Рубрика: Борьба с вирусами

Qvo6 – очередной вирус-перенаправитель, заменяющий домашнюю страницу браузера на разные весьма сомнительные ресурсы.

Эпидемия по беспечности

Распространенность таких вирусов базируется на беспечности и неосведомленности пользователей. Большинство из них не видит ничего страшного в том, что стартовая страница сменилась, а некоторые вообще этого факта не замечают. Но это действительно может быть опасным.

Во-первых, посещение неизвестным, подозрительных ресурсов чревато заражением обитающими на них вирусами. Во-вторых, часто эти ресурсы тоже могут быть подставными и использоваться интернет-мошенниками или взломщиками для своих целей. Кому же хочется, чтобы его компьютер использовался как одна из многих шестеренок массированной вирусной атаки. Поэтому разобраться, как удалить Qvo6 из Mozilla, Opera, Chrome и IE нужно как можно скорее.

Подхватить вирус проще простого. Для этого достаточно посетить зараженный сайт или скачать файл с публичного незащищенного антивирусами файлообменника. Очень часто вирус Qvo6 прилагается в виде «подарочка» к программному обеспечению. В этом случае он прячется в установочных файлах и пользователь его не увидит, пока не установит программу.

Борьба с вредителями

Удалить Qvo6.com не так просто, как «подцепить». Он заражает все браузеры, какие только есть на компьютере пользователя, будь то Mozilla Firefox, Opera или IE. Облегчает работу только то, что процедура удаления на 90% совпадает для любого из них.

Первый способ – для опытных пользователей. Достаточно открыть системный реестр (Пуск – Выполнить — regedit) и найти в нем все упоминания о Qvo6. Для поиска по реестру можно пользоваться клавишей F3. После этого необходимо зайти в браузер Firefox, зайти в настройки и сбросить их на используемые по умолчанию. После перезагрузки все должно быть в порядке.

Второй способ удалить Qvo6 из Firefox – более хлопотный.

Найти на диске все файлы, связанные с вирусом. Можно воспользоваться стандартным поиском (Пуск – Поиск или клавиша F3), можно – поисковыми средствами сторонних файловых менеджеров. Таких как Far или Total Commander. Все файлы и папки нужно удалить, желательно сочетанием клавиш Shift+Delete, чтобы наверняка. Затем зайти в браузер и задать ему стандартные настройки.

После этого нужно будет проверить ярлык, с которого обычно запускается Mozilla, и если он ссылается не на исполняемый файл, а на какой-либо другой объект, то сделать новый ярлык. Самый простой способ – открыть папку программы (обычно расположена в Program Files и называется, как и браузер, Firefox), найти в ней исполняемый файл firefox.exe, щелкнуть правой клавишей мыши и дать команду Рабочий стол (создать ярлык).

Полезные советы

Чаще всего удалить Qvo6 малой кровью не получается, поскольку вирус грузится в оперативную память и считается запущенным процессом все время работы компьютера. Поэтому приходится придумывать обходные маневры. Самый действенный – закрыть процессы, в названии которых упоминается Qvo6, с вкладки Процессы диспетчера задач (Ctrl+Alt+Delete).

Если это сделать, то можно попробовать удалять файлы вируса не вручную, а инструментом удаления программ из Панели управления.

И лучше всего произвести указанные действия для всех установленных браузеров, даже если они не используются – зачем открывать лишнее окошко вредоносным объектам?

Sponsorship – очередной красочный пример приложений, появляющихся на компьютере по невнимательности или беспечности пользователя. Это еще один вирус, устанавливаемый вместе с другой, более нужной программой.

В самом деле, как рассуждает большинство: «Мне этот файл очень нужен!» Или: «Ну, я же должен это программу установить!!!» А что там просит внести изменения в систему и сколько раз – остается без внимания.

Как результат – странное поведение компьютера, непонятная активность неизвестных приложений, а в худшем случае – переустановка операционной системы.

Конкретный экземпляр прописывается во всех браузерах и меняет их стартовую страницу. «Попутно», собирает данные со всех cookie-файлов и других персональных данных пользователя и пересылает неизвестно кому, ни у как большинство подобных модулей, открывает возможность для использования компьютера в массированных вирусных атаках.

Sponsorship – вирусный айсберг

Удалить Sponsorship, как и всех подобных червей, не так и просто. Точнее, не столько сложно, сколько долго и скучно.

Как обычно, от стандартного Удаления программ из Панели управления толку не будет: вирус постоянно активен, а значит, деинсталлятору недоступен.

Поиск антивирусом тоже результата не даст. Почему? Потому что пользователь сам дал разрешение вносить изменения на компьютере. Антивирус эти разрешения применил и теперь с его точки зрения все хорошо.

Можно попробовать воспользоваться небезызвестными инструментами поиска и удаления вирусов: AVZ, Dr.Web CureIt. Правда, их результативность тоже не 100%.

Самое же интересное, что Sponsorship связан с приложением Dealply или DSite, и страницу в браузерах подменяет именно оно. Эта хитрость дополнительно обманывает средства поиска вирусов. Ведь ищет пользователь одно, а удалить нужно совсем другое!

Удаление вредителя

Неплохо справляется со Sponsorship Kaspersky Virus Removal Tool – бесплатная утилита для поиска вирусов. Она не нарушает работу штатного антивируса и не обманута пользовательскими разрешениями. Кроме того, она может удалить и запущенное приложение.

Процедура удаления таких мелких пакостников вручную почти стандартна.

1. Через Диспетчер задач найти и остановить все процессы, содержащие в названиях слова Sponsorship и Dealply или DSite.
2. Через Администрирование – Службы остановить все одноименные службы.
3. Запустить msconfig (Пуск — Выполнить) и убрать из автозагрузки (сняв галочки) все процессы, содержащие в названиях эти же слова, перезагрузиться.
4. Удалить папку с программой. Скорее всего, вирус находися в папке Program Files, но если там не нашлась, можно отыскать ее ярлык и в его свойствах посмотреть, что написано в строке «Объект». На словах просто, на деле – хитро. Найти ярлык, скорее всего, получится только через системный поиск или при помощи сторонних файл-менеджеров, таких, как Total Commander, используя в качестве параметра поиска кусок адресной строки стартовой страницы вируса в браузере. Удалить надо все папки и файлы, в названиях которых упоминаются Sponsorship, Dealply и DSite.
5. Почистить или сбросить настройки браузеров и удалить старые ярлыки, сделав новые, от исполняемых файлов, а не подставленных вирусом объектов.
6. Запустить редактор реестра (Пуск – Выполнить — regedit) и удалить все параметры, содержащие Sponsorship и все остальные его компоненты. Перезагрузиться.

Вот так удаляется вирус Sponsorship – множеством однообразных и скучных манипуляций. Поэтому единственная рекомендация, которую хочется дать владельцам компьютеров – внимательнее читать сообщения системы в процессе установки ПО, не соглашаться на изменения вносимые не той программой, которая устанавливается, а какими-то непонятными, прилагающимися к ней, объектами. Вторая рекомендация – скачивать ПО только с проверенных сайтов, давая себе труд потратить немного времени на поиск.

Чтобы установить новую программу, уже давно не нужны компакт-диски и даже флэшки, достаточно доступа в Интернет. Нужную программу можно скачать с официальных сайтов разработчиков или распространителей, а также с многочисленных торрент-трекеров. Довольно часто программа в процессе установки «просит» установить еще одну, а пользователь, потеряв бдительность, соглашается. Вот таким образом и может оказаться на дисках компьютера такое сомнительное приложение, как Guard@Mail.ru.

Это приложение по своим действиям напоминает троян, поскольку:

• устанавливается либо вовсе скрытно, либо «довеском» к нужному файлу;
• блокирует все браузеры;
• мучает владельца компьютера ненужными ему рекламными поп-апами.

Все это не самые дружественные к пользователю действия, поэтому неудивительно желание большинства удалить Guard MailRu из системы побыстрее.

Просто удалить. Не получится?

Как обычно и бывает с подобными полувирусными модулями, удалить вредный Guard@Mail.ru не так и просто. Стандартный деинсталлятор Windows, располагающийся в Панели управления, в большинстве случаев с ним не справляется.

Наиболее известные утилиты для поиска вирусов и вредоносных программ – AVZ и Dr.WEB CureIt! Обнаруживают Guard MailRu не всегда. Отчего зависит качество их поиска – неизвестно, но даже если где-то в логах и есть упоминания о модуле, непрофессионал этого не поймет.

Для удаления GuardMailRu можно воспользоваться приложением Unlocker, неплохо удаляет его без долгих мучений и деинсталлятор файлового менеджера Total Commander в сборке PowerUser, начиная с версии 6.0.

Поэтому если пользователь совсем не профи, придется искать сведущего друга и прикармливать его хотя бы чаем с конфетами за избавление от этой пакости. Если же хоть небольшой опыт самостоятельных экспериментов (успешных!) есть, можно попробовать удалить приложение с компьютера самостоятельно.

Удаление GuardMailRu

Итак, как удалить GuardMailRu вручную?

1. Остановить службу Guard@Mail.ru. Это делается через пункт Администрирование Панели управления, в разделе Службы. Находим Guard и останавливаем.
2. Остановить сам модуль. Обычно именно поэтому его не может удалить деинсталлятор операционной системы. Вызывается Диспетчер задач (Ctrl+Alt+Del), открывается вкладка Процессы, в списке выделяется Guard и процесс завершается. Причем нужно учесть такой нюанс: удалить надо и системный, и пользовательский процессы, для чего обязательно выбрать пункт «Отображать процессы всех пользователей».
3. После этого можно попытать счастья с Удалением программ из раздела Программы и компоненты. Если счастья не получилось, то придется вручную удалить несколько папок и файлов, для чего лучше всего воспользоваться поиском. Скорее всего, кроме одноименной папки в Program Files придется проверить папки браузеров, а также папку Application Data.
4. Почистить настройки всех браузеров. Как вариант, можно сбросить их на умолчательные.
5. Заключительный аккорд: нужно удалить из реестра все упоминания о Guard MailRu. Это делается через меню Пуск, команда Выполнить, где вводится regedit. Поиском по реестру обнаруживаются все ветки, затронутые модулем и удаляются.
6. Перезагрузка!

А напоследок я скажу…

Самое же лучшее – не устанавливать непроверенное ПО и не пользоваться сомнительными торрентами. Даже если файл очень нужен, стоит потратить дополнительные 10 минут на его поиск, в подавляющем большинстве случаев, его удастся скачать без «подарков», которые потом и не знаешь, как удалить.

Также рекомендуем почитать каким образом можно избавиться от MetaCrawler

В последнее время в Интернете просто эпидемия вирусов, подменяющих стартовые странички браузеров сторонними ссылками. Хуже, что эти же вирусы открывают доступ к компьютеру, позволяя использовать его как бот в DDOS-атаках и других пакостях. Один из представителей этого «семейства» — yambler.net.

Ямблер относительно безобиден и призван, по-видимому, продвигать сайт, на который ссылается: он открывает страничку какого-то неизвестного поисковика, увешанного рекламой и обещающего найти все, что нужно, в трех системах разом. Самое неприятное, что эта картина будет фигурировать в любом установленном на компьютере обозревателе – вирус маниакально прописывается везде, где только можно. Но владельцу компьютера-то он зачем?

К счастью, удалить yambler с компьютера довольно просто, с этим может справиться даже не самый квалифицированный пользователь. Правда, занятие несколько рутинное и скучное, особенно с учетом того, что все операции надо будет проделать столько раз, сколько установлено браузеров.

Бороться с Yambler нужно сразу в нескольких направлениях.

Поиск в установленных программах и запущенных процессах

Зачем это надо? Видимым образом Yambler проявляет себя, подменяя умолчательную страничку обозревателя. Но само его «тело» благополучно лежит в одной из папок, обычно той же, где и все остальное ПО (ведь вирусы – тоже программы) – в Program Files, а во время работы «отсвечивает» в списке запущенных процессов в Диспетчере задач.

Поэтому действовать надо так:

1. Открыть Панель управления, пункт «Программы и компоненты», где нужна ссылочка «Удаление программ».
2. В списочке всего доступного ПО найти неизвестно (точнее, теперь уже известно – из интернета) откуда взявшуюся программку «Zaxar поисковая система». Эта пакость может назваться и по-другому, например, Zaxar Games Browser, но слово Zaxar будет точно, на него и ориентироваться.
3. Удалить этот странный поисковик.

Здесь подстерегает одна неприятность: вирус может не удалиться. Но отчаиваться рано! Чаще всего это связано с тем, что процесс запущен, и как и все, что находится в оперативной памяти, удалить его деинсталлятор Windows не может. Поэтому нужно просто его оттуда убрать. Как? Самый простой способ – через Диспетчер задач (тот, что вызывается по нажатию Ctrl+Alt+Delete), в котором надо открыть вкладку «Процессы», найти там zaxar.exe и по клику правой кнопкой мыши выбрать пункт «Завершить процесс», либо нажать одноименную кнопку. Программа станет доступна деинсталлятору Windows, после чего можно повторить все действия в Панели управления.

Если и теперь ямблер не желает удаляться, то остается только открыть его в папке C:\Program Files(х86)\Zaxar и удалить его прилагающимся деинсталлятором, расположенным внутри папки, либо просто вручную вместе с папкой.

Исправление работы браузеров

Yambler подменяет не только стартовую страничку, но и файл, связанный с ярлыком браузера, что и позволяет запускать не привычный браузер, а то, что нужно создателям вируса. Если открыть свойства ярлыков, то станет видно, что они ссылаются не на исполняемые файлы (opera.exe, iexplore.exe, firefox.exe и т.д.), а на некие одноименные url-объекты. Необходимовсе это удалить: открываем по очереди папки браузеров, находим в них фалы с именами opera.url, iexplore.url, firefox.url, chrome.url и т.д., — и без сомнений нажимаем для них Delete. Теперь осталось только сделать заново ярлыки для браузеров, либо отредактировать старые.

Многие люди даже не задумываются, что за Yambler «завелся» у них на компьютере – безобидный, ну и ладно. Но подобные мелочи засоряют систему, открывают лазейки для более вредоносных программ, просто мозолят глаза. Поэтому даже самым беспечным пользователям стоит узнать как удалить Ямблер и пользоваться компьютером без опасений.

Что такое стартовая страница браузера, наверное, знают все. Равно как и то, что предусмотрены разные ее варианты. «По умолчанию» браузер грузится со странички, предусмотренной разработчиком (обычно, это справка или реклама новых функций), но пользователь может заставить его загружаться со строго определенного сайта или вообще пустого окна. И все прекрасно, до тех пор, пока стартовую страницу вдруг не подменяет нечто непонятное, пользователем не заданное и производителем не предусмотренное.

Что такое Sindex и чем он плох?

Ситуация проста и незамысловата: в один прекрасный день пользователь запускает свой IE, Opera или что-то еще и вместо привычной картины видит сайт, который ему и в страшном сне не нужен, а в адресной строке какой-то Sindex. Он честно меняет в свойствах адрес на любимую/нужную страничку… А в следующий раз все повторяется. И в следующий… И во всех установленных на компьютере браузерах.

В общем, это вирус, меняющий «прописку» стартовой страницы. У него существует несколько модификаций, различающихся названиями доменов первого уровня — .biz, .net, .com , — но все они удаляются одинаково.

Конечно, Синдекс не так ужасен, как вирусы, поедающие файлы или вообще «убивающие» железо, но тоже неприятен, поэтому «пакость» можно без зазрений совести удалить.

Как удалить? Способ первый – простой, но ненадежный

Что перво-наперво делает среднестатистический владелец компьютера, заподозрив вирус? Правильно! Запускает антивирус! Но дело в том, что в большинстве случаев это не помогает: программа либо не находит ничего подозрительного, либо не может его удалить.

Немного лучше обстоят дела с применением специальных антивирусных утилит, таких как Dr.Web CureIt! Или AVZ, но они тоже помогают через раз. Поэтому, чтобы удалить Sindex придется приложить усилия.

Способ второй – правильный

Для начала – о приятном. Поскольку Синдекс прописывается во всех браузерах разом, то и удаляется он из них (в частности, из IE, Opera и Google Chrome) одинаково, небольшие отличия есть лишь в Mozilla Firefox.

Теперь о действиях. Чтобы раз и навсегда избавиться от sindex, нужно действовать в разных направлениях.

1. Для начала, зайти в папку Program Files (начиная с Windows 7, при установке 32-битной системы с суффиксом (х86)), найти там папку браузера: ..\Opera\, .. \Google\Chrome\Application\ или ..\Internet Explorer\ , — и удалить оттуда все имена файлов по маске *.url.
2. Следующий шаг: найти ярлыки браузеров, открыть у каждого свойства и заменить ссылки в поле «Объект» (которые, благодаря вирусу ссылаются на файлы, удаленные в 1 пункте) верными. Второй вариант: все неправильные ярлыки – удалить, затем найти в папке браузера исполняемый файл и из контекстного меню дать команду «Рабочий стол (создать ярлык)».
3. Теперь нужно открыть в Панели управления «Программы и компоненты» («Установка и удаление программ» в ранних версиях) и проверить список установленного ПО на предмет наличия в нем неизвестных браузеров, которых никто не устанавливал. Частенько обнаруживаются такие объекты, как zaxar, winres и другие «игровые браузеры». Их тоже надо удалить.

Обычно после этих действий приключения заканчивается и браузер открывает при запуске нужную стартовую страничку. Но вирус не был бы вирусом, если бы не существовало множества его версий, отличающихся, в том числе и процедурой удаления.

Второй вариант удаления синдекс – через автозагрузку. Чтобы вызвать ее, щелкаем Пуск, выбираем пункт Выполнить и вводим в строку msconfig, а в открывшемся окне – вкладку Автозагрузка. Здесь находим все строчки, включающие слово sindex, снимаем с них галочки. Затем открываем папку Application Data (обычно она расположена в папке учетной записи пользователя) и удаляем оттуда все одноименные файлы. Этот способ позволяет, в частности, удалить страницу sindex.biz, которая частенько не поддается первому методу.

Наконец, для желающих заковыряться в самые глубины системы есть и третий путь, связанный, как можно догадаться, с правкой реестра. Через Пуск/Выполнить/regedit открывается реестр. В нем находятся все ключи, содержащие sindex (во всех ветках и параметрах), и удаляются. Поиск производится по нажатию F3, при нахождении нужной строки, она выделяется. Остается правой кнопкой мыши вызвать меню выделенного параметра и выбрать «Удалить» или двойным щелчком открыть редактирование текстовой строки и стереть ее.

Mozilla – самый оригинальный браузер

И это так. В браузере Mozilla, чтобы убрать из него sindex и вернуть стартовую страничку на место, нужно предпринять еще несколько дополнительных действий.

В адресной строке необходимо ввести «about:config» (без кавычек) и нажать Enter, а затем подтвердить, что пользователь понимает, что делает. Далее открывается окно со списком всех возможных параметров браузера. В поле фильтр вводится адрес надоедливой веб-страницы, после чего в списке останутся только те параметры, которые его содержат. Адрес надо из них удалить. Это нудно, но результат-то того стоит!

После этого можно действовать первым, вторым или третьим способом.

Так что удаление Sindex – не самое простое дело. Надо запастись терпением, чтобы произвести все указанные действия для всех браузеров в системе. Иначе велик риск того, что ситуация повторится еще не один раз.