Удаление вредоносного кода
На днях обнаружена вредоносная программа. Распространяется через флеш носители. Ряд антивирусов данную вредоносную программу не обнаруживают. Возникает вопрос, как лечить?
Ответ простой - лечить руками. Для этого необходимо подготовить ряд программ.
Для лечения необходимы три программы.
1. Total Commander 7.0
2. Диск Live CD 2009 или аналогичный.
3. Редактор реестра.
Приступим!
Вначале нам необходимо вредоносный файл обнаружить на флешке. Для этого запускаем Total Commander . Заходим в меню Конфигурация – Настройка. В окне Настройка выбираем пункт Содержимое панелей.
Устанавливаем опции Показывать скрытые/системные файлы (только для опытных пользователей).
Такой настройкой мы сможем увидеть данную вредоносную программу на флешке и других носителях, в частности на диске C: .
Теперь давайте поищем нашу программульку.
Запустим Total Commander. При нажатой клавише Shift подключим флешку (при нажатой Shift – чтобы не сработал Autotun.inf и не активизировалась вредоносная программа). Через Тотал открываем нашу флешку и смотрим, есть ли autorun.inf и другие скрытые файлы и папки. Если есть, то флешка заражена.
В нашем случае она заражена. Удаляем файл autorun.inf. Откроем папку RECYCLER.
Видим, что в этой папке имеется файл acleaner.exe - это и есть наша вредоносная программа. Удаляем ее.
Мы справились с этой бякой на флешке. Флешка вылечена. Но где гарантия, что этой гадости нет в системе. Проверим это.
Отключим нашу флешку и заново подключим. Через тотал видим, что на флешке опять появились autorun.inf и RECYCLER, а в RECYCLER acleaner.exe. Все. Наша система заражена. Теперь придется лечить и систему.
Идея лечения системы проста как мир.
- Через Тотал ищим файлы acleaner.exe (их может быть несколько).
- Используя редактор реестра, находим ссылки на acleaner.exe
- Удаляем ссылки из реестра
- Делаем рестарт системы.
- Удаляем найденные Тотолом acleaner.exe
Все. Система вылечена.
Приступим.
Запускаем Тотал и ищем acleaner.exe
Нашли. Он находится в корзине. Удалить его сейчас не получится, так как его держит запущенный процесс.
Теперь подчистим реестр. Открываем редактор реестра и ищем ссылки на acleaner.exe
Найденные ссылки удаляем и делаем рестарт системы.
После загрузки системы пробуем удалить файл acleaner.exe из корзины. Но не так все просто. Сисиема не дает удалить файл, значит, процесс вредоносной программы сделал записи в реестре после нашего редактирования. Придется использовать Live CD.
Начнем.
Запускаем комп с Live CD.
Используя ERD Commander подключаемся к реестру.
С помощью утилита EDR Редактор реестра ищем ссылки на acleaner.exe и удаляем их. Процесс аналогичный тому, что мы уже делали и я его описывать не стану.
После редактирования реестра удаляем файл acleaner.exe (он у нас в корзине).
Все система вылечена. Делаем рестарт и отдыхаем.