• Добро пожаловать на компьютерный форум Tehnari.ru. Здесь разбираемся с проблемами ПК и ноутбуков: Windows, драйверы, «железо», сборка и апгрейд, софт и безопасность. Форум работает много лет, сейчас он переехал на новый движок, но старые темы и аккаунты мы постарались сохранить максимально аккуратно.

    Форум не связан с магазинами и сервисами – мы ничего не продаём и не даём «рекламу под видом совета». Отвечают обычные участники и модераторы, которые следят за порядком и качеством подсказок.

    Если вы у нас впервые, загляните на страницу о форуме и правила – там коротко описано, как задать вопрос так, чтобы быстро получить ответ. Чтобы создавать темы и писать сообщения, сначала зарегистрируйтесь, а затем войдите под своим логином.

    Не знаете, с чего начать? Создайте тему с описанием проблемы – подскажем и при необходимости перенесём её в подходящий раздел.
    Задать вопрос Новые сообщения Как правильно спросить
    Если пришли по старой ссылке со старого Tehnari.ru – вы на нужном месте, просто продолжайте обсуждение.

Вопрос про вирусы

Если вы заметили, что на вашем Компьютере вирус шифрует файлы...
( изменяются их расширения )

1) Немедленно выключите Компьютер.
2) Загрузите Комп. в безопасном режиме с поддержкой сети.
( чтобы не дать зашифровать оставшиеся файлы )
3) Если это общая - сеть с общими ресурсами нужно отключить доступ к сети и сами PC.
И проверить все PC сети на предмет заражения.
4) Создать свою _ отдельную тему в разделе Безопасность.
 
5) Если у вас были копии фотографий; документов которые вы по той, или иной причине сами удалили

Можно попробовать восстановить некоторые удалённые фотографии; документы.
Для этого воспользуйтесь программами восстановления данных.

Подробно по восстановлению.
Например у вас файлы были на флэшке/карте памяти...
Вы их скопировали на рабочий стол.
Потом удалили их с карты памяти и рабочего стола...
Перенесли их на другой диск.
Так вот, в ряде случаев можно восстановить часть удалённых вами файлов с карты памяти, или рабочего стола/мои документы и т.д.
Для этого есть специальные программы.
Бесплатные программы:

Recuva: http://soft.oszone.net/program/3479/Recuva/

Disk Digger: http://soft.oszone.net/program/7918/DiskDigger/

Можно самостоятельно подобрать программу: http://soft.oszone.net/subcat/39/?page=1

!!! Важно понимать, что устанавливать программы нужно на другой диск...
На диск на котором НЕ было важных данных.
Так, как все новые данные записываются ( могут записываться ) поверх старых данных, что резко снижает вероятность восстановить утраченные данные.
Лучше всего вообще не работать в системе ( так, как тот же браузер при работе сохраняет данные на диск ) значит идёт запись новых данных поверх старых...нужных вам.

Рекомендуется работать с LIVE CD диска, или же снять Жёсткий диск и подключить его к другому PC ( это в том случае, если ваши данные были на системном диске )
Скорая помощь - она и есть скорая помощь - не трате зря время - работайте.

6) При наличие платной версии антивируса - можно обратиться за тех. поддержкой.
В ряде случаев могут помочь - но особо на это надеяться не стоит.

7) По поводу расшифровки файлов.

Каждый раз новый код.
т.е. для шифрования файлов используется новый код.
Это как ваш логин/пароль к форуму Логин все видят а пароль знаете только вы один...
К примеру кто-то захочет подобрать пароль и сделать сообщение на форуме от вашего имени...
Как вы думаете какие шансы это сделать ?
А вирус использует пароль состоящий из десятков, а то и сотен символов.
Для расшифровки нужен супер компьютер который может потратить на расшифровку от нескольких суток до
двух-трёх месяцев или вообще не подберёт код.
 
Восстановление данных из резервных и теневых копий в Windows 7

http://www.oszone.net/9461/Restore

Восстановление файлов из архива
Восстановление предыдущих версий файлов и папок
Восстановление системы из заранее созданного образа
 
Ответ на вопрос:
Зашифрованные файлы на самом деле удаляются по истечение таймера, или это обычное запугивание?

Если вируса нет в системе - кто удалит файлы ?
Да и кто мешает сделать копии файлов.
И зачем их удалять ? - ведь их расшифровка практически невозможна.
-----
Может удалиться следующее:
1) Ресурс/сайт который распространял вирус; вспомогательный ресурс - по получению денег; почтовый ящик злоумышленника.
Злоумышленник работает с этими ресурсами на протяжении определённого времени...
После того как ресурс вносят в чёрный список - создаётся новый...
Тоже и с почтой - со временем появляется новый ящик.
2) Данные/ключ для расшифровки на стороне злоумышленника также храниться определённое время.
Его нет смысла хранить бесконечно долго.
Пример:
Происходит атака = заражение 100 PC.
Если в течении х* дней пострадавшая сторона не проявила инициативы и не вышла на связь, то злодеям нет смысла хранить ключ.
 
manual_4.png
http://www.shadowexplorer.com/

ShadowExplorer позволяет просматривать теневые копий, созданных Windows Vista / 7/8 через
Volume Shadow Copy Service.

Это особенно удобно для пользователей домашних изданий, которые не имеют доступа к теневым копиям по умолчанию, но и не менее полезно для пользователей других изданий.

Подробно о теневых копиях сказано выше.
 
Возвращаясь к браузерам и их расширениям.


- Сейчас есть поддельные расширения под Adblok Plus например.
- Если есть сомнение лучше удалить расширение и установить его из надёжного источника.
( лучше всего с оф. сайта разработчика )

оф. сайт: https://adblockplus.org/ru/
---
Отличить оригинал от подделки сложно.
Стоит обратить внимание на версию программы, иконку, наличае/отсутствие ссылки ведущей на оф.сайт
разработчика.

-----

А бывает, что разработчик популярного продукта продаёт расширение.
А новый владелец при обновлении запихивает в него...
рекламного агента. ( и это в лучшем случае )
как итог идёт показ рекламы.
так, что даже проверенное расширение/программа может вам изменить.

- Будьте бдительны враг не дремлет !
 
По проблемным сайтам.

Например у вас в браузере прописался сайт:

HI.HI.RU


Сайт/ы можно удалить. ( самостоятельно )
Откройте основное окно программы uVS
оф. сайт разработчика программы: http://dsrt.dyndns.org

1) Извлеките программу из архива.
2) Запустите uVS ( start.exe )

Вместо открытой по умолчанию вкладки: Подозрительные и вирусы.
Откройте вкладку: Скрипты.

А там правой лапой мыши по проблемной строке...
И в меню выбрать нужное действие...
------------
Это не панацея - так, как проблема может быть комплексной.
---
Удалять что-то иное в этой и других категориях идея плохая.

Если удалить что-то нужное > системное.
Система может склеить ласты. ( приказать долго жить )
Будьте внимательны.
 
system volume information...

C:\System Volume Information

https://ru.wikipedia.org/wiki/Восстановление_системы

С каталогом System Volume Information можно работать с Linux Live CD

Даже если system volume information были удалены то Windows сразу не удаляет данные, а только помечает их как удалённые.

И с Linux Live CD их видно: http://forum.esetnod32.ru/forum8/topic737/
---------
А затирать спец. утилитами десятки гигов. данных это история долгая и заметно влияющая на работу PC.
Злоумышленники вряд ли это будут делать.
Для эффективного затирания/уничтожения требуется несколько циклов перезаписи данных.
 
Что за вирус: Hoax.Win32. ArchSMS-*** ?

ArchSMS - это просто архив закрытый паролем.
Пример: Вы хотите скачать Офис...
Находите файл > скачиваете его.
Хотите установить Офис...
А вам предлагают распаковать архив за деньги.
Оплата идёт через платное SMS с телефона.
В итоге вы тратите деньги - но, не получаете желаемого...
Это называется развод... или Фишинг ( ловля рыбы )

Сам по себе файл НЕ опасен.
Его можно удалить самостоятельно - или, это сделает антивирус.

- Сообщения от антивируса могут повторяться и вызывать беспокойство...
Если файл стоит на скачивании...
Файл закачался...
Антивирус его удалил - получается, чтобы решить проблему нужно удалить закачку.
 
Вот это все да в блог отдельный по безопасности... ну или тему закрепить, если возможно..
 
Расширения браузеров и их поисковые плагины.

---------

Новые версии программы uVS поддерживают работу с расширениями браузеров.
Программа показывает, как легально установленные расширения - так и скрытые от пользователя.


Расширения можно удалить. ( самостоятельно )
Откройте основное окно программы uVS

Скачайте актуальную версию программы: http://pchelpforum.ru/showpost.php?p=293738&postcount=2
1) Извлеките программу из архива.
2) Запустите uVS ( start.exe )

Вместо открытой по умолчанию вкладки: Подозрительные и вирусы.
Откройте вкладку с проблемным браузером.
А там хлопните правой лапой мыши по проблемной строке...
И в меню выбрать нужное действие...

Поддерживаются браузеры:
IE
Актуальные версии браузеров:
Mozilla Firefox
Chrome
Opera

Проблемное расширение можно найти так:

а) по дате установки ( в программе есть фильтр календарь )
Когда возникла проблема ?
вот и смотрим по дате...
б) через поиск найти отзывы об этом расширении.
в) если вы знаете какие расширения ставили - какие нет...
то всё проще.
г) Проверить файл на V.T.:

https://www.virustotal.com/
или
http://virusscan.jotti.org/ru

д) В ряде расширений можно найти ссылку на оф. сайт разработчика.
т.е. расширение можно проверить опосредовано, через проверку сайта разработчика.
посмотреть, что этот сайт из себя представляет. ( с известной долей осторожности )

------------
При работе с Хромом нужно применить твик 27
В меню это: Дополнительно > Твики...
* Можно также применить твики 28 и 29 ( эти твики безопасны )

P.S. с браузером IE
работайте аккуратно.
Если другие браузеры без проблем можно переустановить с IE могут возникнуть сложности.
 
По поводу шифраторов - есть подвижки.
Антивирусные компании активно работают над проблемой и для многих шифраторов подобрали методику расшифровки.

При наличае лицензии обращаемся в вашу антивирусную компанию.

Если ваша антивирусная компания на данный момент не может расшифровать данные - обращаемся в другую компанию.
 
Периодически возникают проблемы и на устройствах с операционной системой ANDROID

Что можно сделать, если устройство заблокировано программой вымогателем ?

1) Метод самый простой > Можно сбросить состояние до заводских настроек - насчёт этого прочтите инструкцию к устройству.
Перед тем, как это сделать, подключите устройство к компьютеру и скопируйте важные данные: фото; видео и т.д.

Если устройство не распознаётся на компьютере - установите нужные драйверы как вариант: http://help.drp.su/


2) Устраняем проблему через безопасный режим.

Для входа в безопасный режим Android вам необходимо выполнить следующие действия:

а) Нажмите и удерживайте кнопку питания до тех пор, пока не появится меню выключения.
б) В этом меню выберите пункт «Отключить питание» и удерживайте на нём палец до появления меню ( Переход в безопасный режим )
в) Нажмите «ОК» и дождитесь перезагрузки устройства.

После появления рабочего стола вы увидите в его левом нижнем углу надпись «Безопасный режим».
Выполните необходимые изменения или удалите мешающие нормальной работе устройства программы.
Переход в этот режим также поможет вам наглядно оценить, насколько быстро работает чистый Android и насколько его замедляют установленные вами сторонние дополнения.

После чего - для возвращения к привычной работе просто перезагрузите устройство.
Иногда наблюдаются сложности с возвращением устройства к обычной работе, и он упорно продолжает запускаться в безопасном режиме.
В этом случае просто выключите его, или извлеките батарею на несколько минут и опять включите.

так через безопасный режим вы сможете удалить вызывающую проблемы программу.

3) При наличае компьютера можно подключить к нему устройство.
Установить на комп. программу которая может работать с android
И снести всё лишнее.
У многих производителей есть фирменные программы для работы в связке Компьютер < > Android
Зашли на оф. сайт разработчика > скачали программу > установили > подключили устройство и...

Так например:

у Nokia есть программа: Nokia_Ovi_Suite

Позволяет синхронизировать и редактировать (через беспроводное соединение или по кабелю) практически любые имеющиеся в мобильнике данные — контакты, сообщения, музыку, рисунки, а также сохранять их копии на ПК.

у Samsung есть программа: Samsung Kies: http://www.samsung.com/ru/support/usefulsoftware/KIES/

С помощью программы можно подключить к компьютеру смартфоны, телефоны, планшеты.
позволяет синхронизировать записную книгу, смс и календарь, работать с медиа-контентом, хранящийся на вашем устройстве или компьютере, добавлять или редактировать контакты и т.д.
Есть возможность обновлять прошивку устройства.
-----
Есть программы от сторонних разработчиков.
Ряд таких программ позволяет работать с устройством на уровне получения рут прав на Android. ( в данном случае нам нужна возможность удалять/устанавливать программы )
Следует внимательно проверять такие программы перед их установкой на Windows
изучать историю программы ( как давно она появилась - читать отзывы о программе проверять антивирусами/сканерами )
И обязательно устанавливать в расширенном режиме - и отказываться от установки всяких дополнений )

Работайте с ними осторожно - можно повредить устройство, или потерять гарантию на него.

-------
Получается, что перед сбросом настроек до заводских - можно сохранить ваши важные данные & настройки.


4) Проверка антивирусами/сканерами ?

Подключить устройство к Компутеру
Выбор в меню проводника ограничен и сразу выполнить проверку не получиться.
Скопируйте папки/файлы куда нибудь и сканируйте антивирусом/сканером.
Просмотре в какой папке будет найдена проблема - на какой файл сработает.
можно проверить так: http://forum.esetnod32.ru/forum8/topic10549/
Затем можно будет найти файл на самом устройстве и удалить.
( но в этом варианте доступ можно получить только к части данных и метод эффективен постольку/поскольку )

5) После того, как основные проблемы решены можно выполнить доп. очистку ( при необходимости )
Для этого созданы программы чистильщики например: Clean Master
http://hitech.vesti.ru/news/view/id/1991


6) Что - то из программ можно подобрать и установить самостоятельно: http://4pda.ru/forum/index.php?showtopic=112220

7) Если выше перечисленные методы не помогли...
Можно выполнить перепрошивку устройства - скачать новую версию и выполнить обновление.
Скачать прошивку можно бесплатно с сайта разработчика вашего устройства.
Операция опасная - поэтому не рекомендую её производить самостоятельно, если нет соответствующего опыта.

8) Также можно отнести устройство в сервисный центр.
в сервисе выполнят одно из приведённых выше решений. ;)
 
Мы уже говорили про Sandboxie.
поговорим о программе Deep Freeze

Программе которая защищает не отдельное приложение/программу, а всю операционную систему.
Принцип простой: Установили программу > Deep Freeze делает снимок/образ системы.
Суть в том, что любые несанкционированные изменения после перезагрузки системы будут
аннулированы/отменены/сброшены.
Если хотите сохранить данные можно подключить внешний диск и хранить все нужные данные на нём.

Подробно о программе: http://www.comss.ru/page.php?id=843

Оф. сайт: http://www.faronics.com/en-uk/products/deep-freeze/

Я бы рекомендовал устанавливать программу на компьютерах начинающих пользователей.
Чтобы они работали не боясь испортить систему.
-----------

Думаю все сталкивались с ситуацией когда вирусы комфортно путешествуют на флешке.
Например вам нужно передать данные.
Как можно избежать заряжения ?
Как можно помочь пользователю и при этом не получить проблему для себя ?
Здесь нам поможет Защита от записи на флешке
ряд флешек производится с небольшим переключателем в режим «только для чтения»
здесь можно провести параллели с CD|DVD диском - вы копируете информацию с диска, но сам диск защищён - вирус не может самостоятельно на него прописаться.

На флешке есть механический переключатель режимов: чтение/чтение; запись.
Если сильно захотеть то можно найти/заказать соответствующее устройство.
 
Поговорим о проверке файла.
------

Как проверить файл...
На первый взгляд это просто.
Как правило файл проверяется на сервисе: https://www.virustotal.com/
Вот вы нашли файл и проверили...
Файл судя по результату проверки чист...
Но так, ли это на самом деле ?
-------
После проверки файла откройте вкладку: Дополнительные сведения.
Найдите:
First submission 2015-09-18 06:48:14 UTC (2 недель, 4 дней назад) ( впервые файл загружен\проверен дата... )
Last submission 2015-10-03 08:28:23 UTC (3 дней, 9 часов назад)

По этой записи\дате вы можете видеть проверяли, ли файл раньше, или нет.
О файле говорит его история...
Если файл проверяли месяц, или год назад и проверили сейчас - и по результату проверки чисто...
то и сам файл с вероятностью близкой к 100% чист.
Файлы проверяют в антивирусных компаниях, а на это нужно время...
--------
Также важное значение имеют поля:
Publisher ( Издатель\производитель продукта )
Например это Nero AG
и
поле Signature verification ( Проверка электронно цифровой подписи ) ( ЭЦП ) )
на вкладке: Сведения о файле.
Такому _подписанному _известным поставщиком файла\у - также можно доверять.
--------
Но когда файл подписан неизвестным вам издателем стоит задуматься и найти доп. информацию.
Что модно сделать ?
Для примера возьмём файл программы Nero: NeroStartSmart.exe

Проверка на V.T: https://www.virustotal.com/ru/file/...9de774ca87bb21ed37dfb1432809ec1c208/analysis/
Но нам этого показалась мало и мы решили получить дополнительные сведения.
На вкладке: Дополнительные сведения
копируем данные по SHA1 файла ( к примеру) это: 7b5ea21e40c30879a129045978e3b0a5f089eaee

Переходим сюда: http://www.herdprotect.com/knowledgebase.aspx
В строку поиска вставляем: 7b5ea21e40c30879a129045978e3b0a5f089eaee
Получаем результат: http://www.herdprotect.com/nerostartsmart.exe-7b5ea21e40c30879a129045978e3b0a5f089eaee.aspx
Находим запись: Publisher: __ Nero AG__ и хлопаем по этой ссылке.
Ссылка нас переведёт на страницу: http://www.herdprotect.com/signer-nero-ag-7d71513f7643f5fdbb5855e9fce34351.aspx
Где мы можем увидеть результаты проверки не одного этого файла, а нескольких десятков файлов данного производителя.
------------------------------
В ряде случаев можно проверить по ЭЦП файла.
Хлопните правой лапой мыши по вашему файлу >
Откройте вкладу: Цифровые подписи ( если файл подписан вкладка будет )
И здесь в строке поиска: www.herdprotect.com/knowledgebase.aspx
пропишите издателя: ( например ) : Sony Corporation
Получим результат: http://www.herdprotect.com/signer-sony-corporation-420d0c00ede8354c71d17c4599d4b830.aspx
( это не всегда работает - прежде всего поиск ориентирован на работу с SHA1 )
------------------------------
Что это даёт ?
Часто бывает так, что часть файлов производителя чисты, а часть представляют ( могут представлять ) опасность.
Вот и получается, что паренёк то хороший...
но вот его семейство плохое...
Поэтому стоит задуматься о целесообразности присутствия паренька на вашем PC.
 
Что делать когда: "Заблокирован браузер "

В данном случае речь идёт о тех случаях когда вы не можете зайти в его настройки.
т.е. вы запускаете браузер и сразу появляется несколько блокирующих окон.
------
Создайте текстовый файл >
Хлопните по файлу правой лапой мыши и в меню выберите >
Открыть с помощью...
Соответственно выбираем ваш браузер.
Ваш браузер откроет не стартовую страницу по умолчанию, не страницу кэша а ваш текстовый файл.
Теперь вы можете зайти в его настройки.
------
После этого проверяем установленные плагины и расширения. Удаляем не известные, и установленные из не официальных источников.
Проверяем домашнюю\стартовую страницу.
Чистим Кэш.
В некоторых браузерах можно сбросить настройки по умолчанию.
Так в Mozilla Firefox для этого нужно в адресной строке прописать: about:support и нажать Enter
Наладка Firefox > Очистить Firefox...
Также проверяем настройки прокси сервера.
------
Если эти действия не привели к нужному результату - используйте спец. программы по очистке.
 
Можно тоже здесь мазнуть..:)
Возник конкретный вопрос по поводу kido?
Например ПК заражен данным вирусом, возможно ли выявления и уничтожение
его с помощью ваших рабочих утилит?
 
lohudra

Kido - это частный случай.
Есть специализированные программы для обнаружения и удаления: Kido\Conficker

Так у компании ESET: https://www.esetnod32.ru/download/utilities/trojan_remover/
-------
Также можно работать с программой uVS - но, здесь требуется навык.
Кроме того uVS позволяет работать с загрузочного Live CD диска ( с возможностью выбора системы )
В разных режимах.
Так можно найти любой вирус кроме разве, что внедрённого непосредственно в оборудование на стадии производства этого оборудования.
Или внедрённого\встроенного в оборудование специалистами по шпионажу.
 
Назад
Сверху