» Как удалить руткиты
Информация к новости
  • Просмотров: 68 239
  • Автор: admin
  • Дата: 9-07-2013
9-07-2013

Как удалить руткиты

Категория: ---

 

Здравствуйте админ, к вам вопрос: Как удалить руткиты? Подозреваю, что у меня в операционной системе завелись подобные зверьки. Месяц назад установил Windows со всеми программами и работал всё это время без антивируса, всё выбирал, какой установить, платный или бесплатный. Короче два месяца обходился тем, что периодически сканировал систему бесплатными антивирусными утилитами Dr.Web CureIt и Kaspersky Virus Removal Tool, а теперь вот не могу их запустить, выходят ошибки при запуске. Мало того, теперь антивирусник Касперского не устанавливается, компьютер зависает на половине установки и выходит критическая ошибка, далее синий экран. А вчера провайдер и вовсе отключил мне интернет, сказал, что мой компьютер рассылает спам. Вот такие дела!
Примечание: реальный пример вредоносной активности руткита маскирующего работу сетевого червя.

На форумах говорят, что если в системе находится руткит, то такую гадость может проделать он. Ему же нужно скрыть деятельность определённой вредоносной программы, которую сразу обнаружит антивирусный сканер или установленный антивирус. Какой программой можно удалить руткит или проще переустановить Windows?
 В интернете советуют много чего, непонятно что и выбрать. Например снять жёсткий диск, подключить к другому компьютеру и просканировать его хорошим антивирусом , но у меня только один компьютер (ноутбук). Ещё советуют проверить систему утилитой RootkitRevealer, но она вроде не работает с Windows 7.

Как удалить руткиты


Друзья, в первой части статьи мы узнаем, что такое руткиты и какой вред они могут принести нашей операционной системе. Во второй части, мы с вами удалим руткиты  с помощью антивирусного диска от Microsoft - Windows Defender Offline и диска Kaspersky Rescue Disk от «Лаборатории Касперского». В конце статьи, мы удалим руткиты с помощью специально созданных для этих целей бесплатных антивирусных утилит: TDSSKiller, Dr.Web, AVZ и GMER.
  • Друзья, открою Вам секрет, в настоящее время с руткитами идёт настоящая война, просто это не афишируется и если вам посчастливится словить серьёзный и только что написанный руткит, справиться с ним будет очень нелегко даже профессионалу. Поэтому, не забывайте создавать бэкапы операционной системы и не отключайте никогда восстановление системы. Устанавливайте только 64-разрядные Windows 7 или Windows 8, так как в 64-битной операционной системе руткиту сложнее закрепиться. 
Что из себя представляет руткит? Руткит – это программа, маскирующая нахождение в операционной системе других вредоносных программ и всё, что относится к ним (процессы, ключи в реестре и так далее), происходит это путём перехвата и модификации низкоуровневых API-функций. Ну а работающая в нашей системе вредоносная программа может сделать много плохих дел, например ваш компьютер станет частью «ботнета» —компьютерной сети, состоящей из большого количества заражённых компьютеров. Злоумышленники могут использовать ресурсы заражённых компьютеров по своему усмотрению (рассылать спам, участвовать в DDoS-атаке на определённые сайты и так далее). Это скорее всего и произошло с компьютером нашего читателя.

Как удалить руткиты при помощи антивирусного диска
 
По моему мнению, очень хорошее оружие от руткитов, да и вообще от всех вирусов, это антивирусный диск. В первую очередь можно использовать антивирусный диск от Microsoft - Windows Defender Offline,

он специально заточен для поиска и удаления руткитов и практически всех существующих вредоносных программ. Ещё бы я посоветовал антивирусный диск Kaspersky Rescue Disk от «Лаборатории Касперского».
Дело в том, что когда вы загружаете ваш компьютер с антивирусного диска и проверяете им заражённую систему, вредоносные программы никак не могут этому воспрепятствовать, так как Windows в это время находится в нерабочем состоянии и соответственно все вирусные, файлы, находящиеся в системе, видны как на ладони, а значит легче обнаруживаются и нейтрализуются. 

Как скачать данные антивирусные диски в виде образа, прожечь на болванку, загрузить с них компьютер и удалить руткиты, вы можете прочесть в наших пошаговых статьях, ссылки приведены выше.
 
Как удалить руткиты с помощью бесплатных антивирусных утилит
 
Очень эффективны в борьбе с руткитами несколько бесплатных антивирусных утилит: TDSSKiller, Dr.Web, AVZ и GMER. Первая рассматриваемая нами утилита, это TDSSKiller от «Лаборатории Касперского», вторая Dr.Web CureIt и третья AVZ тоже от российских разработчиков антивирусных программ, четвёртая GMER. 
Чтобы скачать TDSSKiller, идём по ссылке http://support.kaspersky.ru/5350?el=88446#, жмём «Как вылечить зараженную систему», нажимаем «Скачайте файл TDSSKiller.exe»

Запускаем его, можете обновить программу.

Начать проверку.

TDSSKiller обнаруживает нижеперечисленные подозрительные сервисы или файлы:
Скрытый сервис – скрытый ключ в реестре;
Заблокированный сервис – недоступный ключ в реестре;
Скрытый файл – скрытый файл на диске;
Заблокированный файл - файл на диске невозможно открыть обычным способом;
Подмененный файл - при чтении выходит подменное содержимое файла;
Rootkit.Win32.BackBoot.gen – возможно заражена загрузочная запись MBR.
 
Если у вас установлена программа Daemon tools, по окончании сканирования программа выдаст такое окно - Подозрительный объект, средняя опасность – Cервис: sptd.

Cервис: sptd является сервисом программы - эмулятора дисковода Daemon tools. 
Чтобы точно убедиться в том, что обнаруженный файл не является руткитом или наоборот, скопируйте обнаруженные подозрительные объекты в карантин, выбрав действие Скопировать в карантин, файл при этом не удалится из системы.
Найти карантин можно здесь C:\TDSSKiller_Quarantine
Затем открываем сайт VirusTotal.com, далее жмём Выберите файл, откроется проводник 

Идём в карантин и выбираем файл для проверки. Открыть и Проверить.

Как видим, только одна антивирусная компания определила файл sptd.sys как вирус PAK_Generic.009.

Значит скорее всего данный файл вирусом не является и мы с вами это прекрасно знаем. В других, более спорных случаях, вы можете найти информацию в интернете или отправить файлы в Вирусную Лабораторию Касперского.
 
Как удалить руткиты с помощью утилиты Dr.Web CureIt
 
Утилиту Dr.Web CureIt скачиваем по этой ссылке http://www.freedrweb.com/cureit/, продвигаемся вниз странички и жмём Скачайте бесплатно.

Далее.

Скачать Dr.Web CureIt с функцией отправки статистики.

Отмечаем пункт "Я принимаю условия Лицензионного Соглашения" и жмём Продолжить.

 Сохраняем и запускаем файл Dr.Web CureIt. Возникает окно «Запустить Dr.Web CureIt в режиме усиленной защиты, нажимаем "Отмена". В появившемся окне отмечаем пункт «Я согласен принять участие… Продолжить.

Выбрать объекты для проверки.

Отмечаем пункты Оперативная память и Руткиты и жмём Запустить проверку.

Если руткиты обнаружены не будут, советую вам отметить все пункты и проверить весь ваш компьютер на вирусы, лишним это не будет.

 

Как удалить руткиты с помощью утилиты AVZ
  
Хорошая и очень быстро работающая антивирусная утилита от Олега Зайцева, быстро найдёт и удалит различные SpyWare и руткиты в вашей операционной системе. Но предупреждаю Вас, программа работает жёстко и иногда может принять за вирус безобидный файл, поэтому перед применением AVZ, создайте точку восстановления системы. Если AVZ найдёт вредоносный файл, не торопитесь его удалять и прочтите все рекомендации из раздела Советы по лечению ПК http://z-oleg.com/secur/advice/
Переходим по ссылке http://z-oleg.com/secur/avz/download.php, нажимаем Скачать (8.4 Мб, базы от 30.01.2013).  

Скачиваем архив программы и разархивируем его. После разархивации заходим в папку с программой и запускаем файл avz.exe.

Отмечаем для проверки диск с операционной системой, обычно C:, ещё отмечаем пункт Выполнить лечение, далее идём в Параметры поиска

и отмечаем пункт Детектировать перехватчики API и RooTkit и нажимаем Пуск, проверка началась.

 
Как удалить руткиты с помощью утилиты GMER
  
Утилита GMER применяется очень многими пользователями для борьбы с руткитами, утилита на английском, но мы с вами разберёмся. Также основываясь на личном опыте работы с программой, советую вам перед работой создать точку восстановления или сделать бэкап всей операционной системы, если GMER обнаружит серьёзную опасность, может вызвать огонь по своим или применить тактику выжженной земли.
Идём на сайт http://www.gmer.net/, нажимаем Download.EXE

и скачиваем утилиту, если хотите, можете скачать её в архиве or ZIP archive: gmer.zip ( 369kB ). Не удивляйтесь, что при скачивании утилиты название у неё будет отличным от GMER, например p3f14z2c.exe, делается это специально, так как находящиеся в вашей системе руткиты могут распознать утилиту и вам не удастся её запустить.
Итак, скачали GMER и запускаем её. Сразу после запуска утилиты ваша операционная система зависнет на 5-10 секунд, происходит быстрое сканирование основных системных файлов и процессов.
Отмечаем для сканирования диск C: и нажимаем Scan, начнётся сканирование Windows на предмет нахождения руткитов. Если запустить GMER по умолчанию в режиме «Quick Scan» (быстрое сканирование), произойдёт сканирование основных системных файлов на диске с операционной системой, в первую очередь можете воспользоваться им.

Когда сканирование закончится, программа выдаст вам результат, если руткиты будут найдены, они будут отмечены красным шрифтом. Если вы захотите удалить какой-либо файл, щёлкните на нём правой мышью и выберите в появившемся меню нужное действие.

  

Дорогой посетитель, Вы можете задать на сайте любой вопрос и обязательно получите ответ!
<
петр

15 июля 2013 18:18

Информация к комментарию
  • Группа: Гости
  • ICQ: {icq}
  • Регистрация: --
  • Статус:
  • Публикаций: 0
  • Комментариев: 0
Admin статья хорошая, простая, понятная, но руткиты встречаются очень редко, даже практически вообще непопадаются, да и программы тоже хорошие, но gmer и avz в неопытных руках могут такое наделать, что...
Я бы советовал для таких целей курейт и Windows Defender Offline!
<
admin

16 июля 2013 00:03

Информация к комментарию
  • Группа: Администраторы
  • ICQ: {icq}
  • Регистрация: 2.04.2011
  • Статус: Пользователь Онлайн
  • Публикаций: 1228
  • Комментариев: 32431
Согласен, загрузочный диск Windows Defender Offline нужно применить в первую очередь!
<
петр

16 июля 2013 00:51

Информация к комментарию
  • Группа: Гости
  • ICQ: {icq}
  • Регистрация: --
  • Статус:
  • Публикаций: 0
  • Комментариев: 0
Вы наверно меня не поняли, я сказал что gmer и avz в неопытных руках могут навредить, а про Windows Defender Offline я ничего плохого не говорил, да и руткиты практически уже не встрчаются.
<
jackman

26 декабря 2013 22:58

Информация к комментарию
  • Группа: Гости
  • ICQ: {icq}
  • Регистрация: --
  • Статус:
  • Публикаций: 0
  • Комментариев: 0
Петр, руткиты очень распространены.
<
Жанна

17 ноября 2014 11:49

Информация к комментарию
  • Группа: Гости
  • ICQ: {icq}
  • Регистрация: --
  • Статус:
  • Публикаций: 0
  • Комментариев: 0
Спасибо за статью!
<
Андрей

18 февраля 2015 17:35

Информация к комментарию
  • Группа: Гости
  • ICQ: {icq}
  • Регистрация: --
  • Статус:
  • Публикаций: 0
  • Комментариев: 0
Подскажите, а как удалять вирусы и шпионские программы, которые специально встраивают в жесткие диски прямо на заводах-изготовителях?
Это я спрашиваю на основании новости "АНБ следило за Россией и Китаем, встраивая вирусы в жесткие диски", которую можно найти на сайте Яндекса в разделе "Новости" - "Hi-Tech".
<
Natali

19 февраля 2015 02:29

Информация к комментарию
  • Группа: Гости
  • ICQ: {icq}
  • Регистрация: --
  • Статус:
  • Публикаций: 0
  • Комментариев: 0
Цитата: Natali
Подскажите, а как удалять вирусы и шпионские программы, которые специально встраивают в жесткие диски прямо на заводах-изготовителях?

Так же, как и те вирусы, которые специально НЕ встраивают в жесткие диски прямо на заводах-изготовителях wink
<
admin

19 февраля 2015 08:15

Информация к комментарию
  • Группа: Администраторы
  • ICQ: {icq}
  • Регистрация: 2.04.2011
  • Статус: Пользователь Онлайн
  • Публикаций: 1228
  • Комментариев: 32431
Да ладно Вам, это Касперский себя пиарит, чтобы его имя было на слуху.
Никаких вирусов нет в жёстких дисках. Статью напишем на эту тему.
<
homo sapiens

15 июля 2015 05:51

Информация к комментарию
  • Группа: Гости
  • ICQ: {icq}
  • Регистрация: --
  • Статус:
  • Публикаций: 0
  • Комментариев: 0
Спасибо за ценную информацию. Пусть сопутствует Вам УДАЧА всегда и во всем! Здоровья.
<
Персей76

2 сентября 2015 22:21

Информация к комментарию
  • Группа: Посетители
  • ICQ: {icq}
  • Регистрация: 13.08.2015
  • Статус: Пользователь offline
  • Публикаций: 0
  • Комментариев: 36
Админ помогите советом.
Я подхватил рекламное ПО и оно наставила автоматом кучу своих прог.
Я улитами всё почистил и все проги удалил. Но мой касперский всё равно выдаёт что на компьютере установлено опасное вредоносное рекламное ПО И на нём желтый треугольник с воск.знаком. Подскажите чем можно это ПО убрать.
<
admin

3 сентября 2015 09:11

Информация к комментарию
  • Группа: Администраторы
  • ICQ: {icq}
  • Регистрация: 2.04.2011
  • Статус: Пользователь Онлайн
  • Публикаций: 1228
  • Комментариев: 32431
Касперский показывает, где оно находится?
<
Персей76

3 сентября 2015 11:38

Информация к комментарию
  • Группа: Посетители
  • ICQ: {icq}
  • Регистрация: 13.08.2015
  • Статус: Пользователь offline
  • Публикаций: 0
  • Комментариев: 36
При включении компа, выходит сообщение о том, что установлено опасное вредоносное рекламное ПО, нажимаю подробно и выдаёт список заражённых файлов, которые он удалил и всё.
<
admin

3 сентября 2015 13:48

Информация к комментарию
  • Группа: Администраторы
  • ICQ: {icq}
  • Регистрация: 2.04.2011
  • Статус: Пользователь Онлайн
  • Публикаций: 1228
  • Комментариев: 32431
Значит какие-то вредоносные модули не может удалить до конца. Запустите лечащую утилиту Dr.Web CureIt и проверьте ей свой компьютер по этой статье
http://remontcompa.ru/222-kak-proverit-kompyuter-na-virusy.html

Если хотите удалить всё до конца, то используйте утилиту AnVir Task Manager, многие только ей спасаются и правильно
http://remontcompa.ru/181-avtozagruzka-programm-v-windows-7.html
<
fredparker

28 ноября 2016 10:37

Информация к комментарию
  • Группа: Гости
  • ICQ: {icq}
  • Регистрация: --
  • Статус:
  • Публикаций: 0
  • Комментариев: 0

Добрый день

AVZ указывает на опасность

http://s018.radikal.ru/i521/1611/8c/81e06c1dc2fc.jpg

но загрузить sptd.sys на virustotal в он-лайне не получается

и скопировать отдельно тоже,

а без доп проверки опасаюсь удалить.

Что посоветуете?

Спасибо.

<
admin

28 ноября 2016 13:12

Информация к комментарию
  • Группа: Администраторы
  • ICQ: {icq}
  • Регистрация: 2.04.2011
  • Статус: Пользователь Онлайн
  • Публикаций: 1228
  • Комментариев: 32431

Вы ранее не работали с AVZ? Это ложное срабатывание программы.

<
fredparker

28 ноября 2016 13:21

Информация к комментарию
  • Группа: Гости
  • ICQ: {icq}
  • Регистрация: --
  • Статус:
  • Публикаций: 0
  • Комментариев: 0

Цитата: admin
Вы ранее не работали с AVZ?

Сочетаю периодически AVZ с НОД-ом, который работает постоянно.

Понял, что нет оснований для тревоги,

но почему никак не проверить на virustotal?

Спасибо.

<
admin

28 ноября 2016 17:21

Информация к комментарию
  • Группа: Администраторы
  • ICQ: {icq}
  • Регистрация: 2.04.2011
  • Статус: Пользователь Онлайн
  • Публикаций: 1228
  • Комментариев: 32431

У меня же получилось и у вас должно.

<
fredparker

28 ноября 2016 18:33

Информация к комментарию
  • Группа: Гости
  • ICQ: {icq}
  • Регистрация: --
  • Статус:
  • Публикаций: 0
  • Комментариев: 0

Последнее, что придумал = пркрепить к письму и выслать на virustotal

http://s019.radikal.ru/i643/1611/6f/b9802357e23b.jpg

и тут тоже неудача несколько раз подряд

идей больше нет.

<
admin

28 ноября 2016 22:08

Информация к комментарию
  • Группа: Администраторы
  • ICQ: {icq}
  • Регистрация: 2.04.2011
  • Статус: Пользователь Онлайн
  • Публикаций: 1228
  • Комментариев: 32431

Запустите TDSSKiller, если он ничего не найдёт, то не надо никуда ничего отсылать.

Добавление комментария

Имя:*
E-Mail:
Комментарий:
Вопрос:
Сколько будет 5+2=?
Ответ:*
НАВИГАЦИЯ

 

 

 

Архив новостей Октябрь 2017 (31)
Сентябрь 2017 (29)
Август 2017 (27)
Июль 2017 (26)
Июнь 2017 (16)
Май 2017 (22)
^
Копирование материалов сайта разрешается только с гиперссылкой на источник