Ваши гаджеты

Autorun что это

vita1980.80@mail.ru
07 июля 2022
На чтение: 21 минута 0 комментариев

Содержание

Autorun что это воспрещает выполнение при двойном

1-ое, что поможет для вас найти, является ли тот либо другой файл легитимным процессом Windows либо вирусом, это положение самого исполняемого файла. К примеру, таковой процесс, как AutoRun.exe, должен запускаться из C: \ Program Files \ origin games \ mass effect \ binaries \ masseffect.exe, а не в другом месте.

Autorun.inf

Autorun.inf — файл, применяемый для автоматического пуска либо установки приложений и программ на носителях инфы в среде операционной системы Microsoft Windows (начиная с версии Windows 95). Этот файл должен находиться в корневом каталоге файловой системы устройства, для которого осуществляется автозапуск. Файл делится на структурные элементы — блоки. Заглавие блоков пишется в квадратных скобках.

Описание блоков содержит пары параметр→значение.

Исходное предназначение

Автоматический пуск приложения дозволил очень упростить деяния юзера при установке и запуске программного обеспечения и драйверов устройств. [1]

Защита от копирования

Не считая того, некие конторы, производящие диски с аудиосодержимым, пробовали применить данную технологию для защиты содержимого дисков от копирования, путём автозапуска программки, препятствующей копированию. Но известен случай поведения данной программки как руткита. [2]

Безопасность

В текущее время файл autorun.inf обширно употребляется для распространения компьютерных вирусов через flash-накопители и сетевые диски. Для этого создатели вирусов прописывают имя исполняемого файла с вредным кодом в параметр open. При подключении заражённого flash-накопителя Windows запускает записанный в параметре «open» файл на выполнение, в итоге чего происходит инфецирование компьютера.

Находящийся в оперативки заражённого компьютера вирус временами сканирует систему с целью поиска новых дисков, и при их обнаружении (при подключении другого flash-накопителя либо сетевого диска) создаёт на их autorun.inf со ссылкой на копию собственного исполняемого файла, обеспечивая таким макаром своё предстоящее распространение.

В неких случаях в autorun.inf записывается не путь к исполняемому файлу, вирус стопроцентно подменяет файл своим кодом в текстовом виде [источник не указан 630 дней] и не просит дополнительных файлов.

Отключение автозапуска

Групповая политика (gpedit.msc)

Настройка автозапуска в групповой политике находится в ветке «Конфигурация компьютера — Административные шаблоны — Система». Пункт «Отключить автозапуск» имеет три значения: не задан, включён, отключен. Задание значения «включён» позволяет избрать тип дисков:

  • CD-дисководы (включает: неведомые, CD, сетевые и съёмные диски),
  • все дисководы.

Реестр (ветвь HKCU), Policies

За включение и отключение автозапуска для различных типов носителей отвечают ключи реестра:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDriveTypeAutoRun"=dword:000000ff [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDriveTypeAutoRun"=dword:000000ff

Вероятные значения данного ключа:

  • 0x01 (DRIVE_UNKNOWN) — отключить автозапуск на приводах неведомых типов (тип которого не может быть определён)
  • 0x02 (DRIVE_NO_ROOT_DIR) — отключить автозапуск на дисках которым не назначена буковка (не примонтированных в корень)
  • 0x04 (DRIVE_REMOVABLE) — отключить автозапуск съёмных устройств (дискеты, флешки)
  • 0x08 (DRIVE_FIXED) — отключить автозапуск НЕсъемных устройств (жёсткий диск)
  • 0x10 (DRIVE_REMOTE) — отключить автозапуск сетевых дисков
  • 0x20 (DRIVE_CDROM) — отключить автозапуск CD-приводов
  • 0x40 (DRIVE_RAMDISK) — отключить автозапуск на виртуальном диске (RAM-диск)
  • 0x80 (DRIVE_FUTURE) — отключить автозапуск на приводах неведомых типов (будущие типы устройств)
  • 0xFF — отключить автозапуск вообщем всех дисков.

Значения могут комбинироваться суммированием их числовых значений. Допустимые значения ключа NoDriveTypeAutoRun описаны в KB967715.

Необходимо подчеркнуть, что запрет автозапуска с помощью вышеприведённого ключа реестра не избавляет угрозы инфецирования компьютера. Это связано с тем, что значение ключа оказывает влияние лишь на выполнение autorun.inf при определении системой присоединенного носителя, но не воспрещает выполнение при двойном клике на значке носителя. Таким макаром, даже если функция автозапуска отключена, инфецирование происходит при попытке юзера открыть подключённый диск для просмотра. Microsoft выпустила исправление, описанное в KB967715, стопроцентно решающее данную делему.

Реестр (ветвь HKLM), подмена autorun.inf файла

Другой, более конкретный, метод запрета обработки autorun.inf:

Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf] @="@SYS:DoesNotExist"

На самом деле он заменяет содержимое файла autorun.inf значением из реестра, которое нарочно задаётся пустым/неправильным. Это приводит к тому, что если на диске и есть файл autorun.inf, то он воспринимается как пустой.

Обозначенный метод следует считать самым надёжным. Обычный метод его использования заключается в разработке соответственного reg-файла, запускаемого на компьютере. [3]

Реестр (ветвь HKLM), запрет автостарта всех типов файлов

Вероятное решение запрета автостарта всех типов файлов (Только автостарт, обработка двойного клика и контекстного меню будет произведена):

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files] "*.*"=""

Обновление Windows

Огромное количество вредных программ, распространявшихся при помощи autorun.inf, вынудило корпорацию Microsoft в новейшей Windows 7 отключить автозапуск программ для носителей инфы, подключающихся через порт USB (флешек, картридеров и др.). В феврале 2011 года Microsoft выпустила обновления, отключающие автозапуск программ из autorun.inf для Windows XP и Windows Vista. В итоге уже к лету 2011 года число компов, на которых были зарегистрированы вирусы семейств autorun, уменьшилось приблизительно на 60%. [4]

Структурные блоки файла

Блок [autorun]

Параметр action

Параметр action отвечает за отображение текста в меню автозапуска (употребляется изредка).

Урок #30 Visual Basic 2013 — Пишем Autorun.inf Killer Часть 1 ►◄

[autorun] action=Текст Заголовка

Допустимо указания текста из библиотеки dll:

[autorun] action=[путь\]имя_файла,-IDресурса

Параметр icon

Параметр icon назначает файл иконки для устройства.

[autorun] icon=имя_ресурса[,номер] 
[autorun] icon=файл.ico

Параметр Defaulticon

Команда Defaulticon отличается только тем, что позволяет задавать ещё и путь к файлу значка:defaulticon=iconpath[,index]

В случае использования 2-ух команд — icon и defaulticon система обрабатывает только defaulticon.

Параметр label

Этот параметр служит для указания «метки тома». Если применить метку label к диску, то настоящая метка тома будет укрыта (её можно поглядеть в свойствах).

[autorun] label=ЛюбойТекст

Параметр open

Параметр open содержит путь к файлу программки, которая будет запускаться при подключении устройства либо попытке доступа к нему (открытие двойным щелчком). Этот параметр не следует использовать вкупе с shellexecute, может быть появление конфликта!

[autorun] . open=[путь\]файл [параметр1 [параметр2] . ] .

Параметр UseAutoPlay

Этот параметр совместим только с ОС MS Windows XP и работает не только лишь на оптических дисках, да и на других сменных носителях. Допустимое значение одно — 1. Употребляется для включения обработки файла autoplay.

Употребляется очень изредка, в главном для автозапуска с flash-дисков без запросов на выбор деяния (открыть в проводнике, ничего не делать и т. д.).

[autorun] . UseAutoPlay=1 .

Параметр shellexecute

Файл, обозначенный в этом параметре, раскрывается при автозапуске той программой, которая ассоциирована с этим типом файлов в системном реестре Windows.

Этот параметр можно использовать вместо параметра «open», использовать эти два параметра вместе не рекомендуется.

Данный параметр корректно работает на всех версиях ОС семейства Windows. В ОС MS Windows Vista диск с этим параметром сразу определяется как диск с программным обеспечением или играми, и для него вызывается соответствующее меню.

[AutoRun] shellexecute="Readme.txt"

В данном примере файл «.txt» будет открыт программой, которую пользователь по дефлоту использует для открытия файлов «.txt»

Параметр shell

shell=ключ указывает команду по дефлоту (default) для контекстного меню диска.

shell\ключ задаёт пункт контекстного меню.

shell\ключ\command задаёт исполняемую команду для пункта меню «ключ».

[autorun] shell\ключевое_слово\command=Файл.exe shell\ключевое_слово=Заголовок_меню

Блок [Content]

В этом блоке используется всего три ключа: MusicFiles, PictureFiles, VideoFiles, что соответствует типам данных на носителе: музыка, изображения, видео.

Значениями для этих ключей могут быть только логическое true (истина) или false (ложь).

Истина задаётся любым из данных значений: 1, y, yes, t, true.

Ложь задаётся как: 0, n, no, f, false.

[Content] MusicFiles=Y PictureFiles=0 VideoFiles=false 
Windows Registry Edition version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoCDBurning"=dword:00000001 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoCDBurning"=dword:00000001

Блок [IgnoreContentPaths]

Autorun что это Рай выгорания

При попытке определить тип содержимого на данном носителе информации, поиск файлов не будет производиться в папках, указанных в этом блоке, и всех их подпапках.

Путь задаётся в произвольном формате, приветствуются относительные пути. Пример:

[IgnoreContentPaths] \Portable \Documents \Install

Данный блок поддерживается только ОС MS Windows Vista.

Блок [DeviceInstall]

Используется один параметр DriverPath, который указывает путь к драйверам. Используется очень редко и исключительно в MS Windows XP.

[DeviceInstall] DriverPath=drivers\video DriverPath=drivers\audio

Пример листинга файла autorun.inf

[autorun] ; точка с запятой - это комментарий (также комментариями являются любые сторонние символы и неизвестные команды) shellexecute=readme.txt action=Studio icon=usb.ico description=Inc_drive label=Inc_drive shell\about=ReadMe shell\about\command=Notepad.exe readme.txt [Content] MusicFiles=false PictureFiles=false VideoFiles=false [ExclusiveContentPaths] \Multimedia\Video \Multimedia\Music \Multimedia\Pictures [IgnoreContentPaths] \Portable \Documents \Install

Источники

  1. ↑ Инструкция к материнским платам Asus
  2. ↑Эволюция руткитов — Securelist
  3. ↑National Cyber Alert System. Technical Cyber Security Alert TA09-020A
  4. ↑Количество вредоносных атак на Vista и XP снизилось более чем на 60% | Новости Software — 3DNews — Daily Digital Digest

Ссылки

Архивация и восстановление • COMMAND.COM • cmd.exe • Средство переноса данных • Просмотр событий • Установщик • netsh.exe • PowerShell • Отчёты о проблемах • rundll32.exe • Программа подготовки системы (Sysprep) • Настройка системы (MSConfig) • Проверка системных файлов • Индекс производительности • Центр обновления • Восстановление системы • Дефрагментация диска • Диспетчер задач • Диспетчер устройств • Консоль управления • Очистка диска • Панель управления (элементы)

Контакты • DVD Maker • Факсы и сканирование • Internet Explorer • Журнал • Экранная лупа • Media Center • Проигрыватель Windows Media • Программа совместной работы • Центр устройств Windows Mobile • Центр мобильности • Экранный диктор • Paint • Редактор личных символов • Удалённый помощник • Распознавание речи • WordPad • Блокнот • Боковая панель • Звукозапись • Календарь • Калькулятор • Ножницы • Почта • Таблица символов • Исторические: Movie Maker • NetMeeting • Outlook Express • Диспетчер программ • Диспетчер файлов • Фотоальбом

Chess Titans • Mahjong Titans • Purble Place • Пасьянсы (Косынка • Паук • Солитер) • Сапёр • Пинбол • Червы

Autorun.inf • Фоновая интеллектуальная служба передачи • Файловая система стандартного журналирования • Отчёты об ошибках • Планировщик классов мультимедиа • Теневая копия • Планировщик задач • Беспроводная настройка

Active Directory • Службы развёртывания • Служба репликации файлов • DNS • Домены • Перенаправление папок • Hyper-V • IIS • Media Services • MSMQ • Защита доступа к сети (NAP) • Службы печати для UNIX • Удалённое разностное сжатие • Службы удаленной установки • Служба управления правами • Перемещаемые профили пользователей • SharePoint • Диспетчер системных ресурсов • Удаленный десктоп • WSUS • Групповая политика • Координатор распределённых транзакций

NT • Диспетчер объектов • Пакеты запроса ввода/вывода • Диспетчер транзакций ядра • Диспетчер логических дисков • Диспетчер учетных записей безопасности • Защита ресурсов • lsass.exe • csrss.exe • smss.exe • spoolsv.exe • Запуск

Что такое AutoRun.exe? Это безопасно или вирус? Как удалить или исправить это

AutoRun.exe это исполняемый файл, который является частью Mass Effect Программа, разработанная Electronic Arts, Программное обеспечение обычно о 10.46 MB по размеру.

Расширение .exe названии файла отображает исполняемый файл. В некоторых случаях исполняемые файлы могут повредить ваш компьютер. Пожалуйста, прочитайте следующее, чтобы решить себе, является ли AutoRun.exe Файл на вашем компьютере — это вирус или троянский конь, который вы должны удалить, или это действительный файл операционной системы Windows или надежное приложение.

AutoRun.exe безопасно, или это вирус или вредоносная программа?

Первое, что поможет вам определить, является ли тот или иной файл законным процессом Windows или вирусом, это местоположение самого исполняемого файла. Например, такой процесс, как AutoRun.exe, должен запускаться из C: \ Program Files \ origin games \ mass effect \ binaries \ masseffect.exe, а не в другом месте.

Для подтверждения откройте диспетчер задач, выберите «Просмотр» -> «Выбрать столбцы» и выберите «Имя пути к изображению», чтобы добавить столбец местоположения в диспетчер задач. Если вы обнаружите здесь подозрительный каталог, возможно, стоит дополнительно изучить этот процесс.

Очередной инструмент, который иногда может помочь вам обнаружить плохие процессы, — это Microsoft Process Explorer. Запустите программу (не требует установки) и активируйте «Проверить легенды» в разделе «Параметры». Теперь перейдите в View -> Select Columns и добавьте «Verified Signer» в качестве одного из столбцов.

Если статус процесса «Проверенная подписывающая сторона» указан как «Невозможно проверить», вам следует взглянуть на процесс. Не все хорошие процессы Windows имеют метку проверенной подписи, но ни один из плохих.

  • Находится в C: \ Program Files \ Origin Games \ Mass Effect \ вложенная;
  • Издатель: Electronic Arts
  • Полный путь: C: \ Program Files \ origin games \ mass effect \ binaries \ masseffect.exe
  • Файл справки: G: \ Origin \ Mass Effect \ docs \\ Справка EA \\ Electronic_Arts_Technical_Support.htm
  • URL издателя: masseffect.bioware.com/me1/support/support_pc.html
  • Известно, что до 10.46 MB по размеру на большинстве окон;

Если у вас возникли какие-либо трудности с этим исполняемым файлом, перед удалением AutoRun.exe вы должны определить, заслуживает ли он доверия. Для этого найдите этот процесс в диспетчере задач.

Найдите его местоположение (оно должно быть в C: \ Program Files \ Origin Games \ Mass Effect \) и сравните его размер с приведенными выше фактами.

Если вы подозреваете, что можете быть заражены вирусом, вы должны немедленно попытаться это исправить. Чтобы удалить вирус AutoRun.exe, вам необходимо Загрузите и установите приложение полной безопасности, например Malwarebytes., Направьте внимание, что не все инструменты могут обнаружить все типы вредоносных программ, поэтому вам может потребоваться попробовать несколько вариантов, до того как вы добьетесь успеха.

Кроме того, функциональность вируса может сама влиять на удаление AutoRun.exe. В данном случае вы должны включить Безопасный режим с загрузкой сетевых драйверов — безопасная среда, которая отключает большинство процессов и загружает только самые необходимые службы и драйверы. Когда вы можете запустить программу безопасности и полный анализ системы.

Могу ли я удалить или удалить AutoRun.exe?

Не следует удалять безопасный исполняемый файл без уважительной причины, потому что это может повлиять на производительность любых связанных программ, использующих этот файл. Не забывайте регулярно обновлять программное обеспечение и программы, чтобы избежать будущих проблем, вызванных поврежденными файлами. Что касается проблем с функциональностью программного обеспечения, проверяйте обновления драйверов и программного обеспечения чаще, чтобы избежать или вообще не возникало таких проблем.

Согласно различным источникам онлайн, 5% людей удаляют этот файл, поэтому он может быть безвредным, но рекомендуется проверить надежность этого исполняемого файла самостоятельно, чтобы определить, является ли он безопасным или вирусом. Лучшая диагностика для этих подозрительных файлов — полный системный анализ с Reimage, Если файл классифицирован как вредоносный, эти приложения также удалят AutoRun.exe и избавятся от связанных вредоносных программ.

Однако, если это не вирус, и вам нужно удалить AutoRun.exe, вы можете удалить Mass Effect с вашего компьютера, используя программу удаления, которая должна находиться по адресу: MsiExec.exe / X . Если вы не можете найти его деинсталлятор, то вам может потребоваться удалить Mass Effect, чтобы полностью удалить AutoRun.exe. Вы можете использовать функцию «Установка и удаление программ» на панели управления Windows.

  • 1. в Меню Пуск (для Windows 8 щелкните правой кнопкой мыши в нижнем левом углу экрана), нажмите Панель управления, а затем под Программы:
    o Windows Vista / 7 / 8.1 / 10: нажмите Удаление программы.
    o Windows XP: нажмите Установка и удаление программ.
  • 2. Когда вы найдете программу Mass Effectщелкните по нему, а затем:
    o Windows Vista / 7 / 8.1 / 10: нажмите Удалить.
    o Windows XP: нажмите Удалить or Изменить / Удалить вкладка (справа от программы).
  • 3. Следуйте инструкциям по удалению Mass Effect.

Распространенные сообщения об ошибках в AutoRun.exe

Наиболее распространенные ошибки AutoRun.exe, которые могут возникнуть:

Вирус Autorun.inf и борьба с ним

• «Ошибка приложения AutoRun.exe».
• «Ошибка AutoRun.exe».
• «AutoRun.exe столкнулся с проблемой и будет закрыт. Приносим извинения за неудобства».
• «AutoRun.exe не является допустимым приложением Win32».
• «AutoRun.exe не запущен».
• «AutoRun.exe не найден».
• «Не удается найти AutoRun.exe».
• «Ошибка запуска программы: AutoRun.exe».
• «Неверный путь к приложению: AutoRun.exe».

Эти сообщения об ошибках .exe могут появляться во время установки программы, во время выполнения соответствующей программы, Mass Effect, при запуске или завершении работы Windows, или даже во время установки операционной системы Windows. Отслеживание момента появления ошибки AutoRun.exe является важной информацией, когда дело доходит до устранения неполадок.

Как исправить AutoRun.exe

Аккуратный и опрятный компьютер — это один из лучших способов избежать проблем с Mass Effect. Это означает выполнение сканирования на наличие вредоносных программ, очистку жесткого диска cleanmgr и ПФС / SCANNOWудаление ненужных программ, мониторинг любых автозапускаемых программ (при помощи msconfig) и включение автоматических обновлений Windows. Не забывайте всегда делать регулярные резервные копии или хотя бы определять точки восстановления.

Если у вас возникла более серьезная проблема, постарайтесь запомнить последнее, что вы сделали, или последнее, что вы установили перед проблемой. Использовать resmon Команда для определения процессов, вызывающих вашу проблему. Даже в случае серьезных проблем вместо переустановки Windows вы должны попытаться восстановить вашу установку или, в случае Windows 8, выполнив команду DISM.exe / Online / Очистка-изображение / Восстановить здоровье, Это позволяет восстановить операционную систему без потери данных.

Чтобы помочь вам проанализировать процесс AutoRun.exe на вашем компьютере, вам могут пригодиться следующие программы: Менеджер задач безопасности отображает все запущенные задачи Windows, включая встроенные скрытые процессы, такие как мониторинг клавиатуры и браузера или записи автозапуска. Единый рейтинг риска безопасности указывает на вероятность того, что это шпионское ПО, вредоносное ПО или потенциальный троянский конь. Это антивирус обнаруживает и удаляет со своего жесткого диска шпионское и рекламное ПО, трояны, кейлоггеры, вредоносное ПО и трекеры.

Обновлено февраль 2023:

  • Шаг 1: Скачать PC Repair & Optimizer Tool (Windows 10, 8, 7, XP, Vista — Microsoft Gold Certified).
  • Шаг 2: Нажмите «Начать сканирование”, Чтобы найти проблемы реестра Windows, которые могут вызывать проблемы с ПК.
  • Шаг 3: Нажмите «Починить все», Чтобы исправить все проблемы.

(опциональное предложение для Reimage — Cайт | Лицензионное соглашение | Персональные данные | Удалить)

Загрузите или переустановите AutoRun.exe

Вход в музей Мадам Тюссо не рекомендуется загружать замещающие exe-файлы с любых сайтов загрузки, потому что они могут содержать вирусы и т. д. Если вам нужно скачать или переустановить AutoRun.exe, мы рекомендуем переустановить основное приложение, связанное с ним. Mass Effect.

Информация об операционной системе

  • Windows 10
  • Windows 8.1
  • Windows 7
  • Windows Vista
  • Windows XP
  • Windows ME
  • Windows 2000

Другие файлы в Mass Effect:

  1. masseffect.exe
  2. ActivationUI.exe
  3. Cleanup.exe
  4. EASetup.exe
  5. Touchup.exe
  6. Удалить Mass Effect.exe

Другие названия программного обеспечения от Electronic Arts:

  1. Почетная медаль
  2. The Sims 2
  3. Рай выгорания The Ultimate Box
  4. EA.com Matchup
  5. Обновление EA.com
  6. Плантас против Зумбиса
  7. Исправление системы сетевой игры
  8. происхождения
  9. Medal of Honor Одиночная игра
  10. The Sims

Вступление

Попался мне в руки файл формата pif. Это ярлык к программе MS-DOS, как описывает его сама Windows. Название он имел такое же, как и название папки, в какой лежал. Поскольку папка была получена через Яндекс.диск от знакомого (у него, как и у меня антивирус на системе не установлен), я, ничего не заподозрив, а точнее — не успев разглядеть как надо этот объект файловой системы, случайно запустил его. Когда понял, что запустил, было уже поздно. Я запаковал эту папку в zip-архив и отправил на сканирование на VirusTotal.

Вот результат.

Симптомы, вызываемые вирусом

  • 1. Создание в папках System32, Windows и пользовательской папки темпа (%tmp%) своих файлов;
  • 2. Запуск этих файлов;
  • 3. Создание в корнях всех имеющихся дисков своих файлов;
  • 4. Запрет на редактирование реестра;
  • 5. Запрет на отображение скрытых файлов и папок;
  • 6. Создание во всех сетевых папках всех компьютеров, которые он найдет по сети исполняемых файлов и rar-архивов с названием родительской папки;
  • 7. Непрерывный спам темповыми файлами (Имеющими расширение «tmp») в те же сетевые папки.

Уничтожение вируса

До этой части статьи хотел бы обратить внимание на то, что все дальнейшие действия по удалению файлов и завершению процессов вы совершаете абсолютно на свой страх и риск. Убедительная просьба: если вы не уверены в том, подозрительный ли это файл, поищите сперва его название в поисковой машине, чтобы случайно не удалить системный файл, такой как «ctfmon.exe», «csrss.exe» или «lsass.exe».

  • AVG — Generic_r.TT;
  • Ad-Aware — Trojan.Dropper.VIO;
  • Agnitum — Trojan.MulDrop!4ElCgmJSsOY;
  • Avast — Win32:Chydo [Drp];
  • Comodo — Worm.Win32.AutoRunAgent.TV2;
  • DrWeb — Trojan.MulDrop5.14836;
  • ESET-NOD32 — Win32/AutoRun.Agent.TV;
  • Kaspersky — Worm.Win32.AutoRun.iea;
  • Microsoft — TrojanDropper:Win32/Pykspa.A.

Перейдём к делу.

Для начала откроем диспетчер задач и отыщем в процессах файлы этого вируса. Файлы его имеют бесподобные названия, состоящие из некоторого количества букв английского алфавита, расположенных в абсолютно случайном порядке. Например: «aekswdk.exe», «ufqwfvjecot.exe», «zmbsfvlbtndtaojc.exe» и т.д.. Понятно, что стандартно в операционной системе нет так странно названных файлов, и навряд ли какая нормальная программа будет такие файлы создавать. Таких подозрительных процессов может быть два, а может быть и три. Они мониторят вереницей, другими словами, при завершении одного — второй тут же его обратно запускает; при завершении второго — его молниеносно запускает первый — и т.д..

Следовательно, передо мной стала задача одновременно завершить все эти зловредные процессы, чтобы они не запускали друг дружку и дали себя нормально удалить. В этом мне помогла утилита «KillProc» от, к сожалению, неизвестного автора. Взять её можно здесь или при желании и умении программировать написать самостоятельно. Она состоит всего из двух файлов: исполняемого и текстового. В текстовом на каждой строке отдельно прописывается название процесса, а исполняемый при запуске завершает все эти процессы в порядке их следования в текстовом файле. Я прописал каждый процесс на всякий случай раза по три, расположив названия в случайном порядке и запустил утилиту. Поскольку утилита работает довольно быстро, процессы были мигом завершены, не успев запустить друг дружку.

После этого, казалось бы, надо почистить автозагрузку, но не тут-то было. Поскольку редактирование реестра этот зловред нам запретил, мы должны сперва его разрешить. Для этого заходим в пуск и выбираем команду «Выполнить» или нажимаем сочетание клавиш Windows+r, где набираем «gpedit.msc» и нажимаем энтер. Мы находимся в окне редактирования групповой политики. Там открываем последовательно конфигурацию пользователя, административные шаблоны, пункт «Система» и в списке параметров находим пункт «Сделать недоступными средства редактирования реестра». Жмём правую кнопку мыши и выбираем «Свойства», после этого меняем положение радиокнопки на «Отключить» и применяем сделанные изменения.

Далее совершенно спокойно открываем реестр (Жмём Windows+r и вводим «regedit» без ковычек), в нем перемещаемся по пути HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run и в списке параметров также ищем файлы с названием, состоящим из непонятного набора английских букв. Подозрительные подвергаем удалению. После того, как почистили автозагрузку, восстанавливаем показ в системе скрытых файлов и папок. Для этого идем в реестре по пути HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced и ищем в списке параметр «Hidden». Делаем на нем правый клик, жмём пункт «Изменить» и прописываем единицу.

Далее идем по ещё одному пути реестра: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL и находим параметр «CheckedValue», значение которого тоже меняем на единицу. После редактор реестра можем закрывать свободно и идти в панель управления и параметры папок, где на вкладке «вид» отмечаем показ скрытых файлов и папок, также защищённых системных файлов. Далее прочищаем корни всех своих дисков от файлов «autorun.inf» и bat-файлов с названиями вроде «ralyhtfrfvht.bat», «rcpepdrfvnbpug.bat» и т.д.. (Внимание: не удалите случайно «AUTOEXEC.BAT»). Также нужно прочистить папку темп, открыть которую можно введя в уже знакомом нам окне «Выполнить» «%tmp%» и удалить в папках Windows и System32 те файлы, пути к которым вы удаляли из автозагрузки и те, процессы которых вы завершали.

Используемые источники

  • wecrasoft.narod.ru/soft/KillProc.zip — Маленькая, но полезная утилита KillProc;
  • vindavoz.ru/win_obwee/409-vosstanovit-pokazyvat-skrytye-fayly-i-papki.html — О том, как восстановить показ скрытых файлов и папок;
  • roadvictory.ru/blockreestr.html — О том, как восстановить редактирование реестра, если оно запрещено администратором системы.

Похожие статьи

Нравится: 2
Оставить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *

Что будем искать? Например,Человек

Мы в социальных сетях