Istnieje wiele programów antywirusowych, które oczyszczą Twój system z okropności, ale co się stanie, jeśli nie będziesz w stanie korzystać z takiego programu? Autouruchamianie firmy SysInternals (niedawno przejętej przez Microsoft) jest niezbędne do ręcznego usuwania złośliwego oprogramowania.
Istnieje kilka powodów, dla których może być konieczne ręczne usunięcie wirusów i oprogramowania szpiegującego:
- Być może nie możesz znieść uruchamiania żądnych zasobów i inwazyjnych programów antywirusowych na swoim komputerze
- Być może będziesz musiał wyczyścić komputer swojej mamy (lub kogoś, kto nie rozumie, że duży migający znak na stronie internetowej z napisem „Twój komputer jest zainfekowany wirusem - kliknij TUTAJ, aby go usunąć”) nie jest komunikatem, który koniecznie musi być zaufany)
- Złośliwe oprogramowanie jest tak agresywne, że opiera się wszelkim próbom jego automatycznego usunięcia lub nawet nie pozwala na zainstalowanie oprogramowania chroniącego przed złośliwym oprogramowaniem
- Częścią twojego credo maniaków jest przekonanie, że narzędzia antyspyware są dla mięczaków
Autoruns to nieoceniony dodatek do zestawu narzędzi oprogramowania każdego maniaka. Umożliwia śledzenie i sterowanie wszystkimi programami (i składnikami programów), które są uruchamiane automatycznie w systemie Windows (lub w przeglądarce Internet Explorer). Praktycznie całe złośliwe oprogramowanie uruchamia się automatycznie, więc istnieje bardzo duże prawdopodobieństwo, że można je wykryć i usunąć za pomocą funkcji Autorun.
Omówiliśmy, jak używać Autoruns we wcześniejszym artykuł , które należy przeczytać, jeśli najpierw chcesz zapoznać się z programem.
Autoruns to samodzielne narzędzie, którego nie trzeba instalować na komputerze. Można go po prostu pobrać, rozpakować i uruchomić (link poniżej). To sprawia, że idealnie nadaje się do dodania do przenośnej kolekcji narzędzi na dysku flash.
Przy pierwszym uruchomieniu Autoruns na komputerze pojawia się umowa licencyjna:
Po wyrażeniu zgody na warunki otworzy się główne okno autouruchamiania, pokazujące pełną listę wszystkich programów, które będą uruchamiane podczas uruchamiania komputera, logowania się lub otwierania przeglądarki Internet Explorer:
Aby tymczasowo wyłączyć uruchamianie programu, odznacz pole obok jego wpisu. Uwaga: tak nie zakończyć program, jeśli jest uruchomiony w tym czasie - po prostu zapobiega jego uruchomieniu Kolejny czas. Aby trwale uniemożliwić uruchomienie programu, całkowicie usuń wpis (użyj rozszerzenia Kasować lub kliknij prawym przyciskiem myszy i wybierz Kasować z menu kontekstowego)). Uwaga: tak nie usuń program z komputera - aby całkowicie go usunąć, musisz odinstalować program (lub w inny sposób usunąć go z dysku twardego).
Podejrzane oprogramowanie
Potrzeba sporego doświadczenia (czytaj „prób i błędów”), aby nauczyć się rozpoznawać, co jest złośliwym oprogramowaniem, a co nie. Większość wpisów prezentowanych w Autoruns to legalne programy, nawet jeśli ich nazwy nie są Ci znane. Oto kilka wskazówek, które pomogą Ci odróżnić złośliwe oprogramowanie od legalnego oprogramowania:
- Jeśli wpis jest podpisany cyfrowo przez wydawcę oprogramowania (tj. Istnieje wpis w Wydawca kolumna) lub ma „Opis”, to istnieje duża szansa, że jest to uzasadnione
- Jeśli rozpoznajesz nazwę oprogramowania, zwykle jest w porządku. Pamiętaj, że czasami złośliwe oprogramowanie „podszywa się” pod legalne oprogramowanie, ale przyjmuje nazwę identyczną lub podobną do oprogramowania, które znasz (np. „AcrobatLauncher” lub „PhotoshopBrowser”). Należy również pamiętać, że wiele złośliwych programów przyjmuje nazwy ogólne lub nieszkodliwie brzmiące, takie jak „Diskfix” lub „SearchHelper” (obie wymienione poniżej).
- Wpisy złośliwego oprogramowania zwykle pojawiają się w Zalogować się zakładka Autoruns (ale nie zawsze!)
- Jeśli otworzysz folder zawierający plik EXE lub DLL (więcej na ten temat poniżej), sprawdź datę „ostatniej modyfikacji”, daty często pochodzą z ostatnich kilku dni (zakładając, że infekcja nastąpiła stosunkowo niedawno)
- Złośliwe oprogramowanie często znajduje się w folderze C: \ Windows lub C: \ Windows \ System32
- Złośliwe oprogramowanie często ma tylko ogólną ikonę (po lewej stronie nazwy wpisu)
W razie wątpliwości kliknij wpis prawym przyciskiem myszy i wybierz Szukaj w Internecie…
Poniższa lista zawiera dwa podejrzane wpisy: Diskfix i SearchHelper
Te wpisy, wyróżnione powyżej, są dość typowe dla infekcji złośliwym oprogramowaniem:
- Nie mają ani opisów, ani wydawców
- Mają nazwy rodzajowe
- Pliki znajdują się w C: \ Windows \ System32
- Mają ogólne ikony
- Nazwy plików to losowe ciągi znaków
- Jeśli zajrzysz do folderu C: \ Windows \ System32 i zlokalizujesz pliki, zobaczysz, że są to jedne z ostatnio zmodyfikowanych plików w folderze (patrz poniżej)
Dwukrotne kliknięcie pozycji przeniesie Cię do odpowiednich kluczy rejestru:
Usuwanie złośliwego oprogramowania
Po zidentyfikowaniu wpisów, które uważasz za podejrzane, musisz teraz zdecydować, co chcesz z nimi zrobić. Twoje wybory obejmują:
- Tymczasowo wyłącz wpis autouruchamiania
- Trwale usuń wpis Autorun
- Zlokalizuj uruchomiony proces (za pomocą Menedżera zadań lub podobnego) i zakończ go
- Usuń plik EXE lub DLL z dysku (lub przynajmniej przenieś go do folderu, w którym nie zostanie uruchomiony automatycznie)
lub wszystkie z powyższych, w zależności od tego, na ile masz pewność, że program jest złośliwym oprogramowaniem.
Aby sprawdzić, czy zmiany się powiodły, musisz ponownie uruchomić komputer i sprawdzić dowolne lub wszystkie z następujących elementów:
- Autoruns - aby sprawdzić, czy wpis powrócił
- Menedżer zadań (lub podobny) - aby sprawdzić, czy program został ponownie uruchomiony po ponownym uruchomieniu
- Sprawdź zachowanie, które doprowadziło do przypuszczenia, że Twój komputer został zainfekowany w pierwszej kolejności. Jeśli to się już nie dzieje, istnieje prawdopodobieństwo, że Twój komputer jest teraz czysty
Wniosek
To rozwiązanie nie jest dla wszystkich i najprawdopodobniej jest przeznaczone dla zaawansowanych użytkowników. Zwykle użycie wysokiej jakości aplikacji antywirusowej załatwia sprawę, ale jeśli nie, autouruchamianie jest cennym narzędziem w zestawie Anti-Malware.
Pamiętaj, że niektóre złośliwe programy są trudniejsze do usunięcia niż inne. Czasami potrzebujesz kilku iteracji powyższych kroków, a każda iteracja wymaga dokładniejszego przyjrzenia się każdemu wpisowi Autorun. Czasami w chwili usunięcia wpisu Autorun działające złośliwe oprogramowanie zastępuje wpis. Kiedy tak się dzieje, musimy stać się bardziej agresywni w zabijaniu złośliwego oprogramowania, w tym zamykaniu programów (nawet legalnych programów, takich jak Explorer.exe), które są zainfekowane bibliotekami DLL złośliwego oprogramowania.
Wkrótce opublikujemy artykuł o tym, jak identyfikować, lokalizować i kończyć procesy, które reprezentują legalne programy, ale obsługują zainfekowane biblioteki DLL, aby te biblioteki DLL mogły zostać usunięte z systemu.
