации, а теперь перейдем к более детальному рассмотрению проблемы. Методики лечения основаны на понимании тех изменений, которые троян вносит в систему. Остаётся выявить их и отменить любым удобным способом.

 

2. Надеемся на честность вирусмейкеров


Для некоторых троянов действительно существует код разблокировки. В редких случаях они даже честно удаляют себя полностью после ввода верного кода. Узнать его можно на соответствующих разделах сайтов антивирусных компаний – смотрите примеры ниже. Но, как ни крути, такой метод работает все реже и реже - в практике Вашего покорного слуги разблокировать Windows с помощью кода разблокировки получается примерно один раз десяти-двенадцати заражений.

 

Сервис разблокировки Windows компании «Доктор Веб»

Сервис разблокировки Windows компании «Доктор Веб»

 

Сервис разблокировки Windows компании «Лаборатория Касперского»

Сервис разблокировки Windows компании «Лаборатория Касперского»

 

Зайти в специализированные разделы сайтов «Доктор Веб», «Лаборатории Касперского» и других разработчиков антивирусного ПО можно с другого компьютера или телефона.

После разблокировки не радуйтесь преждевременно и не выключайте компьютер. Скачайте любой бесплатный антивирус и выполните полную проверку системы. Для этого воспользуйтесь, например, утилитой Dr.Web CureIt!, Eset NOD или Kaspersky Virus Removal Tool.

 

3. Если б я имел коня...


 

Прежде чем использовать сложные методы и спецсофт, попробуйте обойтись имеющимися средствами. Вызовите диспетчер задач комбинацией клавиш CTRL+ALT+DEL или CTRL+SHIFT+ESC. Если получилось, то мы имеем дело с примитивным трояном, борьба с которым не доставит проблем. Найдите его в списке процессов и принудительно завершите.

 

Подозрительный процесс в диспетчере задач

Подозрительный процесс в диспетчере задач

 

Посторонний процесс выдаёт невнятное имя и отсутствие описания. Если сомневаетесь, просто поочерёдно выгружайте все подозрительные до исчезновения баннера.

Если диспетчер задач не вызывается, попробуйте использовать сторонний менеджер процессов через команду «Выполнить», запускаемую нажатием клавиш Win+R. Вот как выглядит подозрительный процесс в System Explorer. Конечно, стоит сказать, что для этого нужен предустановленный сторонний менеджер процессов.

 

Расширенный менеджер запущенных процессов System Explorer

Расширенный менеджер запущенных процессов System Explorer

 

Скачать программу можно с другого компьютера или даже с телефона. Она занимает всего пару мегабайт. По ссылке «проверить» происходит поиск информации о процессе в онлайновой базе данных, но обычно и так всё понятно. После закрытия баннера часто требуется перезапустить «Проводник» (процесс explorer.exe). В диспетчере задач нажмите:

Файл -> Новая задача (выполнить) -> c:\Windows\explorer.exe.

Когда троян деактивирован на время сеанса, осталось найти его файлы и удалить их. Это можно сделать вручную или воспользоваться бесплатным антивирусом.

Типичное место локализации трояна – каталоги временных файлов пользователя, "Мои документы", системные каталоги (WINDOWS, system32 etc) и каталоги браузеров. Целесообразно всё же выполнять полную проверку, так как копии могут находиться где угодно, а беда не приходит одна. Посмотреть полный список объектов автозапуска поможет бесплатная утилита Autoruns. Также можно использовать очень популярный CCleaner.

 

AutoRuns покажет все объекты автозапуска (на скриншоте видна лишь малая часть)

AutoRuns покажет все объекты автозапуска (на скриншоте видна лишь малая часть)

 

4. Военная хитрость


 

Справиться с трояном на первом этапе поможет особенность в поведении некоторых стандартных программ. При виде баннера попробуйте запустить «вслепую» Блокнот или WordPad. Нажмите WIN+R, напишите notepad и нажмите ENTER. Под баннером откроется новый текстовый документ. Наберите любую абракадабру и затем коротко нажмите кнопку выключения питания на системном блоке. Все процессы, включая троянский, начнут завершаться, но выключения компьютера не произойдёт.

 

Блокнот - коня на скаку остановит и доступ админу вернёт!

Блокнот — коня на скаку остановит и доступ админу вернёт!

 

Останется диалоговое окно «Сохранить изменения в файле?». С этого момента на время сеанса мы избавились от баннера и можем добить трояна до перезагрузки. Еще раз повторюсь - это относится к разряду довольно примитивных троянов, такой способ помогает в трети случаев.

 

5. Если б конь имел меня...


 

Более продвинутые версии троянов имеют средства противодействия попыткам избавиться от них. Они блокируют запуск диспетчера задач, подменяют другие системные компоненты. В этом случае перезагрузите компьютер и удерживайте клавишу F8 в момент загрузки Windows. Появится окно выбора способа загрузки. Нам требуется «Безопасный режим с поддержкой командной строки» (Safe Mode with Command Prompt). После появления консоли пишем explorer и нажимаем ENTER – запустится проводник. Далее пишем regedit, нажимаем ENTER и видим редактор реестра. Здесь можно найти созданные трояном записи и обнаружить место, откуда происходит его автозапуск.

 

Ключи реестра, часто модифицируемые троянами семейства Winlock

Ключи реестра, часто модифицируемые троянами семейства Winlock

 

Чаще всего вы увидите полные пути к файлам трояна в ключах Shell и Userinit в ветке

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon

В «Shell» троян записывается вместо explorer.exe, а в «Userinit» указывается после запятой. Подробнее - тут. Копируем полное имя троянского файла в буфер обмена из первой обнаруженной записи. В командной строке пишем del, делаем пробел и вызываем правой клавишей мыши контекстное меню.

 

Удаление трояна из консоли (полное имя файла взято из реестра и скопировано в буфер обмена)

Удаление трояна из консоли (полное имя файла взято из реестра и скопировано в буфер обмена)

 

В нём выбираем команду «вставить» и нажимаем ENTER. Один файл трояна удалён, делаем тоже самое для второго и последующих.

 

Удаление трояна из консоли - файл находился во временной папке.

Удаление трояна из консоли — файл находился во временной папке.

 

Затем выполняем в реестре поиск по имени файла трояна, внимательно просматриваем все найденные записи и удаляем подозрительные. Очищаем все временные папки и корзину. Даже если всё прошло идеально, не поленитесь затем выполнить полную проверку любым антивирусом.

Если из-за трояна перестали работать сетевые подключения, попробуйте восстановить настройки Windows Sockets API утилитой AVZ.

 

Восстановление сетевых сервисов с помощью AVZ

Восстановление сетевых сервисов с помощью AVZ

 

6. Доктор, Вы меня вылечите?..


 

Со случаями серьёзного заражения бесполезно бороться из-под инфицированной системы. Логичнее загрузиться с заведомо чистой и спокойно вылечить основную. Существуют десятки способов сделать это, но один из самых простых – воспользоваться бесплатной утилитой Kaspersky WindowsUnlocker, входящей в состав Kaspersky Rescue Disk. Как и DrWeb LiveCD, он основан на Gentoo Linux. Файл-образ можно записать на болванку или сделать из него загрузочную флэшку утилитой Kaspersky USB Rescue Disk Maker. Также можно использовать ERD Commander или Windows XPE, такой пример будет рассмотрен позже.

 

Создание загрузочной флэшки из образа Kaspersky Rescue Disk

Создание загрузочной флэшки из образа Kaspersky Rescue Disk

 

Предусмотрительные пользователи делают это заблаговременно, а остальные обращаются к друзьям или идут в ближайшее интернет-кафе уже во время заражения.

При включении заражённого компьютера удерживайте клавишу для входа в BIOS. Обычно это DEL или F2, а соответствующее приглашение отображается внизу экрана. Вставьте Kaspersky Rescue Disk или загрузочную флэшку. В настройках загрузки (Boot options) выберите первым загрузочным устройством привод оптических дисков или флэшку (иногда она может отображаться в раскрываемом списке HDD). Сохраните изменения F10 и выйдите из BIOS.

Современные версии BIOS позволяют выбирать загрузочное устройство на лету, без входа в основные настройки. Для этого требуется нажать F12, F11 либо сочетание клавиш – подробнее смотрите в сообщении на экране, в инструкции к материнской плате или ноутбуку. После перезагрузки начнётся запуск Kaspersky Rescue Disk.

 

Загрузка Kaspersky Rescue Disk

Загрузка Kaspersky Rescue Disk

 

Kaspersky Rescue Disk в графическом режиме

Kaspersky Rescue Disk в графическом режиме

 

Доступен русский язык, а лечение можно выполнить в автоматическом или ручном режиме – смотрите пошаговую инструкцию на сайте разработчика.

 

7. Русский вирус влезет и BIOS


 

Отдельный подкласс составляют трояны, поражающие главную загрузочную запись (MBR). Они появляются до загрузки Windows, и в секциях автозапуска вы их не найдёте.

 

Троян семейства Winlock, заразивший MBR

Троян семейства Winlock, заразивший MBR

 

Первый этап борьбы с ними заключается в восстановлении исходного кода MBR. В случае XP для этого загружаемся с установочного диска Windows, нажатием клавиши {R} вызываем консоль восстановления и пишем в ней команду fixmbr. Подтверждаем её клавишей {Y} и выполняем перезагрузку. Для Windows 7 аналогичная утилита называется BOOTREC.EXE, а команда fixmbr передаётся в виде параметра:

Bootrec.exe/FixMbr

После этих манипуляций система вновь загружается. Можно приступать к поиску копий трояна и средств его доставки любым антивирусом.

 

8. Сестра, стакан кефиру и скальпель, будем вскрывать больного!


 

На маломощных компьютерах и особенно ноутбуках борьба с троянами может затянуться, так как загрузка с внешних устройств затруднена, а проверка выполняется очень долго. В таких случаях просто извлеките заражённый винчестер и подключите его для лечения к другому компьютеру. Для этого удобнее воспользоваться боксами с интерфейсом eSATA или USB 3.0/2.0.

 

Антивирусная проверка жёстких дисков на другом компьютере

Антивирусная проверка жёстких дисков на другом компьютере

 

Чтобы не разносить заразу, предварительно отключаем на «лечащем» компьютере автозапуск с HDD (да и с других типов носителей не мешало бы). Сделать это удобнее всего бесплатной утилитой AVZ, но саму проверку лучше выполнять чем-то другим. Зайдите в меню «Файл», выберите «Мастер поиска и устранения проблем». Отметьте «Системные проблемы», «Все» и нажмите «Пуск». После этого отметьте пункт «Разрешён автозапуск с HDD» и нажмите «Исправить отмеченные проблемы».

 

Отключение автозапуска с помощью AVZ

Отключение автозапуска с помощью AVZ

 

Также перед подключением заражённого винчестера стоит убедиться, что на компьютере запущен резидентный антивирусный мониторинг с адекватными настройками и есть свежие базы.

Если разделы внешнего жёсткого диска не видны, зайдите в «Управление дисками». Для этого в окне «Пуск» -> «Выполнить» напишите diskmgmt.msc и затем нажмите {ENTER}. Разделам внешнего жёсткого диска должны быть назначены буквы. Их можно добавить вручную командой «изменить букву диска…». После этого проверьте внешний винчестер целиком.

 

9. Еще способы


 

Часто помогает загрузка Windows с зажатой клавишей SHIFT, что отключает автозапуск программ из списка автозагрузки. Такой способ нередко помогает, когда ни в один из безопасных режимов Windows не грузится (на черном экране мигает курсос и все или появляется BSOD "синий экран смерти"). Несколько раз получалось таким образом временно обезвредить трояна.
Использование Windows XPE, которая загружает с флешки. Такую сборку можно скачать с торрентов - их там очень много. Суть в том, что данный способ позволяет редактировать реестр и файлы на жестком диске из другой, чистой ОС.
 
Трояны-блокировщики Windows: рецепты лечения
 
В составе этих операционных систем есть сторонний редактор реестра, на скриншоте ниже показан Regedit PE, который автоматом подгружает файлы реестра удаленной машины () и таким образом позволяет вносить изменения в реестр. Какие параметры нужно проверить и какие изменения вносить рассказано в статье Убираем рекламный баннер с рабочего стола.
Другой случай, когда сторонний редактор реестра сам не подключает файлы реестра зараженной ОС - в такой ситуации ему их нужно "подсунуть". Делается это следующим образом (актуально для способа №8 (про подключение зараженного жесткого диска к другому ПК):
 
1. Запускаем редактор реестра (штатный или сторонний).
2. Выделяем ветку HKEY_LOCAL_MACHINE и жмакаем на Файл -> Загрузить куст.

3. Указываем путь до файл [диск на котором лежит зараженная ОС]:/windows/system32/config/software

4. Затем, редактор реестра предложит назвать загружаемый куст, главное чтобы название не совпало с существующей веткой - называете как угодно, например Winlocked.

5. Куст реестра с зараженной винды и даст возможность подправить ее.

6. Переходим по следующему пути:  [HKEY_LOCAL_MACHINE\ Software_Bad_Tree\Microsoft\Windows NT\CurrentVersion\Winlogon] и ищем запись «Userinit«. На здоровом компьютере она выглядит так (запятая в конце нужна!)

Userinit                     C:\WINDOWS\system32\userinit.exe,

У больных компьютеров к этой записи после запятой будет добавлен путь до какого-то другого файла. Для лечения компьютера посмотрите куда ведет второй путь и удалите по этому адресу все что там есть. Затем, удалите саму запись об этом файле в реестре оставив только путь до userinit.exe и запятую в конце. Теперь надо выгрузить куст - Файл -> Выгрузить куст.

7. Profit!

 

Трояны-блокировщики Windows: рецепты лечения
 
То же самое, но для системных администраторов
Еслли вы – системный администратор, к тому же еще и имеета права «администратора домена». А зараженный компьютер находится в домене Active Directory.Вы со своего рабочего (администраторского) ПК запускаете редактор реестра на своем рабочем компьютере и с помощью команды «Файл -> Подключить сетевой реестр» ищете зараженную машину в домене. Служба удаленного реестра должна быть заущена. Остальное по описанию выше.
 

9. Секир башка...


 

Последний способ избавиться от блокировщика, format  C: /s, как бы намекакет нам о том, что на диске С:/, то есть на системном разделе нужно держать только систему и боле ничего. К слову, для многих бывает открытием, что папки "Рабочий стол", "Мои документы" и т.п. также находятся на диске С:/. Если все способы пробовать лень, или некоторые недоступны в силу каких-то причин, остается только сносить операционную систему с форматированием системного раздела, как правило, локального диска С:/, и инсталлировать новую и чистую ОС. Но этот способ - крайняя мера. К нему не стоит прибегать сразу, ведь тот Trojan.Winlock может оказаться примитивным и Вы от него быстро избавитесь.

 

10. Противогрибковое...


 

Для предотвращения повторного заражения следует установить любой антивирус (из личного опыта скажу, что Касперский, Avast и AVG - справляются на "ура") с компонентом мониторинга в режиме реального времени и придерживаться общих правил безопасности:

  • отключите автозапуск со сменных носителей;
  • устанавливайте программы, дополнения и обновления только с официальных сайтов разработчиков;
  • всегда обращайте внимание на то, куда на самом деле ведёт предлагаемая ссылка;
  • блокируйте нежелательные всплывающие окна с помощью дополнений для браузера или отдельных программ;
  • своевременно устанавливайте обновления браузеров, общих и системных компонентов;
  • выделите под систему отдельный дисковый раздел, а пользовательские файлы храните на другом.

Следование последней рекомендации даёт возможность делать небольшие образы системного раздела (программами Symantec Ghost, Acronis True Image, Paragon Backup and Recovery или хотя бы стандартным средством Windows «Архивация и восстановление»). Они помогут гарантированно восстановить работу компьютера за считанные минуты независимо от того, чем он заражён и могут ли антивирусы определить трояна.

В статье приведены лишь основные методы и общие сведения. Если вас заинтересовала тема, посетите сайт проекта GreenFlash. На страницах форума вы найдёте множество интересных решений и советы по созданию мультизагрузочной флэшки на все случаи жизни.

Распространение троянов Winlock не ограничено Россией и ближним зарубежьем. Их модификации существуют практически на всех языках, включая арабский. Помимо Windows, заражать подобными троянами пытаются и Mac OS X. Пользователям Linux не дано испытать радость от победы над коварным врагом. Архитектура данного семейства операционных систем не позволяет написать сколь-нибудь эффективный и универсальный X-lock. Впрочем, «поиграть в доктора» можно и на виртуальной машине с гостевой ОС Windows.

 

В статье использованы материалы и изображения с сайта iXBT


троян блокировщик заблокирована Windows разблокировать
Версия для печати
Обсудить статью на форуме


 автор: Technotron    19.03.2013    Комментариев: 0

Информация
Посетители, находящиеся в группе Гости, не могут оставлять комментарии в данной новости.
Опрос
Как Вы попали на этот сайт?
Я постоянный посетитель
Из поисковой системы
С другого сайта
Из каталога
Кто-то посоветовал
Реклама
Status online
Сейчас на сайте: 25
Гостей: 22
Пользователи: 
- отсутствуют

Роботы: