Рубрика: Безопасность

Позвольте представить, очередной околовирусный продукт: WebConnect Ads! Еще один образчик, подменяющий стартовые страницы браузеров или заваливающий пользователя ненужными ссылками и баннерами. Модуль копирует свои файлы на винчестер, прописывается в автозагрузку и начинает отравлять владельцу жизнь.

Удалить это безобразие довольно просто, для этого достаточно знать, как называются процесс и исполняемый файл программки. Первый – webconnect или WebConnect Ads, второй — webconnectBHO.dll.

Все инструкции, как удалить webconnect, которые попадаются в Интернете, больше похожи на рекламу поскольку звучат так: «WebConnect Ads – ужасная вещь! Качай нашу программу и будет тебе счастье!» Проблема в том, что программа стоит денег, да к тому же располагается на неизвестном торренте, так что, скачав ее, можно подцепить еще более вредную пакость.

Конечно, известные, многажды проверенные в боевых, так сказать, условиях утилиты, такие как Dr.WebCureIt!, AVZ или Kaspersky Lab AntiViral Toolkit Pro вполне способны удалить WebConnect из системы. Единственное, что может им помешать – нахождение модуля в автозагрузке, т.е. в постоянно исполняемом виде. Чтобы убрать его оттуда, достаточно вызвать Диспетчер задач (Ctrl+Alt+Del), открыть вкладку Процессы, найти в списке нужный и нажать кнопку «Завершить процесс». После этого любая из упомянутых программ найдет и обезвредит его.

Если подобной программы нет, установить ее не получается, а модуль не удаляется обычным путем, через Панель управления – Программы и компоненты, придется делать все вручную.

1. Выгрузить модуль из оперативной памяти, как описывалось выше.
2. Вручную удалить все папки и файлы модуля с дисков компьютера. Удалять можно сочетанием клавиш Shift+Del, чтобы уж сразу и наверняка, а сами файлы искать с помощью функции поиска, указав имя исполняемого файла в качестве параметра.
3. Открыть системный реестр через кнопку Пуск, пункт Выполнить – regedit и поудалять оттуда все, связанное со словом webconnect.
4. Зайти в используемый браузер (а лучше во все, установленные на компьютере) и выставить домашнюю страницу на пустую, либо заново установить имеющуюся, чтобы она точно указывала на выбранный сайт.
5. Проверить свойства всех ярлыков браузера (щелчок на ярлыке правой кнопкой мыши, команда «Свойства»), чтобы в строке «Объект» стояла ссылка на исполняемый файл браузера *.exe, а не какой-то посторонний объект, в противном случае, сделать новый ярлык.
6. Перезагрузить компьютер.

Все эти действия, выполненные последовательно позволят гарантированно избавиться от WebConnect Ads. Вот такая незаметная, но очень вредная программа может завестись в системе, если недостаточно внимательно относиться к тому, на что кликать мышкой в Интернете.

В последнее время наблюдается настоящий бум так называемых редирект-вирусов. Это вирусы, которые, как понятно из названия, перенаправляют браузеры клиентских компьютеров на определенные веб-страницы. Один из таких вирусов — V9 Redirect Virus, известный еще как V9 Portal Site. Он заменяет страницу, с которой начинает работу браузер по адресу v9.com, которая пользователю совершенно не нужна.

Основная опасность таких вирусов в том, что они открывают систему для проникновения гораздо более вредоносных программ. Кроме того, подсовываемые ими ссылки, отправляют пользователя на не безопасные ресурсы, где тоже можно подцепить много всяких «болячек».
Что же делать бедному юзеру, который в один прекрасный день обнаружил, что браузер вместо привычного прогноза погоды или странички новостей отправляет его на неизвестный Portal Site? Удалять немедленно!

Удалить v9.com из системы довольно просто. Проблема заключается в том, что многие не считают его опасным. В самом деле, антивирусы его не «видят», т.е. при проверке системы не сигналят пользователю о наличии угрозы. Причина этого проста: вирус проникает на компьютер вместе с файлом, скачанным из интернета, даже если антивирус что-то сигналил, в большинстве случаев, пользователь сам разрешает дальнейшее исполнение файла, — надо же установить скачанную программу или открыть давно разыскиваемую книгу. После этого антивирус вносит программу в список разрешенных и не воспринимает ее как угрозу.

Вариант первый — оптимистичный

Он заключается в том, чтобы полностью очистить систему от малейших упоминаний о вирусе. Для этого с помощью любого файлового менеджера нужно найти и удалить все файлы и папки, содержащие в названии полностью и по частям названия V9 Portal и v9.com. Стоит проверить и список установленных программ через Панель управления – Программы и компоненты. Удалять файлы лучше всего с администраторскими правами (меню правой кнопки мыши, пункт «(Запуск) от имени администратора»).

После этого надо удалить V9 и все его компоненты из реестра, воспользовавшись кнопкой Пуск – Выполнить – regedit. Придется очистить все ключи и значения параметров, упоминающие этот вирус.
После этого стоит проверить список автозагрузки системы, вызываемый командой msconfig из того же пункта Выполнить меню Пуск. На вкладке Автозагрузка нужно просто снять флажки (галочки) напротив пунктов, упоминающих V9.

Заключительный этап: зайти в каждый браузер и сбросить настройки на умолчательные. После этого проверить ярлыки каждого из них и убедиться, что в строке «объект» написан путь к исполняемому файлу «название_браузера.exe», если в строке фигурирует какое-то другое название, заменить ярлыки.

После этого можно перезагрузить компьютер и проверить, какая страница открывается при запуске браузера.

Вариант второй — пессимистичный

В запущенных случаях, обычно, если вирус довольно долго безнаказанно хозяйничал в системе, все вышеперечисленное может и не помочь. Файлы не находятся или не удаляются, не взирая на админские права, ярлыки не меняются, а настройки браузеров не сбрасываются. Это значит, что Windows уже попорчена вирусом и мало похожа на свое первоначальное состояние.

В этом случае есть только один надежный способ исправить ситуацию (кроме переустановки Windows, конечно) – откат системы. Делается это через Панель управления – Восстановление (системы). Windows откроет диалоговое окно, которое позволит пользователю выбрать точку восстановления – снимок системы на определенную дату. Выбрать нужно такую, которая точно будет по времени расположена до заражения. Далее остается действовать, согласно инструкции Мастера восстановления и не трогать компьютер, пока ОС не напишет, что это можно делать.

Восстановление – практически безотказный способ, поскольку заменяет имеющуюся копию ОС той, которая была зафиксирована на момент выбранной при восстановлении даты, поэтому все вредные последствия вируса (как и сам вирус) в ней отсутствуют.

Какой бы способ ни пришлось применить, стоит убедиться, что вируса в системе больше нет. Иначе, рано или поздно, придется либо снова производить все перечисленные действия, либо просто переустанавливать всю операционную систему.

Время от времени любой пользователь интернета сталкивается с тем или иным вирусом. И его счастье, если вирус остаточно безвредный, например Qvo6.com. Эта «особь» попадает на компьютер двумя путями.

Первый – переход по ссылке на зараженный сайт, где достаточно нажать любую кнопку или согласиться, например, на почтовую рассылку, чтобы подхватить «заразу» во все имеющиеся браузеры. Второй – установка программного обеспечения или даже просто скачивание файлов с непроверенных публичных торрент-серверов. В этом случае вирус устанавливается вместе с программой или запускается при распаковке файла с какой-нибудь безобидной книжкой.

Qvo6 – не самый страшный вирус, конечно. Он всего лишь подменяет стартовую страницу всех браузеров на поисковик Qvo6, малоизвестный и довольно бесполезный большинству людей. Тем не менее, убрать Qvo6 из системы необходимо, поскольку он открывает лазейку для других, Более опасных, вирусов.

Удаление таких вирусов – скучное занятие: нужно выполнить множество повторяющихся действий. Утешает только один факт: чтобы научиться избавляться от вируса, достаточно разобраться, как удалить Qvo6 из Оперы, например, причем в каждом браузере. Для примера можно рассмотреть, как удалить Qvo6 из Оперы, а с остальными сделать то же самое.

Этапы работы

Удаление подобных вирусов делится на несколько этапов.

1. Поиск Qvo6.com на всех дисках компьютера и удаление всех, связанных с ним, файлов. Он тоже проводится поэтапно, но уже вынужденно. Итак, сначала, нужно поискать все упоминания Qvo6 в списке установленных программ в Панели управления и удалить их. И вот тут, чаще всего, пользователя ждет первая загвоздка – удаляться они не желают. Объяснение простое: вирус действует, а значит, удален быть не может, его надо остановить. Для этого придется вызвать диспетчер задач, перейти на вкладку Процессы, выделить все, где есть в названии Qvo6, и завершить их. После этого можно снова воспользоваться Удалением программ.
2. Удалить вручную все, что осталось после первого этапа – файлы и папки, не тронутые деинсталлятором. Искать их стоит в папке, где располагаются все программы – в Program Files.
3. Открыть папку браузера, в нашем случае – Opera и проверить, есть ли там файлы с суффиксом *.url. Их тоже нужно удалить.
4. Теперь очередь за ярлыками браузера, расположенными на рабочем столе компьютера и в меню Пуск. Они должны ссылаться на исполняемый файл программы, т.е. на opera.exe, что проверяется вызовом свойств ярлыка из контекстного меню (которое, в свою очередь, вызывается правой кнопкой мыши). Если они ссылаются на что-то другое, нужно сделать новые ярлыки любым способом.
   • Найти в папке программы файл opera.exe, кликнуть правой кнопкой мыши по нему и дать команду Рабочий стол (создать ярлык).
   • На Рабочем столе щелкнуть все той же правой кнопкой мыши, дать команду Создать – Ярлык и следовать указаниям Мастера создания ярлыков.
   • Для профессионалов: вручную вписать в строку «Объект» ярлыка полное имя исполняемого файла браузера.
5. Ну и последнее. Нужно открыть реестр системы через Пуск – Выполнить – regedit и удалить из него все ключи и параметры, связанные с Qvo6.
6. Перезагрузить компьютер.

Пункты 3 и 4 нужно будет повторить для каждого браузера, сколько бы их ни было установлено в системе. Только после этого можно вздохнуть свободно – от заразы удалось избавиться.

Qvo6 – очередной вирус-перенаправитель, заменяющий домашнюю страницу браузера на разные весьма сомнительные ресурсы.

Эпидемия по беспечности

Распространенность таких вирусов базируется на беспечности и неосведомленности пользователей. Большинство из них не видит ничего страшного в том, что стартовая страница сменилась, а некоторые вообще этого факта не замечают. Но это действительно может быть опасным.

Во-первых, посещение неизвестным, подозрительных ресурсов чревато заражением обитающими на них вирусами. Во-вторых, часто эти ресурсы тоже могут быть подставными и использоваться интернет-мошенниками или взломщиками для своих целей. Кому же хочется, чтобы его компьютер использовался как одна из многих шестеренок массированной вирусной атаки. Поэтому разобраться, как удалить Qvo6 из Mozilla, Opera, Chrome и IE нужно как можно скорее.

Подхватить вирус проще простого. Для этого достаточно посетить зараженный сайт или скачать файл с публичного незащищенного антивирусами файлообменника. Очень часто вирус Qvo6 прилагается в виде «подарочка» к программному обеспечению. В этом случае он прячется в установочных файлах и пользователь его не увидит, пока не установит программу.

Борьба с вредителями

Удалить Qvo6.com не так просто, как «подцепить». Он заражает все браузеры, какие только есть на компьютере пользователя, будь то Mozilla Firefox, Opera или IE. Облегчает работу только то, что процедура удаления на 90% совпадает для любого из них.

Первый способ – для опытных пользователей. Достаточно открыть системный реестр (Пуск – Выполнить — regedit) и найти в нем все упоминания о Qvo6. Для поиска по реестру можно пользоваться клавишей F3. После этого необходимо зайти в браузер Firefox, зайти в настройки и сбросить их на используемые по умолчанию. После перезагрузки все должно быть в порядке.

Второй способ удалить Qvo6 из Firefox – более хлопотный.

Найти на диске все файлы, связанные с вирусом. Можно воспользоваться стандартным поиском (Пуск – Поиск или клавиша F3), можно – поисковыми средствами сторонних файловых менеджеров. Таких как Far или Total Commander. Все файлы и папки нужно удалить, желательно сочетанием клавиш Shift+Delete, чтобы наверняка. Затем зайти в браузер и задать ему стандартные настройки.

После этого нужно будет проверить ярлык, с которого обычно запускается Mozilla, и если он ссылается не на исполняемый файл, а на какой-либо другой объект, то сделать новый ярлык. Самый простой способ – открыть папку программы (обычно расположена в Program Files и называется, как и браузер, Firefox), найти в ней исполняемый файл firefox.exe, щелкнуть правой клавишей мыши и дать команду Рабочий стол (создать ярлык).

Полезные советы

Чаще всего удалить Qvo6 малой кровью не получается, поскольку вирус грузится в оперативную память и считается запущенным процессом все время работы компьютера. Поэтому приходится придумывать обходные маневры. Самый действенный – закрыть процессы, в названии которых упоминается Qvo6, с вкладки Процессы диспетчера задач (Ctrl+Alt+Delete).

Если это сделать, то можно попробовать удалять файлы вируса не вручную, а инструментом удаления программ из Панели управления.

И лучше всего произвести указанные действия для всех установленных браузеров, даже если они не используются – зачем открывать лишнее окошко вредоносным объектам?

Sponsorship – очередной красочный пример приложений, появляющихся на компьютере по невнимательности или беспечности пользователя. Это еще один вирус, устанавливаемый вместе с другой, более нужной программой.

В самом деле, как рассуждает большинство: «Мне этот файл очень нужен!» Или: «Ну, я же должен это программу установить!!!» А что там просит внести изменения в систему и сколько раз – остается без внимания.

Как результат – странное поведение компьютера, непонятная активность неизвестных приложений, а в худшем случае – переустановка операционной системы.

Конкретный экземпляр прописывается во всех браузерах и меняет их стартовую страницу. «Попутно», собирает данные со всех cookie-файлов и других персональных данных пользователя и пересылает неизвестно кому, ни у как большинство подобных модулей, открывает возможность для использования компьютера в массированных вирусных атаках.

Sponsorship – вирусный айсберг

Удалить Sponsorship, как и всех подобных червей, не так и просто. Точнее, не столько сложно, сколько долго и скучно.

Как обычно, от стандартного Удаления программ из Панели управления толку не будет: вирус постоянно активен, а значит, деинсталлятору недоступен.

Поиск антивирусом тоже результата не даст. Почему? Потому что пользователь сам дал разрешение вносить изменения на компьютере. Антивирус эти разрешения применил и теперь с его точки зрения все хорошо.

Можно попробовать воспользоваться небезызвестными инструментами поиска и удаления вирусов: AVZ, Dr.Web CureIt. Правда, их результативность тоже не 100%.

Самое же интересное, что Sponsorship связан с приложением Dealply или DSite, и страницу в браузерах подменяет именно оно. Эта хитрость дополнительно обманывает средства поиска вирусов. Ведь ищет пользователь одно, а удалить нужно совсем другое!

Удаление вредителя

Неплохо справляется со Sponsorship Kaspersky Virus Removal Tool – бесплатная утилита для поиска вирусов. Она не нарушает работу штатного антивируса и не обманута пользовательскими разрешениями. Кроме того, она может удалить и запущенное приложение.

Процедура удаления таких мелких пакостников вручную почти стандартна.

1. Через Диспетчер задач найти и остановить все процессы, содержащие в названиях слова Sponsorship и Dealply или DSite.
2. Через Администрирование – Службы остановить все одноименные службы.
3. Запустить msconfig (Пуск — Выполнить) и убрать из автозагрузки (сняв галочки) все процессы, содержащие в названиях эти же слова, перезагрузиться.
4. Удалить папку с программой. Скорее всего, вирус находися в папке Program Files, но если там не нашлась, можно отыскать ее ярлык и в его свойствах посмотреть, что написано в строке «Объект». На словах просто, на деле – хитро. Найти ярлык, скорее всего, получится только через системный поиск или при помощи сторонних файл-менеджеров, таких, как Total Commander, используя в качестве параметра поиска кусок адресной строки стартовой страницы вируса в браузере. Удалить надо все папки и файлы, в названиях которых упоминаются Sponsorship, Dealply и DSite.
5. Почистить или сбросить настройки браузеров и удалить старые ярлыки, сделав новые, от исполняемых файлов, а не подставленных вирусом объектов.
6. Запустить редактор реестра (Пуск – Выполнить — regedit) и удалить все параметры, содержащие Sponsorship и все остальные его компоненты. Перезагрузиться.

Вот так удаляется вирус Sponsorship – множеством однообразных и скучных манипуляций. Поэтому единственная рекомендация, которую хочется дать владельцам компьютеров – внимательнее читать сообщения системы в процессе установки ПО, не соглашаться на изменения вносимые не той программой, которая устанавливается, а какими-то непонятными, прилагающимися к ней, объектами. Вторая рекомендация – скачивать ПО только с проверенных сайтов, давая себе труд потратить немного времени на поиск.

Чтобы установить новую программу, уже давно не нужны компакт-диски и даже флэшки, достаточно доступа в Интернет. Нужную программу можно скачать с официальных сайтов разработчиков или распространителей, а также с многочисленных торрент-трекеров. Довольно часто программа в процессе установки «просит» установить еще одну, а пользователь, потеряв бдительность, соглашается. Вот таким образом и может оказаться на дисках компьютера такое сомнительное приложение, как Guard@Mail.ru.

Это приложение по своим действиям напоминает троян, поскольку:

• устанавливается либо вовсе скрытно, либо «довеском» к нужному файлу;
• блокирует все браузеры;
• мучает владельца компьютера ненужными ему рекламными поп-апами.

Все это не самые дружественные к пользователю действия, поэтому неудивительно желание большинства удалить Guard MailRu из системы побыстрее.

Просто удалить. Не получится?

Как обычно и бывает с подобными полувирусными модулями, удалить вредный Guard@Mail.ru не так и просто. Стандартный деинсталлятор Windows, располагающийся в Панели управления, в большинстве случаев с ним не справляется.

Наиболее известные утилиты для поиска вирусов и вредоносных программ – AVZ и Dr.WEB CureIt! Обнаруживают Guard MailRu не всегда. Отчего зависит качество их поиска – неизвестно, но даже если где-то в логах и есть упоминания о модуле, непрофессионал этого не поймет.

Для удаления GuardMailRu можно воспользоваться приложением Unlocker, неплохо удаляет его без долгих мучений и деинсталлятор файлового менеджера Total Commander в сборке PowerUser, начиная с версии 6.0.

Поэтому если пользователь совсем не профи, придется искать сведущего друга и прикармливать его хотя бы чаем с конфетами за избавление от этой пакости. Если же хоть небольшой опыт самостоятельных экспериментов (успешных!) есть, можно попробовать удалить приложение с компьютера самостоятельно.

Удаление GuardMailRu

Итак, как удалить GuardMailRu вручную?

1. Остановить службу Guard@Mail.ru. Это делается через пункт Администрирование Панели управления, в разделе Службы. Находим Guard и останавливаем.
2. Остановить сам модуль. Обычно именно поэтому его не может удалить деинсталлятор операционной системы. Вызывается Диспетчер задач (Ctrl+Alt+Del), открывается вкладка Процессы, в списке выделяется Guard и процесс завершается. Причем нужно учесть такой нюанс: удалить надо и системный, и пользовательский процессы, для чего обязательно выбрать пункт «Отображать процессы всех пользователей».
3. После этого можно попытать счастья с Удалением программ из раздела Программы и компоненты. Если счастья не получилось, то придется вручную удалить несколько папок и файлов, для чего лучше всего воспользоваться поиском. Скорее всего, кроме одноименной папки в Program Files придется проверить папки браузеров, а также папку Application Data.
4. Почистить настройки всех браузеров. Как вариант, можно сбросить их на умолчательные.
5. Заключительный аккорд: нужно удалить из реестра все упоминания о Guard MailRu. Это делается через меню Пуск, команда Выполнить, где вводится regedit. Поиском по реестру обнаруживаются все ветки, затронутые модулем и удаляются.
6. Перезагрузка!

А напоследок я скажу…

Самое же лучшее – не устанавливать непроверенное ПО и не пользоваться сомнительными торрентами. Даже если файл очень нужен, стоит потратить дополнительные 10 минут на его поиск, в подавляющем большинстве случаев, его удастся скачать без «подарков», которые потом и не знаешь, как удалить.

Также рекомендуем почитать каким образом можно избавиться от MetaCrawler

В последнее время в Интернете просто эпидемия вирусов, подменяющих стартовые странички браузеров сторонними ссылками. Хуже, что эти же вирусы открывают доступ к компьютеру, позволяя использовать его как бот в DDOS-атаках и других пакостях. Один из представителей этого «семейства» — yambler.net.

Ямблер относительно безобиден и призван, по-видимому, продвигать сайт, на который ссылается: он открывает страничку какого-то неизвестного поисковика, увешанного рекламой и обещающего найти все, что нужно, в трех системах разом. Самое неприятное, что эта картина будет фигурировать в любом установленном на компьютере обозревателе – вирус маниакально прописывается везде, где только можно. Но владельцу компьютера-то он зачем?

К счастью, удалить yambler с компьютера довольно просто, с этим может справиться даже не самый квалифицированный пользователь. Правда, занятие несколько рутинное и скучное, особенно с учетом того, что все операции надо будет проделать столько раз, сколько установлено браузеров.

Бороться с Yambler нужно сразу в нескольких направлениях.

Поиск в установленных программах и запущенных процессах

Зачем это надо? Видимым образом Yambler проявляет себя, подменяя умолчательную страничку обозревателя. Но само его «тело» благополучно лежит в одной из папок, обычно той же, где и все остальное ПО (ведь вирусы – тоже программы) – в Program Files, а во время работы «отсвечивает» в списке запущенных процессов в Диспетчере задач.

Поэтому действовать надо так:

1. Открыть Панель управления, пункт «Программы и компоненты», где нужна ссылочка «Удаление программ».
2. В списочке всего доступного ПО найти неизвестно (точнее, теперь уже известно – из интернета) откуда взявшуюся программку «Zaxar поисковая система». Эта пакость может назваться и по-другому, например, Zaxar Games Browser, но слово Zaxar будет точно, на него и ориентироваться.
3. Удалить этот странный поисковик.

Здесь подстерегает одна неприятность: вирус может не удалиться. Но отчаиваться рано! Чаще всего это связано с тем, что процесс запущен, и как и все, что находится в оперативной памяти, удалить его деинсталлятор Windows не может. Поэтому нужно просто его оттуда убрать. Как? Самый простой способ – через Диспетчер задач (тот, что вызывается по нажатию Ctrl+Alt+Delete), в котором надо открыть вкладку «Процессы», найти там zaxar.exe и по клику правой кнопкой мыши выбрать пункт «Завершить процесс», либо нажать одноименную кнопку. Программа станет доступна деинсталлятору Windows, после чего можно повторить все действия в Панели управления.

Если и теперь ямблер не желает удаляться, то остается только открыть его в папке C:\Program Files(х86)\Zaxar и удалить его прилагающимся деинсталлятором, расположенным внутри папки, либо просто вручную вместе с папкой.

Исправление работы браузеров

Yambler подменяет не только стартовую страничку, но и файл, связанный с ярлыком браузера, что и позволяет запускать не привычный браузер, а то, что нужно создателям вируса. Если открыть свойства ярлыков, то станет видно, что они ссылаются не на исполняемые файлы (opera.exe, iexplore.exe, firefox.exe и т.д.), а на некие одноименные url-объекты. Необходимовсе это удалить: открываем по очереди папки браузеров, находим в них фалы с именами opera.url, iexplore.url, firefox.url, chrome.url и т.д., — и без сомнений нажимаем для них Delete. Теперь осталось только сделать заново ярлыки для браузеров, либо отредактировать старые.

Многие люди даже не задумываются, что за Yambler «завелся» у них на компьютере – безобидный, ну и ладно. Но подобные мелочи засоряют систему, открывают лазейки для более вредоносных программ, просто мозолят глаза. Поэтому даже самым беспечным пользователям стоит узнать как удалить Ямблер и пользоваться компьютером без опасений.