ЕСЛИ КОМП УЖЕ ЗАРАЖЕН.В чем состоит метод. Чтобы вирусы не активизировались при запуске системы и их можно было бы безболезненно удалить, для этого нужно запустить комп под другой, чистой системой (Safe Mode основной системы далеко не всегда для этого подходит, не тратьте на него время), распознать удалить файлы вируса, потереть в реестре основной системы ссылки на нерспознанные части вируса, восстановить в реестре все что изменил вирус (он мог запретить SafeMode, вместо запуска Рабочего Стола подсунуть свое окно с требованием СМС-нуть, запретить TaskManager, запретить запуск или удаление определенных папок и файлов ).
1) Нам понадобятся:
- LiveCD Hirens, записанный на CD или DVD болванку. Нас интересует версия от 10.1. В ней обязательно должна быть облегченная Live (PE) версия Windows XP. Найти ISO-образ диска можно здесь
http://www.ex.ua/search?s=hirens.
- бесплатная чистящая утилита CureIt. Она постоянно обновляется. Самая свежая версия всегда скачивается отсюда
http://www.freedrweb.com/- бесплатная чистящая утилита Kaspersky Virus Removal Tool. Самая свежая версия всегда скачивается отсюда
http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/Скачайте и запишите исошку Hirens на болванку с помощью NERO либо другой программы записи дисков.
чистящие утилиты нужно скачать и положить на вакцинированную флешку.
Все эти операции проделать на другом, незараженном компе.
2) Вставляем HirensCD в CD-привод зараженной машины. Выключаем комп. Включаем и в начале загрузки входим в настройки BIOS. BIOS должен быть настроен так, чтобы комп вначале пытался загрузиться с CD а уж потом с жесткого диска.
Если настроено не так, меняем настройку на нужную нам. Выходим из BIOS с сохранением изменений (F10). Комп начинает перегружаться, предлагает нажать любую клавишу чтобы загрузиться с CD.
Жмем пробел. Появляется меню диска HIRENS. В нем клавишами вверх/вниз выбираем пункт WindowsXP MINI. Жмем ENTER. Ждем загрузки Windows XP с CD.
Загружается специализированная XP.
Теперь первое что нам надо сделать - удалить все содержимое c:\WinNT\TEMP (c:\Windows\TEMP), C:\Recycler (Корзина) и папок TEMP и "Temporary Internet Files" во всех профилях пользователя (например у меня для пользователя olden они находятся в "C:\Documents and Settings\olden\Local Settings\" а для всех остальных - в остальных аналогичных папках типа "C:\Documents and Settings\[ЛЮБОЙЮЗЕР]\Local Settings\").
Возможно еще придется удалить все точки восстановления (папки) из "C:\System Volume Information"
Таким образом мы с большой долей вероятности уничтожаем тело и вспомогательные файлы вируса и облегчаем/ускоряем работу антивир-сканеров.
Также ищем и если найдем то удаляем все файлы autorun.inf (могут быть скрытыми) на всех логических дисках компа (C. D, E,...) в их корневых каталогах
Следующий этап - подключам флешку и запускаем с нее сначала CureIt а потом по окончании его работы - Kaspersky. С тем, как они работают, надеюсь, разберетесь. Соглашаемся со всем что они предложат удалить/вычистить
После всего этого можно быть более-менее уверенным, что файлы вируса вычищены. НО! Теперь нам предстоит задача убрать из реестра автозагрузки вируса и прочие следы его деструктивной деятельности.
В этом нам поможет программа редактирования локального реестра "Registry Editor PE". В основном меню нашего лечащего Windows самая верхняя команда запускает окно каталога утилит. Выбираем в нем меню МЕНЮ и в нем подменю "Registry Tools" а в нем программу "Registry Editor PE".
Запустится программа, которая сама предложит вам импортировать ветки реестра из основной системы, которые вы затем сможете отредактировать (инструкции по работе - на
http://regeditpe.sourceforge.net/).
Пока считаем, что вы в курсе что и где в реестре изменить, и поэтому изменили, вышли из программы, перегрузили комп, убрали изменения в BIOS и успешно загрузили основную систему.
Остается нераскрытым главный вопрос: что, как и где в реестре обычно портят вируса/трояны и как все это вернуть к нормальному состоянию.
Подробно об этом - позже.
Внимание! Размещение заведомо ложной информации (п.4.2(й) правил форума) будет наказываться в 2х кратном размере.