Антивирус: Ты кто?
Вирус: Область данных!
Антивирус: А не вирус?
Вирус: Ни, боже мой!
Антивирус: А зачем прерывания перехватываешь?
Вирус: Я?!
Антивирус: Вот же подпрограмма!
Вирус: Это не подпрограмма. Это цитата из Лао-Цзы на языке оригинала в альтернативной кодировке…
Антивирус: А зачем exe -файлы ищешь?
Вирус: А вдруг хозяин спросит: «А где мои exe -файлы?». А я ему – вот они!
Антивирус: Сдается мне, что ты все-таки вирус...
Вирус: Ну ладно, признаюсь тебе, только ты никому не говори! На самом деле я… антивирусная вакцина!
Антивирус: А зачем нужна антивирусная вакцина, если есть я?
Вирус: Откуда я знаю? У хозяина спроси.
Антивирус: А если я тебя, на всякий случай, всё-таки грохну?
Вирус: А если я тебя?..
Антивирус: Не получится! У меня управление!
Вирус: А ты свою контрольную сумму давно пересчитывал?
Антивирус: А при чём тут моя контрольная… ой!!!
Вирус: То-то же…
Посмотрим, кто опять заблокировал Windows и просит отправить СМС на платный номер. Но до экрана приветствия операционной системы дело так и не дошло. Сразу после проверки POST (Power-On Self-Test, для интересующихся), на том же черном экране разноцветными буквами мне сообщили, что "Вы оштрафованы за просмотр детской порнографии... Отправьте СМС стоимостью 600 рублей абоненту МТС с таким-то номером, а иначе - ...", и разные угрозы про удаление всех личных данных и паролей к порно-сайтам. Пробую набрать слепым десятипальцевым методом произвольное число на клавиатуре, нажимаю Enter, а Миша уже кричит, что сейчас у него удалятся все игрушки. Но ничего не взорвалось, даже на припаркованных во дворе машинах не запищала сигнализация. Зато появился первый вопрос: операционная система уже начала работать, или вирус прописался в загрузочном секторе жесткого диска? Проверим. Перезагружаюсь, несколько раз жму F8, но снова на экране та же картинка вместо предложения выбрать безопасный режим. Значит все-таки вирус сидит в MBR (Master Boot Record, продолжаем лекцию).
Потребуется загрузочный диск. Вирус в нулевом секторе жесткого диска получает управление после того, как BIOS (Basic Input/Output System, ну я прям сегодня как википедия!) проверяет установленный порядок загрузки с обнаруженных устройств. Значит, загрузка с CD вирусом отключена быть не может, если только он не прописался в саму BIOS, что большая редкость в последнее время. Достаю диск с ERD Commander, загружаюсь с него и сразу жму кнопку, исправляющую ошибки в MBR. Диск больше не нужен. Windows запускается, абонент МТС денег не просит.
Переходим к плановому осмотру. Process Explorer вместо стандартного диспетчера задач должен показать нам всех местных жителей с паспортными данными и адресами прописки. На первый взгляд - ничего лишнего. Но под подозрение натренированного взгляда попадают два процесса svchost.exe, запущенные из-под explorer.exe со странной командной строкой: "-k netsvcs". Во-первых, svchost должен запускаться из-под services.exe, а во-вторых, в командной строке должно быть указано еще и имя самого процесса, т.е. "svchost.exe -k netsvc". Вирусописатели оказались не внимательными к деталям, забыли плащ-невидимку накинуть на голову.
Чтобы ускорить процесс изгнания бесов подумал, что можно спросить мистера Гуглинга, какими деструктивными действиями уже засветились вирусы из MBR, узнать таким образом явки, пароли, ключи реестра. Запускаю Chrome и не могу открыть ни одну страницу. Доступ к интернету есть, файл c:\windows\system32\drivers\etc\hosts - чистый, google.com из консоли пингуется успешно. Internet Explorer и Opera падают на взлете с неизвестной ошибкой. FireFox не установлен. Что ж, может быть хитрый вирус нашел исполняемые файлы браузеров и подменил их чем-нибудь, либо просто какую библиотеку бросил к ним в папочку. Устанавливаю FireFox с флешки, должен быть аки невеста в первую брачную ночь. Но и чистый Огнелис косит та же беда. Надо смотреть на процесс загрузки, зря что ли специальную >программу для этого написал! Запускаю свой Process Launch Watcher от имени Администратора, нахожу бинарник opera.exe, открываю. Браузер запустился. В логе ничего левого нет, все библиотеки нужные, никто не пристроился. Пробую еще раз загрузить Оперу самостоятельно - тот же падёж. А если от имени Администратора? А вот так - получается. Уже интересно! Но смысл не понятен.
Начинаем искать виноватых. Бегло просматриваю корень системного диска. Ничего странного, кроме двух папочек с мусорными именами в 16 случайных символов. Внутри лежат какие-то файлы с расширением.dat и набором непонятных шестнадцатеричных кодов. Убил. Но они мгновенно воскресли. Ух ты! Прям птица Феникс в реальном времени! В Process Explorer удаляю не понравившиеся мне ранее две копии svchost.exe, снова удаляю эти папочки - тишина. Но это пока так, щелкнули огнедышащего дракона по носу и не более. Надо искать, где у него незащищенное место в панцире, чтоб пустить заряд из Царь-пушки. Выкатываю на линию огня AVZ. В логе присутствует непонятный драйвер 2870456drv.sys, сидящий в C:\Windows\system32\drivers. В автозагрузке притаился файл без имени - ".exe" по адресу C:\Users\<Пользователь>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\.exe и рядом с ним 4nIcwkcvSVc.exe. И вдобавок AVZ сильно ругался, что вышеупомянутый драйвер перехватил аж 52 функции ядра Windows, отвечающие за сетевые соединения, управление процессами, манипуляции с файлами и реестром, а также некоторые информационные. Полный список приводить не буду, незачем. Также сканер встрепенулся насчет прямого чтения sppcomapi.dll, но вероятно это является следствием работы активатора Windows, например, такого как >мой:) После перезагрузки и выполнения еще одного стандартного лога драйвер переименовался в 11296972.sys. Однако уже не было сообщений о перехвате им функций.
В скрипт для AVZ вписал всех нарушителей, выполнил. Вирус в MBR оказался обычным алчным вымогателем, драйвер с постоянно меняющейся внешностью и фамилией путем перехвата системных функций операционной системы пытался обмануть пользователя, неумело маскируя имена своих процессов под svchost.exe. И браузеры теперь загружаются нормально даже без помощи Администратора. Победа накануне Дня Победы, а праздничным ужином так и не накормили.
Тишина. Компьютер не работает. Хозяева периодически бросают на него печальный взгляд и вздыхают. Мальчик Миша, десяти лет, сообщает о том, что надо заплатить деньги какому-то абоненту МТС, чтобы он включил им компьютер. Печально. А я все-таки попробую сделать это бесплатно. Нажимаю кнопку питания с мыслью, что и сам бы не отказался от вкусного ужина, но, наверное, опять все сделаю быстро, так что вряд ли успеют накормить.
Посмотрим, кто опять заблокировал Windows и просит отправить СМС на платный номер. Но до экрана приветствия операционной системы дело так и не дошло. Сразу после проверки POST (Power-On Self-Test , для интересующихся), на том же черном экране разноцветными буквами мне сообщили, что "Вы оштрафованы за просмотр детской порнографии ... Отправьте СМС стоимостью 600 рублей абоненту МТС с таким-то номером, а иначе - ...", и разные угрозы про удаление всех личных данных и паролей к порно-сайтам. Пробую набрать слепым десятипальцевым методом произвольное число на клавиатуре, нажимаю Enter, а Миша уже кричит, что сейчас у него сотрутся все игрушки. Но ничего не взорвалось, даже на припаркованных во дворе машинах не запищала сигнализация. Зато появился первый вопрос: операционная система уже начала работать, или вирус прописался в загрузочном секторе жесткого диска? Проверим. Перезагружаюсь, несколько раз жму F8, но снова на экране та же картинка вместо предложения выбрать безопасный режим. Значит все-таки вирус сидит в MBR (Master Boot Record , продолжаем лекцию).
Потребуется загрузочный диск. Вирус в нулевом секторе жесткого диска получает управление после того, как BIOS (Basic Input/Output System , ну я прям сегодня как википедия!) проверяет установленный порядок загрузки с обнаруженных устройств. Значит, загрузка с CD вирусом отключена быть не может, если только он не прописался в саму BIOS, что большая редкость в последнее время. Достаю диск с ERD Commander, загружаюсь с него и сразу жму кнопку, исправляющую ошибки в MBR. Диск больше не нужен. Windows запускается, абонент МТС денег не просит.
Переходим к плановому осмотру. Process Explorer вместо стандартного диспетчера задач должен показать нам всех местных жителей с паспортными данными и адресами прописки. На первый взгляд - ничего лишнего. Но под подозрение натренированного взгляда попадают два процесса svchost.exe , запущенные из-под explorer.exe со странной командной строкой: "-k netsvcs ". Во-первых, svchost.exe должен запускаться из-под services.exe , как я уже об этом писал , а во-вторых, в командной строке должно быть указано еще и имя самого процесса, т.е. "svchost.exe -k netsvc ". Вирусописатели оказались не внимательными к деталям, забыли под плащ-невидимку спрятать плащ-палатку.
Чтобы ускорить процесс изгнания бесов подумал, что можно спросить мистера Гуглинга, какими деструктивными действиями уже засветились вирусы из MBR , узнать таким образом явки, пароли, ключи реестра. Запускаю Chrome и не могу открыть ни одну страницу. Доступ к интернету есть, файл c:\windows\system32\drivers\etc\hosts - чистый, google.com из консоли пингуется успешно. Internet Explorer и Opera падают на взлете с неизвестной ошибкой. FireFox не установлен. Что ж, может быть хитрый вирус нашел исполняемые файлы браузеров и подменил их чем-нибудь, либо просто какую библиотеку бросил к ним в папочку. Устанавливаю FireFox с флешки, должен быть аки невеста в первую брачную ночь. Но и чистый Огнелис косит та же беда. Надо смотреть на процесс загрузки, зря что ли специальную программу для этого написал! Запускаю свой Process Launch Watcher от имени Администратора, нахожу бинарник opera.exe, открываю. Браузер запустился. В логе ничего левого нет, все библиотеки нужные, никто не пристроился. Пробую еще раз загрузить Оперу самостоятельно - тот же падёж. А если от имени Администратора? А вот так - получается. Уже интересно! Но смысл не ясен.
Начинаем искать виноватых. Бегло просматриваю корень системного диска. Ничего странного, кроме двух папочек с мусорными именами в 16 случайных символов. Внутри лежат какие-то файлы с расширением.dat и набором непонятных шестнадцатеричных кодов. Убил. Но они мгновенно воскресли. Ух ты! Прям птица Феникс в реальном времени! В Process Explorer удаляю не понравившиеся мне ранее две копии svchost.exe , снова удаляю эти папочки - тишина. Но это пока так, щелкнули огнедышащего дракона по носу и не более. Надо искать, где у него незащищенное место в панцире, чтоб пустить заряд из Царь-пушки. Выкатываю на линию огня AVZ. В логе присутствует непонятный драйвер 2870456drv.sys , сидящий в C:\Windows\system32\drivers . В автозагрузке притаился файл без имени - ".exe " по адресу C:\Users\<Пользователь>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\.exe и рядом с ним некий 4nIcwkcvSVc.exe . И вдобавок AVZ сильно ругался, что вышеупомянутый драйвер перехватил аж 52 функции ядра Windows, отвечающие за сетевые соединения, управление процессами, манипуляции с файлами и реестром, а также некоторые информационные. Полный список приводить не буду, незачем. Также сканер встрепенулся насчет прямого чтения sppcomapi.dll , но вероятно это является следствием работы активатора Windows , например, такого как мой . После перезагрузки и выполнения еще одного стандартного скрипта AVZ оказалось, что драйвер переименовался в 11296972.sys . Однако уже не было сообщений о перехвате им функций.
В скрипт для AVZ вписал всех нарушителей, выполнил. Вирус в MBR оказался обычным алчным вымогателем, драйвер с постоянно меняющейся внешностью и фамилией путем перехвата системных функций операционной системы пытался обмануть пользователя, неумело маскируя имена своих процессов под svchost.exe . И браузеры теперь загружаются нормально даже без помощи Администратора. Победа накануне Дня Победы, а праздничным ужином так и не накормили.
Описание проблемы:
Сразу после включения питания компьютера начинает работать процедура проверки POST
(Power On Self Test
). Процедура POST
считывает с жесткого диска главную загрузочную запись (MBR
- Master Boot Record
) и записывает ее в оперативную память компьютера. Главная загрузочная запись содержит программу первоначальной загрузки и таблицу разделов, в которой описаны все разделы жесткого диска. Загрузочные вирусы при заражении заменяют главную загрузочную запись, после чего компьютер загружается как обычно, но вирус уже находится в памяти и может контролировать работу всех программ и драйверов. После этого при каждой загрузке компьютера вирус получает управление и резидентно размещает себя в памяти.
Решения проблемы: Если антивирус не может удалить вирус из MBR сектора, то для решения проблемы можно воспользоваться средствами Windows, а именно - восстановление системы. При помощи восстановления системы можно перезаписать основную загрузочную запись загрузочного раздела, и таким образом удалить вирус. Для работы понадобится загрузочный диск Windows.
Для запуска восстановления системы, необходимо запустить компьютер с загрузочного диска. Чтобы загрузиться с загрузочного диска нужно включить компьютер и нажимать кнопку Delete для входа в настройки BIOS, Установить загрузку с CD-ROM"а. Вставить загрузочный диск с установочным пакетом Windows и перезагрузить компьютер. Когда установщик Windows загрузит свои файлы в оперативную память ПК, появится диалоговое окно Установка Windows, содержащее меню выбора, из которого нужно выбрать пункт *Чтобы восстановить Windows с помощью консоли восстановления, нажмите .
Необходимо нажать клавишу R . Загрузится консоль восстановления. Если на ПК установлена одна ОС, и она (по умолчанию) установлена на диске C: ,
то появится следующее сообщение:
В какую копию Windows следует выполнить вход?
Нужно ввести 1 , нажать Enter и ввести пароль администратора. Появится приглашение системы, ввести fixmbr.
Появится сообщение:
**ПРЕДУПРЕЖДЕНИЕ**
На этом компьютере присутствует нестандартная или недопустимая основная загрузочная запись. При использовании FIXMBR можно повредить имеющуюся таблицу разделов. Это приведет к утере доступа ко всем разделам текущего жесткого диска.
Намедни заочно познакомился с новым вирусом (где Вы их находите, ей богу?), который просит перевести примерно 25 долларов на определённый кошелёк в Webmoney в счёт погашения штрафа за просмотр, копирование и тиражирование видео взрослого характера.
Под «заочно» я подразумеваю, что сам я вирус не удалял, поэтому могу ошибаться. Скриншот прислали по ммс, и, судя по всему, вирус грузится до загрузки Windows.
Кроме удаления вируса, мы сегодня попутно научимся восстанавливать загрузочный сектор Windows XP и 7.
В первую очередь нам нужно узнать, когда загружается вирус. Определить это довольно просто — нужно проверить реакцию ПК на стандартные комбинации клавиш:
- Windows+L — смена пользователя
- Ctrl+Alt+Del или Ctrl+Shift+Esc — диспетчер задач
Если по нажатию Ctrl+Alt+Del происходит перезагрузка ПК или вообще ничего не происходит, то можно сказать, что вирус грузится до запуска системы и находится в MBR секторе (загрузочный сектор Windows). Есть два варианта решения данной проблемы:
Восстанавливаем загрузочный сектор Windows.
Кстати, аналогичным способом восстанавливают повреждённый загрузчик Windows в том случае, когда на экране Вы видите такое сообщение: disk read error occurred press ctrl+alt+del to restart или NTLDR is missing.
Нам понадобится диск с Windows, желательно той (или такой же), которая уже установлена на ПК. В Bios выставляем загрузку с диска и дожидаемся запуска установки Windows. Дальнейшие действия зависят от системы:
При Windows XP .
При появлении надписи «Вас приветствует мастер установки» (текстовая часть загрузки) нажимаем кнопку R (или F10), чтобы запустить консоль восстановления. Появится консольная строка, если есть пароль администратора — вводим его, затем вводим команды:
- fixboot c: (если система на диске C)
Опять загружается в консоль, и вводим эти команды:
- fixmbr c:
- fixmbr
Вынимаем диск и пробуем загрузить как обычно. Если система загрузились удачно, начинаем устанавливать все типы антивирусов и искать вредоносный файл, так как, после перезагрузки вирус может снова появится. Не перезагружаем компьютер, пока его не находим.
Если антивирусы не находят, пробуйте поиск файлов Windows (F3) по дате (предположительного заражения), включая скрытые и системные файлы с маской *.EXE или *.BAT. Пока точно где он не могу сказать, так как не сталкивался.
Если загружается опять вирус — проделываем оба предыдущих шага, плюс вводим ещё эти команды:
- bootcfg /rebuild
При Windows 7.
Вставляем диск и загружаемся с него.
При загрузке с диска выбираем «Восстановление системы» («Repair your computer»). Далее выбираем нашу систему (Windows 7 на диске C:). В окне «Параметры восстановления системы» выбираем «Командная строка» («Command Prompt»). В консоле пишем:
- bcdedit /export C:\BCD_Backup
- cd boot
- attrib bcd -s -h -r
- ren c:\boot\bcd bcd.old
- bootrec /RebuildBcd
Это перестроит и восстановит загрузочную область Windows 7. Перезагружаемся без диска. Поиск вируса аналогичен варианту с Windows XP.
Если вирус блокирует любые действия в Windows
Если вирус грузится в самой системе, и Вы не можете ничего сделать кроме перезагрузки ПК, то можно попробовать такой способ разблокировки:
- Зажимаем Ctrl+Shift+Esc (Ctrl+Alt+Del) до момента, пока не начнёт мерцать диспетчер задач.
- Не отпуская клавиш, ищем процесс вируса и кликаем «Cнять задачу».
- Далее нажмите «новая задача» и введите «regedit» (редактор реестра)
- Переходим в раздел HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon
- Проверяем два параметра «Shell» и «Userinit».
- Значением параметра Shell должно быть «Explorer.exe» .
- Значение Userinit – «C:\WINDOWS\system32\userinit.exe,» (в конце запятая обязательно).
- Перезагружаем ПК.
- Обязательно проверьте компьютер на вирусы установленным антивирусом или утилитой.
- В случае неудачи — проделайте этот способ в безопасном режиме.
Для сканирования подойдут бесплатные утилиты.
