Как найти вирус в реестре - vicemultiplayer.ru

Как найти вирус в реестре

Удаляем вирус-баннер в реестре Windows

Во время начала загрузки компьютера нажимаем клавишу F8. И выбираем «Безопасный режим с поддержкой командной строки» и жмем «Enter»

По окончанию загрузки появится окно «Администратор :cmd.exe» где через клавиатуру введите «regedit.exe». Снова жмем «Enter» и выходим в «Редактор реестра»

В реестре Windows regedit содержится системная информация и данные об автоматическом запуске программ при старте операционной системы. Тут-то мы и попытаемся найти следы нашего баннера-вируса.

Для нормальной работы ОС необходимо всего 5 файлов в корневом каталоге:
ntldr
boot.ini
pagefile.sys
Bootfont.bin
NTDETECT.COM

Без детального анализа удалять из реестра ничего нельзя. Вы должны быть на 100% уверены, что это именно вирус а не программа которая была загружена в корневую папку. Вирус должен как-то загружаться при старте системы, как правило этот процесс происходит при автозапуске. Поэтому смотрим следующие ключи реестра на предмет подозрительных программ. (А если вы уже нашли вирус, то ищите имя файла везде в реестре и удаляйте):

С самого начала ищем вирус в цепочке:HKEY_LOCAL_MACHINESOFTWAREMicrosoft
WindowsNTCurrentVersionWinlogon
Находим в списке запись Shell (XP) В Windows7 данного раздела нет.

Смотрим: значение параметра, по умолчанию должно быть Explorer.exe , если есть еще что то удаляем.

Теперь находим запись: Usernit (Присутствует в любой версии Windows). В значении данной записи должно быть C:Windowssystem32userinit.exe Все что есть кроме этой записи – удаляем. Естественно если ос установлена не на диск С то запись будет другая.

Следующим этапом будет редактирование автозагрузки раздела Run .

Ищем и открываем цепочку: HKEY_CURRENT_USERSoftwareMicrosoft
WindowsCurrentVersionRun
(данный раздел применителен к Windows 7) В этой ветке можно удалить все, кроме антивирусного программного обеспечения и так же необходимого для вашей работы софта (утилиты для принтера, skype, сканера).

Следующая цепочка: HKEY_LOCAL_MACHINESOFTWAREMicrosoft
WindowsCurrentVersionRun
Тут делаем то же самое что и в предыдущем пункте.

Возможно нужно будет заменить файл «hosts» который находится по адресу: Откройте Пуск» и введите: %systemroot%system32driversetc

Копируем стандартный с сайта разработчика http://support.microsoft.com/kb/972034/ru а старый переименовываем hosts.old.

Щелкните правой кнопкой мыши в свободном месте в папке %WinDir%system32driversetc,

выберите пункт Создать, щелкните элемент Текстовый документ, введите имя hosts/ Откройте новый файл hosts в текстовом редакторе»Блокнот» и скопируйте в файл сохраненный текст с сайта. Перегружаем компьютер.

Иногда бывает, что не требуется искать приложение.ехе в реестре Windows а достаточно только при выходе на рабочий стол произвести быструю проверку «Security Esseentiats» , сделать перезагрузку и когда включится компьютер появится окно, которое указывает имя программы, скажем 2088322.exe, которую защитник Windows не может распознать. Вам нужно будет только записать это значение в «Пуск» — «Найти программы и файлы «, а затем с помощью правой кнопки мышки выяснить адрес этого баннера и удалить его сначала в корзину а потом навсегда.

Если необходимо проверить реестр на исправном компьютере, т.е. когда ОС полностью загружена, не нужно использовать «Безопасный pежим» достаточно набрать в меню «Пуск» команду regedit и кликнуть по открывшемуся файлу, и перед вами откроется «Редактор реестра».

Но что делать если невозможно загрузить ОС в безопасном режиме, как убрать баннер и разблокировать Windows? В этом случае нам нужно прибегнуть к сторонним средствам, одним компьютером тут не обойдешся. Рассмотрим самые лучшие утилиты на сегодняшний день, которые помогут нам разблокировать наш компьютер : «Как удалить баннер если Windows не загружается в безопасном режиме»

Человек это
самый страшный вирус
на планете — Земля.

«inpropart»

Сервис по ремонту компьютеров

Любые вопросы по услугам всегда можно уточнить позвонив нам.

При попадании вируса в компьютер, вирус имеет свойство прописываться в автозагрузку, а далее в реестр. Для малоопытных пользователей, эти слова мало о чем говорят. Вирус – это программное обеспечение, которое наносит вред компьютеру, так же это могут быть скрипты или зараженные архивы и pdf файлы. В момент попадания вирус начинает самораспространяться, при этом риску заражения в основном подвергаются exe и bat файлы, а так же архивы zip и rar.

На что стоит обратить внимание, если вы подозреваете или просканировали компьютер антивирусными утилитами, но проблема осталась, прежде всего смотрим автозагрузку. Для этого нужно ввести следующие команды в командную строку:
1. Открываем: Пуск далее жмем выполнить или в строке поиска «msconfig.exe»

Читать еще:  Как найти настройки видеокарты на windows 7

Открывается окно: «Конфигурация системы» , нажимаем на вкладку «Автозагрузка», и смотрим что у нас там стоит в автозапуске. Прежде всего обращаем внимание на названия программ, а так же на название файла и пути его нахождения. Обычно вирусами являются файлы с нечитаемым названиями, либо файлы названия которых состоят из цифр допустим «004284.exe» «73294.exe».

2. Снимаем галочки с данных видов программ, жмем кнопку «Применить», далее «Ок».

Следующее действие это редактирование реестра. Почему и зачем нам это нужно сделать. При настройке автозагрузки, через конфигурацию системы, не всегда с автозагрузки убирается то что нам не нужно.

1. Открываем меню «Пуск», ищем строку поиска либо вкладка «Выполнить», вводим команду «regedit».Открывается окно редактора реестра.

2. Первым делом проверяемm ветку:

Ищем в списке запись «Shell» (XP) В Windows7 данного раздела нет. Смотрим: значение параметра, по умолчанию должно быть «Explorer.exe», если есть еще что то удаляем.

3. Далее смотрим запись: «Usernit» (Присутствует в любой версии Windows). В значении данной записи должно быть «C:Windowssystem32userinit.exe», либо другая буква системного раздела, если у вас Windows не установлена на диск C. Все что есть кроме этой записи – удаляем.

Следующим этапом будет редактирование автозагрузки раздела «Run».

1. Открываем ветку:

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun (данный раздел применителен к Windows 7)

В принципе в это ветке можно все удалить, кроме антивирусного программного обеспечения и так же необходимого для вашей работы софта (skype, утилиты для принтера, сканера).

2. Смотрим вторую ветку:

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun Тут делаем то же самое что и в первом варианте.

Обычно этими действиями мы очищаем автозагрузку. Далее следует проверить фалй «hosts». Для этого открываем «Мой компьютер» и ищем:

1. C:WindowsSystem32driversetc В этом разделе находится файл hosts. Скачиваем стандартный и заменяем файлом в этот раздел.

2. Перегружаемся, в принципе на этом этап чистки реестра в ручную завершен.

В реестре хранятся вирусы — чистим его!

Доброго времени суток, друзья. Я вот много пишу о борьбе с разными вредоносными программами, которые блокируют запуск системы, замедляют работу компьютера, отображают рекламу в браузерах. Но удаление зараженных файлов и процессов – это лишь вершина айсберга. Необходимо выполнять более глубокое сканирование. Хотите узнать, как проверить реестр на вирусы? Данная статья полностью посвящена этой теме.

Что такое реестр?

Это своего рода база данных, которая содержит массив атрибутов и значений, отвечающих за конфигурацию Windows и установленных приложений. Также, там храниться информация об учётных записях пользователей.

Когда Вы деинсталлируете софт, то в реестре остаются следы. В статье про оптимизацию работы ПК я писиал об этом. К примеру, после удаления графического редактора Photoshop я обнаружил немного «мусора»:

А после использования утилиты для поиска рекламных вирусов Anti-Malware (от Malwarebytes) было найдено множество ключей, которые пришлось почистить вручную:

Представьте, сколько подобного «хлама» может собраться за месяц, год. И всё это замедляет систему, потребляя ресурсы ПК.

Хорошо, что есть доступ к утилите «regedit», где можно самостоятельно отыскать неиспользуемые записи и удалить их. Это также очень эффективный способ для выявления вирусов (точнее последствий их активности).

Вообще-то, реестр не может содержать трояны и прочие вредоносные скрипты, но в нём могут храниться измененные записи, влияющие на работоспособность системы. Вирусы могут влиять на автозагрузку, выполнение процессов и т.д. С этим нужно бороться, согласны?

С чего начать?

К реестру мы обязательно вернемся. Сначала я вкратце напомню, что следует делать при обнаружении «заразы». О симптомах и проявлениях читайте в этой статье.

Полное сканирование системы

Для этой цели подойдет разный защитный софт. Наилучшим образом себя проявляет KIS (Internet Security от Kaspersky Lab). Это комплексный инструмент, который я не хочу сейчас расхваливать. Его преимущества всем и так давно известны.

Если нет желания платить деньги за качественную проверку, то в качестве альтернативы советую скачать свеженькую версию Cure It! от Доктор Веб.

После запуска обязательно выберите все объекты сканирования:

Конечно же, данный способ не даёт 100%-ой гарантии успеха, но большинство угроз будут удалены. Останется только обезвредить их и перезапустить компьютер.

Автоматический поиск в реестре

Если после вышеупомянутых шагов (сканирования с помощью антивируса nod32 или любого другого подобного софта) поведение ПК всё еще остается загадочным, то следует выполнить очистку конфигурационной базы данных.

С этой задачей могут справиться разные приложения. Но если Вы не хотите устанавливать «прожорливые» комплексные утилиты, то достаточно будет скачать и запустить программу CCleaner.

Уже более пяти лет я использую именно это ПО из-за его простоты и удобства. Иногда тестирую другие продукты аналогичного типа, но в итоге возвращаюсь к данному оптимизатору.

  • После открытия следует перейти во вкладку «Реестр» (слева), затем кликнуть по кнопке «Поиск…»:
Читать еще:  Где найти корзину в windows 8

  • Отобразится список ошибок. У меня он оказался небольшим, так как проверку выполняю почти ежедневно. У Вас может быть несколько сотен пунктов, если ни разу не выполняли чистку.

  • После нажатия на «Исправить…» появится окно с предложением создать резервную копию перед очисткой. Соглашаемся и указываем путь сохранения:

  • Будет создан файл с расширением «reg», который, в случае возникновения ошибок после чистки, поможет восстановить удачную конфигурацию.
  • Теперь выбираем пункт «Исправить отмеченные» в открывшемся окне:

Вот и всё. Реестр почищен. Ошибки устранены.

Ручная проверка

Даже самый лучший Касперский антивирус не способен устранять все последствия «жизнедеятельности» вирусов. Придётся немножко поработать руками и головой. Впереди – увлекательное путешествие в мир редактора реестра.

Эта программа запускается очень просто. Достаточно набрать в консоли «Выполнить» (Win + R) следующую команду:

Если в чем-то сомневаетесь, обязательно задавайте вопросы мне или ищите ответы через поисковые системы.

Я покажу пример проблемы, с которой пришлось столкнуться не так давно. Мне удалось устранить вирус, который запускался из папки Windows AppPatch с помощью файла «hsgpxjt.exe». Решить проблему помог Dr. Web, но после очередного запуска ПК на экране отобразилось окно ошибки.

Всё указывало на то, что в реестре (разделе автозагрузки) остались следы этого скрипта. Откровенно говоря, CCleaner не помог (увы, он тоже не всесилен). Что я сделал?

  • Удалил ключи в разделах «Load» и «Run»:

  • Перезагрузил ОС и сообщение исчезло!

Возможно, Вам придется потратить больше времени, если вирус оставил множество следов. Но так будет надежнее.

Кстати, многие «умники» предлагают сервисы, которые способны проверять реестр на вирусы в режиме «онлайн». Отвечу, что это невозможно. Не верите? Можете прочесть мою статью об утилитах для сканирования ПК через интернет. Там много интересного и полезного.

На этом извольте откланяться. Все вопросы и пожелания можете писать в комментариях. Я не обещаю поддержку 24/7, но обязательно отвечу всем оперативно и, по существу.

IT-WeB-LOG.ru

Удаляем вирус блокирующий компьютер

И снова о вирусах блокирующих компьютер и требующих отправить смс или положить деньги на счет. Принцип действия большинства из них одинаковый: Вирус копирует свой файл в одну из временных директорий и прописывается в реестре для запуска совместно с операционной системой. Т.е. если мы найдем запись вируса в реестре компьютера, то соответственно сможем отменить его запуск и в последствии удалить файл вируса с компьютера.

И так, если вам не помог первый и второй способы указанные в статье Вирус блокирует компьютер, и под рукой не оказалось LiveCD можно попробовать закрыть вирус при помощи диспетчера задач (на двух разных вирусов это действовало). И так, постоянно жмем комбинацию клавиш Ctrl + Shift + Esc если будет видно как мелькает диспетчер задач, то нам надо мышкой нажать кнопку “Снять задачу” (по опыту знаю, с первого раза получается редко)

Диспетчер задач, снять задачу

Если это получилось, то можно считать что компьютер вы уже почти разблокировали. Осталось немного, нужно выбрать пункт меню “Файл” далее “Новая задача” в появившемся окне набрать команду regedit и нажать ОК. Запуститься редактор реестра в котором с левой стороны нужно открыть папки по следующему пути HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon и после этого с права проверить параметры Shell и Userinit которые должны быть равны explorer.exe и C:WINDOWSsystem32userinit.exe, соответственно.

Редактор реестра — удаление вируса

Если машина заражена вирусом то в одном из этих параметров будет прописан путь к исполняющему файлу вируса, который лучше выписать на бумажку что бы в последствии найти и удалить вирус.

Для восстановление работоспособности компьютера удалите из параметров лишний текст с путем запуска вируса. После перезагрузке компьютер должен работать так же как и раньше.

Если же у вас не получилось закрыть вирус при помощи диспетчера задач, то тогда уже нужна помощь специалиста или LiveCD с утилитой для редактирования реестра. Но смысл действий по удалению вируса блокирующего систему остается тем же.

ЗЫ Если кто-то может поделиться ссылкой на LiveCD не содержащий пиратских программ, буду признателен.

добавлено 09/01/2011

Еще можно проверить параметры реестра Run, RunOnce, RunOnceEx. Для этого в редакторе реестра выбираем пункт меню “Правка” / “Найти” и задаем следующие параметры поиска

Удаляем вирус: поиск в реестре

Необходимо оставить только галочки “Искать строку целиком” и “Имена разделов“. После чего нажимаем кнопку “Найти далее“. После поиска с правой стороны будут отражены параметры авто запуска, т.е. те программы которые запускаются в момент старта системы. Если вы не знаете какой либо из них – удаляйте, хуже наверное уже не будет. Искать каждый параметр следует до выхода сообщения о том, что поиск завершен, а начинать поиск необходимо установив курсор на пункте “Мой компьютер“.

Читать еще:  Как найти баннер в компьютере

Если диспетчер задач заблокирован вирусом, то можно попробовать запуститься в безопасном режиме, те вирусы которые прописаны в параметрах Run, RunOnce и RunOnceEx в этом режиме не запускаются.

Читайте так же:

Вы можете подписаться на новые комментарии к этой записи по RSS 2.0 Feed. Вы можете оставить комментарий или trackback со своего сайта.

Где прячутся вирусы и как пользоваться командой msconfig в Windows

При заражении компьютера вирусы поступают таким образом, чтобы при загрузке операционной системы они тоже загружались, либо загружалась их необходимая часть. Для этого они вносят изменения в реестр Windows.

В зависимости от «продвинутости» создателя вируса, это может быть реализовано по-разному. Рассмотрим самые распространенные случаи:

1. В автозагрузке операционной системы

Проверить это можно с помощью команды msconfig, запущенной через меню Пуск — Выполнить

В столбце «Команда» не должно быть подозрительных элементов, например C:Program Filesnovirus.exe

Команда msconfig позволяет только отображать и отключать ненужные программы из автозагрузки, для полного удаления следов необходимо почистить соответствующие ветки реестра (посмотреть в столбце «Расположение»).

Как альтернативe команде msconfig можно использовать программу XPTweaker (скачайте с официального сайта).

В разделе «Система» перейти на закладку «Загрузка системы», прокрутить скроллом немного вниз до заголовка «Автозагрузка». Также просмотреть внимательно список загружаемых вместе с операционной системой приложений и при необходимости удалить ненужные. Программа удаляет информацию сразу и в реестре Windows.

Внимание! Для того, чтобы случайно не удалить важный системный процесс Windows — уточните предварительно у компьютерных гуру или найдите ответ через поисковую систему Яндекс или Гугл о неизвестных вам загружаемых приложений, например RTHDCPL.EXE

Данный способ загрузки вируса — самый элементарный. Он легко обнаруживается, и вирус удаляется. Так действовали вирусы 5−10-летней давности.

2. Вместо проводника

Это очень распространенный случай при заражении вирусами, особо часто он был замечен при установке пopнo-баннеров на операционную систему. Вирус в этом случае грузится вместо проводника Windows, заменив запись в реестре:

В ветке HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogon

Параметр Shell (reg_sz) вместо значения «explorer.exe» заменяется вирусом на свой, например C:WINDOWSsystem32h6d8dn.exe или подобную хрень.

В ветке HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogon

Параметр Shell (reg_sz) вместо значения «explorer.exe» заменяется вирусом на свой, например C:WINDOWSsystem32h6d8dn.exe или подобную хрень.

Исправить это с наименьшими потерями можно, загрузившись с загрузочного CD-ROM или USB, проверить систему с помощью утилиты от Доктора Веба — launcher.exe. Но только в том случае, если в базе вирусов Доктора Веба есть информация об этом вирусе.

Более действенный и быстрый способ — загрузившись с загрузочного диска запустить программу редактирования реестра с возможностью подключения к удаленному реестру. Для этого идеально подходит сборка ERD.

Нужно посмотреть запись в реестре по адресу HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogon, исправить «хрень» у записи параметра Shell (reg_sz) на «explorer.exe» и запомнить путь нахождения и имя файла вируса, чтобы удалить его вручную.

3. Вместе с userinit.exe или uihost.exe

В этом случае рабочий стол может отображаться и компьютер может вроде бы нормально работать, но могут быть заблокированы некоторые функции браузера по умолчанию или всех браузеров, невозможность отрыть сайты антивирусных программ и др.

Userinit.exe — программа, которая открывает Рабочий стол и активирует сетевые функции после запуска Windows. Находится он по адресу C:WINDOWSsystem32userinit.exe. Размер оригинального файла составляет 26,0 КБ (26 624 байт), на диске: 28,0 КБ (28 672 байт).

Некоторые вирусы могут изменить запись в реестре у трех параметров (у всех или только некоторых) Userinit, UIHost и Shell, расположенных по адресу:

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon

Оригинальные параметры записи в реестре должны быть следующими:

Вирус может прописать себя например так:

В данном примере файл gertinw.exe — это 100% вирус! Обязательно запомнить путь к файлу вируса и удалить его!

После удаления нужно заменить файлы userinit.exe, logonui.exe (находятся в C:WINDOWSsystem32) и explorer.exe (находится в C:WINDOWS) на аналогичные файлы из дистрибутива виндовса (найдете поиском), т.к. остатки червя могут находиться в файлах ключей.

Где находятся вирусы

После нужно проверить файл hosts (открыть любым тестовым редактором) на наличие запретов на известные сайты антивирусных программ: C:windowssystem32driversetchosts. Удалить все после строки 127.0.0.1 localhost

Также запрет на загрузку сайтов может быть прописан в реестре по следующим адресам:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParametersPersistentRoutes

HKEY_LOCAL_MACHINESYSTEMControlSet <номера 001 или 002>ServicesTcpipParameters PersistentRoutes

Удалить их содержимое полностью кроме строки «По умолчанию» с неприсвоенным значением.

Автор текста: Сергей «Остров»

Если вы нашли ошибку, пожалуйста, выделите фрагмент текста и нажмите Ctrl+Enter.

Ссылка на основную публикацию
Adblock
detector