Вирусописатели раз от раза становятся все изобретательнее и изобретательнее. На смену уже всем "знакомого" вируса-блокировщика Winlock, от которого можно , пришел новый, более продвинутый вирус, который блокирует работу компьютера еще до того момента, когда начнет стартовать сама операционная система. Отсюда следует, что "старые" методы избавления уже не действуют и нужно искать что-то новое.
Ниже представлен способ избавления от блокировщика MBRLock, который почему-то "в народе" назвали - блокировщиком BIOS`а.
Небольшое отступление
Работа вируса MBRLock заключается в том, что он меняет загрузочную область MBR и просто прописывается вместо загрузки операционной системы. Пользователь, который включает свой компьютер, чаще всего видит на черном фоне грубый текст с вымогательным контекстом, требующий отправить некоторую сумму либо на мобильный телефон, либо на рублевый счет WebMoney. После оплаты у пользователя якобы на чеке будет код-разблокировки, который после набора просто выполнит стандартную процедуру восстановления MBR-области (если Вы не знаете что такое MBR, то можете ознакомится на Wiki).
Поэтому этот вирус никак не может выступать в качестве вируса-блокировщика BIOS, так как получить доступ к этой подсистеме можно вне зависимости от его наличия на вашем компьютере.
Универсальный способ избавления от блокировщика Windows - MBRLock
В Интернете можно найти очень много способов для решения этой проблемы, но все они относятся к ней словно "забивать гвозди микроскопом". Никто не утверждает, что с помощью LiveCD с "пиратской" Windows или какого-то другого программного обеспечения, нельзя убрать этот блокировщик. Конечно же можно, но это решение не совсем верное, простое и, самое главное, безопасное.
Самый универсальный способ избавится от блокировщика Windows - это восстановить главную загрузочную область MBR с помощью любого установочного диска с подобной операционной системой.
Избавляемся от MBRLock:
Приведенный способ выше является универсальным способом избавления от вируса-вымогателя MBRLock, который позволяет это сделать с минимальными "вложениями" и полностью стандартными средствами Windows.
Все так как Гейтс прописал...
P.S. Если сравнить 2 вируса: Winlock и MBRLock, то получается, что проще поддается "лечению" именно MBRLock - продолжатель Winlock`ера.Если Вы чувствуете, что Ваш WEB-ресурс должен быть на первых строчках поисковиков, а вместо этого он ютится где-то на последних местах, необходимо воспользоваться SEO или SMO. Дешевле и стабильнее использовать поисковое продвижение сайта , которое несомненно подвинет ваш сайт выше и сделает его более посещаемым, чем сейчас.
Случайные 7 статей:
Комментарии
-
cayenne
20 Январь, 23:19Если-б было все так просто… Иногда вылетает BSOD на стадии предварительной загрузки файлов. Даже не доходит до “первого окна”.. Все равно приходится грузиться с livecd править вайл boot.ini и сканировать антивирусом..
-
Сергей
8 Февраль, 21:18Да статья интересная, но нужно перечитывать…
-
faceless
2 Апрель, 01:51 -
Mut@Nt
2 Апрель, 05:48faceless: Испытывал я данное средство в работе, и фиксом MBR иногда не получается отделаться. Получилось избавиться от этой гадости только методом загрузки с LiveDVD, зачисткой всех временных папок винды, а уже только затем фиксил загрузочную запись.
Ну если вирус все еще активен и сидит где-то, то все возможно.
-
tuti
30 Апрель, 20:58полезно
-
faceless
21 Июнь, 22:45Mut@Nt: faceless: Испытывал я данное средство в работе, и фиксом MBR иногда не получается отделаться. Получилось избавиться от этой гадости только методом загрузки с LiveDVD, зачисткой всех временных папок винды, а уже только затем фиксил загрузочную запись.
Ну если вирус все еще активен и сидит где-то, то все возможно.
Описание проблемы:
Сразу после включения питания компьютера начинает работать процедура проверки POST
(Power On Self Test
). Процедура POST
считывает с жесткого диска главную загрузочную запись (MBR
- Master Boot Record
) и записывает ее в оперативную память компьютера. Главная загрузочная запись содержит программу первоначальной загрузки и таблицу разделов, в которой описаны все разделы жесткого диска. Загрузочные вирусы при заражении заменяют главную загрузочную запись, после чего компьютер загружается как обычно, но вирус уже находится в памяти и может контролировать работу всех программ и драйверов. После этого при каждой загрузке компьютера вирус получает управление и резидентно размещает себя в памяти.
Решения проблемы: Если антивирус не может удалить вирус из MBR сектора, то для решения проблемы можно воспользоваться средствами Windows, а именно - восстановление системы. При помощи восстановления системы можно перезаписать основную загрузочную запись загрузочного раздела, и таким образом удалить вирус. Для работы понадобится загрузочный диск Windows.
Для запуска восстановления системы, необходимо запустить компьютер с загрузочного диска. Чтобы загрузиться с загрузочного диска нужно включить компьютер и нажимать кнопку Delete для входа в настройки BIOS, Установить загрузку с CD-ROM"а. Вставить загрузочный диск с установочным пакетом Windows и перезагрузить компьютер. Когда установщик Windows загрузит свои файлы в оперативную память ПК, появится диалоговое окно Установка Windows, содержащее меню выбора, из которого нужно выбрать пункт *Чтобы восстановить Windows с помощью консоли восстановления, нажмите .
Необходимо нажать клавишу R . Загрузится консоль восстановления. Если на ПК установлена одна ОС, и она (по умолчанию) установлена на диске C: ,
то появится следующее сообщение:
В какую копию Windows следует выполнить вход?
Нужно ввести 1 , нажать Enter и ввести пароль администратора. Появится приглашение системы, ввести fixmbr.
Появится сообщение:
**ПРЕДУПРЕЖДЕНИЕ**
На этом компьютере присутствует нестандартная или недопустимая основная загрузочная запись. При использовании FIXMBR можно повредить имеющуюся таблицу разделов. Это приведет к утере доступа ко всем разделам текущего жесткого диска.
Посмотрим, кто опять заблокировал Windows и просит отправить СМС на платный номер. Но до экрана приветствия операционной системы дело так и не дошло. Сразу после проверки POST (Power-On Self-Test, для интересующихся), на том же черном экране разноцветными буквами мне сообщили, что "Вы оштрафованы за просмотр детской порнографии... Отправьте СМС стоимостью 600 рублей абоненту МТС с таким-то номером, а иначе - ...", и разные угрозы про удаление всех личных данных и паролей к порно-сайтам. Пробую набрать слепым десятипальцевым методом произвольное число на клавиатуре, нажимаю Enter, а Миша уже кричит, что сейчас у него удалятся все игрушки. Но ничего не взорвалось, даже на припаркованных во дворе машинах не запищала сигнализация. Зато появился первый вопрос: операционная система уже начала работать, или вирус прописался в загрузочном секторе жесткого диска? Проверим. Перезагружаюсь, несколько раз жму F8, но снова на экране та же картинка вместо предложения выбрать безопасный режим. Значит все-таки вирус сидит в MBR (Master Boot Record, продолжаем лекцию).
Потребуется загрузочный диск. Вирус в нулевом секторе жесткого диска получает управление после того, как BIOS (Basic Input/Output System, ну я прям сегодня как википедия!) проверяет установленный порядок загрузки с обнаруженных устройств. Значит, загрузка с CD вирусом отключена быть не может, если только он не прописался в саму BIOS, что большая редкость в последнее время. Достаю диск с ERD Commander, загружаюсь с него и сразу жму кнопку, исправляющую ошибки в MBR. Диск больше не нужен. Windows запускается, абонент МТС денег не просит.
Переходим к плановому осмотру. Process Explorer вместо стандартного диспетчера задач должен показать нам всех местных жителей с паспортными данными и адресами прописки. На первый взгляд - ничего лишнего. Но под подозрение натренированного взгляда попадают два процесса svchost.exe, запущенные из-под explorer.exe со странной командной строкой: "-k netsvcs". Во-первых, svchost должен запускаться из-под services.exe, а во-вторых, в командной строке должно быть указано еще и имя самого процесса, т.е. "svchost.exe -k netsvc". Вирусописатели оказались не внимательными к деталям, забыли плащ-невидимку накинуть на голову.
Чтобы ускорить процесс изгнания бесов подумал, что можно спросить мистера Гуглинга, какими деструктивными действиями уже засветились вирусы из MBR, узнать таким образом явки, пароли, ключи реестра. Запускаю Chrome и не могу открыть ни одну страницу. Доступ к интернету есть, файл c:\windows\system32\drivers\etc\hosts - чистый, google.com из консоли пингуется успешно. Internet Explorer и Opera падают на взлете с неизвестной ошибкой. FireFox не установлен. Что ж, может быть хитрый вирус нашел исполняемые файлы браузеров и подменил их чем-нибудь, либо просто какую библиотеку бросил к ним в папочку. Устанавливаю FireFox с флешки, должен быть аки невеста в первую брачную ночь. Но и чистый Огнелис косит та же беда. Надо смотреть на процесс загрузки, зря что ли специальную >программу для этого написал! Запускаю свой Process Launch Watcher от имени Администратора, нахожу бинарник opera.exe, открываю. Браузер запустился. В логе ничего левого нет, все библиотеки нужные, никто не пристроился. Пробую еще раз загрузить Оперу самостоятельно - тот же падёж. А если от имени Администратора? А вот так - получается. Уже интересно! Но смысл не понятен.
Начинаем искать виноватых. Бегло просматриваю корень системного диска. Ничего странного, кроме двух папочек с мусорными именами в 16 случайных символов. Внутри лежат какие-то файлы с расширением.dat и набором непонятных шестнадцатеричных кодов. Убил. Но они мгновенно воскресли. Ух ты! Прям птица Феникс в реальном времени! В Process Explorer удаляю не понравившиеся мне ранее две копии svchost.exe, снова удаляю эти папочки - тишина. Но это пока так, щелкнули огнедышащего дракона по носу и не более. Надо искать, где у него незащищенное место в панцире, чтоб пустить заряд из Царь-пушки. Выкатываю на линию огня AVZ. В логе присутствует непонятный драйвер 2870456drv.sys, сидящий в C:\Windows\system32\drivers. В автозагрузке притаился файл без имени - ".exe" по адресу C:\Users\<Пользователь>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\.exe и рядом с ним 4nIcwkcvSVc.exe. И вдобавок AVZ сильно ругался, что вышеупомянутый драйвер перехватил аж 52 функции ядра Windows, отвечающие за сетевые соединения, управление процессами, манипуляции с файлами и реестром, а также некоторые информационные. Полный список приводить не буду, незачем. Также сканер встрепенулся насчет прямого чтения sppcomapi.dll, но вероятно это является следствием работы активатора Windows, например, такого как >мой:) После перезагрузки и выполнения еще одного стандартного лога драйвер переименовался в 11296972.sys. Однако уже не было сообщений о перехвате им функций.
В скрипт для AVZ вписал всех нарушителей, выполнил. Вирус в MBR оказался обычным алчным вымогателем, драйвер с постоянно меняющейся внешностью и фамилией путем перехвата системных функций операционной системы пытался обмануть пользователя, неумело маскируя имена своих процессов под svchost.exe. И браузеры теперь загружаются нормально даже без помощи Администратора. Победа накануне Дня Победы, а праздничным ужином так и не накормили.
Тишина. Компьютер не работает. Хозяева периодически бросают на него печальный взгляд и вздыхают. Мальчик Миша, десяти лет, сообщает о том, что надо заплатить деньги какому-то абоненту МТС, чтобы он включил им компьютер. Печально. А я все-таки попробую сделать это бесплатно. Нажимаю кнопку питания с мыслью, что и сам бы не отказался от вкусного ужина, но, наверное, опять все сделаю быстро, так что вряд ли успеют накормить.
Посмотрим, кто опять заблокировал Windows и просит отправить СМС на платный номер. Но до экрана приветствия операционной системы дело так и не дошло. Сразу после проверки POST (Power-On Self-Test , для интересующихся), на том же черном экране разноцветными буквами мне сообщили, что "Вы оштрафованы за просмотр детской порнографии ... Отправьте СМС стоимостью 600 рублей абоненту МТС с таким-то номером, а иначе - ...", и разные угрозы про удаление всех личных данных и паролей к порно-сайтам. Пробую набрать слепым десятипальцевым методом произвольное число на клавиатуре, нажимаю Enter, а Миша уже кричит, что сейчас у него сотрутся все игрушки. Но ничего не взорвалось, даже на припаркованных во дворе машинах не запищала сигнализация. Зато появился первый вопрос: операционная система уже начала работать, или вирус прописался в загрузочном секторе жесткого диска? Проверим. Перезагружаюсь, несколько раз жму F8, но снова на экране та же картинка вместо предложения выбрать безопасный режим. Значит все-таки вирус сидит в MBR (Master Boot Record , продолжаем лекцию).
Потребуется загрузочный диск. Вирус в нулевом секторе жесткого диска получает управление после того, как BIOS (Basic Input/Output System , ну я прям сегодня как википедия!) проверяет установленный порядок загрузки с обнаруженных устройств. Значит, загрузка с CD вирусом отключена быть не может, если только он не прописался в саму BIOS, что большая редкость в последнее время. Достаю диск с ERD Commander, загружаюсь с него и сразу жму кнопку, исправляющую ошибки в MBR. Диск больше не нужен. Windows запускается, абонент МТС денег не просит.
Переходим к плановому осмотру. Process Explorer вместо стандартного диспетчера задач должен показать нам всех местных жителей с паспортными данными и адресами прописки. На первый взгляд - ничего лишнего. Но под подозрение натренированного взгляда попадают два процесса svchost.exe , запущенные из-под explorer.exe со странной командной строкой: "-k netsvcs ". Во-первых, svchost.exe должен запускаться из-под services.exe , как я уже об этом писал , а во-вторых, в командной строке должно быть указано еще и имя самого процесса, т.е. "svchost.exe -k netsvc ". Вирусописатели оказались не внимательными к деталям, забыли под плащ-невидимку спрятать плащ-палатку.
Чтобы ускорить процесс изгнания бесов подумал, что можно спросить мистера Гуглинга, какими деструктивными действиями уже засветились вирусы из MBR , узнать таким образом явки, пароли, ключи реестра. Запускаю Chrome и не могу открыть ни одну страницу. Доступ к интернету есть, файл c:\windows\system32\drivers\etc\hosts - чистый, google.com из консоли пингуется успешно. Internet Explorer и Opera падают на взлете с неизвестной ошибкой. FireFox не установлен. Что ж, может быть хитрый вирус нашел исполняемые файлы браузеров и подменил их чем-нибудь, либо просто какую библиотеку бросил к ним в папочку. Устанавливаю FireFox с флешки, должен быть аки невеста в первую брачную ночь. Но и чистый Огнелис косит та же беда. Надо смотреть на процесс загрузки, зря что ли специальную программу для этого написал! Запускаю свой Process Launch Watcher от имени Администратора, нахожу бинарник opera.exe, открываю. Браузер запустился. В логе ничего левого нет, все библиотеки нужные, никто не пристроился. Пробую еще раз загрузить Оперу самостоятельно - тот же падёж. А если от имени Администратора? А вот так - получается. Уже интересно! Но смысл не ясен.
Начинаем искать виноватых. Бегло просматриваю корень системного диска. Ничего странного, кроме двух папочек с мусорными именами в 16 случайных символов. Внутри лежат какие-то файлы с расширением.dat и набором непонятных шестнадцатеричных кодов. Убил. Но они мгновенно воскресли. Ух ты! Прям птица Феникс в реальном времени! В Process Explorer удаляю не понравившиеся мне ранее две копии svchost.exe , снова удаляю эти папочки - тишина. Но это пока так, щелкнули огнедышащего дракона по носу и не более. Надо искать, где у него незащищенное место в панцире, чтоб пустить заряд из Царь-пушки. Выкатываю на линию огня AVZ. В логе присутствует непонятный драйвер 2870456drv.sys , сидящий в C:\Windows\system32\drivers . В автозагрузке притаился файл без имени - ".exe " по адресу C:\Users\<Пользователь>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\.exe и рядом с ним некий 4nIcwkcvSVc.exe . И вдобавок AVZ сильно ругался, что вышеупомянутый драйвер перехватил аж 52 функции ядра Windows, отвечающие за сетевые соединения, управление процессами, манипуляции с файлами и реестром, а также некоторые информационные. Полный список приводить не буду, незачем. Также сканер встрепенулся насчет прямого чтения sppcomapi.dll , но вероятно это является следствием работы активатора Windows , например, такого как мой . После перезагрузки и выполнения еще одного стандартного скрипта AVZ оказалось, что драйвер переименовался в 11296972.sys . Однако уже не было сообщений о перехвате им функций.
В скрипт для AVZ вписал всех нарушителей, выполнил. Вирус в MBR оказался обычным алчным вымогателем, драйвер с постоянно меняющейся внешностью и фамилией путем перехвата системных функций операционной системы пытался обмануть пользователя, неумело маскируя имена своих процессов под svchost.exe . И браузеры теперь загружаются нормально даже без помощи Администратора. Победа накануне Дня Победы, а праздничным ужином так и не накормили.
Антивирус: Ты кто?
Вирус: Область данных!
Антивирус: А не вирус?
Вирус: Ни, боже мой!
Антивирус: А зачем прерывания перехватываешь?
Вирус: Я?!
Антивирус: Вот же подпрограмма!
Вирус: Это не подпрограмма. Это цитата из Лао-Цзы на языке оригинала в альтернативной кодировке…
Антивирус: А зачем exe -файлы ищешь?
Вирус: А вдруг хозяин спросит: «А где мои exe -файлы?». А я ему – вот они!
Антивирус: Сдается мне, что ты все-таки вирус...
Вирус: Ну ладно, признаюсь тебе, только ты никому не говори! На самом деле я… антивирусная вакцина!
Антивирус: А зачем нужна антивирусная вакцина, если есть я?
Вирус: Откуда я знаю? У хозяина спроси.
Антивирус: А если я тебя, на всякий случай, всё-таки грохну?
Вирус: А если я тебя?..
Антивирус: Не получится! У меня управление!
Вирус: А ты свою контрольную сумму давно пересчитывал?
Антивирус: А при чём тут моя контрольная… ой!!!
Вирус: То-то же…
В последнее время всё чаще и чаще поступают жалобы на вирус, который производит полную блокировку компьютера и вымогательство денег , на стадии ещё до загрузки операционной системы (красные буквы на черном экране). Проблема в том, что для неподготовленного пользователя ситуация может стать действительно тупиковой: компьютер не загружается ни в обычном, ни в безопасном режиме, загрузка и сканирование антивирусом с live-cd безрезультативна, даже попытка переустановки Windows может не увенчаться успехом ! Здесь я расскажу о способах как на самом деле легко и просто его удалить.
Данный вирус поражает MBR – главную загрузочную запись жёсткого диска, доступа к которой ни пользователь, ни операционная система доступа обычно не имеют. В этом и заключается вся сложность, и, одновременно простота его удаления.
Заражение обычно происходит во время клика на заражённой ссылке или загрузки зараженной веб-страницы. Далее компьютер через несколько секунд выключается, пытается перезагрузиться и показывает сообщение от том, что «Ваш компьютер заблокирован за просмотр, копирование и тиражирование видео с элементами педофилии…
Необходимо платить штраф в размере…
» и т.д. и т.п. Оплата осуществляется через Ibox-ы на кошельки Webmoney U338098752819, U225475893811, U250977606445, U193923440709 и др., либо пополнением счёта мобильного телефона. Существуют различные разновидности вируса для Украины и России:
Версия mbr-winlock для инопланетян (если они пользуются Windows) (шутка). Автору хватило ума написать и распространить вирус, а вот сделать надпись в правильной кодировке он не осилил))
Хочется так же отметить практически полную несостоятельность антивирусов
против данной напасти: платные и с громкими названиями, как и два года назад, неспособны вовремя и адекватно реагировать против этой, действительно серьёзной угрозы:
Проверка вирусного файла sys3.exe на сайте virustotal.com показала, что на момент заражения из 43 антивирусов данный винлокер могло поймать только 5!
Каждый раз заражению соответствует наличие файла sys3.exe (собственно вирус ) во временных файлах браузера и netprotocol.exe в автозагрузке (создаёт брешь в операционной системе ) (версии данных файлов всё время изменяются и срабатываемость на них антивирусов остаётся крайне низкой , названия файлов злоумышленники пока не изменяли).
Уязвимость операционной системы Windows : пользователь просто сёрфит в интернете, а злоумышленники в это время модифицируют MBR и перезагружают компьютер!!!
Беспомощность нашей милиции/полиции в борьбе с данным видом преступлений: как ловить таких преступников они не знают, не умеют, не могут и не хотят, чем мошенники пользуются и будут пользоваться.
Люди, которые платят мошенникам – соучастники и спонсоры данных преступлений. Эти вирусы будут появляться вновь и вновь до тех пор, пока это экономически выгодно.
Способ 1. Восстановление MBR из резервной копии Acronis TrueImage
Люди делятся на две категории: на тех, которые делают резервные копии, и на тех, которые уже делают…
Если Вы относитесь к тем людям, которые после установки Windows, драйверов, программ и настроек сделали резервную копию системного диска
– поздравляю, Ваши усилия не пропали даром! Для Вас эта проблема не является проблемой: нужно лишь загрузиться с загрузочного диска Acronis и восстановить mbr из своей резервной копии:
Загружаемся с диска Acronis True Image и выбираем пункт Recovery (восстановить)
Выбираем файл-образ системного диска
Выбираем пункт Restore disks or partitions (Восстановление дисков или разделов)
Выбираем из списка винчестер (системный), на котором нужно восстановить MBR
Нажать кнопку Proceed (Продолжить)
После перезагрузки от вируса не остаётся и следа, остаётся лишь провести «контрольную зачистку» компьютера свежими антивирусом и антитроянской программой.
Способ 2. С помощью утилиты CureIt от DrWeb
Несмотря на то, что DrWeb данное заражение пропускает, результат заражения – модифицированый MBR он может с успехом лечить. Для этого нужно загрузиться с любого LiveCD и запустить эту утилиту . Вредоносная запись обезвреживается в считанные секунды:
Dr.Web CureIt! восстанавливает загрузочную запись в считанные секунды
При перезагрузке Windows загружается в нормальном режиме, как будто ничего и не было.
Способ 3. С помощью установочного диска Windows
Для Windows XP: вставляем установочный диск и включаем компьютер, жмём любую кнопку для подтверждения загрузки (Press any key to boot from CD…..). Ждём когда полностью загрузится диск и предложит выбор действий. Выбираем режим восстановления, кнопка R . Теперь система предложит выбрать какую ОС из найденных восстанавливать, нажимаем цифру и Enter (обычно 1). Теперь необходимо ввести пароль администратора, если его нет, то просто оставляем пустым и жмём Enter. Вот мы добрались до консоли восстановления. Вбиваем команду: FIXBOOT , Enter, вас попросят подтвердить, нажмите Y . Теперь вбиваем команду FIXMBR , Enter и опять подтверждаем нажатием Y . Всё теперь вбиваем EXIT и перезагружаемся. Можно грузиться с жёсткого диска. Всё.
Для Windows 7: загрузиться с установочного диска или флешки с windows 7 – восстановление системы – коммандная строка – bootsect /nt60 all /mbr
Способ 4. Переустановка Windows
При переустановке Windows необходимо полностью удалить системный раздел, а потом создать его вновь. При этом пересоздастся и MBR.
