Департамент Минздравсоцблагополучия Ульяновской обл по Ин...

Меню сайта
Компенсация ЖКУ
Монетизация льгот ЖКУ

Полезные ссылки
Правительство Ульяновской области

Портал госуслуг

Портал госуслуг

МЗСРиС Ульяновской области

Индексы Ульяновской области

Наш опрос
Оцените мой сайт
Всего ответов: 152
Статистика
[ Новые сообщения · Участники · Правила форума · Поиск · RSS ]
Страница 1 из 11
Модератор форума: rLt_Ortriwar, Агент 
Форум » Вопрос - ответ » Вопросы администратору сайта » Советуемся здесь! (Компьютерные проблеммы, вирусы)
Советуемся здесь!
AdminДата: Вторник, 13.10.2009, 09:41 | Сообщение # 1
Admin
Группа: Администраторы
Сообщений: 68
Награды: 6
Репутация: 6
Статус: Offline
Обсуждение компьютерный проблем, вирусов

 
AdminДата: Вторник, 13.10.2009, 09:41 | Сообщение # 2
Admin
Группа: Администраторы
Сообщений: 68
Награды: 6
Репутация: 6
Статус: Offline
Текст взят с сайта http://blog.manticora.ru/categor....ii.html
Последние пару месяцев наблюдаю на работе активность одного компьютерного вируса. Название вируса - Trojan-Downloader.Win32.AutoIt.fn (в нотификация Касперского) или Win32.HLLW.Autoruner.2815(в нотификации DrWeb цифры в окончании могут быть разными). Вирус, однако, известен под именем своего исполняемого тела, которое лежит в папке %System% - csrcs.exe

Данный вирус – троянская программа, нарушающая работоспособность компьютера, написанная в виде приложения Windows (PE EXE-файл). Троянец содержит в себе встроенного IRC-бота, с помощью которого "плохие люди" могут получить доступ к компьютеру пользователя. Заразив компьютер, вирус, используя локальную сеть, старается размножить себя по всем доступным сетевым ресурсам (что самое отвратительное, на компьютерах организаций).

Записывая себя в папку с полным доступом сетевого компьютера, вирус часто рядом создает файлы с 0 размером и именами khq, khs. У меня есть подозрение, что таким образом он оставляет отметку о своем существовании на данной машине.

Естественно, вирус детектируется и удаляется любым современным антивирусом с обновленными базами. Например, используемый мной на работе антивирус DrWeb прекрасно справляется с этой напастью.

Скриншоты и продолжение статьи в полной новости

csrcs1.png (31.29 Kb)
Определение вируса в Dr.Web

csrcs2.png (4.22 Kb)
Определение в AVZ (Антивирус Зайцева)

Обычно определение происходит на момент заражения или при принудительном сканировании машины.

Здесь я хочу рассказать, как проверить свою машину на наличие этого вируса, научить вручную удалять вирус (бывает надо и такое, когда антивирус в упор не видит этот файл как вирус). Возможно, статья поможет и тем, у кого после лечения вируса при загрузке системы возникает сообщение о невозможности запустить csrcs.exe. Такое бывает, когда антивирус засек вирусную программу по происшествии некоторого времени и вирус успел "окопаться в системе".

Один из моментов выживания вируса на компьютере - это установка на файл csrcs.exe атрибутов "скрытый" и "только для чтения", что дает ему возможность не показываться в стандартном проводнике Windows. Троянец, изменив свой атрибут на скрытый, правит в реестре ключи и полностью блокирует отображение скрытых файлов в системе.

Определять наличия вируса в памяти будем как штатными средствами операционной системы, так и специализированной утилиты мониторинга запущенных процессов.

Посмотрим на загруженные процессы в системе: Нажатие Ctrl+Alt+Del вызовет "Диспетчер задач Windows", внимательно смотрим на закладку "Процессы" и ищем файл с именем csrcs.exe. Здесь надо быть очень внимательным, так в самой системе есть файл с именем сsrss.exe – это правильный и нужный файл, его трогать не надо. Кстати, один из популярных трюков вирусописателей - замаскировать имя под похожее системное.

Если файл csrcs.exe – присутствует, то выделяем его и нажимаем "Завершить процесс", перед удалением он должен быть выгружен из памяти.

Следует сказать, что часто вирусы "гуляют" парами и достаточно нередкое явление - это отключение вирусом диспетчера задач (опять же модификация ключа в реестре). Тогда стандартными средствами не воспользуешься. Вот здесь и приходят на помощь две чрезвычайно полезные утилиты для мониторинга своего компьютера.

Программа ProcessXP аналогична диспетчеру задач, но отображает работающие процессы и программы в удобном древовидном виде. На запуск программы не влияют никакие ключи реестра, и, запустив ProcessXP, при наличии нашего вируса в памяти, мы увидим такую картину.

csrcs3.png (9.86 Kb)

Обратите внимание, что csrcs.exe запущен от имени Explorer.exe или попросту от залогиненного пользователя, и если (я забегаю вперед) знать, что файл запущен из системной папки Windows\System32, то можно сразу сделать практически 100% вывод – это он, вирус. Тем более отсутствие каких-либо описаний файла должно вызвать первые сомнения при любом исследовании системы. Выгружаем его.

Процесс выгружен из памяти. Теперь нужно удалить сам файл. Как уже было сказано выше, он находится в системно каталоге Windows.

Чаще всего это, например, C:\Windows\System32\csrcs.exe. Напомню, что файл скрыт. Поэтому надо включить отображение скрытых файлов (в настройках "Свойства Папки") и поискать файл глазами или стандартным поиском системы(не забывая задать опцию "искать в скрытых и системных файлах") или воспользоваться, например, Total Commander (естественно, тоже с включенным отображением скрытых файлов). Открываем системную папку, сортируем по именам и вот он, красавец, на скриншоте.

csrcs4.png (8.07 Kb)

Обратите внимание, указанный размер (а если быть совсем точным 419920 байт) всегда 420 Kb, это тоже может служить признаком определения "вредителя"thinking . Находим и удаляем файл, если файл не удаляется, пишет, что занят, значит он по-прежнему "сидит" в памяти и его нужно сначала выгрузить.

Все, самого вируса на компьютере нет, осталось только удалить упоминание о нем в реестре. Конечно, можно загрузить Regedit и поискать вручную, но я рекомендую воспользоваться замечательной антивирусной утилитой Зайцева http://z-oleg.com/secur/avz/index.php. Сама утилита поможет во многих случаях, но, если говорить по делу, сейчас нас интересует контроль автозагрузки. Запускаем avz.exe, в главном меню выбираем "Сервис" - "Менеджер автозапуска". Получаем картинку, подобную на скриншоте.

csrcs5.png (13.3 Kb)

Что нам нужно сделать?

Во-первых, удалить запуск самого вируса, становимся на строку (на картинке с пометкой 1) и нажимаем кнопку на тулбаре "Удалить" (на картинке пометка 2).

Дальше, что очень важно, надо исправить ключ запуска проводника (на картинке 3), именно из-за модифицированного ключа запуска возникает ошибка при старте системы (окно с сообщением "Windows не удалось найти "csrcs.exe". Проверьте, что имя было введено правильно, и повторите попытку. Чтобы выполнить поиск файла, нажмите кнопку "пуск", а затем выберите команду "Найти"." ). Для удаления ключей становимся на первую строку "Explorer.exe csrcs.exe" и нажимаем кнопку на тулбаре "Восстановить значения по умолчанию" (на картинке 4), вторая строка должна исправиться автоматически на "Explorer.exe".

Хочу добавить вот еще что, очень неплохим финальным шагом будет еще и удалить все системные точки восстановления, чтобы через некоторое время вирус чудесным образомbiggrin не восстановился.

Для последнего шага открываем свойства "Мой компьютер", переходим на закладку "Восстановление системы" и устанавливаем опцию "Отключить восстановление системы на всех дисках".

offrec.gif (17.31 Kb)

Нажимаем "Применить", ждем некоторое время, пока удалятся все точки восстановления, а затем убираем опцию. Для неопытных рекомендую нажимать не "Применить", а "Ok", затем снова зайти в свойства и убрать установленную ранее птичку.

Пользователи, успешно справившиеся с проблемой этого вируса, также рекомендую очищать папку %Temporary Internet Files% (она находится в профиле пользователя). В эту папку записывается весь кеш броузера IE, т.е. все что поступает к Вам при просмотре сайтов интернета. И если есть предположение, что вирус Вы "подцепили" из интернета (чаще из локальных сетей ИМХО и опыт smile ) и Вы пользуетесь броузером Internet Explorer этот совет имеет вес для Вас. up

Обязательно перегружаем компьютер, все, мы удалили вирус с коварным именем csrcs.exe up

Обязательно держите базы антивируса в обновленном состоянии.


 
AdminДата: Вторник, 13.10.2009, 10:12 | Сообщение # 3
Admin
Группа: Администраторы
Сообщений: 68
Награды: 6
Репутация: 6
Статус: Offline
А если короче то происходит следующее: антивирус удаляет файл csrcs.exe При включении ПК появляется окно "Не найден файл csrcs.exe". Запускаем редактор реестра, находим ссылку на данный файл. Он покажет ссылку на "Explorer.exe csrcs.exe". Нажимаем исправить и пишем "Explorer.exe"

И всё! Больше данная ошибка не будет появляться при запуске!


 
rLt_OrtriwarДата: Среда, 21.10.2009, 22:44 | Сообщение # 4
Гость
Группа: Модераторы
Сообщений: 2
Награды: 0
Репутация: 1
Статус: Offline
а еще подобную штуку можно вылечить переустановкой операционной системой, но это самый крайний случай дорогие друзья;)
 
AdminДата: Четверг, 22.10.2009, 08:12 | Сообщение # 5
Admin
Группа: Администраторы
Сообщений: 68
Награды: 6
Репутация: 6
Статус: Offline
Рекомендую пользователя rLt_Ortriwar как опытного пользователя! Обращайтесь к нему! Особенно по вопросам железа! happy

 
rLt_OrtriwarДата: Вторник, 10.11.2009, 17:58 | Сообщение # 6
Гость
Группа: Модераторы
Сообщений: 2
Награды: 0
Репутация: 1
Статус: Offline
также готов помочь по вопросу комплектации компьютера (подбор железа, совместимость и тд)
 
Форум » Вопрос - ответ » Вопросы администратору сайта » Советуемся здесь! (Компьютерные проблеммы, вирусы)
Страница 1 из 11
Поиск:

Часы
Форма входа
Поиск

Управление Минздравсоцразвития Ульяновской области по Инзенскому району
Хостинг от uCoz