В постели с вирусом :))

[ispolin]

Общие рекомендации.

Подробнее

* Взять за правило, первоочередной задачей после установки Windows, установку антивирусной программы. Различные антивирусы есть в разделе Безопасность
* Не устанавливайте в системе несколько антивирусов, это
1 - не гарантирует полную защиту
2 - затруднит работу антивирусов и всей системы в целом
* Учитывайте, что нет идеального антивируса. У каждой программы есть свои
1 - минусы\плюсы
2 - противники\защитники
В любом случае выбор программы зависит от Вас, но изучить опыт работы и мнение пользователей можно в Обсуждении антивирусов
* Поддерживать Ваш антивирус в актуальном состоянии, не забывать обновлять версии и антивирусные базы.
* Современные антивирусные программы детектят большинство известных вирусов\троянов\червей.
* Не посещайте подозрительные сайты (к ним относятся порносайты, ресурсы предлагающие различные бесплатные услуги).
* Не скачивайте\не запускайте на вашем компьютере неизвестные вам файлы.
* Не игнорируйте сообщения вашего антивируса о подозрительных\вредоносных объектах.
Некоторые признаки появления вирусов в вашем компьютере:
1 - общая нестабильная работа системы
2 - синие экраны смерти
3 - частое появление ошибок различных приложений
4 - неизвестные работающие процессы
В таких случаях рекомендуется:
1 - провести полную проверку системы (всех локальных дисков) вашей антивирусной программой с самыми свежими антивирусными базами и обновлённой версией самой программы.
2 - провести сканирование альтернативной антивирусной утилитой (Dr.Web CureIt! , AVZ + свежие базы AVZ или AVPTool от Касперского)
Замечено, что запущенная утилита Dr.Web CureIt! конфликтует с установленным антивирусом Касперского, вызывая перезагрузку системы.
В этом случае рекомендуется приостановить работу антивируса, просканировать систему утилитой Dr.Web CureIt!, выполнить удаление обнаруженных вирусов и потом вновь запустить работу основного антивируса. И подумать о смене вашего антивируса….
3 - часто вирусы работают как процессы в системе, маскируясь под системные файлы, располагаясь в папке system32, в этих моментах удаление вирусов затруднительно т.к. система их считает родными и не позволяет их удалять. Тогда стоит загрузиться из безопасного режима (по кнопке F8) и попытаться вновь просканировать и удалить вирусы. Если и этот метод не помогает, можно скачать мультизагрузочный Dr.Web LiveCD , записать его на CD, загрузиться с него, провести удаление.

Теперь рассмотрим методы лечения\удаления на примерах некоторых вирусов.

Злобный троян-вымогатель «Windows заблокирован, пошлите смс на номер….»

- Вирусописатели совершенствуют свои поделки, на данный момент многие функции заражённой ОС отключаются - такие как редактор реестра, диспетчер задач, безопасный режим, восстановление системы, антивирусные программы не работают, интернет также блокируется. Само окно вируса загораживает весь рабочий стол не давая запустить многие утилиты. При попытке запустить что то компьютер уходит в перезагрузку.
Заражённую машину хоть как-то можно запустить с помощью ERD commander-a.
(Сначала попытайтесь проделать все эти действие через regedit загрузившись в безопасном режиме или режиме с поддержкой командной строки. Если вы смогли загрузиться в таком режиме, то первый пункт можете пропустить).

1).Скачайте, запишите на болванку ISO образ содержащийся в архиве, (а не сам архив) . В биосе выставте первым загрузку с CD\DVD Rom. После загрузки ERD commander установите загрузку больной ОС.



2).запустите редактор реестра

(если загрузились в безопаcном режиме, то просто наберите в командной строке regedit и нажмите Enter).

проверьте ветки реестра

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

В этой ветке находятся файлы которые загружаются вместе с запуском ОС. Всё что вам незнакомо
1 - запомните\запишите их пути
2 - войдите в My Computer и поиском найдите все подозрительные файлы, удалите их
3 - очистите значения параметров реестра от этих записей

проверьте параметры реестра

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon]
"Shell" = "Explorer.exe"
"Userinit"="C:\WINDOWS\System32\userinit.exe," 
(C:\ - это буква диска, где у вас установлена система. Она может отличаться от данного примера)
Родная запись выглядит только так. Если вы увидели, что есть дописанные значения типа 
"Userinit"="C:\WINDOWS\System32\userinit.exe, блабла.exe" , то:

1 - запомните\запишите это.
2 - поиском найдите эти лишние файлы, . Желательно, если вы заархивируете их с паролем virus и пришлёте на нашу почту . После этого можете удалить эти файлы.
3 - восстановите значения параметров до родных

4 - Очистите содержимое папок Temp и Tmp.

Также есть мультизагрузочный диск от DrWeb http://www.freedrweb.com/livecd/

сервисы по разблокировке

http://support.kaspersky.ru/viruses/deblocker
http://www.drweb.com/unlocker/index/?lng=ru
http://virusinfo.info/deblocker/
http://esetnod32.ru/support/winlock.php
http://mips.narod.ru/sms.html
http://av.demozone.ru/
http://sms.kaspersky.ru/
http://www.symantec.com/security_res...041607-1924-99

После отключения банера, выполнить правила раздела для удаления следов банера.


Надоедливый порноинформер висящий в Internet Explorer и загораживающий открытые страницы

Лечение

Отключитесь от Интернета
закройте все открытые веб-страницы
Для Internet Explorer версий выше 6.0.2800
сервис - управление настройками
1 - ищем надстройки с именами файлов заканчивающихся на lib.dll (перед lib обычно бывают еще три разные буквы, например: erolib.dll, fkmlib.dll и т.п.), отключаем их.
2 - Заходим в C:\Windows\System32\ и удаляем оттуда эти файлы.
Поскольку у файлов *lib.dll могут быть установлены атрибуты Скрытый, Системный, Только для чтения, поэтому, чтобы найти их и уничтожить:
– откройте Мой компьютер, выберите меню Сервис – Свойства папки… (или нажмите Пуск – Настройка – Панель управления – Свойства папки);
– в открывшемся диалоговом окне Свойства папки откройте вкладку Вид;
– в разделе Дополнительные параметры установите флажок "Отображать содержимое системных папок", снимите флажок "Скрывать защищенные системные файлы", установите переключатель "Показывать скрытые файлы и папки" .
3 - Удаляем все строки из реестра (Пуск - Выполнить - regedit - Правка - Найти - *lib.dll) с упоминанием этих файлов.
4 - Перерегистрируйте (с помощью Сервера регистрации regsvr32.exe) Общую библиотеку оболочки Windows shell32.dll:
– нажмите Пуск – Выполнить – regsvr32 /i shell32.dll
Для продвинутых пользователей - полностью деинсталлировать найденный файл из системы:
regsvr32 -u *lib.dll

Для Internet Explorer версий ниже 6.0.2800
Скачиваете и запускаете утилиту Customize IE, выполняете пункты с 1 по 4 (только вместо отключить тут будет работать кнопка Del)

Ps в моём случае файлы *lib.dll отсутствовали в системе, а были надстройки с другим расширением. Метод лечения в этом случае – отключать по одной неизвестные надстройки и проверять исчезновение порноинформера, затем удалять файлы, относящиеся к искомой надстройке и очищать реестр.

Вопросы по этой гадости можно задавать здесь

Вирус Trojan.Encoder зашифровал ваши файлы

Лечение


Вирус csrcs.exe (висит в процессах и имеет атрибут SYSTEM)

Лечение

Антивирусы его детектят и удаляют, но после удаления при загрузке системы появляется окно о том, что «Windows не удалось найти csrcs.exe »
Лечится рег файлом

Вирус Autorun.exe\inf (может располагаться в корне любого диска, имеет атрибут скрытый)

Лечение

Скачиваете утилиту AntiAutorun, выполняете указания программы.

или с помощью батника, грузимся в безопасном режиме( F8) и запускаем батник
Теперь заходим в каждый Локальный диск компьютера и вручную удаляем все файлы autorun.*. Все, вирус удален, однако нужно еще восстановить измененный реестр.
Для этого нажимаем Пуск - Выполнить - regedit и находим ветку HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon. В строке Userinit прописываем userinit.exe, (обязательно с запятой)
Готово, теперь сам вирус, также как и его последствия устранен и можно продолжать безопасную работу.


Если не помогает качаем Dr.Web CureIt! и запускаем в безопасном режиме

Вопросы по этой гадости можно задавать здесь

Червь Net-Worm.Win32.Kido отключает функцию System Restore, блокирует доступ к сайтам, посвящённым информационной безопасности, и скачивает на заражённые компьютеры дополнительные вредоносные программы.

Лечение

http://support.kaspersky.ru/wks6mp3/error?qid=208636215
http://www.kaspersky.ru/removaltools

Ваш антивирус находит сотни заражённых файлов и ругается даже на те файлы, в которых вы раньше были уверены ? Тогда скорей всего вы заражены файловым вирусом, наиболее популярные названия файловых вирусов: VIRUS.WIN32.Sality, win32.sector, Virus.Win32.Tenga, Virus.Win32.Neshta, Virus.win32.virut

Лечение

Лечение файлового вируса
зы. при заражение Sality рекомендую использовать Live CD от касперского (после лечения др. Вебом очень часто повреждены многие программы).

После лечения Sality рекомендую также воспользоваться:

Sality.Killer для лечения Virus.Win32.Sality только модификаций:
- Virus.Win32.Sality.aa(Win32.Sector.12), Virus.Win32.Sality.ag(Win32.Sector.21), Virus.Win32.Sality.ae(Win32.Sector.19), Virus.Win32.Sality.bh(win32.sector.22).

Как исправить файл Hosts - рецепты от regist :-))

Вариант Hijackthis

Цитата: Запускаем HijackThis. Выбираем пункт справа внизу "Config..." Затем "MiscTools". Далее "Open hosts file manager". Далее "Open in Notepad". Удаляем все строчки, кроме "127.0.0.1 localhost". Если такой записи нет, то добавляем.

Вариант Олега Зайцева

Цитата: Самый простой рецепт - AVZ, выполнить скрипт: begin ClearHostsFile; end. Команда ClearHostsFile найдет Hosts файл, почистит из него все значащие строки (оставив комментарии) и добавит строчку "127.0.0.1 localhost" Я ввел эту фичу в "восстановление системы" - позиция номер 13 "Очистка файла Hosts".

Если очистка файла hosts скриптом не удается, а очистка вручную очень трудоемка, можно поступить следуюшим образом:
- Запустить любой текстовый редактор;
- Открыть в нем новый документ

Если у Вас ОС Windows XP

#(C) Корпорация Майкрософт (Microsoft Corp.), 1993-1999
#
# Это образец файла HOSTS, используемый Microsoft TCP/IP для Windows.
#
# Этот файл содержит сопоставления IP-адресов именам узлов.
# Каждый элемент должен располагаться в отдельной строке. IP-адрес должен
# находиться в первом столбце, за ним должно следовать соответствующее имя.
# IP-адрес и имя узла должны разделяться хотя бы одним пробелом.
#
# Кроме того, в некоторых строках могут быть вставлены комментарии
# (такие, как эта строка), они должны следовать за именем узла и отделяться
# от него символом '#'.
#
# Например:
#
# 102.54.94.97 rhino.acme.com # исходный сервер
# 38.25.63.10 x.acme.com # узел клиента x

127.0.0.1 localhost

Если у Вас ОС Windows XP с IPv6, Vista или Windows 7

#(C) Корпорация Майкрософт (Microsoft Corp.), 1993-1999
#
# Это образец файла HOSTS, используемый Microsoft TCP/IP для Windows.
#
# Этот файл содержит сопоставления IP-адресов именам узлов.
# Каждый элемент должен располагаться в отдельной строке. IP-адрес должен
# находиться в первом столбце, за ним должно следовать соответствующее имя.
# IP-адрес и имя узла должны разделяться хотя бы одним пробелом.
#
# Кроме того, в некоторых строках могут быть вставлены комментарии
# (такие, как эта строка), они должны следовать за именем узла и отделяться
# от него символом '#'.
#
# Например:
#
# 102.54.94.97 rhino.acme.com # исходный сервер
# 38.25.63.10 x.acme.com # узел клиента x

127.0.0.1 localhost
::1 localhost

замаркировать и скопировать в этот документ.
- Сохранить документ как %WINDIR%\system32\drivers\etc\hosts БЕЗ РАСШИРЕНИЯ. Переписывание имеющегося файла подтвердить.

%windir% - директория, куда установлена ОС Windows, стандартно C:\WINDOWS

PS: Любой текст, написанный в этом файле после знака #, не исполняется в процессе работы системы и служит пользователю в чисто информативных целях.

источник: virusinfo.info/showthread.php?t=7660

А теперь о правилах. В этой теме описаны способы борьбы с наиболее актуальными и распространенными вирусами последнего времени. Если есть реальный опыт и желание дополнить данный список лечения конкретных зверей, просьба обращаться в приват к модераторам раздела.

[SergeGenius]

Советую модераторам сделай важной темой! Реально спасает от напасти и быстро. Сам проверил.

Эта вещь работает отлично для восстановления Windows XP, заблокированные Trojan.Winlock разных версий. Некая смесь Erd Commander и антивируса - Потребуется лишь флешка на 1 ГБ - выше не пробовал.

Вот она вещь

USB Flash Boot Wizard 1.2
Программа для создания загрузочных флешек Windows XP (ERD Commander)
Программа позволяет создать флешку для восстановления Windows XP (Live-USB Flash ERD RUS)
ISO образ не требуется. Достаточно рабочей системы. Необходимые файлы для восстановления Windows XP имеются в архиве дистрибутива программы. Также присутствует функция Анти-Баннер.

Инструкция:
Как создать загрузочную флешку? Её может сделать даже ребенок. Создавать загрузочную флешку надо на не зараженном компьютере (попросите друзей, знакомых). Программа стабильно работает пока только в Windows XP, создавайте загрузочную флешку в XP. Отключите антивирус (100% вирусов нет - это может замедлить ход работы программы) Скачиваем архив. Открываем программу - она распаковывается во временную папку - открылась программа - вставляем в USB порт флешку объемом не больше 1 ГБ - и нажимаем кнопку начать - выполняем форматирование флешки, закрываем программу форматирования - идет копирование файлов с Вашей Windows - это может занимать до 20 минут - программа сообщит что работа завершена - закрываем её - флешка готова.

Как загрузиться с флешки? Что бы загрузится с флешки пользуйтесь Boot Menu при включении компьютера (или в настройках BIOS - клавиша Delete при включении компьютера - в секции Boot сделайте первым пункт HDD Generic USB Flash Disk) - нажмите клавишу Esc или F12 (на различных моделях другие варианты - всё зависит от версии и производителя BIOS) и выберите пункт - HDD Generic USB Flash Disk или подобный вариант - компьютер если флешка сделана правильно - загрузится - нажмите кнопку 'Пропустить настройку' - выберите систему которую хотите восстановить (чаще первая в списке) - система загрузится - на рабочем столе откройте файл Anti-Banner - нажмите кнопку 'Yes' - затем нажмите меню Start -потом Log off - Restart. Можно также зайти на диск где установлена ваша Windows - зайти в папку C:\Documents and Settings\'Имя пользователя'\Local Settings\Temporary Internet Files\ и удалить оттуда всё.
Как не странно баннер пропадает!


http://depositfiles.com/ru/files/gbp7qt2fx - ссылка мертва
http://rapidshare.com/files/41622453...izard.zip.html

[ispolin]

Представляю свой вариант аварийного диска.

Год выпуска: 2010
Язык интерфейса: Русский
Платформа: BartPE
Размер: 183 MB (специально подгонялась по мини CD)
Таблэтка: Не требуется
Системные требования: Компьютер с 256Mb доступного RAM и выше

Подробности

Microsoft Windows Preinstallation Environment (WinPE) представляет собой облегчённую («урезанную») версию Windows XP.
Поддерживает основные сетевые интерфейсы влючая WiFi и распространенные SATA/SCSI/RAID. Звуковых и видеодрайверов в этой сборке нет.
В составе сборке необходимые инструменты для удаления\лечения вирусов и их последствий.
Может выходить в сеть.

[B]Состав-

ADSSpy - Альтернативные потоки
AntiAutorun - Выявление и удаление Autorun
Autoruns - Многоцелевой менеджер
BHORemover - Вьювер BHO обьектов
CrucialADS - Поиск альтернативных потоков
Erd Commander 2005
Erunt - Архиватор реестра
FCleaner - Очистка временных папок
HijackThis - Сканер спайваре, троянов
LSPFix - Востановление обработки стека TCP
PasswdRenew - Работа с профилями
QuickKiller - Лечение после вирусов
Razblocker - Разблокировщик функций
RegWorks - Альтернативный редактор реестра
StartupExtractor - Менеджер автозагрузки
Toolbarcop - Просмотр ActiveX и Toolbar
AVZ - Антивирусный сканер

Сборка базируется на родителе отсюда.
Выражаю свою признательность и благодарность за труд VasAlex и его команде.
Собственно я удалил всё лишнее по моему мнению, чуть доработал и обновил.

Для работы Аvz4 требуется не менее 200 мб виртуальной памяти.
Для этого рядом с кнопкой Пуск вы увидите иконку со значком i, кликаете и выставляете на любой локальный диск требуемое значение. Можно работать.

Почти все программы имеют функцию подключения к реестру заражённой машины.

Скриншоты

Инструкция по перепаковке Аvz4

Ручная перепаковка Avz - потребуются два инструмента
UltraISO и GImageX
Устанавливаем UltraISO, открываем в нём образ диска, из папки VAPE\PePrograms\avz4 извлекаем avz4.wim, запускаем GImageX, переходим на вкладку "Применение", указываем источник на файл avz4.wim, в строке получатель указываем папку куда будет разобран файл, применить.



После распаковки переходим в ту папку. Запускаем Avz.exe -файл-обновление баз, произойдёт обновление баз.
Вновь запускаем GImageX, переходим на вкладку "Создать wim", источником будет ваша распакованная папка, получатель любое место, имя файла Avz4, сжатие максимальное (более ничего не нужно писать и изменять), создать.



Новый файл Avz4.wim через UltraISO вставляем в образ на то же место где он и находится (VAPE\PePrograms\avz4), соглашаясь на замену, сохраняем образ.

Извлечь из архива образ Iso и записать любой программой умеющей это делать (Nero)

Раздача ведётся на местном трекере