Осенью 2007 года на просторах рунета появился новый вид вредоносного ПО – программы-вымогатели. Данный вид мошенничества ходил в сети и раньше, но только в России он получил огромную популярность. Плодотворной почвой стала простота получения денег от своих жертв. Если вначале использовались довольно экзотические формы оплаты (например, ВКонакте, Яндекс Деньги и т.п.), с которыми обычные пользователи были знакомы слабо, то впоследствии мошенники перешли на более простые и понятные способы: отправка SMS-ок на короткие номера и перевод денег на телефонные номера. Две самые популярные формы оплаты хорошо знакомы даже людям, редко имеющим дело с компьютером. Именно этот факт, а также простота и анонимность при регистрации коротких номеров сыграли определяющую роль в той массовости, которую приобрели программы-вымогатели.

Техническая сторона вымогателей также не стояла на месте. Если изначально это были очень простые программы, написанные «на коленке», то через несколько лет блокеры представляли очень сложные технологически изделия, в которых присутствовали защита от анализа, защита от детектирования, технологии сетевых червей, шифрование и т.д. и т.п.

Развитию подверглись и технологии, с помощью которых мошенники собирались требовать деньги от пользователей. Если изначально система блокировалась целиком, а пользователь получал информацию о техническом сбое, то впоследствии стали использоваться более продвинутые технологии социальной инженерии.
Вот лишь некоторые из них:
1) Частичная блокировка системы (например, окно, которое располагаются поверх других, в треть экрана) – работать за таким компьютером можно, но очень некомфортно;
2) Демонстрация взрослого контента – рассчитано на детей за папиными компьютерами;
3) Демонстрация контента, содержащего элементы перверсии – рассчитано на взрослых;
и т.д.

Платить мошенникам абсолютно бесполезно: отправка дорогостоящей SMS-ки (или даже нескольких) совершенно не гарантирует, что потерпевший получит обещанный код разблокировки. С пополнением счета через терминал оплаты ситуация не лучше – на чеке просто нет идентификационного номера, на который ссылаются вымогатели. Отправкой денег пользователь спонсирует новые разработки, от которых сам же страдает впоследствии (по нашим данным, в среднем пользователи заражаются больше 1 раза).

В своей работе мы постоянно сталкиваемся с программами-вымогателями и решили составить собственный хит-парад, выделив, на нашему мнению, наиболее интересные из них по следующим номинациям:

Самый труднодоступный
Данный блокер уникален тем, что заражал MBR. Большую популярность он не приобрел. Можно сказать, что он был скорее концептом.
В мае 2011 года появился второй MBR-блокер, приобретающий все большую и большую популярность.

Самый популярный
САМЫЙ МАССОВЫЙ, САМЫЙ ПРИБЫЛЬНЫЙ блокер всех времен и народов. В июне 2010 года новые блокеры данного семейства выходили буквально раз в час. Эпидемия прекратилась лишь после того, как правоохранительными органами были задержаны члены данной преступной группировки.

Самый первый
Первые блокеры на просторах рунета использовали экзотические формы оплаты, мало знакомые домохозяйкам и непритязательный дизайн (никакого обнаженного женского и мужского тела). Но именно с них все начиналось.

Самый красивый

Анимационный
Блокер, использующий в качестве картинки анимированный gif c mamma (лат.), совершающей колебательные движения. В качестве оплаты блокер просил отправить SMS на один из коротких номеров, среди которых присутствовали как российские, так и украинские, казахстанские, литовские и германские.

Первый нероссийский
Данный блокер, вызвавший первую крупную эпидемию блокеров в рунете, пришел с Украины. Изначально в качестве оплаты принимались SMS-ки на украинский номер.
Характерной особенностью блокеров из данного семейства была демонстрация лицензионного соглашения (!!!) при первом запуске блокера, в котором сообщалось о том, что компьютер пользователя будет заблокирован. Но кто читает эти соглашения?
В последующих версиях блокера лицензионное соглашение хотя и демонстрировалось, но довольно быстро закрывалось, и блокер начинал установку вне зависимости от действий пользователя, соглашался он с условиями или нет.

Самый безобидный
Данный «блокер» блокером как таковым не является. Мошенники специально создают сайты, выдающие себя за сайты для взрослых, и размещают в них JavaScript код, выводящий в браузере приведенную ниже картинку. После того как сайт создан, он распространяется через банерную систему. Для борьбы с данным видом мошенничества достаточно просто закрыть браузер и не заходить в будущем на данный сайт, но многие пользователи пугаются, считают, что произошло заражение их машины, и спешат заплатить деньги вымогателям.

Самый креативный
Первые годы развития блокеров авторы подходили к их созданию с душой. Попадались очень веселые, забавные и трогательные блокеры. И лишь спустя несколько лет блокеры стали клепать как пирожки – побыстрее и побыстрее, чтобы успевать сбивать детекты антивирусных продуктов.

Самый жадный
Поскольку на стоимость SMS существовало верхнее ограничение по цене (500-600р.), некоторые блокеры стали просить отправить по 2, а очень жадные – по 3 SMS-ки.

Самый наглый
Особенность данного блокера в громких именах, которыми он прикрывается.

Самый честный
Данный блокер интересен тем, что в отличие от своих коллег честно заявляет, что он блокер.

Самый долгоиграющий
Данный блокер уникален тем, что использует систему подписок для обогащения своих авторов. Вместо того чтобы требовать отправки SMS или перевода денег на счет, данный блокер требует отправить свой номер телефона. На телефон приходит SMS-ка с кодом деактивации.
Все эти безобидные действия преследуют одну цель – зарегистрировать пользователя на так называемой подписке. Вводя в блокер код деактивации, пользователь тем самым соглашается с условиями подписки (которые ему, естественно, никто не показывал). После подписки с телефона пользователя начинают регулярно снимать деньги (например, каждые 3 дня по 150р.). Данный способ работает до тех пор, пока пользователь не откажется от подписки или в течение определенного времени (например, недели) на телефоне не будет средств.

Самый брутальный
Данный блокер характеризуется отображением гомосексуалистов.
Второй его «замечательной» особенностью являются коды деактивации – это не бессмысленный набор символов, а коды из игры (например, IDDQD), персонажи игр (KERRIGAN IS SO SEXY), авторы любимых произведений (FRANK HERBERT) и т.п.

Самый подробный («блондиночный»)
Данный блокер можно назвать самым подробным в области инструкции по своей деактивации. Поскольку данная программа в качестве формы оплаты использует не SMS, а более экзотическую схему «В контакте», с которой знакомо относительно малое количествово пользователей, то она предоставила зараженным пользователям очень подробную пошаговую инструкцию как все-таки перевести деньги мошенникам.

Самый «касперский»
Данный блокер выдает себя за некий, реально не существующий продукт «Лаборатории Касперского», Kaspersky Lab Antivirus Online. В свое время он был очень популярным и вызвал буквально шквал писем в компанию с текстом «Разве вы мало получаете денег, зачем же вам еще и эта программа». В общем, данный блокер попортил много крови как сменным аналитикам так и PR-отделу.

Итого:
В тренде, как вы могли заметить, развитие приемов социальной инженерии, но и техническая мысль не стоит на месте. В любом случае, мы решили, что надежнее будет предотвращать блокирование, нежели лечить уже зараженный компьютер. И если до настоящего момента мы могли предложить вам только бесплатную утилиту

Однажды, включив свой компьютер, Вы можете увидеть на рабочем столе инфобаннер-вымогатель, который закрывает часть экрана, или того хуже, вообще тёмный экран монитора и некие требования по отправке СМС.

Инфобаннеры-вымогатели в последнее время все чаще появляются на мониторах наших компьютеров. Как только «ласково» не называют «счастливые» обладатели этих «непрошенных гостей»! Некоторые выражения и печатать стыдно! Согласен, это очень неприятный инцидент, особенно, когда Вы увлечены каким-либо процессом на своём компе, когда ограничены по времени, а тут такое! Эта ситуация мне слегка напоминает анекдотическую, когда два товарища, одноглазый и слепой пошли через лес к девочкам. Наткнувшись последним глазом на торчащую ветку, одноглазый изрек: «Ну, вот мы и пришли!» На что слепой ответил сакраментальной фразой: «Здравствуйте, девочки!»

После нескольких попыток самостоятельно убрать баннер, а это, как правило, не удаётся, Вы начинаете нервничать, проклинать умников — его создателей и корить себя, недоучку, что не можете справиться с такой ерундой. А представьте за экраном монитора подростка у которого строгие родители! Что скажет как всегда некстати появившийся отец… И в этот момент начинает развиваться упадническо-капитуляционное решение, отправить это злосчастное СМС и дело с концом. И понятно желание поскорее убрать эту гадость с глаз долой. Тем более, что плата за разблокировку заявлена бывает небольшая.

Никогда, ни под каким предлогом НЕ шлите СМС!

Разновидности программ

Целью действий программ-вымогателей является блокирование доступа пользователя к данным на компьютере или ограничение возможностей работы на компьютере и требование выкупа за возврат к исходному состоянию системы. Отличие вредоносных программ класса «Trojan-Ransom» заключается в их изначальной коммерческой направленности. Каждая программа этого поведения является инструментом для получения денег киберпреступниками. Существует несколько видов вредоносных программ. Они представлены в порядке сложности борьбы с ними вручную, без антивируса. Избавиться от последствий запуска первых двух видов достаточно просто, третьего и четвертого – немного сложней, а устранение последствий работы программ, отнесенных к пятому виду, не всегда возможно.

Программы:

• Ограничивающие доступ к web-сайтам;
• Ограничивающие работу с обозревателем;
• Блокирующие доступ к ресурсам операционной системы;
• Ограничивающие действия пользователя в операционной системе;
• Шифрующие файлы пользователя.

Способы борьбы

Во всех случаях появления баннера попытайтесь вначале удалить его с помощью антивируса. Если получается, проверьте в обычном режиме работы. Естественно, базы должны быть самые свежие. Поэтому необходимо строго следить за обновлением баз. Желательно в настройках обновления установить в «Автомат»!

Не хочется далеко заходить в дебри, потому, что есть очень много вариантов, разновидностей, как самих баннеров, так и способов борьбы с ними. Хотелось бы остановиться на самых простых и действенных, которые опробовал сам и о которых имею представление.

Баннер, ограничивающий работу с обозревателем

Такого типа баннер блокирует доступ пользователя ко многим web-сайтам, в том числе и к сайтам антивирусов.

Если он не удаляется антивирусом, выполните следующее:

• В текстовом редакторе, например Блокнот откройте файл Hosts . Путь к файлу для Windows XP, Vista: C: → папка Windows/System32/drivers/etc/hosts
• Вручную исправьте данный файл, удалив все строки ниже строки 127.0.0.1 localhost

Баннеры, ограничивающие доступ в Интернет

Эта вредоносная программа блокирует доступ к Интернету и выводит на экран сообщение о якобы нарушении лицензионного соглашения с требованием отправить СМС и так далее…

Такого типа программа-вымогатель создаёт в обозревателе всплывающее окно, которое нельзя закрыть. Оно мешает или полностью препятствует работе в Интернете.

В Internet Explorer откройте окно Управление надстройками (Сервис → Надстройки → Включение отключение надстроек) . В открытом окне обратите внимание на надстройки, у которых в графе Издатель либо нет ничего, либо Не проверено . В графе Файл проверьте расширения файлов подозрительных настроек и отключите подозрительные расширения. Перезапустите Internet Explorer и убедитесь, что окно исчезло.

Баннеры, блокирующие доступ к ресурсам операционной системы

Эти «красавцы» блокируют доступ пользователя к ресурсам операционной системы. Диспетчер задач не запускается. Клавиатура и мышь работают, но окно баннера свернуть нельзя. Оно поверх всех окон, не даёт работать с другими программами и требует оплату за предоставление пароля для восстановления работоспособности системы.

ВНИМАНИЕ : для устранения баннеров такого типа достаточно применить ЛЮБОЙ из представленных ниже вариантов.

1. Восстановление системы

Один из лучших способов − откатить систему на 1-2 дня назад с помощью восстановления системы. «Коварная сволочь-баннер», несомненно, будет всячески препятствовать, мешать выполнить процедуру восстановления, но изловчиться можно и нужно, так как убрать эту «пакость» жизненно необходимо. Если у вас Windows ХР, то этот метод действует безотказно. Как сделать откат, все наверное, знают: Пуск → Все программы → Стандартные → Служебные → Восстановление системы → Восстановление более раннего состояния компьютера . Выбрать прошлую дату, отмеченную жирным шрифтом. Нажать кнопку «далее» и система самостоятельно восстановится до состояния на дату, указанную Вами.

Более прогрессивный и удобный метод восстановления системы предоставляет программа Acronis True Image Home . Установите эту замечательную программу на компьютер, сделайте резервные копии системы и при любых неприятностях, сбоях в работе, баннерах и т.д., просто восстановите систему. Огромное преимущества этого способа заключается в том, что при «поимке» баннера, например, вам необходимо просто сделать перезагрузку и, нажав клавишу F11 , активировать программу Acronis True Image Home, которая восстановит систему на дату создания резервной копии.

2. Использование сервисов деактивации вымогателей-блокеров

Производители антивирусов помогают нам найти код от баннера, поэтому обязательно посмотрите каждый из разблокираторов. В этом варианте можно попросить друзей о помощи с их компьютера, конечно, если у них эти ссылки в закладках. Пройдите по ссылкам. Понравившиеся, сохраните в закладках.

• //virusinfo.info/deblocker/
• //support.kaspersky.ru/viruses/deblocker
• //news.drweb.com/show/?i=304
• //www.drweb.com/unlocker/index
• //www.esetnod32.ru/support/winlock/

После разблокировки необходимо пройти процедуру лечения, предложенную лабораторией Касперского для полного удаления вредоносной программы!

Служба технической поддержки лаборатории Касперского предоставляет Kaspersky Rescue Disk 10 , который можно скачать бесплатно по ссылке //support.kaspersky.ru/viruses/rescuedisk?level=2

(Техническая поддержка предоставляется только пользователям, купившим коммерческую лицензию на Антивирус Касперского или Kaspersky Internet Security.)

3. Удаление из Автозагрузки

Можно попробовать вручную удалить баннер из Автозагрузки . Команда на запуск баннера должна быть в Автозагрузке (он ведь запускается вместе с Windows!). Можно попробовать убрать его оттуда с помощью какой-нибудь программы с функцией редактирования команд в Автозагрузке, например, EasyCleaner, CCleaner, TuneUp Utilites и много других. Сделать перезагрузку, войти в безопасный режим под учётной записью Администратора. Обратить внимание на новые, неизвестные Вам файлы, особенно с текущей датой, которые запускают баннер. Например plugin.exe . Удалить этот файл с Автозагрузки. Перезагрузиться в рабочий режим. Почистить реестр. Проблема исчезнет.

4. Вход в безопасный режим

Безопасный режим - режим защиты от сбоев. В безопасном режиме загружаются только те драйверы и службы, которые необходимы для работы системы. Безопасный режим Windows XP позволит исправить все ошибки и вернуть систему в рабочее состояние.

При перезагрузке компьютера не дожидаясь начала загрузки windows нажмите F8 . Вы попадёте в меню дополнительных вариантов загрузки.

1 . Загружаемся в безопасном режиме с поддержкой командной строки. (При перезагрузке компьютера не дожидаясь начала загрузки Windows после характерного сигнала часто нажимаем либо удерживаем в нажатом состоянии клавишу . В появившемся диспетчере задач выбираем: файл → новая задача (выполнить) .

3 . В открывшемся окошке вводим слово regedit . Откроется редактор реестра.

4 . В редакторе: . Делаем двойной щелчок мышью на папке Winlogon .

5 . В параметре Shell должно быть Explorer.exe , а там будет прописан путь к зараженному файлу. Удаляем всё лишнее.

6 . Находим ключ Userinit . Восстанавливаем значение на (запятая должна быть!). Перезагружаемся. Баннер устранён!

5. Диск Live CD

В сложном случае, если при перезагрузке невозможно перейти в безопасный режим (когда вредоносная программа отключает эту возможность), нужно воспользоваться компакт-диском Live CD .

Live CD — это аварийная ОС, которая загружается в оперативную память ПК. Может работать с неисправным жёстким диском или с отсутствием его. Имеет софт, чтобы посмотреть содержимое жёсткого диска и произвести действия для восстановления системы и решения других проблем.

Порядок действий практически такой же, как и в предыдущем методе, но, как Вы понимаете, сложность заключается в том, что необходим диск Live CD. Объём диска примерно 700-720мб. Windows_XP_LiveCD вы можете скачать в .

Запишите Windows_XP_LiveCD на CD-диск и он не раз выручит вас в критических ситуациях.

Перезагружаем с диском Live CD. Ждём пока установится аварийная ОС. Далее: Пуск → Программы → ERD Commander → утилиты → редактор реестра . Будьте особо внимательны при внесении изменений в системный реестр!

В редакторе: HKEY_LOKAL_MACHINE\Software\Microsoft\Windows NT\Current Version\Winlogon . Двойной щелчок мышью откроет папку Winlogon в правой половине в развёрнутом виде. Находим ключ Userinit . Восстанавливаем значение на C:\Windows\system32\userinit.exe, В параметре Shell (находится немного выше…) не должно быть ничего более, чем запись: Explorer.exe . Всё лишнее необходимо удалить.

А теперь всё вышесказанное в картинках:

Вставили диск Live CD, перезагружаемся. При помощи стрелок «вверх — вниз» на клавиатуре выбираем верхнюю ссылку (обозначенную на рисунке зелёным цветом), иначе при бездействии загрузится ваша ОС.

Аварийная операционная система загружена успешно. На рабочем столе видны значки загруженных программ. Присутствуют несколько антивирусов, программа Everest , благодаря которой можно узнать все данные о своём компьютере, AcronisTrueImage для восстановления системы, TotalCommander и др.

Нажимаем: Пуск → Программы → ERD Commander → утилиты → редактор реестра .

В редакторе находим: HKEY_LOKAL_MACHINE\Software\Microsoft\Windows NT\Current Version\Winlogon . Кликнув два раза кнопкой мыши, открываем папку Winlogon в правой части в развёрнутом виде.

Находим ключ Userinit , кликаем правой кнопкой мыши и в контекстном окне нажимаем вкладочку Modify .

Восстанавливаем значение на C:\Windows\system32\userinit.exe,

В параметре Shell (подчёркнуто красной линией) не должно быть ничего более, чем запись: Explorer.exe . Всё лишнее необходимо удалить.

Извлекаем диск LiveCD, перезагружаемся в обычный режим работы. Баннер умер!

6. Дополнительные варианты

1. Один из способов убрать баннер — отнести жесткий диск другу и проверить его антивирусом.
2. Переустановка Windows. Радикальный способ, надёжный, но не стоит им злоупотреблять. Необходимо начинать с простого, попробовать самому решить вопрос, испробовать все известные методы устранения проблемы, если не получается, обратиться к более продвинутым пользователям, тем более, что «не так уж и страшен чёрт, как его малюют!»
3. Обратиться в полицию. Заполнить заявление по соответствующей форме и ждать помощи от наших правоохранительных органов! Подумайте, почему так распоясались кибермошенники? Кто из пострадавших от этих людей написал заявление? Многие подумают, мол, ладно, сам виноват, не велики деньги, все-равно никто не поможет, или что-либо в этом роде. Ну, обманули, ограбили, главное, что не убили. Как-то и я так подумал, когда несколько лет тому назад «обчистили» квартиру. Вещи наживём, а, если бы в это время в квартире были маленькие дети или жена, думаете, пожалели бы их? Если представить себе на секунду, что баннер поймал, ну, например Путин, или Медведев! А они молодые люди и часто пользуются интернетом. Я, не то что уверен, это просто аксиома, что через каких-то 15 с половиной минут злоумышленник уже будет давать показания в соответствующем месте. Как может быть так, что в наше время невозможно вычислить кому принадлежит конкретный короткий номер? Ведь кто-то кому-то этот номер в пользование давал, и, наверняка, не за спасибо! Вот и пусть милиция разыскивает…. Как-то смотрел «Горячий вечер с Кеосаяном» на тему об СМС-мошенничестве. Он там сказал, что надо, мол, «включать мозги». Хорошо, конечно, включать их тем, во-первых, у кого они есть! А во-вторых, не все ведь и с мозгами сообразят, например, ребёнок, пожилой человек, жители деревни, глубинки, просто доверчивые люди и т.д. Если мы чаще будем обращаться, значит будет статистика данного рода нарушений закона и у органов будут наработки в этом вопросе. Нет обращений — значит нет проблем!

Резюме

В предотвращении подобных явлений очень хорошим гарантом может выступать лицензионный антивирус и постоянное обновление баз. Это, в первую очередь, конечно же, Касперский , D.WEB , NOD .

Если вы используете в качестве антивирусной программы KIS лаборатории Касперского, в настройках можно включить Анти-Баннер:

В этом случае баннер-вымогатель вы точно не поймаете, но и при установке всех галочек в чекбоксах настроек, лишитесь возможности наблюдать все остальные баннеры, как «чужие», так и «свои», включая и рекламу Гугла. Выбор в любом случае остаётся за вами.

Постарайтесь ограничить посещение п#рн#сайтов, не идите на поводу у мошенников при предложениях устанавливать незнакомые программы. Подобными действиями Вы самолично устанавливаете программу к себе на компьютер, даже, кликая якобы на крестик закрытия окна с предложением. В случае, когда окно невозможно закрыть, лучше закройте вкладку или выключите браузер. Если компьютер просит что-то обновить или переустановить (на п#рн#сайте!), при этом работая нормально, никакой нужды в обновлении или переустановке нет. Если сомневаетесь, лучше спросите у более продвинутых пользователей.

Установите браузер Mozilla Firefox и скачайте с официального сайта ADBLOCK Plus и установите (подключите обновляемые фильтры). Будет блокироваться вся реклама вообще, а о п#рн#баннерах и всплывающих окнах можно забыть.

Создайте две учётные записи: одну с правами администратора, а другую с правами обычного пользователя. Даже если компьютер не надо ни с кем делить. Режим обычного пользователя предпочтителен в повседневной работе. Если Вы работаете от имени администратора, то вирусы и другие вредоносные средства, случайно попавшие на компьютер, имеют полную свободу действий. А в тех сравнительно редких случаях, когда необходимо выполнить специальную настройку или установить программу, в систему можно войти с административными правами. Этот нехитрый приём значительно повышает безопасность.

Скачивайте с сайта Microsoft и устанавливайте все критические обновления безопасности, выходящие ежемесячно. Делайте это регулярно. Включите Автоматическое обновление.

Установите надёжный сетевой защитный экран — файервол (брандмауэр).

Всего Вам доброго и светлого! Пока. Ваш Л.М.

Борьба с троянцами семейства WinLock и MbrLock

(блокировщики Windows)

Актуальность вопроса

Троянцы, блокирующие работу Windows, с сентября 2009 года - одни из самых распространенных по частоте проявления. Например, за декабрь 2010 года более 40% обнаруженных вирусов - блокировщики Windows. Общее название подобных вредоносных программ - Trojan.Winlock.XXX, где XXX - номер, присвоенный сигнатуре, которая позволяет определить несколько (зачастую несколько сотен) схожих вирусов. Также подобные программы могут относиться к типам Trojan.Inject или Trojan.Siggen, но такое случается значительно реже.

Внешне троянец может быть двух принципиальных видов. Первый: заставка на весь экран, из-за которой не видно рабочий стол, второй: небольшое окно в центре. Второй вариант не закрывает экран полностью, но баннер все равно делает невозможной полезную работу с ПК, поскольку всегда держится поверх любых других окон.

Вот классический пример внешнего вида программы Trojan.Winlock:

Цель троянца проста: добыть для вирусописателей побольше денег с жертв вирусной атаки.

Наша задача - научиться быстро и без потерь устранять любые баннеры, ничего не платя злоумышленникам. После устранения проблемы необходимо написать заявление в полицию и предоставить сотрудникам правоохранительных органов всю известную вам информацию.

Внимание! В текстах многих блокировщиков встречаются различные угрозы («у вас осталось 2 часа», «осталось 10 попыток ввода кода», «в случае переустановки Windows все данные будут уничтожены» и т. д.). В основном это не более чем блеф.

Алгоритм действий по борьбе с Trojan.Winlock

Модификаций блокировщиков существует великое множество, но и число известных экземпляров очень велико. В связи с этим лечение зараженного ПК может занять несколько минут в легком случае и несколько часов, если модификация еще не известна. Но в любой ситуации следует придерживаться приведенного ниже алгоритма:

1. Подбор кода разблокировки.

Коды разблокировки ко многим троянцам уже известны и занесены в специальную базу, созданную специалистами компании «Доктор Веб». Чтобы воспользоваться базой, перейдите по ссылке https://www.drweb.com/xperf/unlocker/ и попробуйте подобрать код. Инструкция по работе с базой разблокировки: http:// support. drweb. com/ show_ faq? qid=46452743& lng= ru

Прежде всего, попробуйте получить код разблокировки, воспользовавшись формой, позволяющей ввести текст сообщения и номер, на который его нужно отправить. Обратите внимание на следующие правила:

Если требуется перевести деньги на счет или телефонный номер, в поле Номер необходимо указать номер счета или телефона, в поле Текст ничего писать не нужно.

Если требуется перевести деньги на телефонный номер, в поле Номер необходимо указать номер телефона в формате 8хххххххххх, даже если в баннере указан номер без цифры 8.

Если требуется отправить сообщение на короткий номер, в поле Номер укажите номер,

в поле Текст - текст сообщения.

Если сгенерированные коды не подошли - попробуйте вычислить название вируса с помощью представленных картинок. Под каждым изображением блокировщика указано его название. Найдя нужный баннер, запомните название вируса и выберите его в списке известных блокировщиков. Укажите в выпадающем списке имя вируса, поразившего ваш ПК, и скопируйте полученный код в строку баннера.

Обратите внимание, что, кроме кода, может быть выдана другая информация:

Win+D to unlock - нажмите комбинацию клавиш Windows+D для разблокировки.

any 7 symbols - введите любые 7 символов.

Воспользуйтесь генератором выше или use generator above - используйте для получения кода разблокировки форму Номер-Текст в правой части окна.

Используйте форму или Пожалуйста, воспользуйтесь формой - используйте для получения кода разблокировки форму Номер-Текст в правой части окна.

Если подобрать ничего чего не удалось

2. Если система заблокирована частично. Этот шаг относится к случаям, когда баннер «висит» в середине экрана, не занимая его целиком. Если доступ заблокирован полностью - переходите сразу к шагу 3. Диспетчер задач при этом блокируется аналогично полноэкранным версиям троянца, то есть завершить вредоносный процесс обычными средствами нельзя.

Пользуясь остатками свободного пространства на экране, сделайте следующее:

1) Проверьте ПК свежей версией лечащей утилиты Dr.Web CureIt! http://www.freedrweb.com/cureit/ . Если вирус благополучно удален, дело можно считать сделанным, если ничего не найдено - переходите к шагу 4.
2) Скачайте восстанавливающую утилиту Dr.Web Trojan.Plastix fix по ссылке http://download.geo.drweb.com/pub/drweb/tools/plstfix.exe и запустите скачанный файл. В окне программы нажмите Продолжить, и когда Plastixfix закончит работу, перезагрузите ПК.
3) Попробуйте установить и запустить программу Process Explorer (скачать можно с сайта
Microsoft: http://technet.microsoft.com/ru-ru/sysinternals/bb896653). Если запуск удался -
нажмите мышью в окне программы кнопку с изображением прицела и, не отпуская ее,
наведите курсор на баннер. Когда вы отпустите кнопку, Process Explorer покажет процесс,
который отвечает за работу баннера.

3. Если доступа нет совсем. Обычно блокировщики полностью загромождают баннером экран, что делает невозможным запуск любых программ, в том числе и Dr.Web CureIt! В этом случае необходимо загрузиться с Dr.Web LiveCD или Dr.Web LiveUSB http://www.freedrweb.com/livecd/ и проверить ПК на вирусы. После проверки загрузите компьютер с жесткого диска и проверьте, удалось ли решить проблему. Если нет - переходите к шагу 4 .

4. Ручной поиск вируса. Если вы дошли до этого пункта, значит поразивший систему троянец - новинка, и искать его придется вручную.

Для удаления блокировщика вручную необходимо получить доступ к реестру Windows, загрузившись с внешнего носителя.
Обычно блокировщик запускается одним из двух известных способов.

Через автозагрузку в ветках реестра
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

Путем подмены системных файлов(одного или нескольких) запускаемых в ветке HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
или, например, файла taskmgr.exe.

Для работы нам понадобится Dr.Web LiveCD/USB(или другие средства работы с внешним реестром).

Для работы с Dr.Web LiveCD/USB загрузите ПК с компакт-диска или флешки, после чего скопируйте на флеш- карту следующие файлы:

C:\Windows\System32\config\software *файл не имеет расширения*
C:\Document and Settings\Ваше_имя_пользователя\ntuser.dat

В этих файлах содержится системный реестр зараженной машины. Обработав их в программе Regedit, мы сможем очистить реестр от последствий вирусной активности и одновременно найти подозрительные файлы.

Теперь перенесите указанные файлы на функционирующий ПК под управлением Windows и сделайте следующее:

Запустите Regedit , откройте куст HKEY_LOCAL_MACHINE и выполните Файл –> Загрузить куст.
В открывшемся окне укажите путь к файлу software , задайте имя (например, текущую дату) для раздела и нажмите ОK.

В этом кусте необходимо проверить следующие ветки:
Microsoft\Windows NT\CurrentVersion\Winlogon:
Параметр Shell должен быть равен Explorer.exe . Если перечислены любые другие файлы - необходимо записать их названия и полный путь к ним. Затем удалить все лишнее и задать значение Explorer.exe .

Параметр userinit должен быть равен C:\Windows\system32\userinit.exe, (именно так, с запятой на конце, где C - имя системного диска). Если указаны файлы после запятой - нужно записать их названия и удалить все, что указано после первой запятой.
Встречаются ситуации, когда присутствует схожая ветвь с названием Microsoft\WindowsNT\CurrentVersion\winlogon . Если эта ветвь есть, ее необходимо удалить.

Microsoft\Windows\CurrentVersion\Run - ветвь содержит настройки объектов автозапуска.

Особенно внимательно следует отнестись к наличию здесь объектов, отвечающих следующим критериям:

Имена напоминают системные процессы, но программы запускаются из других папок
(например, C:\Documents and Settings\Dima\svchost.exe ).

Имена вроде vip-porno-1923.avi.exe .

Приложения, запускающиеся из временных папок.

Неизвестные приложения, запускающиеся из системных папок (например, С:\Windows\system32\install.exe ).

Имена состоят из случайных комбинаций букв и цифр
(например, C:\Documents and Settings\Dima\094238387764\094238387764.exe ).

Если подозрительные объекты присутствуют - их имена и пути необходимо записать, а соответствующие им записи удалить из автозагрузки.

Microsoft\Windows\CurrentVersion\RunOnce - тоже ветвь автозагрузки, ее необходимо проанализировать аналогичным образом.

Завершив анализ, нажмите на имя загруженного раздела (в нашем случае он называется по дате) и выполните Файл –> Выгрузить куст .

Теперь необходимо проанализировать второй файл - NTUSER.DAT . Запустите Regedit , откройте куст HKEY_LOCAL_MACHINE и выполните Файл –> Загрузить куст . В открывшемся окне укажите путь к файлу NTUSER.DAT , задайте имя для раздела и нажмите ОK.

Здесь интерес представляют ветки Software\Microsoft\Windows\CurrentVersion\Run и Software\Microsoft\Windows\CurrentVersion\RunOnce , задающие объекты автозагрузки.

Необходимо проанализировать их на наличие подозрительных объектов, как указано выше.

Также обратите внимание на параметр Shell в ветке Software\Microsoft\Windows NT\CurrentVesion\Winlogon . Он должен иметь значение Explorer.exe . В то же время, если такой ветки нет вообще - все в порядке.
Завершив анализ, нажмите на имя загруженного раздела (в нашем случае он называется по дате) и выполните Файл –> Выгрузить куст .

Получив исправленный реестр и список подозрительный файлов, необходимо сделать следующее:

Сохраните реестр пораженного ПК на случай, если что-то было сделано неправильно.

Перенесите исправленные файлы реестра в соответствующие папки на пораженном ПК с помощью Dr.Web LiveCD/USB (копировать с заменой файлов). Файлы, информацию о которых вы записали в ходе работы - сохраните на флешке и удалите из системы. Их копии необходимо отправить в вирусную лабораторию компании «Доктор Веб» на анализ.

Попробуйте загрузить инфицированную машину с жесткого диска. Если загрузка прошла
успешно и баннера нет - проблема решена. Если троянец по-прежнему функционирует,
повторите весь пункт 4 этого раздела, но с более тщательным анализом всех уязвимых и часто используемых вирусами мест системы.

Внимание! Если после лечения с помощью Dr.Web LiveCD/USB компьютер не загружается
(начинает циклически перезагружаться, возникает BSOD), нужно сделать следующее:

Убедитесь, что в папке config находится один файл software . Проблема может возникать, потому что в Unix-системах регистр в имени файлов имеет значение (т. е. Software и software - разные имена, и эти файлы могут находиться в одной папке), и исправленный файл software может добавиться в папку без перезаписи старого. При загрузке Windows, в которой регистр букв роли не играет, происходит конфликт и ОС не загружается. Если файлов два - удалите более старый.

Если software один, а загрузка не происходит, высока вероятность, что система поражена «особенной» модификацией Winlock . Она прописывает себя в ветку HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon , в параметр Shell и перезаписывает файл userinit.exe . Оригинальный userinit.exe хранится в той же папке, но под другим именем (чаще всего 03014d3f.exe). Удалите зараженный userinit.exe и переименуйте соответствующим образом 03014d3f.exe (имя может отличаться, но найти его легко).
Эти действия необходимо провести, загрузившись с Dr.Web LiveCD/USB, после чего попробовать загрузиться с жесткого диска.

На каком бы из этапов ни кончилась битва с троянцем, необходимо обезопасить себя от
подобных неприятностей в будущем. Установите антивирусный пакет Dr.Web и регулярно
обновляйте вирусные базы.

" предупреждают о появлении нового троянца-вымогателя Trojan-Ransom.Win32.Vkont.a. СМС-блокер использует нестандартную схему распространения, маскируясь под бесплатную программу, которую скачивают желающие пошпионить в Интернете за друзьями и знакомыми. Попавшиеся на эту приманку расплачиваются за свое любопытство деньгами, не получая взамен ожидаемого результата.

Распространяется зловред через мошеннический сайт, на котором предлагается скачать ПО для взлома учетных записей в социальной сети "ВКонтакте". Очевидно, что посетителями этой страницы движут отнюдь не благородные мотивы. Однако после клика на кнопку загрузки под видом "программы-взломщика" начинается скачивание троянца-вымогателя, при чем о подмене ничего не сообщается.

Фрагмент сайта, с которого загружается программа-блокер

Попав на компьютер, зловред выводит на Рабочий стол окно с предложением отправить СМС-сообщение на короткий номер, чтобы получить программу для доступа к личным данным пользователей сети "ВКонтакте". Одновременно троянец блокирует работу системы до тех пор, пока вымогатели не получат выкуп в виде СМС-ки.

СМС-блокер открывает окно с предложением приобрести программу, с помощью которой можно отслеживать действия пользователей социальной сети "ВКонтакте"

Однако, отправив СМС-сообщение, пользователь оказывается дважды "наказан" злоумышленниками. Троянец скачает архив VK-Hack.zip, в котором находятся программа для подбора паролей к аккаунтам в популярных почтовых сервисах, а также ПО класса ShareWare, за полноценное использование которого необходимо заплатить дополнительно. Таким образом, жертва уловки мошенников не только оплачивает отправку дорогостоящей СМС-ки, но и получает совсем не бесплатные программы сомнительного функционала.

Об СМС-блокерах

Алгоритм работы троянцев-вымогателей прост и заключается в блокировании работы компьютера с целью получения денег злоумышленниками. Для этого пользователю предлагается отправить СМС-сообщение на короткий номер в обмен на пароль для восстановления данных или нормальной работоспособности компьютера. Для России проблема "блокеров" является наиболее актуальной. По данным "Лаборатории Касперского", ежедневно с такими вредоносными программами сталкиваются несколько тысяч российских пользователей. Дополнительную информацию можно найти на сайте:

Интерне т - это одна из сфер нашей жизни, площадка для общения. Загнать совсем его в прокрустово ложе и невозможно технически, и неправильно морально!