Рубрика: Безопасность

Удаление баннера, блокирующего Windows

Баннер Windows заблокирован! Microsoft Security обнаружил нарушения использования сети интернет. Пополнить номер абонента мтс

Если при загрузке в «Безопасном режиме с поддержкой командной строки» все равно появляется баннер с требованием пополнить счет абонента МТС или Билайн (в основном это баннер КОМПЬЮТЕР ЗАБЛОКИРОВАН за просмотр, копирование и тиражирование видеоматериалов и т.д.), то без загрузочного диска не обойтись. Лучше всего использовать ERD Commander.

Баннер на рабочем столе: Ваш компьютер заблокирован за просмотр, копирование  и тиражирование видеоматериалов, содержащих элементы педофилии статья 242.1

Скачать образ диска можно здесь. Образ нужно записать на CD. Это можно сделать с помощью бесплатной программы для записи дисков DeepBurner (скачать можно здесь). Если у вас нетбук или компьютер без дисковода, можно создать загрузочную флешку с ERD Commander

Удаление баннера Компьютер заблокирован — Шаг 1.

Загружаем ERD Commander, установив в Биосе или выбрав в Boot Menu загрузку с CD-ROM. В загрузочном меню диска выбираем версию (XP, Vista, 7). После загрузки появится окно с запросом, к какой ОС подключаться. Выбираем путь к своей папке windows и жмем ОК (если у вас Windows XP)

Если у вас Windows 7, то до выбора пути к ОС нужно ответить еще на несколько вопросов. На вопрос Инициализировать подключение к сети в фоновом режиме? отвечаем Нет.

Переназначить буквы дисков таким образом, чтобы они соответствовали буквам дисков целевой операционной системы? Отвечаем Да.

Дальше выбираем раскладку клавиатуры. После выбираем путь к целевой ОС и жмем Далее.

Как удалить баннер ваш компьютер заблокирован — Шаг 2.

Нам понадобится редактор реестра, чтобы убрать записи баннера из реестра Windows. Чтобы поправить реестр зараженной винды выбираем меню Start — Administrative Tools — Registry Editor (для Windows XP).

ERD Commander 5.0 for Windows XP

Если же у вас семерка, меню ERD Commander’а будет отличаться. В первом окне нужно выбрать пункт меню Microsoft Diagnostics and Recovery Toolset для запуска средств восстановления ОС. В появившемся окне с набором инструментов выбираем Редактор реестра ERD.

ERD Commander 6.5 for Windows 7

Откроется реестр Windows, путь к которой мы выбрали в первом окне при загрузке. Это реестр зараженной винды, в которой сидит порно баннер. Нужно посмотреть ветки реестра, где обычно прописывается баннер.

В первую очередь это ветка HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\
CurrentVersion\Winlogon.

Здесь нужно проверить три ключа:
— ключ Shell отвечает за загрузку оболочки (рабочего стола) Windows и должен иметь строковое значение Explorer.exe, но будет лучше, если прописать полный путь к файлу C:\Windows\explorer.exe
— UIHost должен иметь строковое значение logonui.exe
— Userinit обеспечивает вход пользователя в систему, должен иметь строковое значение
C:\Windows\system32\userinit.exe,

Теперь проверим ветку
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
CurrentVersion\Run.

Здесь прописываются программы автозагрузки. Проверьте все эти программы и отключите подозрительные. Подозрительными прежде всего являются те программы, которые находятся в папках C:\temp, C:\Documents and Settings\%username%\Local Settings\Temp, C:\Documents and Settings\%username%\Local Settings\Temporary Internet Files, C:\Windows\Temp и т.п., где %username% — имя вашей учетной записи. Сделать это можно, например, изменив расширение на ex_

Иногда баннер прописывается в ключе реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs. Значение этого ключа обычно пустое либо там прописывается антивирус.

Если там прописан какой-то файл, скорее всего это вирус. Нужно щелкнуть два раза мышью на ключ AppInit_DLLs и стереть прописанный путь, оставив поле значения пустым, после чего нажать ОК.

Теперь посмотрим ветку HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options. Основная цель ключей в этой ветке — запуск программ под отладчиком (используется при написании и тестировании программ). Но в то же время, сюда может прописаться вирус, как отладчик для какого либо системного файла, например userinit.exe или explorer.exe. В результате вместо этой программы запускается вирус.

Так например делает баннер www.gei-porno.ru и баннер www.iznosilovanie-detei.ru

Ваш компьютер заблокирован. Вы посетили запрещенный интернет сайт www.gei-porno.ru

В левой колонке редактора реестра нужно посмотреть, нет ли там разделов explorer.exe, iexplorer.exe, userinit.exe. Если такой раздел имеется, выделяем его и в правой части окна смотрим путь к вирусу. После чистки реестра через проводник удалим этот файл. Теперь правой кнопкой мыши нажимаем на раздел в левой части окна (userinit.exe) и нажимаем Удалить (Delete)

Еще нужно посмтореть и проверить ветки реестра
HKEY_USERS\%username%\Software\Microsoft\Windows NT\
CurrentVersion\Winlogon и
HKEY_USERS\%username%\Software\Microsoft\Windows\
CurrentVersion\Run

где %username% — имя учетной записи Windows.

Проверив все ветки реестра и исправив или удалив неправильные записи, редактор реестра нужно закрыть.

Удаление порно баннера, требующего пополнить счет — Шаг 3.

Проверяем автозагрузку заблокированной Windows. Запускаем инструмент Управление компьютером через меню Start — Administrative Tools — Autoruns (Windows XP) или Управление компьютером (Windows 7)

Ветка System показывает элементы автозагрузки общие для всей ОС, то есть для всех учетных записей (куст реестра HKEY_Local_Machine)

Поиск баннера в автозагрузке

На рисунке видно, что системный файл userinit.exe заменен зараженным вирусом файлом. Это определяется по описанию файла (Description) и по компании-разработчику (Company). Также подмену файла userinit.exe можно распознать по дате.

Именно из-за того, что файл userinit.exe является зараженным, баннер блокировал Windows в безопасном режиме и появлялся до загрузки командной строки. Ведь он отвечает за вход пользователя в систему и загружается сразу после выбора учетной записи.

Необходимо удалить зараженный файл C:\Windows\System32\userinit.exe и заменить его оригинальным файлом. Последние версии баннеров также подменяют файл C:\windows\system32\taskmgr.exe из-за чего при запуске диспетчера задач снова появляется баннер. Этот файл лучше тоже заменить на оригинальный, т.е. удалить и восстановить с диска. Как это сделать можно прочитать здесь: Как восстановить поврежденные или удаленные системные файлы Windows. Дубли этих файлов лежат в папке C:\windows\system32\dllcache. С ними нужно проделать те же действия.

Также нужно проверить программы, загружаемые от имени конкретного пользователя. Их можно посмотреть в ветке с именем учетной записи пользователя (в приведенном примере имя учетки — 1).

На рисунке видно, что в C:\Documents and Settings\1\Главное меню\Автозагрузка находится зараженный файл. Определить это можно по дате создания и модификации файла. В первую очередь должно насторожить то, что поля Описание (Description) и Разработчик (Company) пустые. Надежный разработчик всегда указан в поле Company. Этот файл нужно удалить через Проводник.

Многие модификации баннеров в последнее время вносят свои записи в файл hosts тем самым перенаправляя с популярных сайтов, например Одноклассники или ВКонтакте, на свой сервер, где ваш компьютер будет снова инфицирован. Поэтому   нужно обязательно проверить файл hosts на наличие посторонних записей. Подробнее читайте здесь.

Встречаются баннеры, которые создают вторую папку Windows, тем самым сбивая с толку и усложняя поиск недоброкачественного ПО. Подробнее о таких баннерах и как их удалить в этой статье.

Как убрать баннер блокирующий рабочий стол — Шаг 4.

После исправления всех значений реестра нужно проверить системный диск антивирусным сканером в безопасном режиме. Лучшим вариантом будет бесплатная утилита DrWeb CureIt, которую можно скачать с официального сайта. Эту утилиту нужно скачать заранее на флешку на другом компьютере.

Запускаем CureIt с флешки и проверяем системный диск.

Также стоит почистить жесткий диск от временных файлов, в которых часто прячутся вирусы. Как это сделать читайте в статье Как правильно почистить диск С

После проверки перезагружаем компьютер. Всё! Теперь вы знаете как убрать баннер компьютер заблокирован и вообще любой баннер, блокирующий рабочий стол Windows.

И не забудьте установить надежную антивирусную защиту, например лучший бесплатный антивирус Аваст, который нисколько не уступает Касперскому и Dr.Web

Номер телефона:

Баннер МТС
8-981-757-49-15

Баннер БИЛАЙН
8-909-986-39-84

Баннер МТС
8-989-752-07-81

Баннер Билайн
8-965-134-99-84

Баннер Билайн
8-965-376-95-94

Баннер МТС
8-981-757-48-60

Баннер Windows заблокирован МТС
7-917-955-73-64

Баннер МТС статья 242.1
8-989-754-34-54

Баннер Windows заблокирован МТС
+79873670004
+79874380853
8-(985)-313-60-71
8-985-267-17-84

Баннер Компьютер заблокирован, штраф на номер МТС
+7 (981) 129 52 79

Баннер www.gei-porno.ru
+7 911 162 77 04

Баннер www.iznosilovanie-detei.ru
+7 (911) 729 40 75

Синий баннер Компьютер заблокирован Билайн
8-967-253-54-86

Синий баннер компьютер заблокирован статья 242.1
8-906-097-14-25

Сине-голубой баннер компьютер заблокирован статья 242.1 билайн
79060970538
79671021590

Windows заблокирован приложением Microsoft Security Essentials
+79139512569
+79879716014
+79139400739
+79139146397
+79879110143
+79133914995
+79874324602
+79874324611
+79171519788
+79133906375
+79138949274

Красный баннер компьютер заблокирован билайн
89681039660

Windows заблокирован Microsoft Security Причина: просмотр детского и гей порно МТС
8-989-610-56-35

Компьютер заблокирован МТС статья 242.1 синий
988-183-17-15
988-185-36-37

Компьютер заблокирован Билайн 1000 рублей
79037309402
79067307572

Как удалить вирусные настройки из системного файла hosts

Host — системный текстовый файл, предназначенный для трансляции доменных имён в указанные сетевые адреса, или IP. Он является своего рода специальной сетевой надстройкой, но может применяться как в благих, так и в злонамеренных целях. Существует определённая категория вирусов, модифицирующая файл hosts для того, чтобы заблокировать доступ к определённым веб-ресурсам (например, к офсайтам антивирусных компаний) или перенаправить пользователя на вредоносные либо рекламные страницы.

Поведение и симптомы вирусов «hosts»

Проникают вирусы, как и другие их «сородичи», через заражённые инсталляторы программ, специальные загрузочные скрипты на веб-страницах и прочие хакерские уловки. Довольно часто установка «инфекции» маскируется под системные ошибки. На экране появляется окно с сообщением, что якобы выявилась ошибка при выполнении какого-либо скрипта или команды. Озадаченный пользователь, растерявшись, жмёт «OK» (других кнопок нет!) и собственноручно открывает «двери» зловреду в операционную систему. Файл под названием hosts мгновенно видоизменяется, и начинается для пользователя череда неприятностей…

С виду система работает стабильно — не тормозит, не зависает. Но только стоит пользователю открыть веб-браузер, все «хвори» выползают наружу. А проявляют они себя следующим образом:

• при попытке зайти в соцсеть или какой другой популярный интернет-ресурс появляется ошибка «Страница недоступна»;
• домен (название) сайта не соответствует действительности: например, при наборе в адресной строке vk.com открывается страница с множеством рекламных баннеров или другой сайт, ничего общего не имеющий с соцсетью.

Многие пользователи, завидев на экране одну из этих картин, совершенно не придают ей значения. Успокаивают себя мыслями «это что-то там у них на сервере случилось», «сегодня интернет плохой» и всё в таком духе…

Хорошо, если так. А если файл инфицирован? Тогда проблема не исчезнет сама собой и через час, и через десять. Нужно действовать: удалить из hosts вирусные модификации, проще говоря, придать ему прежний вид.

Лечение файла hosts

Как найти и какой программой открыть?

Перед тем, как удалить вирус hosts, нужно сначала до него добраться. Откройте последовательно директории в указанном порядке (для Windows 7 и XP):

Диск С (или другой диск, на котором находится ОС) → Windows → System32 → drivers → etc

Именно в директории «etc» и находится host. Но не спешите его убирать с компьютера! Он не удаляется, а лечится, и легко. И потом, возможно, вам ещё не раз и не два сослужит хорошую службу (см. последнюю главу этой статьи).

Host не имеет расширения, но содержит текстовую информацию. Поэтому его можно без проблем открыть системным приложением «Блокнот» и, соответственно, восстановить подобающим образом.

Давайте сделаем это.
1. Находясь в папке «etc», кликните по файлу hosts правой кнопкой.

2. В контекстном меню выберите «Открыть» или «Открыть с помощью».

3. В списке программ, которыми можно открыть файл, кликните «Блокнот» и нажмите «OK».

В «Блокноте» отобразится содержимое hosts. Его необходимо просмотреть, проанализировать и удалить все вирусные надстройки.

Как проверить?

В чистом, то есть в «здоровом», hosts, кроме строчек, начинающихся с символа «#», больше ничего нет. За редким лишь исключением, когда некоторые доверенные программы оставляют в нём свои настройки.

Но, когда произошла вирусная атака, необходимо быть особо бдительным.

• Строчка с IP-адресом и доменным именем сайта (VK.com, ok.ru и др.) выполняет переадресацию на другой сайт.
• Строчка, начинающаяся с 127.0.0.1, блокирует доступ к сайту.

Если таковые обнаружатся, однозначно их нужно удалять.

Как очистить?

1. Удерживая левую кнопку мыши, выделите курсором все записи, внесённые вирусом.

2. Кликните правой кнопкой по записям. Нажмите в меню «Удалить».

3. Сохраните файл, чтобы изменённые настройки вступили в силу. Вверху окна «Блокнота» нажмите: Файл → Сохранить.

4. Закройте «Блокнот». Перезагрузите ОС. Откройте браузер и проверьте доступ к сайтам.

Дополнительные меры и профилактика

К сожалению, может случиться и так, что вирус все ваши старания по очистке hosts может свести на «нет» (сайты по-прежнему отрываться не будут). Но, тем не менее, руки опускать не стоит.

Дополнительно выполните следующую процедуру:
1. Проверьте разделы диска (системный обязательно!) лечащей утилитой Dr.Web CureIt!, Free Anti-Malware или Virus Removal Tool (Kaspersky).

Предварительно установите в настройках сканирования антивирусной программы проверку загрузочных секторов (MBR), памяти, выявление руткитов и включите высокий уровень детектирования (обнаружения) вирусов.

2. Обновите сигнатурные базы основного антивируса, защищающего ПК от вторжений зловредов постоянно. Также проверьте его основные настройки.

Например, в антивирусе Avira защите hosts уделяется особое внимание. В его настроечной панели имеется специальная настройка «защитить хост-файл».

Чем полезен hosts?

Hosts входит в группу пользовательских настроек и незаменим при решении следующих задач:

Блокировка сетевого соединения — программное приложение — сервер/сайт

Многие программы периодически обращаются к своим «родным» ресурсам для обновления, отправки данных. Для пользователя такой режим работы не всегда удобен: тратится траффик, затормаживается загрузка страниц, нет контроля загрузки данных.

Минуя все программные настройки и правила фаервола, ограничить доступ им можно непосредственно в hosts, добавив следующую строчку:

127.0.0.1 <доменное имя ресурса> (например, 127.0.0.1 adobe.com)

Осуществления контроля над посещением веб-ресурсов

Аналогичным образом блокируется и доступ к определённым сайтам: порнографическим, сомнительным, соцсетям и др. Всё зависит от цели ограничения — родительский контроль, офисные или учебные ПК.

У host есть приоритет над DNS-серверами (сервисами, присваивающими доменным именам IP-адреса), поэтому ПК изначально будет следовать его указаниям при создании сетевого подключения.

Следите за файлом host, правильно настраивайте его, и с вашим ПК будет всё «OK». Приятного пользования интернетом!

Вирусы, черви, трояны и боты являются частью класса программного обеспечения под названием вредоносных программ (malware). Это код или программное обеспечение, которое специально разработано, чтобы повредить, разрушить, украсть, или нанести другой вред данным, компьютеру или сети.

Есть много различных классов вредоносных программ, которые имеют различные способы заражения системы и распространения самих себя. Одни вредоносные программы могут заражать системы, будучи встроенными в другие программы или прикрепленными в качестве макросов к файлам. Другие заражают компьютер используя известные уязвимости в операционной системе (ОС), сетевых устройствах или другом программном обеспечении. Например, используются дыры в браузере, что позволяет лишь посетив вредоносный веб-сайт заразить компьютер. Подавляющее большинство, однако, для заражения требуют выполнения некоторых действий от пользователя, например, открыть вложение электронной почты или загрузить файл из Интернета.

Наиболее широко известными типами вредоносных программ являются вирусы, черви, трояны, боты, бэкдоры (backdoor), программы-шпионы и рекламное ПО. Ущерб от вредоносного ПО варьируется от вызывающего небольшое раздражение (например, всплывающие окна в браузере) до кражи конфиденциальной информации или деньги, уничтожения данных, а также повреждения или полного разрушения системы и сети.

Вредоносное ПО не может повредить физически оборудованию компьютера и сетевому оборудованию, но может привести к повреждению данных и программного обеспечения, хранящихся на нем. Вредоносное ПО также не следует путать с дефектным ПО, которое предназначено для законных целей, но имеет ошибки и работает не правильно.

Два наиболее распространенных класса вредоносного ПО — это вирусы и черви. Они способны к самовоспроизведению и распространяют сами себя по всем компьютерам. Они могут даже мутировать, чтобы скрыться от антивируса. Отличие червей от вирусов в том, что черви более независимы от файла-носителя, а вирусу для распространения требуется файл, в код которого он внедряется. Рассмотрим подробнее что делает вирус, троян, червь, бот. Чем отличаются трояны от вирусов и червей? Ботнет — что это? Обо всем поподробнее…

Компьютерные вирусы

Компьютерный вирус является одним из видов вредоносного ПО, которое распространяется путем внедрения своей копии в другую программу. Таким образом вирус становится частью этой программы. Он распространяется от одного компьютера к другому, инфицируя все компьютеры на своем пути. Вирусы различаются по серьезности последствий от вызывающих легкое раздражение до повреждения данных и программного обеспечения или отказа операционной системы. Почти все вирусы внедряются в исполняемый файл. Это означает, что вирус может существовать в системе, но он не будет активен и не сможет распространяться, пока пользователь не запустит или не откроет инфицированный файл программы. В то время, когда выполняется основной код зараженной программы, вирусный код тоже выполняется. Как правило, программы-носителя продолжают функционировать после заражения. Тем не менее, некоторые вирусы перезаписывают полностью код других программ своим кодом, что повреждает основную программу. Вирусы распространяются, когда программное обеспечение или документ, с которым они связаны передается от одного компьютера к другому, используя сеть, диск, обмен файлами, или зараженные вложения электронной почты.

Черви

Компьютерные черви похожи на вирусы в том, что они копируют функциональные копии самих себя и могут вызвать тот же тип повреждений. В отличие от вирусов, которые требуют распространения зараженного файла-носителя, черви являются автономным программным обеспечением и не требует программы-хоста или помощи человека, чтобы размножаться. Для распространения, черви используют либо уязвимость на целевой системе, либо обман пользователя для их запуска. Червь попадает в компьютер через уязвимость в системе и использует функции перемещения файлов или информации в системе, что позволяет ему перемещаться и заражать компьютеры без посторонней помощи.

Черви являются наиболее опасным классом вредоносного ПО с точки зрения распространения и заражения компьютеров, так как для их распространения и заражения новых компьютеров не требуется запуск пользователем файлов-носителей. Например, при подключении флешки к зараженному компьютеру, червь самостоятельно заражает ее, либо имеет возможность самостоятельно распространять свои копии по локальной сети или электронной почте.

Трояны (Trojan)

Троян (trojan) — тип вредоносного ПО, названный в честь деревянного коня, который греки использовали для проникновения в Трою. Это вредоносное ПО, которое выглядит законно. Пользователей, как правило, обманным путем заставляют загрузить и запустить его на своем компьютере. Это может выглядеть, как запуск какой-либо утилиты или даже видеофайла. Такой файл может быть снабжен иконкой известной программы и иметь аналогичное название. Быть похожим на видеофайл или файл изображения троянам помогают настройки по уолчанию системы Windows, которая скрывает расширение зарегистрированных типов файлов. Тем самым файл типа video.avi.exe отображается в Проводнике как video.avi, что соответствует расширению видеофайлов. Кроме того такой файл часто имеет иконку медиапроигрывателя Windows, что сбивает с толку невнимательного пользователя и он запускает его рассчитывая увидеть фильм.

После того, как троян активирован, он может в разной степени воздействовать на компьютер от раздражающих всплывающих окон и изменения рабочего стола до повреждения данных и ОС (удаление файлов, кражи данных или активации и распространения других вредоносных программ, таких как вирусы). Троян часто создают бэкдоры (backdoor), дающие злоумышленникам доступ к системе. В последнее время большое распространение получили трояны-винлокеры (trojan.winlock), блокирующие рабочий стол компьютера.

В отличие от вирусов и червей, трояны не размножаются путем заражения других файлов и не способны к самовоспроизведению. Троян распространяется взаимодействуя с пользователем, например, открытие вложений электронной почты или загрузка и запуска файла из интернета.

Боты

«Бот» — производное от слова «робот» и представляет собой автоматизированный процесс, который взаимодействует с другими сетевыми службами. Боты часто автоматизируют задачи и предоставления информации и услуг, которые могли бы производиться человеком. Типичным использованием ботов является сбор информации (например, сканер поисковой системы, ищущий новые сайты), а так же автоматизированное взаимодействие с человеком (например, автоответчик в аське или бот рассказывающий анекдоты).

Боты могут использоваться как в хороших, так и в плохих целях. Примером незаконных действий может служить бот-нет (сеть ботов). Вредоносный бот распространяет вредоносное ПО, которое заражает компьютеры и подключает их через бэкдоры к центральному серверу управления, который может управлять всей сетью взломанных устройств. Используя бот-нет злоумышленник может совершать DDOS-атаки на сайты или сервера конкурентов или по заказу. DDOS-атаки представляют собой одновременное огромное количеству бессмысленных запросов на сервер, исходящих от множества устройств (зараженных компьютеров), что приводит к перегрузке и зависанию сервера и невозможности нормальной работы и передачи информации (например, сайт перестает работать).

В дополнение к червеобразной способности самораспространяться, боты могут записывать нажатия клавиш, красть пароли, собирать финансовую информацию, совершать DDOS-атаки, рассылать спам. Боты имеют все преимущества червей, однако более универсальны и кроме того, объединены в сеть, которая позволяет контролировать зараженные компьютеры и совершать определенные действия по команде с контрольного центра. Создавая бэкдоры боты могут загружать на компьютер другие вредоносные программы, как вирусы или черви.

Боты в большинстве случаев стараются никак не проявлять себя для пользователя, поэтому опознать, что компьютер заражен бывает непросто.

Таким образом вредоносные боты являются наиболее опасными с точки зрения защиты информации, так как они не только сами распространяются и распространяют другое вредоносное ПО, но и способны совершать свои действия по команде из вне.

Эксплойты (Exploit)

Эксплойт является частью программного обеспечения, командами или методологией, которая нацелена на взлом конкретной уязвимости безопасности. Эксплойты не всегда обладают вредоносными намерениями. Они иногда используются только как способ демонстрации того, что существует уязвимость. Тем не менее, они являются общим компонентом вредоносных программ.

 

Бэкдоры (Backdoor)

Что такое бэкдор? Бэкдор (дословно «задняя дверь» или «черный ход») — это недокументированный путь доступа к системе, позволяющий злоумышленнику проникнуть в систему зараженного компьютера и управлять ей. Троян бэкдор (Trojan.Backdoor) при запуске как раз открывает тот самый «черный ход». Как правило злоумышленники используют бэкдоры для более удобного и постоянного доступа к взломанной системе. Через этот черный ход закачивается новое вредоносное ПО, вирусы и черви.