Вредоносное ПО (malware) - это назойливые или опасные программы,...
Руткиты (rootkit) в мире компьютерных вирусов прослыли как самые отъявленные шпионы. Они умеют скрывать своё присутствие не только от пользователя, но и от многих антивирусных программ. Внедряются в системные процессы, файлы, память. Действуют на уровне ядра (в абсолютной «глубине» Windows). В их теле могут находиться другие зловреды - трояны, клавиатурные шпионы, сканнеры банковских карт, черви.
Эта статья расскажет вам о том, что можно предпринять рядовому пользователю, чтобы удалить руткит из ОС.
Первые помощники в детектировании и нейтрализации подобных цифровых инфекций из ПК - специальные утилиты. Ознакомимся с самыми популярными решениями, отлично зарекомендовавшими себя в борьбе с руткитами.
TDSSKiller
Продукт, созданный в лаборатории Касперского. Распространяется бесплатно. Находит и обезвреживает многие разновидности «штамма». В том числе: TDSS, SST, Pihar, Stoned, Сidox. А также отслеживает руткит-аномалии: скрытые/заблокированные сервисы и файлы, подменённые/модифицированные системные процессы, вредоносные настройки в MBR (загрузочном секторе дискового раздела).
Чтобы проверить ОС при помощи этой утилиты, выполните следующие действия:
1. Откройте в браузере страницу - support.kaspersky.ru/viruses/disinfection/5350 (официальный сайт компании Kaspersky).
2. Щёлкните мышкой по первому разделу «1. Как вылечить… ».
4. Запустите скачанный инсталлятор двойным щелчком мыши. В окне «Разрешить… ?» выберите «Да».
5. Под текстом лицензионного соглашения клацните по кнопке «Принять». Эти же действия выполните и в блоке «KSN-соглашение».
6. В панели антируткита откройте опцию «Изменить параметры».
7. В новом окне «Настройки», в разделе «Дополнительные опции», включите функцию «Проверять цифровые подписи… » (установите флажок).
Совет! Дополнительно в разделе «Объекты… » можно активировать проверку загруженных модулей (потребуется перезагрузка ОС).
8. Щёлкните «OK».
9. Нажмите кнопку «Начать проверку».
10. По завершении сканирования ознакомьтесь с отчётом. В нём будет указано, сколько удалено вредоносных объектов с компьютера.
Bitdefender Rootkit Remover
Простой в использовании антируткит (стартует по одному клику мышки). Разработан компанией Bitdefender’s LABS. Распознаёт множество актуальных угроз: TDL/SST/Pihar, Plite, Fips, MBR Locker, Ponreb, Mebroot и др. Является портативным приложением (не требует инсталляции). Молниеносно выполняет проверку. В каждом релизе утилиты обновляется и расширяется база зловредов.
Чтобы воспользоваться Rootkit Remover, выполните нижерасположенную инструкцию:
1. Откройте страницу для загрузки утилиты - abs.bitdefender.com/projects/rootkit-remover/rootkit-remover/ (офсайт разработчика).
2. Выберите дистрибутив, согласно разрядности установленной Windows (x86 или x64): щёлкните по соответствующей ссылке.
Совет! Узнать тип ОС можно в Панели управления: Система и безопасность → Система.
3. Запустите загруженный исполняемый файл от имени администратора.
4. Для запуска проверки в окне приложения клацните по кнопке «Start Scan».
AVZ
Мультифункциональный антивирусный сканер, созданный российским программистом Олегом Зайцевым. Способен найти и обезвредить вирус любого типа (включая модули SpyWare и Adware, трояны, черви). Оснащён специальным инструментом для эффективного выявления руткитов - настраиваемым модулем Anti-Rootkit.
Чтобы проверить Windows на наличие вирусов утилитой AVZ, выполните нижеприведённое руководство:
1. Перейдите на страницу для скачивания - z-oleg.com/secur/avz/download.php (официальный веб-ресурс разработчика).
3. После загрузки распакуйте архив: щелчок правой кнопкой → Извлечь всё.
4. Запустите с правами администратора файл AVZ (иконка «щит и меч»).
5. Обновите сигнатурные базы утилиты: в вертикальной панели кнопок, расположенной в правой нижней части окна, кликните по кнопке «земной шар». В новом окне нажмите «Пуск».
6. Выполните предварительные настройки на вкладках:
- «Область поиска» - установите флажки возле разделов диска, которые необходимо проверить;
- «Типы файлов» - включите опцию «Все файлы»;
- «Параметры поиска» : в блоке «Эвристический анализ» передвиньте регулятор порога вверх (до значения «Максимальный уровень»), включите функцию «Расширенный анализ»; в «Anti-Rootkit» установите флаги возле всех надстроек (детектировать перехватчики, блокировать работу Rootkit User-Mode и Kernel-Mode).
7. Чтобы началась проверка разделов, нажмите по кнопке «Пуск».
Условно-бесплатное решение (триал - 180 дней) от отечественного разработчика Greatis Software. Одинаково успешно борется как с руткитами, так и с угонщиками браузеров, рекламным ПО. Поддерживает безопасный режим. Совместим с Windows 10.
Чтобы задействовать утилиту:
1. Скачайте инсталлятор с офсайта (greatis.com/unhackme/): щёлкните на странице кнопку «Download».
2. Распакуйте загруженный архив (клик правой кнопкой → Извлечь всё).
3. Запустите файл unhackme_setup. Следуйте указаниям установщика.
4. Кликните ярлык утилиты на рабочем столе.
5. В окне приложения, в разделе «Настройки», в блоке «Поиск руткитов… », проверьте, включена ли опция «Активен».
6. Перейдите на вкладку «Проверить» и нажмите с таким же названием красную кнопку.
7. В отрывшемся меню выберите режим сканирования:
- «Онлайн проверка… » - подключение баз, находящихся на сервере разработчика;
- «… тест» - оперативное тестирование;
- «Сканирование… » - детектирование и обезвреживание в безопасном режиме.
Trend Micro RootkitBuster
Свободно распространяется. Проверяет файлы, реестр, службы, драйверы, загрузочные сектора, перехватчики (service hooks), порты и многие другие важные составляющие ОС. Детектирует широкий спектр руткитов.
Чтобы «вылечить» ПК утилитой RootkitBuster:
1. Откройте офсайт компании - trendmicro.com/us/index.html.
2. Перейдите в раздел «Download».
3. В списке программных продуктов, в разделе «Other», щёлкните «RootkitBuster».
4. Выберите релиз (для 32 или 64-битной системы).
5. Запустите скачанный антируткит от имени администратора.
6. Включите проверку всех элементов (Master Boot Records, Services, Kernel Code).
7. Нажмите «Scan Now» для старта сканирования.
Безусловно, есть и другие антируткиты. Применяйте только действенные и удобные в пользовании решения от известных разработчиков. Также «не списывайте со счетов» лечащие утилиты (Dr.Web CureIt!, Kaspersky Virus Removal Tool, Malwarebytes Anti-Malware) и антивирусные загрузочные диски (Avira, Panda, Kaspersky и др.), выполняющие проверку без запуска ОС.
Удачной охоты на руткитов! И помните, что в борьбе с ними все средства хороши.
Безопасности много не бывает. Я повторял эту фразу и буду повторять всегда. Но компьютерная безопасность состоит из множества различных параметров и рубежей, одно только их перечисление займет немало времени, не говоря уже о длинном списке программного и аппаратного обеспечения. В этой статье я собрал несколько наиболее, на мой взгляд, эффективных утилит для обнаружения и удаления руткитов и прочей хитрой вирусни под Windows. Это далеко не полный список, а, скорее, он-лайновый резерв на всякий случай. Обычно я таскаю их все на дежурной флешке, но мало ли, вдруг где понадобится, а чудо-флешки под рукой не будет. Сразу предупреждаю, что это достаточно специфический инструментарий, поэтому если не уверены в своих силах или не знаете что это и зачем, то просто проходите мимо.
RkUnhooker - самая мощная, на мой взгляд, программа для обнаружения руткитов и борьбы с другими вредоносными программами. Позволяет обнаружить и снять перехваты таблицы SDT и кода, показывает все скрытые драйвера, процессы и файлы. Через RkUnhooker можно убивать файлы запущенных процессов, в том числе с перезаписью пустыми данными для предотвращения их повторного запуска, снимать дампы памяти процессов для анализа и многое другое. Хорошо защищается от внешнего воздействия и модификации своего файла. Русский язык в наличии. К сожалению, в настоящее время проект закрыт.
Tuluka.Kernel.Inspector.1.0.394.77.zip (2,893,650 bytes)
Обнаружение . К сожалению, большинство современных антивирусов никак не отреагируют на появление руткита, т.к его основная цель скрыть себя самого и всего, что с ним связано. Руткитами также являются почти все так называемые средства защиты от копирования, а также программы-эмуляторы CD- и DVD -приводов. Для обнаружения и удаления руткитов требуется установка специальных программ.
2 шаг
Утилита Sophos Anti-Rootkit . Это не большая программа для поиска и уничтожения руткитов, которая работает во всех версиях Windows начиная с XP. Скачать программу можно с официального сайта . Работа с программой очень проста, нужно выбрать объекты для сканирования и нажать на кнопку Start scan . После сканирования выделите найденные объекты и нажмите Clean up checked items для их удаления.
3 шаг
Программа Rootkit Buster . Это еще одно бесплатное средство уничтожения руткитов. Установка программы не требуется, нужно распаковать архив и запустить файл rootkit buster.exe . Скачать можно отсюда . Для начала сканирования нажмите кнопку Scan Now . Утилита просканирует все файлы, ветки реестра, драйверы и MBR . В случае нахождения руткитов программа выдаст их список, выделите объекты и нажмите Delete Selected Items .
4 шаг
Признаки заражения . Итак, как же узнать заражен ли ваш компьютер руткитами? Большинство признаков похожи на признаки вируса, то есть отправка данных без ваших комманд, зависание, несанкционированный запуск чего либо и т.д. Однако с вирусами в этом плане проще, в отличие от руткитов вирусы детектируются антивирусами. Если же появились симптомы вирусов, а антивирус ничего не находит, тогда велика вероятность заражения руткитом. Установите файервол (брандмауэр), если он будет вас оповещать о попытке выхода каких либо программ в интернет (никому, кроме браузера и антивируса, там делать нечего), заблокируйте их.
- Обновляйте антивирус и ОС вовремя.
- Установите файервол, например COMODO.
- Подключайте к ПК только проверенные флешки.
- Во время сканирования антируткитом, на время выключите антивирус, файервол и интернет.
- Не пускайте посторонних за свой ПК!
Симптомы заражения руткитом
На практике обнаружение руткита не всегда возможно из-за того что данный вид взлома системы в большинстве случаев достаточно эффективно замаскирован в ее недрах, но в том случае, если начинаются активные действия злоумышленника типа передачи больших массивов информации, подозрительных подключений, изменений файлов, внешним необычным и нехарактерным для самой ОС проявлениям, поддающимся идентификации антивирусным ПО, то именно так и чаще всего пользователь может узнать об этом. Иными словами симптома всего два - подозрительные процессы в системе и результаты сканирование антивируса. В ряде же случаев выявить руткит в системе можно с помощью узконаправленного специализированного ПО, достаточных для того знаний и опыта.
Каким образом руткиты попадают в компьютер?
Чаще всего руткиты проникают в ПК посредством инфицированного пиратского или вредоносного ПО. "Широко распахнутыми воротами" для руткитов являются дыры и уязвимости в системе и приложениях, появляющиеся в результате повреждения другими вредоносными программами или несвоевременном обновлении таковых приложений до актуальных безопасных версий. Обнаружив такие уязвимости, руткит получает доступ к системным файлам, модифицирует их и устанавливает необходимые компоненты для получения скрытого удаленного доступа к системе, который часто достаточно сложно поддается обнаружению.
Как самостоятельно удалить руткит, если он обнаружен?
Самостоятельные и неумелые попытки удаления руткитов могут привести к сбоям в работе системы и ее приложений. Чаще всего удалением пары тройки файлов не обойтись, так как руткиты хорошо себя маскируют. Требуется комплексная проверка модификации файлов, файлов реестра, приложений, процессов, служб и других действий. Если же ваш антивирус, к примеру, антивирус Касперского все же обнаружил подозрительные файлы в компьютере, прежде чем их удалять сделайте на всякий случай их копии, чтобы потом при сбоях восстановить их для последующих попыток лечения.
Как и с помощью каких антивирусных антируткит программ найти/обнаружить руткиты?
Выбор программного обеспечения для обнаружения руткитов достаточно большой. Степень обнаружения ими руткитов разная, стопроцентного результата обнаружения и удаления, к сожалению, нет ни у одной. Приведем лишь список тех антивирусных программ и утилит антируткитов, которые ищут и удаляют их более менее прилично:
- AVG Anti-Rootkit
- Avira Rootkit Detection
- Dr.Web
- F-Secure
- Kaspersky
- Kaspersky TDSSKiller
- KernelDetective
- McAfee
- Online Solutions Autorun Manager
- Panda Anti-Rootkit
- Rootkit Unhooker
- RootRepeal
- Sophos Anti-Rootkit
- Symantec
- Sys Reveal
- Trend Micro RootkitBuster
- VBA32
- XueTr
Именно эти программы мы используем для автоматического поиска/обнаружения руткитов. Все они в той или иной мере позволяют найти и удалить различные разновидности руткитов.
Основные советы о том, как защитить компьютер от руткитов
Вот несколько простых правил, соблюдая которые вы сможете существенно повысить уровень антивирусной безопасности и снизить риск проблемных случаев:
- Используйте только лицензионное программное обеспечение;
- Пользуйтесь последними версиями операционных систем;
- Регулярное обновляйте программное обеспечение;
- Не пользуйтесь административной учетной записью;
- Обязательно используйте эффективное и корректно настроенное антивирусное программное обеспечение;
- Оградите свой компьютер от сторонних лиц;
- Проверяйте съемные носители информации на наличие вредоносных программ;
- Не скачивайте и не открывайте подозрительные файлы, полученные из ненадежных источников;
- Закажите у нас услуги по обеспечению качественной антивирусной безопасности.
Почему иногда обнаруженный руткит не удаляется антивирусом?
Это достаточно распространенная ситуация, возникающая из-за того что обнаружена лишь часть вредоносного кода, после удаления которой ядро руткита восстанавливает эту часть. В данном случае требуется поиск ядра. Подобное случается также из-за того, что были поражены файлы операционной системы и их удаление может привести к сбоям работы системы и именно поэтому, заложенный в антивирусы алгоритм не может удалить эти файлы из-за ограничений самой системы на манипуляции с такими файлами, т.е. у антивируса недостаточно прав на подобные действия.
Руткит - это вредоносная программа, которая скрывает следы присутствия каких-либо сторонних программ, вредоносных программ в операционной системе. На наш взгляд руткит является наиболее опасной вредоносной программой из-за возможности скрытия любых следов настоящего или предыдущего присутствия кого или чего либо в системе и производимых действий. Обнаружить руткит – задача очень сложная, требующая профессиональных знаний и большого опыта. Злоумышленник может посредством вируса, червя или другого вида вредоносной программы и закрепиться там. Если компьютер подключен к сети интернет, то в зависимости от руткита, злоумышленник де-факто может получить абсолютный доступ ко всей вашей системе, он может изменять любые параметры системы, получать всю необходимую информацию, использовать ресурсы вашего компьютера для своих целей и так далее. Из-за своего скрытого присутствия рядовой пользователь даже не сможет предположить, что в его системе присутствует такая разновидность вредоносной программы, а злоумышленник в это время в меру своих способностей и знаний будет использовать ваш компьютер в своих целях или получать всю необходимую информацию. Мы постараемся максимально обезопасить ваш компьютер от присутствия вредоносных программ.
Здравствуйте админ, к вам вопрос: Как удалить руткиты? Подозреваю, что у меня в операционной системе завелись подобные зверьки. Месяц назад установил Windows со всеми программами и работал всё это время без антивируса, всё выбирал, какой установить, платный или бесплатный. Короче два месяца обходился тем, что периодически сканировал систему бесплатными антивирусными утилитами и , а теперь вот не могу их запустить, выходят ошибки при запуске. Мало того, теперь не устанавливается, компьютер зависает на половине установки и выходит критическая ошибка, далее синий экран. А вчера провайдер и вовсе отключил мне интернет, сказал, что мой компьютер рассылает спам. Вот такие дела!
На форумах говорят, что если в системе находится руткит, то такую гадость может проделать он. Ему же нужно скрыть деятельность определённой вредоносной программы, которую сразу обнаружит антивирусный сканер или установленный антивирус. Какой программой можно удалить руткит или проще переустановить Windows?В интернете советуют много чего, непонятно что и выбрать. Например снять жёсткий диск, подключить к другому компьютеру и просканировать его хорошим антивирусом, но у меня только один компьютер (ноутбук). Ещё советуют проверить систему утилитой RootkitRevealer, но она вроде не работает с Windows 7.
Как удалить руткиты
Друзья, в первой части статьи мы узнаем, что такое руткиты и какой вред они могут принести нашей операционной системе. Во второй части, мы с вами удалим руткиты с помощью антивирусного диска от Microsoft - Windows Defender Offline и диска Kaspersky Rescue Disk от «Лаборатории Касперского». В конце статьи, мы удалим руткиты с помощью специально созданных для этих целей бесплатных антивирусных утилит: TDSSKiller, Dr.Web, AVZ и GMER.- Друзья, открою Вам секрет, в настоящее время с руткитами идёт настоящая война, просто это не афишируется и если вам посчастливится словить серьёзный и только что написанный руткит, справиться с ним будет очень нелегко даже профессионалу. Поэтому, не забывайте создавать и не отключайте никогда . Устанавливайте только 64-разрядные Windows 7 или Windows 8, так как в 64-битной операционной системе руткиту сложнее закрепиться.
Что из себя представляет руткит? Руткит – это программа, маскирующая нахождение в операционной системе других вредоносных программ и всё, что относится к ним (процессы, ключи в реестре и так далее), происходит это путём перехвата и модификации низкоуровневых API-функций. Ну а работающая в нашей системе вредоносная программа может сделать много плохих дел, например ваш компьютер станет частью «ботнета» -компьютерной сети, состоящей из большого количества заражённых компьютеров. Злоумышленники могут использовать ресурсы заражённых компьютеров по своему усмотрению (рассылать спам, участвовать в DDoS-атаке на определённые сайты и так далее). Это скорее всего и произошло с компьютером нашего читателя.
Как удалить руткиты при помощи антивирусного диска По моему мнению, очень хорошее оружие от руткитов, да и вообще от всех вирусов, это антивирусный диск. В первую очередь можно использовать антивирусный диск от Microsoft - ,он специально заточен для поиска и удаления руткитов и практически всех существующих вредоносных программ. Ещё бы я посоветовал антивирусный диск от «Лаборатории Касперского».
Дело в том, что когда вы загружаете ваш компьютер с антивирусного диска и проверяете им заражённую систему, вредоносные программы никак не могут этому воспрепятствовать, так как Windows в это время находится в нерабочем состоянии и соответственно все вирусные, файлы, находящиеся в системе, видны как на ладони, а значит легче обнаруживаются и нейтрализуются.
Как скачать данные антивирусные диски в виде образа, прожечь на болванку, загрузить с них компьютер и удалить руткиты, вы можете прочесть в наших пошаговых статьях, ссылки приведены выше.
Как удалить руткиты с помощью бесплатных антивирусных утилит
Очень эффективны в борьбе с руткитами несколько бесплатных антивирусных утилит: TDSSKiller, Dr.Web, AVZ и GMER. Первая рассматриваемая нами утилита, это TDSSKiller от «Лаборатории Касперского», вторая Dr.Web CureIt и третья
AVZ
тоже от российских разработчиков антивирусных программ, четвёртая GMER.
Чтобы скачать TDSSKiller, идём по ссылке http://support.kaspersky.ru/5350?el=88446#
, жмём «Как вылечить зараженную систему», нажимаем «Скачайте файл TDSSKiller.exe
»
Запускаем его, можете обновить программу.
Начать проверку.
TDSSKiller обнаруживает нижеперечисленные подозрительные сервисы или файлы:
Скрытый сервис – скрытый ключ в реестре;
Заблокированный сервис – недоступный ключ в реестре;
Скрытый файл – скрытый файл на диске;
Заблокированный файл - файл на диске невозможно открыть обычным способом;
Подмененный файл - при чтении выходит подменное содержимое файла;
Rootkit.Win32.BackBoot.gen – возможно заражена загрузочная запись MBR.
Если у вас установлена программа Daemon tools, по окончании сканирования программа выдаст такое окно - Подозрительный объект, средняя опасность – Cервис: sptd.
Cервис: sptd является сервисом программы - эмулятора дисковода Daemon tools.
Чтобы точно убедиться в том, что обнаруженный файл не является руткитом или наоборот, скопируйте обнаруженные подозрительные объекты в карантин, выбрав действие Скопировать в карантин
, файл при этом не удалится из системы.
Найти карантин можно здесь C:\TDSSKiller_Quarantine
Затем открываем сайт VirusTotal.com
, далее жмём Выберите файл, откроется проводник
Идём в карантин и выбираем файл для проверки. Открыть и Проверить.
Как видим, только одна антивирусная компания определила файл sptd.sys как вирус PAK_Generic.009.
Значит скорее всего данный файл вирусом не является и мы с вами это прекрасно знаем. В других, более спорных случаях, вы можете найти информацию в интернете или отправить файлы в Вирусную Лабораторию Касперского. Как удалить руткиты с помощью утилиты Dr.Web CureIt Утилиту Dr.Web CureIt скачиваем по этой ссылке http://www.freedrweb.com/cureit/ , продвигаемся вниз странички и жмём Скачайте бесплатно.
Скачать Dr.Web CureIt с функцией отправки статистики.
Отмечаем пункт "Я принимаю условия Лицензионного Соглашения" и жмём Продолжить.
Сохраняем и запускаем файл Dr.Web CureIt. Возникает окно «Запустить Dr.Web CureIt в режиме усиленной защиты, нажимаем "Отмена". В появившемся окне отмечаем пункт «Я согласен принять участие… Продолжить.
Отмечаем пункты Оперативная память и Руткиты и жмём Запустить проверку .
Если руткиты обнаружены не будут, советую вам отметить все пункты и проверить весь ваш компьютер на вирусы, лишним это не будет.
Переходим по ссылке http://z-oleg.com/secur/avz/download.php , нажимаем Скачать (8.4 Мб, базы от 30.01.2013).
Скачиваем архив программы и разархивируем его. После разархивации заходим в папку с программой и запускаем файл avz.exe .
Отмечаем для проверки диск с операционной системой, обычно C:, ещё отмечаем пункт Выполнить лечение , далее идём в Параметры поиска
и отмечаем пункт Детектировать перехватчики API и RooTkit и нажимаем Пуск , проверка началась.
Идём на сайт http://www.gmer.net/ , нажимаем Download.EXE
И скачиваем утилиту, если хотите, можете скачать её в архиве or ZIP archive: gmer.zip (369kB). Не удивляйтесь, что при скачивании утилиты название у неё будет отличным от GMER
, например p3f14z2c.exe, делается это специально, так как находящиеся в вашей системе руткиты могут распознать утилиту и вам не удастся её запустить.
Итак, скачали GMER и запускаем её. Сразу после запуска утилиты ваша операционная система зависнет на 5-10 секунд, происходит быстрое сканирование основных системных файлов и процессов.
Отмечаем для сканирования диск C:
и нажимаем Scan
, начнётся сканирование Windows на предмет нахождения руткитов. Если запустить GMER по умолчанию в режиме «Quick Scan» (быстрое сканирование), произойдёт сканирование основных системных файлов на диске с операционной системой, в первую очередь можете воспользоваться им.
Когда сканирование закончится, программа выдаст вам результат, если руткиты будут найдены, они будут отмечены красным шрифтом. Если вы захотите удалить какой-либо файл, щёлкните на нём правой мышью и выберите в появившемся меню нужное действие.
