Намедни заочно познакомился с новым вирусом (где Вы их находите, ей богу?), который просит перевести примерно 25 долларов на определённый кошелёк в Webmoney в счёт погашения штрафа за просмотр, копирование и тиражирование видео взрослого характера.

Под “заочно” я подразумеваю, что сам я вирус не удалял, поэтому могу ошибаться. Скриншот прислали по ммс, и, судя по всему, вирус грузится до загрузки Windows.

Кроме удаления вируса, мы сегодня попутно научимся восстанавливать загрузочный сектор Windows XP и 7.

В первую очередь нам нужно узнать,  когда загружается вирус. Определить это довольно просто – нужно проверить реакцию ПК на стандартные комбинации клавиш:

• Windows+L – смена пользователя
• Ctrl+Alt+Del или Ctrl+Shift+Esc – диспетчер задач

Если по нажатию Ctrl+Alt+Del происходит перезагрузка ПК или вообще ничего не происходит, то можно сказать, что вирус грузится до запуска системы и находится в MBR секторе (загрузочный сектор Windows). Есть два варианта решения данной проблемы:

Восстанавливаем загрузочный сектор Windows.

Кстати, аналогичным способом восстанавливают повреждённый загрузчик Windows в том случае, когда на экране Вы видите такое сообщение: disk read error occurred press ctrl+alt+del to restart или NTLDR is missing.

Нам понадобится диск с Windows, желательно той (или такой же), которая уже установлена на ПК. В Bios выставляем загрузку с диска и дожидаемся запуска установки Windows. Дальнейшие действия зависят от системы:

При Windows XP.

При появлении надписи «Вас приветствует мастер установки» (текстовая часть загрузки) нажимаем кнопку R (или F10), чтобы запустить консоль восстановления. Появится консольная строка, если есть пароль администратора – вводим его, затем вводим команды:

• CD \
• fixboot c: (если система на диске C)
• exit (будет перезагрузка)

Опять загружается в консоль, и вводим эти команды:

• cd \
• fixmbr c:
• fixmbr

Вынимаем диск и пробуем загрузить как обычно. Если система загрузились удачно, начинаем устанавливать все типы антивирусов и искать вредоносный файл, так как, после перезагрузки вирус может снова появится. Не перезагружаем компьютер,  пока его не находим.

Если антивирусы не находят, пробуйте поиск файлов Windows (F3) по дате (предположительного заражения), включая скрытые и системные файлы с маской *.EXE  или *.BAT. Пока точно где он не могу сказать, так как не сталкивался.
Если загружается опять вирус – проделываем оба предыдущих шага, плюс вводим ещё эти команды:

• cd \
• bootcfg /rebuild
• exit

При Windows 7.

Вставляем диск и загружаемся с него.
При загрузке с диска выбираем “Восстановление системы” (“Repair your computer”). Далее выбираем нашу систему (Windows 7 на диске C:). В окне “Параметры восстановления системы” выбираем “Командная строка” (“Command Prompt”). В консоле пишем:

• bcdedit /export C:\BCD_Backup
• c:
• cd boot
• attrib bcd -s -h -r
• ren c:\boot\bcd bcd.old
• bootrec /RebuildBcd

Это перестроит и восстановит  загрузочную область Windows 7. Перезагружаемся без диска. Поиск вируса аналогичен варианту с Windows XP.

Если вирус блокирует любые действия в Windows

Если вирус грузится в самой системе, и Вы не можете ничего сделать кроме перезагрузки ПК, то можно попробовать такой способ разблокировки:

• Зажимаем Ctrl+Shift+Esc (Ctrl+Alt+Del) до момента, пока не начнёт мерцать диспетчер задач.
• Не отпуская клавиш, ищем процесс вируса и кликаем  ”Cнять задачу”.
• Далее нажмите “новая задача” и введите “regedit” (редактор реестра)
• Переходим в раздел HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon
• Проверяем два параметра “Shell” и “Userinit”.
• Значением параметра Shell должно быть “Explorer.exe” .
• Значение Userinit – ”C:\WINDOWS\system32\userinit.exe,” (в конце запятая обязательно).
• Перезагружаем ПК.
• Обязательно проверьте компьютер на вирусы установленным антивирусом или утилитой.
• В случае неудачи – проделайте этот способ в безопасном режиме.

Для сканирования подойдут бесплатные утилиты:

• Kaspersky Removal Tool
• DrWeb CureIt

Второй способ описан в тексте статьи “Вирус – заставка просит отправить СМС“. Если ничего не помогает, пишем в комментарии и пробуем разобраться вместе.

Современные антивирусы уже научились блокировать autorun.inf, который запускает вирус при открытии флешки.
По сети и от флешки к флешке довольно давно разгуливает новый тип вирусов одного семейства, попросту – очередные трояны. Заражение ими можно сразу обнаружить невооруженным взглядом без всяких антивирусов, главный признак – это все папки на флешке превратились в ярлыки.

Если на флешке очень важные файлы, первым делом Вы броситесь открывать все папки (ярлыки) по очереди, чтобы удостовериться в наличии файлов – вот это делать, совсем не стоит!

Проблема в том, что в этих ярлыках записано по две команды, первая – запуск и установка вируса в ПК, вторая – открытие Вашей драгоценной папки.

Чистить флешку от таких вирусов будем пошагово.

Шаг 1. Отобразить скрытые файлы и папки.

Если у Вас Windows XP, то проходим путь: “Пуск-Мой компьютер-Меню Сервис-Свойства папки-Вкладка вид”:

На вкладке “Вид” отыскиваем два параметра и выполняем:

1. Скрывать защищенные системные файлы (рекомендуется) – снимаем галочку
2. Показывать скрытые файлы и папки – устанавливаем переключатель.

Как проверить является ли Ваш ПК переносчиком вируса?

Если у Вас есть подозрение, что именно Ваш ПК разносит этот вирус по флешкам, можно просмотреть список процессов в диспетчере задач. Для этого нажмите CTRL+ALT+DEL и поищите процесс с названием похожим на FS..USB…, где точки – какие либо буквы или цифры.

Источник данного процесса не удаляется ни AviraAntivir, ни DrWeb CureIT, ни Касперским Removal Tool. Я лично удалил его F-Secure пробной версией, а прячется он в виде драйвера и отыскать его можно с помощью утилиты Autoruns.

Если Вы удаляете вирус с флешки, а  папки становятся ярлыками снова?

Скажу сразу, у меня такой ситуации не было. Как лечить точно – я не знаю. Выходов из ситуации я вижу три:

• сносим Windows (1,5-2 часа, самый быстрый способ)
• устанавливаем F-Security, Kaspersky, Dr.Web (пробные версии) по очереди и штудируем компьютер “полными проверками” пока не найдём вирус (часа 3-4 обычно, зависит от мощности ПК и количества файлов)
• записываем DrWeb LiveCD на диск или флешку, загружаемся с него и штудируем компьютер.

“Могу добавить что есть и такие вирусы как Sality (Sector XX – где ХХ цифры вроде 05, 15, 11, 12 это модификации, кто их создаёт непонятно) портит исполняемые exe файлы… с такими вирусам изобрёл свой способ борьбы с использованием всё того же Dr.Web CureIt! имея на руках WinXPE система записанная на 700 метровую CD-R… подгрузка системы с диска и использование не памяти жесткого, а оперативной.

Работает отлично.  Диск вставил загрузку с диска включил, сунул флешку с предварительно записаным “СВЕЖИМ” CureIt!… и вуаля.. прогнал весь жёсткий на наличие гадости. что самое интересное во время данного процесса как и с Life CD от Веба вирусы “спят” т.е. система не загружена, да и как то удобней с оперативной Оболочкой где подгружены практически всё что нужно для ремонта начиная с драйверов и заканчивая глубокими тестами HDD (для тех кто не понял) и не важно какая у вас операционка стоит хоть ЛИНУКС данный способ использую уже в течении 5-ти лет. и удачно… может и поможет советец..))”

Если Вы не знакомы с этим антивирусом, а также плохо знаете английский лучше прочесть эту статью полностью.

О продукте F-Secure Internet Security 2011

Как я писал ранее, F-Secure сравнительно молодой программный продукт, но он уже успел себя зарекомендовать себя как отличный антивирус. Родом он из Финляндии.

Он довольно нетребовательный к ресурсам компьютера, быстрый и удобный. Такие впечатления были у меня о нем, когда я его установил впервые. Кроме того F-Secure IS 2011 получил награду “Лучший продукт года 2010″ и наивысший бал в категории юзабилити.

Особенно нравится лицензия на него, выполненная в виде подписки, то есть, оплачивать Вы её можете помесячно – около 45 гривен (4 евро с мелочью), что явно проще, чем заплатить сразу за год.

Минусы у него конечно, есть, но не критичные.

Посмотреть результаты независимого международного тестирования F-Secure можно тут:

Q2/2010 fsecure internet security 2010-2011 Результаты тестов

Q3/2010 fsecure internet security 2010-2011 Результаты тестов

Результаты по шестибальной шкале за второй и третий квартал 2010 года. Тесты 2011 года опубликуют в апреле, будем ждать.

Как получить ключ на F-Secure 2011?

Наконец расскажу, как получить ключ на антивирус быстро, бесплатно и официально. Всё очень просто – присоединяйтесь к бета-тестированию F-Secure. Для этого Вам потребуется перейти по этой ссылке: Бета-тестирование F-secure 2011.

Вам нужно заполнить простую форму и зарегистрироваться. После этого Вам на Email придет письмо для проверки почтового ящика – необходимо перейти по ссылке для подтверждения.

Через несколько минут после подтверждения email Вам пришлют Ваш персональный ключ на F-Secure Internet Security 2011 сроком в 180 дней:

Переходим по ссылке в письме и загружаем онлайн инсталлятор. С помощью него устанавливаем антивирус.

Ключ дается на три Ваших компьютера.

Установка Beta версии F-secure 2011

Если Вы уже устанавливали этот антивирус по моему совету в октябре, то установка будет для Вас немного странной, но пугаться не стоит.

Во-первых, бета версия будет на английском, и перевести на русский Вы её не сможете. Это не проблема, так как, обычно его не нужно настраивать. После запуска инсталлятора Вам предложат удалить несовместимые программы – антивирусы, фаерволы и прочие защитные инструменты.

Второе нововведение – это всплывающий сайдбар для управления продуктами F-Secure. Он простой в освоении.

Установленный продукт ничем не отличается от коммерческого аналога, но не стоит забывать, что это бета версия, поэтому могут появляться некоторые глюки или ошибки (у меня лично не было).

После установки и перезагрузки получаем F-Secure Internet Security 2011 с ключиком на полгода:

Необязательно, но желательно оповещать производителя о каких-либо проблемах с антивирусом. Для этого у Вас будет специальная утилита возле часов, которая позволяет сразу обращаться  за помощью:

Если проблема возникла, запустите Run Support tool и программа соберет сведения о проблеме, сохранит их в архиве на рабочем столе. После этого нужно перейти на Technology Preview Forum и сообщить о ней, заодно загрузив этот архив на форум.

Это делать не обязательно, но можно – хоть как-то за ключ отблагодарим!

Я не знаю сколько будет работать бета программа от F-Secure, поэтому поспешите  и удачи в борьбе с вирусами!

Сам продукт я помню ещё с университетской скамьи, тогда он мне не очень  нравился, так как юзабилити у него было как у бревна, о нём ходили неимоверные слухи  - о дырах, о невозможности нормально удалить с компьютера и т.д. Честно говоря, я отношусь к нему довольно скептически и поставил его только в целях эксперимента.  Этот пост не является рекламой нового продукта, я лишь делюсь своим впечатлением о нём. Начну с хорошего.

Что мне понравилось в McAfee?

Подписка.

Одним из интересных и двояких аспектов антивируса является популярная в наше время установка из интернет. То есть, Вы скачиваете небольшой  инсталлятор, который и устанавливает саму программу, как, например, при установке Chrome или Skype. Почему двоякий? Загрузка из интернет подразумевает собой то, что у Вас есть интернет и есть подписка.

Да да, именно подписка, так как, без неё Вы ничего не установите, подписка – это своего рода ключ-регистрация у них на сайте. Для установки продукта у Вас должен быть логин(Ваш Email) и пароль для доступа к серверу. Это довольно удобно, ввел почту и пароль  - и лицензия автоматически установилась.

Как видно на скриншоте выше – у меня есть лицензия до июня 2011 года, довольно немалый срок.

Интерфейс и возможности.

Интерфейс довольно понятный, полностью руссифицирован. Особенно понравился пункт Брандмауэра, в его настройке не разберется только тот, кто не умеет читать. Остальные пункты также понятны и очень хорошо расписаны, что они делают и когда они это делают.

Загружается Мак также довольно шустро, по крайней мере мне так показалось. Не показывает никаких окон при загрузке системы и дает доступ к ПК где-то через 20-60 секунд с “холодного” старта, что быстрее чем Avira и F-Secure. В то же время Касперский у меня загружался после торрента, что странно. За это можно смело плюсовать.

Отлов вирусов на лету

Тут особо сказать нечего, так как, новых вирусов “на руках” у меня нет. Старые он определил хорошо, но сходу удалил, надеюсь он не поступит также с Winlogon или Explorer при заражении

Что мне уже не нравится в McAfee?

Autorun.inf

Во-первых, это отсутствие реакции на запуск с флешки посредством Autorun.inf. Файл с запуском я писал сам, запускал автоматом установку плеера Аимп, блокировки этого не произошло и быстрой проверки флешки также не было.

Может быть у него очень крутой эвристический анализатор, кто знает.

Shredder и очистка ПК

Если честно, я пока боюсь использовать это свойство – очень уж оно простое. Пункт Дефрагментация совсем бесполезный, а  Quick Clean вроде бы полезен, но как то не ясно какой браузер он будет чистить, соответственно, сомневаюсь по поводу остального содержимого.

Лучше для этих целей использовать старый добрый Ccleaner.

Загрузка памяти

Смотрим на скриншот ниже и видим, что антивирус использует добрые 90-110 мегабайт оперативной памяти в состоянии простоя (без запущенных проверок). Возможно при выключенном браузере он будет использовать немного меньше, но показатель довольно высокий.

При проверке дисков включается ещё один процесс, который занимает от 8 до 20 мегабайт оперативной памяти ещё. В итоге при полном полёте антивирус заберет у Вас добрых 120-130 Мб оперативной памяти, не взирая на мощность современных ПК я все равно считаю, что это много для подобного продукта.

Похвалил, поругал, теперь можно переходить к получению бесплатной лицензии McAfee сроком 6 месяцев.

Промо Лицензия на McAfee 2011

Нужно выполнить пару простых шагов. Одно условие – у Вас должен быть аккаунт Facebook (и Вы добавите ссылку на меня к себе на стену).

1. Шаг первый. Заходим в свой аккаунт Facebook.

2. Переходим по этой ссылке – Промо лицензия на McAfee (подписка 6 месяцев). Находим кнопку Get Yours Now, выбираем страну и кликаем по кнопке. Откроется окно ввода логина(ваш email) и пароля, который Вам  отправили на почту.

3. Вы попадете на вебсайт производителя и сможете скачать свой дистрибутив для установки антивируса.

Вот вобщем и всё. Выбор как всегда остается за Вами, а я постараюсь чуть позже описать поведение антивируса и его работу, так как, он у меня всего неделю.

Удачи Вам в борьбе с вирусами!

Компания Avira сменила дизайн своего сайта и, судя по всему, сворачивает свою промо-акцию.  Многие ссылки для получения ключей уже не работают, а защита требуется. 

Нашел одну из работающих ссылок для получения промо ключа от Авиры, при этом интерфейс на русском, поэтому, думаю проблем не возникнет, ключ дается на три месяца.

Приятного пользования:

Промо ключ Авиры за декабрь 2010 года: Avira Promo