После удаления вируса не работает

Восстановление работоспособности системы после вирусов.

&nbsp &nbsp Антивирусные программы, даже при обнаружении и удалении вредоносного программного обеспечения, далеко не всегда восстанавливают полную работоспособность системы. Нередко, после удаления вируса, пользователь компьютера получает пустой рабочий стол, полное отсутствие доступа в Интернет (или блокировку доступа к некоторым сайтам), неработающую мышку и т.п. Вызвано это, как правило, тем, что остались нетронутыми некоторые системные или пользовательские настройки, измененные вредоносной программой под свои нужды.

Восстановление системы, в случае, когда загрузка или вход в систему невозможны.

&nbsp &nbsp Самым простым и действенным способом восстановления поврежденной вредоносным программным обеспечением системы является откат на точку восстановления (Restore Point) когда система еще была в работоспособном состоянии. Кстати, этот же прием можно использовать и для нейтрализации вируса. Откат выполняется таким образом, что изменяются только системные файлы Windows и содержимое реестра. Естественно, восстанавливаются и те элементы, которые, после заражения, позволяют вредоносной программе выполнять свой запуск. Другими словами, откат системы на момент до возникновения вирусного заражения дает возможность изолировать исполняемые файлы вируса и даже, если они остаются в системе, их автоматический запуск не производится, и они никоим образом не могут влиять на работу ОС. Откат на точку восстановления выполняется в среде самой Windows XP (Меню Пуск — Программы — Стандартные — Служебные — Восстановление системы )и в случаях, когда вход в систему невозможен, становится также невыполнимым. Однако, существует инструмент под названием ERD Commander (ERDC) , позволяющий выполнить восстановление системы, даже в случае невозможности запуска штатных средств. Подробное описание ERD Commander и примеры практической работы с ним найдете в статье Инструкция по использованию ERD Commander (Microsoft DaRT).
А в общих чертах, восстановление выполняется с помощью средства ERDC под названием System Restore Wizard . Сначала выполняется загрузка ERD Commander, который представляет собой усеченный вариант Windows (WinPE — Windows Preinstall Edition) и набор специальных программных инструментов для работы с ОС установленной на жестком диске. Затем запускается инструмент System Restore Wizard , с помощью которого состояние системы восстанавливается на созданную ранее ( вручную или автоматически ) точку восстановления. При наличии кондиционных данных точки восстановления, в подавляющем большинстве случаев, система возвращается к работоспособному состоянию.

Восстановление работоспособности с помощью антивирусной утилиты AVZ.

&nbsp &nbsp Это самый простой, не требующий особой квалификации, способ. Антивирусная утилита AVZ Олега Зайцева, кроме основных функций обнаружения и удаления вредоносного ПО, имеет и дополнительную — восстановление работоспособности системы, с помощью специальных подпрограмм, или, по терминологии AVZ — микропрограмм. Утилита AVZ позволяет легко восстановить некоторые системные настройки, поврежденные вирусами. Помогает в случаях, когда не запускаются программы, при подмене страниц, открываемых обозревателем, подмене домашней страницы, страницы поиска, при изменении настроек рабочего стола, невозможности запуска редактора реестра, отсутствии доступа в Интернет и т.п.

&nbsp &nbsp Для запуска процедур восстановления выбираем меню Файл — Восстановление системы и отмечаем галочкой нужную микропрограмму восстановления:

.
1.Восстановление параметров запуска .exe, .com, .pif файлов
Данная микропрограмма восстанавливает реакцию системы на файлы exe, com, pif, scr.
Показания к применению:
после удаления вируса перестают запускаться программы.
2.Сброс настроек префиксов протоколов Internet Explorer на стандартные
Данная микропрограмма восстанавливает настройки префиксов протоколов в Internet Explorer
Показания к применению:
при вводе адреса типа www.yandex.ru идет его подмена на что-то вида www.seque.com/abcd.php?url=www.yandex.ru
3.Восстановление стартовой страницы Internet Explorer
Данная микропрограмма восстанавливает стартовую страницу в Internet Explorer
Показания к применению:
подмена стартовой страницы
4.Сброс настроек поиска Internet Explorer на стандартные
Данная микропрограмма восстанавливает настройки поиска в Internet Explorer
Показания к применению:
При нажатии кнопки «Поиск» в IE идет обращение к какому-то постороннему сайту
5.Восстановление настроек рабочего стола
Данная микропрограмма восстанавливает настройки рабочего стола. Восстановление подразумевает удаление всех активных элементов ActiveDesktop, обоев, снятие блокировок на меню, отвечающее за настройки рабочего стола.
Показания к применению:
Исчезли закладки настройки рабочего стола в окне «Свойства:экран», на рабочем столе отображаются посторонние надписи или рисунки
6.Удаление всех Policies (ограничений) текущего пользователя
Windows предусматривает механизм ограничений действий пользователя, называемый Policies. Этой технологией пользуются многие вредоносные программы, поскольку настройки хранятся в реестре и их несложно создавать или модифицировать.
Показания к применению:
Заблокированы функции проводника или иные функции системы.
7.Удаление сообщения, выводимого в ходе WinLogon
Windows NT и последующие системы в линейке NT (2000, XP) позволяют установить сообщение, отображаемое в ходе автозагрузки. Этим пользуется ряд вредоносных программ, причем уничтожение вредоносной программы не приводит к уничтожению этого сообщения.
Показания к применению:
В ходе загрузки системы вводится постороннее сообщение.
8.Восстановление настроек проводника
Данная микропрограмма сбрасывает ряд настроек проводника на стандартные (сбрасываются в первую очередь настройки, изменяемые вредоносными программами).
Показания к применению:
Изменены настройки проводника
9.Удаление отладчиков системных процессов
Регистрация отладчика системного процесса позволят осуществить скрытый запуск приложение, что и используется рядом вредоносных программ
Показания к применению:
AVZ обнаруживает неопознанные отладчики системных процессов, возникают проблемы с запуском системных компонент, в частности после перезагрузки исчезает рабочий стол.
10.Восстановление настроек загрузки в безопасном режиме (SafeMode)
Некоторые вредоносные программы, в частности червь Bagle, повреждают настройки загрузки системы в защищенном режиме. Данная микропрограмма восстанавливает настройки загрузки в защищенном режиме.
Показания к применению:
Компьютер не загружается в защищенном режиме (SafeMode). Применять данную микропрограмму следует только в случае проблем с загрузкой в защищенном режиме.
11.Разблокировка диспетчера задач
Блокировка диспетчера задач применяется вредоносными программами для защиты процессов от обнаружения и удаления. Соответственно выполнение данной микропрограммы снимает блокировку.
Показания к применению:
Блокировка диспетчера задач, при попытке вызова диспетчера задач выводится сообщение «Диспетчер задач заблокирован администратором».
12.Очистка списка игнорирования утилиты HijackThis
Утилита HijackThis хранит в реестре ряд своих настроек, в частности — список исключений. Поэтому для маскировки от HijackThis вредоносной программе достаточно зарегистрировать свои исполняемые файлы в списке исключений. В настоящий момент известен ряд вредоносных программ, использующих данную уязвимость. Микропрограмма AVZ выполняет очистку списка исключений утилиты HijackThis
Показания к применению:
Подозрения на то, что утилита HijackThis отображает не всю информацию о системе.
13. Очистка файла Hosts
Очистка файла Hosts сводится к поиску файла Hosts, удалению из него всех значащих строк и добавлению стандартной строки «127.0.0.1 localhost».
Показания к применению:
Подозрения на то, файл Hosts изменен вредоносной программой. Типичные симптомы — блокировка обновления антивирусных программ. Проконтролировать содержимое файла Hosts можно при помощи менеджера Hosts файла, встроенного в AVZ.
14. Автоматическое исправление настроек SPl/LSP
Выполняет анализ настроек SPI и в случае обнаружения ошибок производит автоматическое исправление найденных ошибок. Данную микропрограмму можно запускать повторно неограниченное количество раз. После выполнения данной микропрограммы рекомендуется перезагрузить компьютер. Внимание ! Данную микропрограмму нельзя запускать из терминальной сессии
Показания к применению:
После удаления вредоносной программы пропал доступ в Интернет.
15. Сброс настроек SPI/LSP и TCP/IP (XP+)
Данная микропрограмма работает только в XP, Windows 2003 и Vista. Ее принцип работы основан на сбросе и пересоздании настроек SPI/LSP и TCP/IP при помощи штатной утилиты netsh, входящей в состав Windows. Подробно про сброс настроек можно прочитать в базе знаний Microsoft — http://support.microsoft.com/kb/299357 Обратите внимание ! Применять сброс настроек нужно только в случае необходимости при наличие неустранимых проблем с доступом в Интернет после удаления вредоносных программ !
Показания к применению:
После удаления вредоносной программы пропал доступ в Интернет и выполнение микропрограммы «14. Автоматическое исправление настроек SPl/LSP» не дает результата.
16. Восстановление ключа запуска Explorer
Восстанавливает системные ключи реестра, отвечающие за запуск проводника.
Показания к применению:
В ходе загрузки системы не запускается проводник, но запуск explorer.exe вручную возможен.
17. Разблокировка редактора реестра
Разблокирует редактор реестра путем удаления политики, запрещающей его запуск.
Показания к применению:
Невозможно запустить редактор реестра, при попытке выводится сообщение о том, что его запуск заблокирован администратором.
18. Полное пересоздание настроек SPI
Выполняет резервное копирование настроек SPI/LSP, после чего уничтожает их и создает по эталону, который хранится в базе.
Показания к применению:
Тяжелые повреждения настроек SPI, неустранимые скриптами 14 и 15. Применять только в случае необходимости !
19. Очистить базу MountPoints
Выполняет очистку базы MountPoints и MountPoints2 в реестре. Данная операция нередко помогает в случае, когда после заражения Flash-вирусом в проводнике не открываются диски Для выполнения восстановления необходимо отметить один или несколько пунктов и нажать кнопку «Выполнить отмеченные операции». Нажатие кнопки «ОК» закрывает окно.
На заметку:
Восстановление бесполезно, если в системе работает троянская программа, выполняющая подобные перенастройки — необходимо сначала удалить вредоносную программу, а затем восстанавливать настройки системы
На заметку:
Для устранения следов большинства Hijacker необходимо выполнить три микропрограммы — «Сброс настроек поиска Internet Explorer на стандартные», «Восстановление стартовой страницы Internet Explorer», «Сброс настроек префиксов протоколов Internet Explorer на стандартные»
На заметку:
Любую из микропрограмм можно выполнять несколько раз подряд без ущерба для системы. Исключения — «5.Восстановление настроек рабочего стола» (работа этой микропрограммы сбросит все настройки рабочего стола и придется заново выбирать раскраску рабочего стола и обои) и «10. Восстановление настроек загрузки в SafeMode» (данная микропрограмма пересоздает ключи реестра, отвечающие за загрузку в безопасном режиме).

Если не работают некоторые устройства после лечения системы от вирусов.

&nbsp &nbsp Клавиатурные шпионы и вирусы, использующие руткит-технологии для маскировки своего присутствия в зараженной системе, нередко устанавливают свой драйвер как дополнение к реальному драйверу, обслуживающему какое-либо устройство (чаще всего клавиатуру или мышь). Простое удаление файла «вирусного» драйвера без удаления из реестра записи, ссылающейся на него, приведет к неработоспособности «обслуживаемого» устройства.
&nbsp &nbsp Подобное же явление имеет место при неудачном удалении антивируса Касперского, кода перестает работать мышь, и в диспетчере устройств она отображается как устройство с ошибкой, для которого не были загружены все драйверы. Проблема возникает по причине использования антивирусом дополнительного драйвера klmouflt, который устанавливался при инсталляции антивируса. При деинсталляции файл драйвера был удален, но ссылка в реестре на драйвер klmouflt, осталась.

Подобное явление наблюдается и при удалении файла драйвера руткита и оставшейся в реестре ссылке на него. Для устранения проблемы нужно сделать поиск в реестре по строке UpperFilters.
Везде, где в ключах реестра встретится значение

klmouflt — для драйвера от антивируса Касперского
или другое название — для драйвера руткита
mouclass

удалить ненужное klmouflt и перезагрузиться.

Обычно при неработающей клавиатуре и мыши нужно чтобы были восстановлены ключи реестра

Клавиатура:
HKLM\ SYSTEM\ CurrentControlSet\ Control\ Class\ <4d36e96b-e325- 11ce-bfc1- 08002be10318>
UpperFilters = kbdclass

Мышь:
HKLM\ SYSTEM\ CurrentControlSet\ Control\ Class\ <4d36e96f-e325- 11ce-bfc1- 08002be10318>
UpperFilters = mouclass

Если проблема осталась, можно поискать аналогичные значения в LowerFilters

Источник

Нарушения в работе ОС после удаления вирусов

#1 Mikhail@RU

Posters

8 Сообщений:

Описываем с самого начала.
При просмотре на рабочем (в конторе) компьютере одной из страниц (торгаши стройматериалами) SpiderGuard выявил трояна, удалил. Всё казалось бы хорошо. На следующий день, распечатывали документ в моё отсутствие, «компьютер самостоятельно перезагрузился», это со слов пользователя. Возможно совпадение, возможно что-то произошло. Ну не важно. Звонят мне, говорят, что загружается только рабочий стол, без иконок, без панели задач. Приезжаю, проверяю. Загрузка идёт как обычно, но очень долго держится экран приветствия. Загружается рабочий стол и всё.
Загружаю в безопасном режиме, всё грузится. Запускаю Dr.Web сканер и прогоняю стандартные папки для местонахождения вирусов. Он находит несколько штук и удаляет их. Раньше этого было всегда достаточно. Делаю перезагрузку, опять то же самое, только рабочий стол. Понимаю, что всё не так хорошо. Загружаю безопасный режим и он тоже выдаёт чёрный экран с надписями «безопасный режим», даже не загружает сообщение о его включении. Диспетчер задач при этом работает. В списке процессов нет explorer.exe. Всё остальное не вызывает подозрений.
Забираю жёсткий диск, выбираю подозрительные файлы, не определяемые Dr.Web и прогоняю их через другие антивирусы, выявляю ещё несколько штук и отсылаю их через форму на сайте. Исправляю ошибки на диске и снова устанавливаю на рабочий компьютер. Результат ровно тот же, загружается только рабочий стол.
Работаю последующие дни на домашнем. Начальство требует что-то найти, захожу на один из сайтов, с которых словил вирусы, чтобы узнать телефон. Опять сообщение от SpiderGuard о трояне. Удаляю, едем дальше. Начинается проблема, троян засел где-то на жёстком диске и постоянно записывается на карточку. Отправляю письмо со страницы через форму с подозрительным файлом. Пытаюсь загрузить Adobe Reader, он не работает. Начинаю искать проблему. Нахожу несколько троянов не определяемых Dr.Web, в разных папках. Аккуратно вырезаю их в отдельную папку. Отправляю опять через форму на странице. Т.к. Reader не хочет работать, кажется загрузка троянов была сопряжена с открытием файла pdf, поэтому он не запускался, т.к. уже был открыт. Решаю перезагружаться после удаления вирусов (или троянов). Ну и конечно вижу перед собой только рабочий стол, в безопасном режиме та же петрушка. Ну, думаю, раз с вирусами работало, надо их обратно запихнуть, благо все пути сохранены и сами объекты тоже. Беру один жёсткий диск и ставлю систему. Гружусь с него. Копирую вирусы обратно по папкам, загружаюсь, всё работает. Решаю ждать обновления баз, вечером запускаю проверку, ещё пара штук добавилась в базы. Проверяю сканером, удаляю. Решаю ради интереса перезагрузиться. Снова одинокий рабочий стол, начинаю проверять все файлы поступившие в момент заражения, всё подозрительное вырезаю. Так как толку нет, записываю логи, выкладываю их на форум. Всё кроме RkU делал в безопасном режиме, RkU загрузил из обычного режима (что удивительно).

Читайте также:  Как правильно настроить ryzen 5 3600

Cписок определённых как вирусы/трояны на тот момент файлов, те которые Dr.Web не определил, я отношу к вирусам:
Началось всё с загрузки 129[1].pdf — инфицирован Exploit.PDF.179 C:\Documents and Settings\User\Local Settings\Temporary Internet Files\Content.IE5\O15B4IP2
load.exe — не определялся, на диске отсутствовал, скачал его позже для проверки (далее Win32.HLLW.Autoruner.6326) — в папке C:\Documents and Settings\User\Local Settings\Temporary Internet Files обнаружилась ссылка на этот файл со временем изменения подозрительных файлов hxxp://nu988.biz/myy/load.php?id=5 Эта ссылка сработала в момент открытия одного из сайтов (сложно сказать, был ли вирус уже на компьютере, может его запуск просто совпал по времени).
rdl6D.tmp.exe — инфицирован Trojan.PWS.LDPinch.4308 C:\WINDOWS\TEMP
rdl11.tmp — инфицирован Win32.HLLW.Autoruner.6317 C:\Documents and Settings\User\Local Settings\Temp
pin[1].exe — инфицирован Trojan.PWS.LDPinch.4308 С:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\89ABCDEF
Вот этих он уничтожил сразу, остальные, а их было порядка десяти, пролезли.
rdl9B.tmp — инфицирован Win32.HLLW.Autoruner.6317 C:\Documents and Settings\User\Local Settings\Temp
rdl6C.tmp.exe — не определялся (после отправки в Dr.Web его занесли в базу как Trojan.PWS.Webmonier.137) C:\WINDOWS\Temp
svchost.exe — инфицирован Win32.HLLW.Autoruner.6326 C:\Program Files\Microsoft Common
wpv521238422083.exe — не определялся C:\WINDOWS\Temp
00717EFF.exe — не определялся C:\WINDOWS\Temp
CD031402.exe — не определялся C:\WINDOWS\Temp
557.exe — не определялся (далее Trojan.PWS.Webmonier.137) C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\01234567
inside.exe — не определялся C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\GHIJKLMN
msvcrt57.dll — не определялся (далее Trojan.DownLoad.5244) C:\WINDOWS\system32
autorun.exe — не определялся (далее Win32.HLLW.Autoruner.6326) находился в корне карточки, как вирус определялся autorun.inf содержащий данные для автозагрузки вируса.
rdl1.tmp — не определялся (далее Win32.HLLW.Autoruner.6317) C:\Documents and Settings\User\Local Settings\Temp
Есть вероятность, что часть из них (это могут быть только файлы rdl*) попала на диск ранее, в связи с чем они были не определены.
Все вирусы бережно хранятся в архиве, я их отправлял в Dr.Web
Номера выигрышных билетов 895021 (wpv), 895020 (00717EFF), 901665 (inside)

Читайте также:  Ниссан тиида не работает клаксон

Прикрепленные файлы:

• cureit_results.cab132,23К 65 Скачано раз
• hijackthis.rar4,07К 67 Скачано раз
• Report_rku.rar3,91К 81 Скачано раз

Сообщение было изменено userr: 03 Июнь 2009 — 15:08

#2 Borka

Забанен за флуд

Members

19 512 Сообщений:

Да уж. Редко кто так подробно описывает. Однако нет гавного: Какие вирусы были найдены? Где? Насчет сайта — что за сайт с эксплойтами? Почему не переходите на 5.0?

Проверьте на Вирустотале:
C:\WINDOWS\UpdReg.EXE
C:\WINDOWS\system32\ativvaxx.cap
C:\WINDOWS\system32\drivers\k750cm.sys
C:\WINDOWS\system32\drivers\k750wh.sys

Скачайте ftp://ftp.drweb.com/pub/drweb/windows/plstfix.exe — утилита много чего умеет восстанавливать в системе.

#3 ILNARus

Posters

636 Сообщений:

#4 mrbelyash

Members

25 897 Сообщений:

#5 YVS

Helpers

4 798 Сообщений:

#6 Mikhail@RU

Posters

8 Сообщений:

Да уж. Редко кто так подробно описывает. Однако нет гавного: Какие вирусы были найдены? Где? Насчет сайта — что за сайт с эксплойтами? Почему не переходите на 5.0?

Про вирусы написал, сайт тоже указал. Не перехожу вот на 5.0. При моей лицензии это не бесплатно.

Файлы проверил, якобы чисто.

Plastfix cкачал, но уже пользовался ею раньше. Кое-кто у нас порой. Зачищал чужие хвосты.

#7 YVS

Helpers

4 798 Сообщений:

Не перехожу вот на 5.0. При моей лицензии это не бесплатно.

#8 Mikhail@RU

Posters

8 Сообщений:

Еще проверьте на VirusTotal (если файлы еще есть)
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\GHIJKLMN\inside[1].exe
C:\WINDOWS\temp\00717EFF.exe
C:\WINDOWS\temp\CD031402.exe
C:\WINDOWS\temp\wpv521238422083.exe

#9 pig

Helpers

10 785 Сообщений:

Источник