Что делать при таком развитии событий?

Мне давно пришла идея, выхода из такой ситуации, просто руки никак не доходили ее описать на страницах моего блога.
Метод прост как дважды два!
Первое что нам будет необходимо это образ знаменитого диска Hirens Boot CD.
Второе это антивирусный сканер Dr.Web CureIT!
С помощью программы например UltraISO "вшиваем" антивирусный сканер Dr.Web CureIT! в образ диска Hirens Boot CD (в корень диска)
После этого записываем сохраненный образ на любую болванку (желательно CD так как с CD диска быстрее происходит чтение информации )
Далее запускаем диск и выбираем опцию загрузочного меню Mini Windows XP.
После полной загрузки Mini Windows XP идем с помощью проводника в корень нашего диска и запускаем антивирусный сканер Dr.Web CureIT! на полную проверку разделов.

Такой вариант лечения инфицированной системы работоспособен практически на любом железе, если имеется не менее 512 мегабайт оперативной памяти и привод с возможностью чтения CD дисков, ну да сейчас я думаю это уже не проблема, как раньше, если же все таки не хватает ОЗУ то можно на время проверки снять "планочку" с какого нибудь другого компьютера.

Если же мы имеем ноутбук с недостаточным количеством оперативной памяти, или мы имеем стационарный компьютер с недостаточным количеством оперативной памяти (и нет возможности ее достать), тогда просто записываем на болванку антивирусный сканер Dr.Web CureIT! загружаемся в обычном режиме, и запускаем наш антивирусный сканер с болванки на полное сканирование разделов (при этом при старте сканера выбираем защищенный режим, который он предложит).

Может быть и такое что нет привода (часто бывает с нетбуками) тогда делаем загрузочную флешку с Windows PE Live CD кидаем Dr.Web CureIT! в корень флешки. Загружаемся с Live CD идем в корень флешки и запускаем сканер на полную проверку.
Еще можно сделать загрузочную флешку Dr.Web Live CD на сайте Dr.Web есть такая утилита.

Если же мы имеем вариант, что не хватает оперативной памяти, нет привода, и все вышеописанные варианты лечения не получаются, тогда остается одно снять жесткий диск, подключить его к другому компьютеру, и полностью просканировать.

Если жесткий диск с ноутбука, или разные интерфейсы подключения (SATA IDE) и все так же нет возможности подключить жесткий диск к другому компьютеру, есть специальное приспособление, с одной стороны можно подключить любой жесткий диск, а с другой обычный USB разьем, таким образом подключаем жесткий диск как флешку, и производим полное сканирование разделов, зараженного диска.

Понимаю что такие вещи не у каждого есть, но у меня по долгу службы есть ))) и кстати это приспособление недорого стоит примерно 10 долларов США.
Удачи.

 

Во первых Вы должны понимать, если Вы с флешки удалили вирус, а он снова там появляется, то это значит что вирус находится в системе т.е. в вашем компьютере! И поэтому перед тем как чистить флешку, нужно знать, а не заражен ли компьютер, и если да, то лечить сначала компьютер, а уж потом флэш накопитель! Ну как лечить компьютер от вирусов это отдельная статья зависящая от типа вируса, мы все же отталкиваемся от того что компьютер чист, а вот на флешке сидит злобный вирусяга :) (имеется в виду вирус который для своего запуска с флеш накопителя использует файл Autorun.inf Кстатии Virus.Win32.Sality.aa или Sektor 17 для своего запуска с флешки, использует именно этот файл запуска) Перед началом военных действий немного теории :) дабы в бою нам было легче:)

Вот определение из Википедии — свободной энциклопедии.

Autorun.inf — файл, используемый для автоматического запуска приложений и программ на носителях информации в среде операционной системы Microsoft Windows (начиная с версии Windows 95). Этот файл должен находится в корне устройства для которого осуществляется автозапуск. Файл делится на структурные элементы — блоки. Название блоков пишется в квадратных скобках. Описание блоков содержит пары параметр→значение.

А теперь на человеческом языке :)
Сам по себе файл запуска Autorun.inf это не вирус, как многие думают :) если коротко то это файл запуска приложений (программ) который помещается в корень раздела жесткого диска или в корень флеш накопителя. В этом файле запуска можно прописать или просмотреть путь запуска программы. Например open=C:\WINDOWS\Notepad.exe В этой строчке Вы видите что при открытии диска или флэшки идет запуск программы Notepad.exe которая находится на разделе C:\ в папке WINDOWS Такой файл можно открыть и прочитать с помощью простого блокнота. В этом файле запуска содержатся инструкции запуска программы. Вот так примерно выглядят инструкции запуска ЛЮБОЙ программы с помощью Autorun.inf

open=Notepad.exe
shell\open=Открыть
shell\explore=Проводник
shell\open\Command=Notepad.exe
shell\open\Default=1
shell\explore\Command=Notepad.exe

Сделаем простой экспиримент, копируем стандартную программу Notepad.exe по адресу C:\WINDOWS\Notepad.exe, в корень раздела диска С:\ А потом копируем инструкции файла запуска, которые я привел выше в обычный блокнот, и сохраняем его соответственно под названием Autorun с разширением файла .inf тоже в корень раздела диска С:\После этих манипуляций перезагружаем компьютер, открываем "Мой Компьютер" и двойным кликом открываем раздел С:\ и что мы видим? :) запустился блокнот :)
А раздел диска С:\ не открылся :) Вирусы правда используют немного другой код, при котором, и раздел диска открывается или флешка, и вирус запускается. Теперь что б удалить наше художество, нужно с помощью проводника, зайти и удалить файл Autorun.inf и обязательно перезагрузить компьютер, только после этого Вы сможете снова нормально зайти на свой диск :) Если Вы удалите Autorun.inf но не перезагрузите компьютер, то зайти Вы все равно не сможете, так как система будет запрашивать файл запуска :) блокнота :) Для более пытливых умов, вот более детальная информация по этому типу файла запуска, кликнуть >ЗДЕСЬ<

Вот по такому принципу работают вирусы типа Autoruner (флеш вирусы) На зараженной флешке при ее открытии, запускается вирус, посредством его запуска через файл запуска Autorun.inf, после этого копируется файл запуска вируса Autorun.inf в корень на разделы жесткого диска, и присоедененные флеш накопители. Само тело вируса и его компоненты копируются в систему, разделы жесткого диска, и флеш накопители.
Таким образом заражается система.

Многие вирусы любят создавать на флэш накопителе папку RECYCLER, Recycled, System Volume Information, temp. И они также скрыты. Да, это названия системных папок, которые находятся в корне локальных дисков компьютера, но на флэшке их нет!!! и быть не должно в принципе!!! Папки с таким названием создаются системой на локальных дисках компьютера, но не на флэш накопителях!!! Если вы видите на флэшке названия таких папок, то знайте, ее создал вирус!!! И ее необходимо удалить!!!
Если Вы видите в корне флеш накопителя файл под названием Autorun.inf и Вы точно знаете что его на флешку не помещали, то знайте это файл запуска вируса, и его создал вирус. Небойтесь! откройте его простым блокнотом, и в нем Вы сможете просмотреть путь
запуска и имя вируса. Как я вам писал выше.


Еще одна из "уловок" флеш вирусов.

На скриншоте Вы видите два изображения "папок" с опцией "Открыть папку для просмотра файлов" Но!! под самой первой "папкой" в самом верху (уловка вируса) надпись "используется программы на устройстве" Это означает что при нажатии на эту "папку" произойдет запуск вируса, и откроется флешка для просмотра файлов. Но бывает часто при нажатии на эту опцию флеш не открывается и юзер в недоумении, дальше открывает ее через "Мой компьютер" двойным кликом, тем самым заражает систему повторно. Вторая же "папка" с надписью "Открыть папку для просмотра файлов" под ней надпись "используется проводник" это уже опция Windows, на эту "папку" можно смело нажимать для открытия флешки без угрозы заражения системы. Так что будьте внимательны, когда Вы открываете по привычке флешку через автоплей.



Теперь перейдем к части в которой мы будем вручную удалять злобную вирусягу с флешки.

ВАЖНО!!!
Перед последующими действиями отключаем автозапуск с флешек!!!
Качаем с сайта Кассперского архив с файлом реестра, для отключения автозапуска с флешек Sality_RegKeys.zip В архиве вам нужен файл под названием Disable autorun.reg
нажимаем на него двойным кликом, и соглашаемся с внесением изменений в реестр системы, нажатием на кнопку ОК После этого обязательно перезагружаем систему!!! Если на сайт Кассперского не можете зайти, подозреваю что у вас все плохо... Возможно система заражена, и вирус не пускает вас на сайт. Для проверки попытайтесь зайти на сайт Dr.Web или F-secure или NOD32 Если зайти не можете, значит ваша система заражена вирусом. Тогда вам для начала нужно лечить систему, а уж потом чистить флешку.

Файл запука вируса Autorun.inf всегда скрытый. Папки создаваемые вирусом (в которые он себя копирует на флешку) под названиями RECYCLER, Recycled, System Volume Information, temp скрыты так же. Отображение всех скрытых и системных файлов, в Windows по умолчанию отключено. Но нам нужно это все увидеть и если они есть на флешке то нужно это все удалить. Самый простой и доступный способ увидеть скрытые файлы, на флешке я сейчас опишу.

Вариант №1

1) Создаем на рабочем столе RAR овский архив

2) Открываем созданный нами архив, и открываем через этот архив нашу флешку.

3) Через архив можно увидеть все скрытые и системные файлы, отображение которых в Windows по умолчанию отключено.

4) Когда Вы через архив открыли флешку, ищем папки под названием RECYCLER, Recycled, System Volume Information, temp. И если таковые имеются на флеш накопителе удаляем их, там же через архив.

5) Далее смотрим а нет ли файла под названием Autorun.inf и если есть (а Вы его не создавали) то смело удаляем его с флешки.

6) Вытаскиваем флешку, а потом снова вставляем, перезагружаем систему, ждем минут 5 курим, пьем чай, открываем снова нашу флешку через архив, и смотрим не появились ли наши папки и файлы снова. Если нет, то ваша система и флеш накопители чисты от заразы! :)
А если появились значит система заражена... Нужно лечить систему...

7) Вот и все, читска флешки от заразы завершена!!! :) Вот так вот просто без спец программ и антивирусов :)

Вариант №2
Устанавливаем в систему любой Total Commander качаем ЗДЕСЬ или ЗДЕСЬ Запускаем его и нажимаем сверху на панели задач, отображение скрытых системных файлов. Кликаем на букву флешки, и смотрим наши фалы, которые подлежат обязательному уничтожению :) Какие именно смотрите в Вариант №1

Вариант №3
Воспользуйтесь моей комплексной защитой против вирусов типа "Autoruner" (флэш вирусов) которую можно скачать ЗДЕСЬ и она все сделает за вас.
Важно!!!
Для корректной работы утилиты ее необходимо запускать с правами администратора.

Послесловие: Данный вид "чистки" флешки подходит только для вирусов типа Autoruner. Т.Е. Вирусы которые для своего запуска используют файл запуска Autorun.inf

Многие не знают с какой стороны подойти к вопросу лечения вирусов и троянов, попросту говоря не знают что делать. Как лечить вирусы? Чем лечить?
Поэтому приходится обращаться к более продвинутым юзерам, или в сервисные центры, но это бывает не всегда удобно и зачастую накладно. Есть вредоносные программы к которым этот стандартный подход не совсем применим, но для многих вредоносных программ, нижеизложенной схемы лечения достаточно.

И так, если Вы заподозрили, что в вашем компьютере вирус:

1) Пойти в магазин и купить две CD болванки :)

2) Посидеть у себя дома или у друга на кухне перед началом лечения, попить чаю, покурить и свыкнутся с мыслью что «Не боги горшки обжигают» и что у вас все
обязательно получится :)

3) Необходимо пройти по ссылке http://www.freedrweb.com/cureit/ и скачать утилиту для лечения вредоносных программ Dr.Web CureIt! Но перед этим необходимо соблюсти условия!! Данную утилиту скачивать и записывать на болванку только на чистой машине! А не на той, которую Вы хотите лечить!!! Так как вирус может испортить или заразить саму программу лечения! Далее, записываем ее на первую болванку, записываем просто, как файл.

4) Идем далее, необходимо скачать на чистой машине и записать на диск, как образ .ISO утилиту под названием Dr.Web Live CD.
Записать любой программой записи дисков, имейте в виду что образ нужно записать, нажав на соответствующюю опцию «Записать образ диска» Данная загрузочная утилита находится по адресу http://www.freedrweb.com/livecd/

5) Ну что пока не сложно? Тогда идем дальше!

6) Приступаем к лечению вирусов! По моему мнению, всегда нужно начинать с утилиты Dr.Web Live CD Так как принцип ее работы максимально благоприятствует для лечения. Данная утилита для своей загрузки использует оперативную память компьютера, а не жесткий диск.

7) Далее привожу мануал по работе с утилитой Dr.Web Live CD

КАК ЭТО РАБОТАЕТ?

Загрузите образ Dr.Web LiveCD.

Запишите сохраненный образ на CD или DVD. Например, если вы используете Nero Burning ROM вам необходимо:

1) Вставте чистый CD/DVD компакт-диск в пишущий привод

2) В меню "Файл" выбрать команду "Открыть"

3) Найти и выбрать сохраненный образ.

4) Нажать кнопку "Прожиг" и дождаться окончания процесса записи.

Убедитесь, что проверяемый компьютер загружается в первую очередь с CD-привода, в котором находится диск Dr.Web LiveCD.
В случае необходимости внесите необходимые настройки в BIOS вашего компьютера .

ВАЖНО! ПЕРЕД ЗАГРУЗКОЙ ДИСКА ВСТАВЬТЕ В КОМПЬЮТЕР ВАШИ ФЛЕШКИ ДАБЫ СКАНЕР ПРОВЕРИЛ И ИХ!

При загрузке Dr.Web LiveCD, на экран выводится диалоговое окно, в котором предоставляется возможность выбрать между обычным и безопасным (safe mode) режимом запуска программы.




• С помощью стрелочек на клавиатуре выберите нужный пункт меню и нажмите [Enter]

• Чтобы запустить версию сканера с графическим интерфейсом, выберите обычный режим загрузки DrWeb-LiveCD (Default)

• Чтобы запустить сканер с интерфейсом командной строки (консольный сканер), выберите режим DrWeb-LiveCD (Safe Mode)

• Выберите Start Local HDD, если вы желаете загрузить компьютер с жесткого диска и не запускать Dr.Web LiveCD

• Выберете Testing Memory для запуска утилиты проверки памяти компьютера Memtest86+

• В случае выбора режима DrWeb-LiveCD (Default) операционная система автоматически найдет все имеющиеся разделы жесткого диска и настроит подключение к локальной сети, если это возможно.





После окончания загрузки диска, на рабочем столе сразу появится открытое окно сканера, выберите (отметьте) те диски или папки, которые вы хотите проверить и нажмите на кнопку Start




После полного сканирования, все найденные обьекты будут отображены в нижней части окна сканера. Найденные обьекты сканером, можно удалить или лечить (Delete\Cure) Например: найден вирус, файл под названием "ergh.exe" Действия: выделяете его в окошке сканера мышью, и для начала нажимаете на "Cure" (лечить) Если лечение не возможно (а сканер об этом напишет) тогда "Delete" (удалить) И так с каждым найденным обьектом. В сканере возможно выставить на "автомат" лечение\удаление для этого необходимо зайти в настройки, нажав в верху на кнопочку "Settings"далее вкладка "действие" И выставить настройки лечения следуйщим образом Infected>Cure (зараженные-лечить) Incureble>Delete (неизлечимые-удалить) и на той же вкладке внизу снять галочку запроса подтверждения действия, дабы при сканировании, когда сканер найдет зараженный обьект он делал все на автомате, а не постоянно спрашивал "что делать с обьектом?" В целом интерфейс программы логически понятен.

Есть и такой вариант что у вас по каким то причинам не получилось воспользоваться загрузочным диском (что очень жаль, так как это был и есть один из самых продуктивных вариантов лечения вирусов и вредоносных программ) Например было у меня несколько случаев, что практически в середине сканирования или даже в конце компьютер сам по себе перезагружался, и сканирование прерывалось (редко но бывает) Тогда есть еще один вариант!

Помните в начале статьи мы с вами записали утилиту Dr.Web CureIt! На CD диск?
Так вот, если не сработал первый вариант то второй должен! Вот что мы с вами в таком случае делаем:

ВАЖНО! ПЕРЕД ЗАГРУЗКОЙ ДИСКА ВСТАВЬТЕ В КОМПЬЮТЕР ВАШИ ФЛЕШКИ ДАБЫ СКАНЕР ПРОВЕРИЛ И ИХ!

1) При запуске компьютера сразу жмем клавишу на клавиатуре F8 заходим в безопасный режим.

2) Заходим под своей учетной записью.

3) Вставляем диск с записанной утилитой, и запускаем ее с диска.

4) Не копируйте ее с диска на рабочий стол, а именно запускайте записанную утилиту с диска!!!

5) Краткое описание как пользоваться утилитой:

Двойным щелчком запускаем утилиту на диске. В появившейся таблице, если нужно, жмете отмена. Если предложит обновить утилиту отказывайтесь, так как вам нужна именно та утилита которая записана на болванку, на зеленой таблице жмете «ПУСК» после этого «ОК» Начнется быстрая проверка компьютера. После быстрой проверки необходимо проверить все разделы жесткого диска компьютера. Для этого в окне сканера Dr.Web Cureit! Ставим галку в опции «полная проверка» и жмете пуск



При сканировании если будет найден зараженный обьект, то для начала Cureit! Попытается его вылечить, если лечение будет невозможным то он переместит его в карантин по адресу %USERPROFILE%\DoctorWeb\Quarantine\ с которого можно будет потом в ручную удалить зараженные файлы через Shift+Del

Вот в общем и все :) как видите ничего сложного. Можете сохранить или распечатать эту статью положить рядом с собой и делать все пошагово.

http://keydrweb.ru - Самый полный сборник актуальных журнальных ключей для dr.web 5.0 - 6.0 абсолютно бесплатно.