Вирусы становятся всё изощреннее, – теперь они, к примеру, не только портят какие-либо определенные файлы, но и изменяют системные настройки и т.д. Поэтому даже после лечения зараженного компьютера остаются всевозможные проблемы, например, не открывается флэшка (или локальный диск), не открываются какие-либо файлы, некорректно работают некоторые программы…
К сожалению, антивирусы, вылечив ПК, не могут восстановить нарушенные вирусами программные и системные настройки.
Радикальный метод – форматирование винчестера и переустановка операционной системы – не всегда приемлем в силу различных причин.
В таких случаях остается один выход – восстанавливать всё вручную.
1. Если вы не можете запустить Диспетчер задач.
Если при попытке запустить Диспетчер задач Windows (любым способом – или с помощью Ctrl+Alt+Del, или с помощью Пуск –> Выполнить… –> taskmgr –> OK) появляется диалоговое окно «Диспетчер задач» с сообщением «Диспетчер задач отключен администратором», то это, как правило, говорит о возможном заражении системы вирусами.
Дело в том, что вирусы отключают Диспетчер задач, чтобы их нельзя было принудительно выгрузить из оперативной памяти. При этом в Реестре Windows в разделе[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem] создается параметр REG_DWORD DisableTaskMgr со значением 1.
Как сделать доступным запуск Диспетчера задач, или Займемся «групповухой»
Даже после удаления вируса, запретившего запуск Диспетчера задач, запуск его невозможен. Чтобы вновь сделать возможным запуск Диспетчера задач нажмите Пуск –> Выполнить… –> в поле Открыть: введите gpedit.msc –> OK –> откроется диалоговое окно Групповая политика –> Групповая политика –> Политика «Локальный компьютер» –> Конфигурация пользователя –> Административные шаблоны –> Система –> Возможности Ctrl+Alt+Del –> справа в окне Возможности Ctrl+Alt+Del двойным щелчком левой кнопки мыши по строке Удалить диспетчер задач (Состояние по умолчанию – Не задана) вызовите окно Свойства: Удалить Диспетчер задач –> установлен переключатель Включен –> поставьте Отключен (или Не задан) –> Применить –> OK.
Закройте окно Групповая политика. Для вступления в силу изменений без перезагрузки ПК сверните все открытые окна (щелкнув кнопку Свернуть все окна на панели Быстрый запуск, или нажав сочетание клавиш – клавиши с логотипом Windows+D), нажмите клавишу F5 (или щелкните правой кнопкой мыши по свободной от значков поверхности Рабочего стола, в открывшемся контекстном меню щелкните Обновить).
Если запуск Редактора реестра не заблокирован (что после вирусной атаки бывает редко), для включения Диспетчера задач можно отредактировать Реестр: нажмите Пуск –> Выполнить… –> в поле Открыть: введите regedit –> OK –> откроется Редактор реестра. В разделе [HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem] нужно найти параметр REG_DWORD DisableTaskMgr и установить его значение 0 (или совсем удалить этот параметр).
2. Если пункт меню Свойства папки недоступен.
Как правило, недоступность пункта меню Свойства папки говорит о возможном заражении системы вирусами. Дело в том, что вирусописатели устанавливают для своих вирусов атрибуты Скрытый (а иногда еще и Системный). А для того, чтобы затруднить пользователю возможность визуального определения вирусов (на антивирус в этом случае надежды уже нет: если вирусы проникли в систему, то антивирус или отсутствует, или не может их идентифицировать, или «убит»), и удаляется пункт меню Свойства папки. При этом в Реестре Windows в разделе [HKEY_CURRENT_USER Software Microsoft Windows CurrentVersion Policies Explorer] создается параметр REG_DWORD NoFolderOptions со значением 1.
Как восстановить пункт меню Свойства папки, или Займемся «групповухой»
Даже после удаления вируса, запретившего пункт меню Свойства папки, он остается недоступным (ни один антивирус пункт меню Свойства папки не восстанавливает). Чтобы восстановить его, нажмите Пуск –> Выполнить… –> в поле Открыть: введите gpedit.msc –> OK –> Групповая политика –> Политика «Локальный компьютер» –> Конфигурация пользователя –> Административные шаблоны –> Компоненты Windows –> Проводник –> справа в окне Проводник двойным щелчком левой кнопки мыши по строке Удалить команду «Свойства папки» из меню «Сервис» вызовите окно Свойства: Удалить команду «Свойства папки» из меню «Сервис» –> установите переключатель Отключен (или Не задан) –> Применить –> OK.
Закройте окно Групповая политика. Для вступления в силу изменений без перезагрузки ПК сверните все открытые окна (щелкнув кнопку Свернуть все окна на панели Быстрый запуск, или нажав сочетание клавиш – клавиши с логотипом Windows+D), нажмите клавишу F5 (или щелкните правой кнопкой мыши по свободной от значков поверхности Рабочего стола, в открывшемся контекстном меню щелкните Обновить).
Если запуск Редактора реестра не заблокирован (что после вирусной атаки бывает редко), для восстановления пункта меню Свойства папки можно отредактировать Реестр: Пуск –> Выполнить… –> в поле Открыть: введите regedit –> OK –> откроется Редактор реестра. В разделе [HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer] нужно найти параметр REG_DWORD NoFolderOptions и установить его значение 0 (или совсем удалить этот параметр).
3. Если вы не можете запустить Редактор реестра Windows.
Если при попытке запустить Редактор реестра (любым способом: Пуск –> Выполнить… –> regedit –> OK, или C:WINDOWSregedit.exe, или путем запуска reg-файлов) появляется окно «Редактор реестра» с сообщением «Редактирование реестра запрещено администратором системы», это говорит о возможном заражении системы вирусами.
Дело в том, что вирусы «прописываются» в Реестре Windows (при этом в разделе [HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem]создается параметр REG_DWORD DisableRegistryTools со значением 1). А чтобы их (вирусы) нельзя было выкорчевать из системы, они и делают невозможным запуск Редактора реестра Windows.
Как сделать доступным запуск Редактора реестра, или Займемся «групповухой»
Даже после удаления вируса, запретившего запуск Редактора реестра, запуск его невозможен. Чтобы вновь сделать его доступным, нажмите Пуск –> Выполнить… –> в поле Открыть: введите gpedit.msc –> OK –> Групповая политика –> Политика «Локальный компьютер» –> Конфигурация пользователя –> Административные шаблоны –> Система –> справа в окне Система двойным щелчком левой кнопки мыши по строке Сделать недоступными средства редактирования реестра вызовите окно Свойства: Сделать недоступными средства редактирования реестра –> установите переключатель Отключен (или Не задан) –> Применить –>OK. Закройте окно Групповая политика. Для вступления в силу изменений без перезагрузки ПК сверните все открытые окна (щелкнув кнопку Свернуть все окна на панели Быстрый запуск, или нажав сочетание клавиш – клавиши с логотипом Windows+D), нажмите клавишу F5 (или щелкните правой кнопкой мыши по свободной от значков поверхности Рабочего стола, в открывшемся контекстном меню щелкните Обновить).
Примечания
1. Групповая политика Сделать недоступными средства редактирования реестра отключает использование Редактора реестра (regedit.exe). Если эта политика включена, а пользователь попытается запустить Редактор реестра, будет выведено сообщение о том, что текущая политика запрещает выполнение этого действия.
2. Можно сделать доступным запуск Редактора реестра Windows, запустив альтернативный Редактор реестра (например, загрузившись с аварийно-восстановительного диска типа ERD Commander), в разделе [HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem] нужно найти параметр REG_DWORD DisableRegistryTools и установить его значение 0 (или совсем удалить этот параметр).
Внимание! При работе с Редактором реестра Windows следует соблюдать осторожность, а то можно такого наредактировать, что придется переустанавливать операционную систему!..
3. При работе пользователя ПК в корпоративной локальной сети отключение Редактора реестра зачастую производится системным администратором – для защиты от деструктивных действий пользователя с шаловливыми ручками! – на то он и сисадмин!..
4. Чтобы утилита Редактор реестра могла запускаться, в Реестре в разделе [HKEY_CLASSES_ROOTregeditshellopencommand] значение строкового параметра по умолчанию должно быть – regedit.exe «%1»
Чтобы информацию из reg-файлов можно было добавлять в Реестр, в разделе [HKEY_CLASSES_ROOTregfileshellopencommand] значение строкового параметра по умолчанию должно быть – regedit.exe «%1»
Вирусы иногда искажают эти параметры.
4. Если вы не можете открыть флэшку.
Иногда при попытке открыть флэшку (или локальный диск) щелчком левой кнопки мыши появляется сообщение об ошибке, что невозможно открыть флэшку, т.к. отсутствует какой-либо файл, как правило, autorun.inf. В таком случае нужно открывать флэшку (или локальный диск), вызывая правой кнопкой мыши контекстное меню (выбрать пункт Проводник или Открыть).
Такое поведение флэшки обусловлено тем, что она была заражена вирусом, прописавшим ей автозапуск для дальнейшего распространения заразы. После чего она была пролечена антивирусом (или файл autorun.inf был удален вручную), но запись об автозапуске флэшки осталась в Реестре Windows.
Следует отметить, что в последнее время очень широко распространены всевозможные USB-шные (флэшечные) вирусы, специально созданные для съемных носителей информации и распространяемые при помощи этих носителей.
Как происходит заражение
На зараженном ПК эти вирусы являются резидентными – они постоянно находятся в оперативной памяти и отслеживают порты USB на предмет подключения съемных носителей. При подключении носителя он проверяется вирусом, заражен ли он уже таким вирусом. Если нет, то вирус копирует на носитель исполняемый файл, а для автоматического запуска вируса при каждом открытии в корневой директории носителя создается файл autorun.inf.
Например, одна из разновидностей вируса RavMon создает в корневой директории носителя файл autorun.inf со следующим содержимым:
[AutoRun]
open=RavMon.exe
shellopen=ґтїЄ(&O)
shellopenCommand=RavMon.exe
shellexplore=ЧКФґ№ЬАнЖч(&X)
shellexploreCommand=»RavMon.exe -e»
При открытии флэшки (или корневой директории локального диска, когда вирус заражает винчестер ПК) этот файл создает в Реестре Windows ключи, подобные следующим:
[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerMountPoints2{8397b16a-78ce-11dc-abd6-806d6172696f}ShellAutoRuncommand]
строковый параметр по умолчанию – RavMon.exe
[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerMountPoints2{8397b16a-78ce-11dc-abd6-806d6172696f}Shellexplore]
строковый параметр по умолчанию – ЧКФґ№ЬАнЖч(&X)
[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerMountPoints2{8397b16a-78ce-11dc-abd6-806d6172696f}ShellexploreCommand]
строковый параметр по умолчанию – RavMon.exe -e
[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerMountPoints2{8397b16a-78ce-11dc-abd6-806d6172696f}Shellopen]
строковый параметр по умолчанию – ґтїЄ(&O)
[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerMountPoints2{8397b16a-78ce-11dc-abd6-806d6172696f}ShellopenCommand]
строковый параметр по умолчанию – RavMon.exe
При этом в контекстном меню дисков вместо пунктов Открыть, Проводник – появляются пункты ґтїЄ(O), ЧКФґ№ЬАнЖч(X).
В чем заключается проблема и как ее решить
Проблема заключается в том, что после лечения флэшки (или локального диска) файл autorun.inf и ключи Реестра, созданные вирусом, остаются, и при попытке открытия носителя левой кнопкой мыши появляется сообщение об ошибке.
В таком случае открывайте носитель щелчком правой кнопки мыши (из контекстного меню выберите Проводник или Открыть). Как правило, при этом диск раскрывается.
Если же появится окно Выбор программы с сообщением Выберите программу для открытия этого файла. Файл (Буква_диска), в поле Программы по умолчанию будет выделен Internet Explorer, с помощью которого можно открыть диск, щелкнув кнопку OK. Если в поле Программы нет Internet Explorer (или с его помощью раскрыть диск не удается), щелкните кнопку Обзор… и выберите Проводник Windows (WINDOWSexplorer.exe) –> OK –> OK.
Раскрыв диск, найдите файл autorun.inf и удалите его.
Внимание!
1. Этот файл, как правило, имеет атрибуты Скрытый, Системный, Только для чтения. Поэтому в меню Сервис –> Свойства папки… –> Вид –> нужно поставить переключатель Показывать скрытые файлы и папки, установить флажок Отображать содержимое системных папок и снять флажок Скрывать защищенные системные файлы –> OK.
Если пункт меню Свойства папки недоступен, см. Что делать, если недоступен пункт меню «Свойства папки»?
2. Если удалить из Реестра ключи, созданные вирусом, но оставить файл autorun.inf, то при каждой попытке раскрыть носитель этот файл будет вновь создавать ключи вируса в Реестре.
3. Если вирус пропишет файл autorun.inf в корне локального диска (C:, D:, E:…), то симптомы будут такие же (т.е. левой кнопкой мыши раскрыть его не удастся).
Теперь нужно открыть Редактор реестра Windows: Пуск –> Выполнить… –> regedit –> OK;
– найти раздел [HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerMountPoints2(Буква_неоткрывающегося_диска)];
– удалить в нем подраздел Shell.
Внимание!
1. Будьте осторожны при манипуляциях с Реестром! Некорректное использование Редактора реестра может привести к возникновению серьезных неполадок, вплоть до переустановки операционной системы!
2. В разделе [HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerMountPoints2] диски обозначаются не только буквами (C:, D:, E:…), но и глобальными уникальными идентификаторами (GUID), имеющими вид типа {8397b16a-78ce-11dc-abd6-806d6172696f}. Поэтому ищите диски не только по буквам, но и по GUID.
3. Для штатного раскрытия любого диска в разделе
[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerMountPoints2(Буква_диска)] достаточно строкового (REG_SZ) параметра BaseClass со значением Drive (при этом значение параметру «по умолчанию» не присвоено).
4. Если ошибка остается, продолжите поиск в Реестре по имени вируса (например, RavMon), или по созданному вирусом названию пункта контекстного меню (например, ЧКФґ№ЬАнЖч(X). Для этого в меню Правка –> Найти… –> в окне Поиск в поле Найти введите название искомого параметра –> Найти далее –> F3.
5. Если вы не можете запустить Проводник Windows (как правило, в этом случае – еще при запуске ОС – появляется сообщение об ошибке, что не найден какой-то файл), это означает, что вирус прописал себя вместо Explorer.exe.
Запустите Редактор реестра Windows: нажмите Пуск –> Выполнить… –> regedit –> OK;
– найдите раздел [HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon];
– исправьте значение строкового параметра Shell на Explorer.exe
6. Если вы не можете запустить никакие исполняемые (exe-файлы), найдите в Реестре раздел [HKEY_CLASSES_ROOTexefileshellopencommand] и исправьте значение строкового параметра по умолчанию на «%1» %*
7. Если вы не можете запустить com-файлы, найдите в Реестре раздел [HKEY_CLASSES_ROOTcomfileshellopencommand] и исправьте значение строкового параметра по умолчанию на «%1» %*
8. Если вы не можете запустить bat-файлы, найдите в Реестре раздел [HKEY_CLASSES_ROOTbatfileshellopencommand] и исправьте значение строкового параметра по умолчанию на «%1» %*
9. Если вы не можете запустить cmd-файлы, найдите в Реестре раздел [HKEY_CLASSES_ROOTcmdfileshellopencommand] и исправьте значение строкового параметра по умолчанию на «%1» %*
10. Если вы не можете запустить pif-файлы, найдите в Реестре раздел [HKEY_CLASSES_ROOTpiffileshellopencommand] и исправьте значение строкового параметра по умолчанию на «%1» %*
11. Если вы не можете запустить Internet Explorer, найдите в Реестре раздел [HKEY_LOCAL_MACHINESOFTWAREClassesApplicationsiexplore.exeshellopencommand] и исправьте значение строкового параметра по умолчанию на «C:Program FilesInternet Exploreriexplore.exe» %1
Вирусы часто «молотят» под системные файлы, например, вместо iexplore.exe может появиться зараженный файл 1explore.exe.
12. Если вы не можете запустить txt-файлы, найдите в Реестре раздел [HKEY_CLASSES_ROOTtxtfileshellopencommand] и исправьте значение расширяемого строкового параметра по умолчанию на %SystemRoot%system32NOTEPAD.EXE %1
13. Если вы не можете запустить reg-файлы, найдите в Реестре раздел [HKEY_CLASSES_ROOTregfileshellopencommand] и исправьте значение строкового параметра по умолчанию на regedit.exe «%1»
14. Если у вас начались проблемы с установкой программ, найдите в Реестре раздел [HKEY_CLASSES_ROOTMsi.PackageshellOpencommand] и исправьте значение расширяемого строкового параметра по умолчанию на «%SystemRoot%System32msiexec.exe» /i «%1» %*
15. Если у вас начались проблемы с унинсталляцией (удалением) программ, найдите в Реестре раздел [HKEY_CLASSES_ROOTMsi.PackageshellUninstallcommand] и исправьте значение расширяемого строкового параметра по умолчанию на «%SystemRoot%System32msiexec.exe» /x «%1» %*
Внимание!
1. Будьте осторожны при манипуляциях с Реестром! Некорректное использование Редактора реестра может привести к возникновению серьезных неполадок, вплоть до переустановки операционной системы!
2. Помните, что предупредить легче, чем лечить! Пользуйтесь брандмауэрами и надежными антивирусными программами с регулярно (не менее одного раза в неделю!) обновляемыми базами.
3. Рекомендации данной статьи предназначены для ОС Windows 2000/XP/2003/Vista, для Windows 95/98/Me будут незначительные отличия.