Еще раз о порнобаннерах (разумные советы)

[graf_mur]

"В теории, лечение выглядит простым: определяем процесс, отвечающий за показ баннера; ищем файл, который его запускает; останавливаем процесс, удаляем инфицированный файл и убираем ссылки на него в реестре. Только вирус обычно блокирует запуск диспетчера задач и маскирует название процесса.

На помощь приходит программа Process Explorer, написанная Марком Русиновичем.



Она относится к классу программ, расширяющих возможности диспетчера задач. Process Explorer выделяется уникальным режимом визуального определения запущенного процесса. Выглядит это так: пользователь нажимает кнопку с изображением мишени, наводит курсор на порнобаннер и получает название процесса. Тут же можно найти файл, запускающий вредоносный процесс. Далее нужно загрузиться в безопасном режиме и почистить систему вручную."
(источник)

От себя добавлю, что такой способ не всегда и не везде прокатывает. Сам сталкивался недавно со случаем, когда порнобаннер блокирует все процессы - невозможно загрузится в безопасном режиме, не работают "три кнопки", не открывается меню ПУСК - полное ощущение, что на экран натянули скриншот Рабочего стола. Наиболее доступные способы для устранения "зверушки":

1. Зайти с другого компа на сайт к Dr.Web, ESET или Касперскому и там найти разблокирующий код

2. Позвонить по бесплатным номерам 8-800-100-73-37 или 8-800-555-01-02

3. Заранее запастись загрузочным диском с каким-нибудь WinLive (я обычно использую либо Alkid Live CD либо RusLive RAM). В случае подобной проблемы достаточно загрузится с этого диска, а потом программой AutoRuns или чем-то подобным вычистить из автозагрузки системы всё лишнее и подозрительное.

4. Если порнобаннер оставил возможность сделать откат системы - сделайте его, а потом тщательно пройдитесь антивирем по винчестеру и посмотрите придирчивым взглядом, что за программы прописались у вас в автозагрузке (используйте для этого утилиты Autoruns, Process Explorer, Anvir Task Manager и т.п.).
Чтобы откат работал, проверьте включено ли у вас в системе Восстановление (Панель Управления - Система - дальше см. по закладкам). Частенько на самопальных сборках WinXP эта функция изначально отключена, т.ч. если Windows устанавливался с диска "от Zver'я, Сэма, Loner'а и т.п." не поленитесь обратить внимание на этот пункт. 

5. Попробовать откатить назад время на пару деньков, недель (в системе, в БИОСе) и перезагрузить компьютер. Сам не пробовал, но у знакомых иногда получалось. Для порнобаннера с таймером такой вариант вполне возможен.После этого, естественно, самым тщательным образом пройтись по винчестеру и записям автозагрузки "частым бреднем".

---------------------------------
Не поленитесь и установите себе заранее программу Anvir Task Manager - она контролирует попытки любой программы прописать себя в автозагрузку. Установили? Тогда сразу посмотрите, что там у вас уже висит в автозагрузки. Может порнобаннер уже там, только ждет своего часа, да и вообще, много всякого мусора пытается загрузить себя вместе со стартом системы: всяческие Download Master'a, MailAgent'ы, ускорители загрузки AdobeReader, MS Office, обновлялки того же Adobe... Оно вам надо?

UPD: Нашли файл, удалили, порнобаннер больше не беспокоит? А реестр почистить после всего проделанного? RegCleaner, Wise RegistryCleaner, Reg Organizer, комплексные утилиты, такие как AusLogics BoostSpeed или TuneUp Utilities, весьма поспособствуют поддержанию системы в работоспособном состоянии... 

Comments

[magistral77.livejournal.com]

Путные люди сразу несколько ОС на винте юзают (на разных разделах), да LiveFlash на флэшках имеют. Ну уж антивирус с макс. настройками и ежечасным обновлением - это by default!
Хороший пост.

[graf-mur.livejournal.com]

1. Не всем нужно несколько ОС
2. Антивирусы не реагируют на порнобаннеры, т.к. порнобаннер - это не вирус по определению.

[magistral77.livejournal.com]

1.Всем. Не все об этом знают.
2.То, что ты описал, не "пронобаннер", а типичнейшее "riskware", опасней многих "типовых" вирусов, раз уж так наглухо блокирует ОС, что рабстол производит впечатление скриншота. И само собой, антивирусы ОБЯЗАНЫ на эту хрень реагировать. Чтобы перевести спор в предметную плоскость, предлагаю назвать источник "порнобаннера" или как называются создаваемые им файлы, или прочие "особые приметы".

[graf-mur.livejournal.com]

1. Мне не надо и еще несколько десятков человек знаю. Значит уже не всем.
2. Почитай сначала о порнобаннерах, и не пиши эту ахинею. Такой эффект можно получить из любого exe-шника при правильной обработке.

>>>Чтобы перевести спор в предметную плоскость
Ага, давай ты немножко почитаешь, что представлять предмет о котором хочешь поговорить, а потом будем дискутировать.

[megadrive9.livejournal.com]

Хорошая статейка, я в основе у друзей кодами лечу) Про автозагрузку правильно, у многих там столько хлама, а потом думают почему так комп долго стартует))) Виндовс предпочитаю оригинальный, всякие сборки не переношу, кста многие говорят, что вот в таких вот сборках изначально могут вири сидеть. Что касаемо винлока из антивирусников его вроде только комплексный KIS 2010 может поймать, я у себя контроль программ с помощью инструкции с оф сайта отстроил как надо, дак не разу не было этого баннера, да и вообще в плане вирусов нет забот)

[graf-mur.livejournal.com]

>>>многие говорят, что вот в таких вот сборках изначально могут вири сидеть

Сборки бывают всякие, нужно смотреть что и как, к тому же, большинство кейгенов и патчей для регистрации софта антивирями рассматриваются как трояны или черви. Отсюда бесконечные крики о наличии вируса в раздачах взломанного софта. Никто же не заставляет тащит всё подряд из интернета, особенно если "дуб как дерево" в таких вопросах.