По для устранения последствий вирусной атаки
Обновлено: 25.04.2024
Windows Server 2008 Datacenter without Hyper-V Windows Server 2008 Enterprise without Hyper-V Windows Server 2008 for Itanium-Based Systems Windows Server 2008 Standard without Hyper-V Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Vista Business Windows Vista Enterprise Windows Vista Home Basic Windows Vista Home Premium Windows Vista Starter Windows Vista Ultimate Windows Vista Enterprise 64-bit Edition Windows Vista Home Basic 64-bit Edition Windows Vista Home Premium 64-bit Edition Windows Vista Ultimate 64-bit Edition Windows Vista Business 64-bit Edition Windows Vista Business Windows Vista Enterprise Windows Vista Home Basic Windows Vista Home Premium Windows Vista Starter Windows Vista Ultimate Windows Vista Enterprise 64-bit Edition Windows Vista Home Basic 64-bit Edition Windows Vista Home Premium 64-bit Edition Windows Vista Ultimate 64-bit Edition Windows Vista Business 64-bit Edition Microsoft Windows Server 2003 Service Pack 1 Microsoft Windows XP Professional x64 Edition Microsoft Windows Server 2003 Service Pack 2 Microsoft Windows XP Professional x64 Edition Microsoft Windows XP Service Pack 2 Microsoft Windows XP Home Edition Microsoft Windows XP Professional Microsoft Windows XP Service Pack 3 Microsoft Windows XP Home Edition Microsoft Windows XP Professional Еще. Меньше
Поддержка системы Windows Vista с пакетом обновления 1 (SP1) прекратилась 12 июля 2011 г. Чтобы по-прежнему получать обновления для системы безопасности Windows, установите пакет обновления 2 (SP2) для Windows Vista. Дополнительные сведения см. на веб-сайте корпорации Майкрософт по следующему адресу: Заканчивается поддержка некоторых версий Windows.
Аннотация
Дополнительные сведения о вирусе Conficker см. на веб-сайте корпорации Майкрософт по следующему адресу:
Признаки заражения
О заражении компьютера этим червем свидетельствует наличие любого из перечисленных ниже симптомов, однако в некоторых случаях признаки заражения полностью отсутствуют.
Нарушение политик блокировки учетных записей.
Отключение службы автоматического обновления, фоновой интеллектуальной службы передачи (BITS), Защитника Windows и службы регистрации ошибок.
Слишком медленные ответы контроллеров доменов на запросы клиентов.
Недоступность различных веб-сайтов, посвященных вопросам безопасности.
Неработоспособность различных средств обеспечения безопасности. Для получения списка известных средств посетите веб-сайт Майкрософт по приведенному ниже адресу и откройте вкладку Анализ, содержащую сведения о вирусе-черве Win32/Conficker.D. Дополнительные сведения см. на веб-сайте Майкрософт по следующему адресу:
Дополнительные сведения о вирусе-черве Win32/Conficker см. на веб-сайте Центра Майкрософт по защите от вредоносных программ:
Методы распространения
Вирус-червь Win32/Conficker распространяется различными способами. К ним относятся:
использование сетевых папок;
использование функциональных возможностей автозапуска.
Поэтому необходимо соблюдать особую осторожность при очистке сети: опасные файлы не должны повторно заражать уже очищенные системы.
Примечание. Вариант вируса-червя Win32/Conficker.D не заражает съемные носители или общие папки по сети. Червь Win32/Conficker.D устанавливается предыдущими вариантами Win32/Conficker.
Защита
Используйте надежные пароли администратора, уникальные для каждого компьютера.
Не входите на компьютеры с использованием учетных данных администратора домена или учетных данных, предоставляющих доступ ко всем компьютерам.
Убедитесь, что на всех системах установлены последние обновления для системы безопасности.
Удалите чрезмерные права доступа к общим папкам. К ним относятся права на запись в корень общей папки.
Действия по устранению последствий
Блокирование распространения вируса Win32/Conficker с помощью групповой политики
Важно! Перед внесением любых изменений, предлагаемых в этой статье, следует задокументировать все текущие настройки.
Эта процедура не удаляет вредоносную программу Conficker из системы, а позволяет только остановить ее распространение. Чтобы удалить вирус-червь Conficker, необходимо воспользоваться антивирусной программой. Можно также удалить его вручную. Для этого следуйте указаниям, приведенным в разделе Удаление вируса Win32/Conficker вручную.
После изменения разрешений согласно приведенным ниже рекомендациям может оказаться невозможной правильная установка приложений, пакетов обновления или других обновлений. В частности, к ним относятся обновления, устанавливаемые с использованием Центра обновлений Windows, сервера служб Windows Server Update Services (WSUS) и диспетчера System Center Configuration Manager (Configuration Manager 2007), так как работа этих продуктов зависит от компонентов автоматического обновления. После очистки системы необходимо восстановить настройки разрешений по умолчанию.
Создание объекта групповой политики
Создайте объект групповой политики, который будет применяться ко всем компьютерам в определенном подразделении, сайте или домене, в зависимости от требований конкретной среды.
Для этого выполните указанные ниже действия.
Настройте политику на удаление разрешений на запись в следующий подраздел реестра:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost Это позволит предотвратить создание в разделе реестра netsvcs вредоносной службы с произвольным именем.
Для этого выполните указанные ниже действия.
Откройте консоль управления групповыми политиками.
Создайте объект групповой политики и присвойте ему произвольное имя.
Откройте созданный объект групповой политики и перейдите в следующую папку:
Конфигурация компьютера\Параметры Windows\Параметры безопасности\Реестр
Щелкните правой кнопкой мыши элемент Реестр, а затем выберите команду Добавить раздел.
В диалоговом окне Выбор раздела реестра разверните узел Machine, а затем перейдите в следующую папку:
В появившемся диалоговом окне снимите флажок Полный доступ для группы Администраторы и System.
В диалоговом окне Добавление объекта установите флажок Заменить текущие разрешения во всех подразделах наследуемыми.
Настройте политику для удаления разрешений на запись в папку %windir%\Tasks. Это позволит предотвратить создание вредоносной программой Conficker назначенных задач, которые могут заразить систему повторно.
Для этого выполните указанные ниже действия.
В созданном ранее объекте групповой политики перейдите в следующую папку:
Конфигурация компьютера\Параметры Windows\Параметры безопасности\Файловая система
Щелкните правой кнопкой мыши элемент Файловая система, а затем выберите команду Добавить файл.
В диалоговом окне Добавление файла или папки перейдите к папке %windir%\Tasks. Убедитесь, что пункт Задачи выделен и указан в диалоговом окне Папка.
В появившемся диалоговом окне снимите флажки Полный доступ, Изменение и Запись для групп Администраторы и Система.
В диалоговом окне Добавление объекта установите флажок Заменить текущие разрешения во всех подразделах наследуемыми.
Отключите функции автозапуска. Это позволит предотвратить распространение вредоносной программы Conficker через использование функций автозапуска, встроенных в систему Windows.
Примечание. В зависимости от используемой версии Windows для правильного отключения функций автозапуска нужно установить различные обновления.
Чтобы отключить функции автозапуска в системе Windows XP, Windows Server 2003 или Windows 2000, установите обновление для системы безопасности 950582, 967715 или 953252.
Чтобы отключить функции автозапуска, выполните описанные ниже действия.
В созданном ранее объекте групповой политики перейдите в одну из указанных ниже папок.
Для домена под управлением сервера Windows Server 2003:
Конфигурация компьютера\Административные шаблоны\Система
Для домена под управлением сервера Windows Server 2008:
Конфигурация компьютера\Административные шаблоны\Компоненты Windows\Политики автозапуска
Откройте политику Отключить автозапуск.
В диалоговом окне Отключить автозапуск установите переключатель Включено.
В раскрывающемся меню выберите пункт Все диски.
Закройте консоль управления групповыми политиками.
Свяжите созданный объект групповой политики с расположением, к которому его необходимо применить.
Подождите, пока параметры групповой политики не будет обновлены на всех компьютерах. Обычно репликация групповой политики на каждый контроллер домена занимает пять минут. Последующая репликация на оставшиеся компьютеры занимает 90 минут. Продолжительность всего процесса не превышает двух часов. Однако в зависимости от среды может потребоваться больше времени.
После распространения параметров групповой политики очистите компьютеры от вредоносной программы.
Для этого выполните указанные ниже действия.
Запустите на всех компьютерах полную антивирусную проверку.
Восстановление
Запустите средство проверки безопасности (Майкрософт).
В Центре Майкрософт по защите от вредоносных программ предлагается обновленное средство проверки безопасности (Майкрософт). Это автономный двоичный файл, который используется для удаления наиболее распространенных вредоносных программ, в том числе вредоносных программ семейства Win32/Conficker.
Примечание. Средство проверки безопасности (Майкрософт) не является антивирусной программой, работающей в режиме реального времени, и не предотвращает повторное заражение.
Загрузить средство проверки безопасности Майкрософт можно на следующем веб-сайте корпорации Майкрософт:
Удаление вируса Win32/Conficker вручную
Описанные действия, выполняемые вручную, следует выполнять только при отсутствии антивирусных программ, позволяющих удалить вирус Conficker.
В зависимости от конкретного варианта червя Win32/Conficker, заразившего компьютер, некоторые значения, упомянутые в этом разделе, могут остаться неизменными.
Для удаления вируса Conficker выполните описанные ниже действия.
Войдите в систему с локальной учетной записью.
Важно! По возможности не входите в систему с учетной записью домена. В частности, не используйте для этого учетную запись администратора домена. Вредоносные программы выдают себя за вошедшего в систему пользователя и получают доступ к сетевым ресурсам, используя учетные данные такого пользователя. Это позволяет вредоносным программам распространяться.
Остановите службу сервера. В результате этого действия общие ресурсы администратора будут удалены из системы, что предотвратит распространение вредоносных программ указанным способом.
Примечание. Службу сервера нужно отключить только временно, чтобы устранить вредоносные программы из среды. Это особенно важно для рабочих серверов, так как данное действие влияет на доступность сетевых ресурсов. Службу сервера можно включить снова, как только среда будет полностью очищена.
Для остановки службы сервера необходимо использовать оснастку консоли управления (MMC) "Службы". Для этого выполните действия, указанные ниже.
В зависимости от системы выполните одно из описанных ниже действий.
В Windows Vista и Windows Server 2008 нажмите кнопку Пуск, введите services.msc в окне Начать поиск, а затем выберите services.msc в списке Программы.
В Windows 2000, Windows XP и Windows Server 2003 нажмите кнопку Пуск, затем Выполнить, введите services.msc и нажмите кнопку ОК.
Дважды щелкните элемент Сервер.
В поле Тип запуска выберите значение Отключено.
Удалите все созданные задания автозапуска. Для этого введите в командной строке команду AT /Delete /Yes.
Остановите службу планировщика заданий.
Для остановки службы планировщика заданий в Windows 2000, Windows XP и Windows Server 2003 необходимо использовать оснастку консоли управления (MMC) "Службы" или средство SC.exe.
Чтобы остановить службу планировщика заданий в Windows Vista или в Windows Server 2008, выполните перечисленные ниже действия.
Важно! В данный раздел, метод или задачу включены действия по изменению параметров реестра. Однако неправильное изменение параметров реестра может привести к возникновению серьезных проблем. Поэтому такие действия необходимо выполнять очень внимательно. Для дополнительной защиты нужно создать резервную копию реестра. Это позволит восстановить реестр при возникновении неполадок. Дополнительные сведения о создании резервной копии и восстановлении реестра см. в следующей статье базы знаний Майкрософт:
322756Создание резервной копии, редактирование и восстановление реестра Windows XP и Windows Server 2003.
Найдите и щелкните следующий подраздел реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Schedule
В области сведений щелкните правой кнопкой мыши параметр DWORD Start и выберите команду Изменить.
В поле Значение введите 4 и нажмите кнопку ОК.
Закройте редактор реестра и перезагрузите компьютер.
Примечание. Службу планировщика заданий нужно отключить только на время, необходимое для удаления вредоносных программ. Это особенно важно в системах Windows Vista и Windows Server 2008, поскольку данное действие затрагивает многие встроенные запланированные задания. Сразу же после очистки среды включите службу сервера.
Все пароли локального администратора и администратора домена необходимо заменить новыми надежными паролями. Дополнительные сведения см. на следующем веб-узле корпорации Майкрософт :
Найдите и выберите следующий подраздел реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
В области сведений щелкните правой кнопкой мыши параметр netsvcs и выберите команду Изменить.
Если компьютер заражен вирусом Win32/Conficker, будет указано случайное имя службы.
Примечание. При заражении компьютера вариантом вируса Win32/Conficker.B имя службы будет состоять из случайного набора букв и находиться в нижней части списка. В случае более поздних вариантов вируса имя службы может находиться в любом месте списка и выглядеть менее подозрительно. Если в нижней части списка нет службы со случайным именем, сравните список системы с таблицей служб в этой статье, чтобы установить, какое имя могло быть добавлено вирусом Win32/Conficker. Для подтверждения сравните список в таблице служб со списком на похожей незараженной системе.
Обратите внимание на имя вредоносной службы. Эта информация потребуется впоследствии при выполнении процедуры устранения червя.
Удалите строку, которая содержит ссылку на вредоносную службу. Убедитесь в том, что под последней допустимой записью в списке остается пустая строка, затем нажмите кнопку ОК.
Примечания к таблице служб
Все записи в таблице представляют действительные службы, за исключением элементов, выделенных полужирным шрифтом.
Элементы, выделенные полужирным шрифтом — это примеры записей, которые вирус Win32/Conficker может добавить в значение netsvcs в разделе реестра SVCHOST.
Реальный список служб может включать дополнительные записи в зависимости от программ, установленных в системе.
В таблице указаны службы, запускаемые в конфигурации Windows по умолчанию.
Вредоносная программа — термин, который используется для обозначения вредоносного ПО, которое разработано для причинения ущерба или для осуществления нежелательных действий в рамках компьютерной системы. Ниже приведены примеры вредоносных программ.
Мошеннические программы по обеспечению безопасности
Что такое компьютерный вирус?
Компьютерный вирус — это небольшая программа, которая распространяется с одного компьютера на другой и мешает работе компьютера. Компьютерный вирус может повредить или удалить данные на компьютере, распространить его на другие компьютеры с помощью почтовой программы или даже удалить все данные на жестком диске.
Совет: Сведения о симптомах компьютерных вирусов можно найти на веб-сайте microsoft PC Security.
Что такое червь?
Что такое троянский коня?
Троянский коня — это вредоносная программа, которая скрывается в других программах. Он вводит компьютер, скрытый в нужной программе, например при заслушии экрана. Затем он помещает в операционную систему код, позволяющий злоумышленнику получить доступ к зараженным компьютерам. Троянские кони обычно не распространяются по себе. Они распространяются вирусами, червями или скачав программное обеспечение.
Что такое шпионское ПО?
Шпионское ПО можно установить на компьютер без вашего ведома. Эти программы могут изменять конфигурацию компьютера или собирать рекламные и персональные данные. Шпионское ПО может отслеживать привычки поиска в Интернете, а также перенаправлять веб-браузер на другой веб-сайт, чем предполагается.
Что такое мошеннические программы безопасности?
Предупреждение!
Ваш компьютер заражен!
Этот компьютер заражен шпионским и рекламным по программам.
Дополнительные сведения см. в этой теме.
Удаление таких вредоносных программ, как вирусы, программы-шпионны и мошеннические программы по обеспечению безопасности.
Удаление компьютерного вируса или программы-шпиона может быть сложной задачей без средств удаления вредоносных программ. Некоторые вирусы и программы-шпионы могут переустановить свою копию после обнаружения и удаления. К счастью, пользователь может полностью удалить нежелательное ПО, обновив систему и воспользовавшись средствами удаления вредоносных программ.
Дополнительные сведения об удалении компьютерных вирусов и шпионских программ см. в следующей статье базы знаний Майкрософт: 2671662 — ресурсы Майкрософт и руководство по удалению вредоносных программ и вирусов.
Чтобы удалить компьютерный вирус и другие вредоносные программы, выполните указанные здесь действия по порядку.
1. Установка последних обновлений из Обновления Майкрософт
Примечание. Компьютерный вирус может помешать вам получить доступ к веб-сайту Обновления Майкрософт для установки последних обновлений. Мы рекомендуем настроить автоматическую запуск службы автоматического обновления, чтобы не пропустить на компьютере важных обновлений.
В области результатов выберите пункт Центр обновления Windows.
Следуйте инструкциям по загрузке и установке последних обновлений Windows.
2. Используйте бесплатную средство проверки безопасности (Майкрософт)
Майкрософт предлагает бесплатное веб-средство, которое выполняет поиск и помогает устранять программы, представляющие потенциальные угрозы для вашего компьютера. Чтобы выполнить поиск, перейдите на веб-страницу Средства проверки безопасности (Майкрософт).
3. Используйте средство Windows вредоносных программ
За дополнительной информацией о проверки безопасности Майкрософт см. в следующей статье базы знаний Майкрософт:
890830— удаление распространенных вредоносных программ с помощью средства Windows удаления вредоносных программ
4. Удаление мошеннических программ безопасности вручную
Если вредоносное программное обеспечение для защиты не удалось обнаружить или удалить с помощью средства средство проверки безопасности (Майкрософт) или средства Windows вредоносных программ, попробуйте сделать следующее:
Обратите внимание на названия мошеннических программ по обеспечению безопасности. В этом примере программа будет названа XP Security Agent 2010.
При появлении логотипа производителя компьютера несколько раз нажмите клавишу F8.
После появления соответствующего уведомления с помощью клавиш со стрелками выберите пункт Безопасный режим с загрузкой сетевых драйверов и нажмите клавишу ВВОД.
Правой кнопкой мыши щелкните название мошеннической программы по обеспечению безопасности и выберите Свойства.
Перейдите на вкладку Ярлык.
В диалоговом окне Свойства проверьте путь к вредоносному программному обеспечению безопасности, который указан в списке Target. Например, C:\Program Files\XP Security Agent 2010.
Примечание. Часто папка называется случайным числом.
В окне Program Files щелкните Program Files в адресной строке.
Прокрутите список, пока не найдете папку с мошеннической программой по обеспечению безопасности. Например, XP Security Agent 2010.
Щелкните папку правой кнопкой мыши и выберите команду Удалить.
Следуйте инструкциям, чтобы найти и удалить мошенническую программу по обеспечению безопасности.
5. Запустите автономный Microsoft Defender
автономный Microsoft Defender — это средство для устранения вредоносных программ, которое помогает избавиться от вирусов, которые начинаются перед Windows вирусов. Начиная с Windows 10, автономный Microsoft Defender встроена в нее. Чтобы использовать его, выполните действия, следующие в этой статье: Защита компьютера с помощью автономный Microsoft Defender.
На зараженных компьютерах перейдите в статью Защита компьютера с помощью автономный Microsoft Defender.
При появлении запроса щелкните Сохранить как, затем сохраните файл на DVD-диске, CD-диске или USB-устройстве флэш-памяти.
Поместите DVD-диск, CD-диск или USB-устройство флэш-памяти в привод зараженного компьютера, а затем перезапустите его.
При появлении запроса нажмите клавишу, чтобы выбрать параметр запуска компьютера, например, F12, F5 или F8 (в зависимости от компьютера, который вы используете).
С помощью клавиши со стрелками перейдите к диску, на котором установлен автономный Microsoft Defender файл. автономный Microsoft Defender запускается и сразу же проверяется на вредоносные программы.
Защита компьютера от вредоносных программ
Выполните следующие действия, чтобы защитить свой компьютер от вредоносных программ.
Включите брандмауэр.
Подтвердим Windows включен брандмауэр. Инструкции о том, как сделать это в современных версиях Windows, см. в этой Windows.
В поле Поиска введите брандмауэр и нажмите кнопку Windows брандмауэра.
В левой области щелкните Включить Windows брандмауэра (вам может быть предложено ввести пароль администратора).
Под каждой сетевой расположением щелкнитеВключить Windows брандмауэр и нажмите кнопку ОК.
Поддержание компьютера в актуальном состоянии
Дополнительные сведения о том, как настроить автоматическое обновление в Windows, см. в Windows: faq
Не обмануйте вас при скачии вредоносных программ
Ниже даны советы, которые помогут вам избежать скачивания нежелательного ПО:
Скачайте только программы с сайтов, которые вы доверяете. Если вы не уверены, следует ли доверять программе, которую вы хотите скачать, введите ее имя в свою любимая поисковая система, чтобы узнать, есть ли в ней шпионское ПО.
Ознакомьтесь со всеми предупреждениями системы безопасности, лицензионными соглашениями и заявлениями о конфиденциальности, которая связанны с любым загружаемым ПО.
Никогда не нажимайте кнопку "Принимаю" или "ОК", чтобы закрыть окно программы, которая может быть программой-шпионом. Вместо этого нажмите значок "x" красного цвета в углу окна или клавиши ALT+F4 на клавиатуре.
Будьте в курсе бесплатных программ для доступа к музыке и фильмам, также убедитесь, что вы знаете о всех программах, которые включают эти программы.
Используйте учетную запись обычного пользователя, а не администратора. Учетная запись администратора может получать доступ ко всем данным в системе, а любая вредоносная программа, запускаемая с учетной записью администратора, может использовать разрешения администратора для потенциального заражения или повреждения любых файлов в системе.
Дополнительные сведения о том, как защитить компьютер от вирусов, см. в теме Защита компьютера от вирусов.
Получение поддержки, связанной с компьютерным вирусом и безопасностью
Хотите пообщаться с человеком в прямом эфире? Наши Answer Tech специалисты готовы помочь: Answer Desk
Майкрософт Решения для ИТ-специалистов:
Поддержка по стране:
Для местоположений за пределами Северной Америки:
Чтобы получить поддержку по вопросам безопасности и защиты от вирусов за пределами Северной Америки, посетите веб-сайт Служба поддержки Майкрософт.
Читайте, как восстановить удаленные в результате вирусной атаки файлы, с помощью встроенных решений Windows или сторонних программ. Как восстановить зашифрованные вирусом файлы.Ваш компьютер подвергся вирусной атаке? Вы хотите восстановить файлы, удаленные в результате вредоносного воздействия? О стандартных способах исправления непредвиденной ситуации и различных вариантах восстановления удаленных файлов мы постараемся рассказать в данной статье.
Введение
С развитием электронных технологий и средств коммуникации значительно расширился диапазон и объем информации, задействованной пользователями при выполнении ими разнообразных действий, напрямую связанных, как с профессиональной и производственной деятельностью, так и направленных на обеспечение связи, общения, игр и развлечения последних.
В полной мере выполнять полноценный контроль над входящими и исходящими потоками данных, осуществлять мгновенную их обработку, независимо от конечного объема, и обеспечивать безопасное хранение помогают компьютерные устройства в различном исполнении.
Стационарные персональные компьютеры и ноутбуки, включая любые их вариативные комбинации (ультрабуки, нетбуки, ноутбуки-трансформеры, неттопы), планшеты, смартфоны и коммуникаторы и т.д. полностью соответствуют все возрастающим потребностям пользователей при работе с информацией, и отвечают последним информационным нормативам.
Наиболее широко, в списке самых популярных у пользователей электронных устройств, представлены персональные компьютеры и ноутбуки. Богатое внутреннее наполнение компьютерных устройств (сверхскоростные процессоры, высоко функциональные материнские платы, прогрессивные планки памяти, емкостные запоминающие устройства хранения данных и т.д.), и современное высокопроизводительное программное обеспечение, по праву, позволяет им занимать лидирующее положения, в обработке и хранении информации, в мире.
По широте распространения и количеству используемых устройств к ним приближаются смартфоны и коммуникаторы. Благодаря высокой степени мобильности, миниатюрным размерам, достаточно высоким функциональным возможностям, обширному набору доступных приложений – смартфоны стремятся соответствовать и, по возможности, заменить компьютеры и ноутбуки, при исполнении определенных действий.
С повсеместным переходом на цифровой формат информации, большинство видов данных пользователей (личных, социальных, общественных и деловых) хранятся, обрабатываются, переносятся и обслуживаются различными компьютерными устройствами. В связи с этим, важнейшим требованием, предъявляемым ко всем устройства, является обязательная высокая степень безопасности данных и защита их от несанкционированных действий третьих лиц.
К одним из самых распространенных видов вредоносного воздействия на данные пользователей можно отнести вирусные атаки злонамеренного программного обеспечения.
Заражения пользовательского компьютерного устройства вирусом может привести к нежелательным последствиям, самым распространенным из которых является удаление пользовательских файлов. О том, как восстановить файлы после воздействия вирусных программ и пойдет речь далее в нашей статье.
Вредоносное воздействие вирусов
Современные антивирусные программы научились распознавать и своевременно бороться, изолировать и уничтожать вредоносные вирусы и защищать компьютерные устройства от заражения. Однако компьютерные вирусы развиваются стремительными темпами, и реализуют различные алгоритмы вредоносного доступа и методы удаленного воздействия. Очень частым результатом их усилий является частичное или полное удаление файлов пользователей, что особенно критично, когда такие файлы хранятся в единственном экземпляре и не имеют резервных копий.
Создание резервной копии файлов пользователя является хорошим элементом защиты данных от неожиданной и необратимой их утраты вследствие действий вирусов. Регулярное создание копий важных файлов поможет пользователям обезопасить себя от многих видов потерь, связанных как с воздействием вирусов, так и с другими причинами, например поломка запоминающего устройства.
Однако объем данных, которые использует, а главное, желает сохранить пользователи, непрерывно растет. И требует наличия нескольких устройств для хранения, что влечет за собой значительные дополнительные затраты. Поэтому, многие пользователи предпочитают хранить резервные копии на одном устройстве. И как следствие, заражение устройства вирусом может привести к повреждению или полноценной потере не только оригиналов файлов, но и сохраненных копий. Поэтому вопрос восстановления потерянных данных после вирусной атаки имеет для пользователей первостепенное значение, особенно, как реакция на свершившуюся потерю.
Как вирус заражает компьютерные устройства пользователей и удаляет данные
Компьютерный вирус представляет собой вид автономного вредоносного исполняемого программного кода, способного, используя обнаруженные уязвимости системы, внедрятся в код других программ и скрытые системные сектора управления, создавать копии самого себя и распространять их по различным каналам связи для нового заражения. Вирусом или его носителем могут выступать как отдельные целостные программы, содержащие машинный код, так и разнообразная информация, с прикрепленной к ней автоматически исполняемыми командами активации процесса заражения.
Одной из главных задач вирусов является их максимальное распространение для последующего достижения цели разработчика – создателя вируса. В основном, вирусы разрабатываются по нескольким причинам:
- Просто как шутка, не преследующая негативных или разрушающих целей.
- Созданные в качестве инструмента отмщения за причиненные страдания или обиды.
- Вирусы как средство обогащения или кражи чужих конфиденциальных данных для последующей перепродажи или незаконного завладения средствами.
Поскольку вирусы создаются для разнообразных целей, то и ущерб для компьютеров пользователей значительно разнится. Некоторые из вирусов, которые задумывались как шутка, могут вызывать всплывающую картинку, видеоролик или веб-страницу, появляющуюся на экране мгновенно и неожиданно, что создает отдельные неудобства при работе за компьютером, но не ведет к повреждению или потере данных. Напротив, другие, рассчитанные на нанесение ущерба или вреда, фактически предназначены для кражи или удаления важных файлов пользователей. Часто, действия таких вирусов, сопровождаются нарушением работоспособности программно-аппаратных комплексов, вызывающие, как следствие, удаление отдельных файлов или целой операционной системы, нарушение порядка структуры размещения данных, частичное или полное блокирование работы пользователей, увеличение числа системных ошибок, значительное потребление ресурсов системы и т. п.
- Использование неизвестного программного обеспечения из сомнительных источников.
- Подключение к персональному компьютеру, или другому устройству пользователя, накопителя данных (USB-флэш накопитель, карта памяти, внешний диск и т.д.) без обязательной проверки антивирусной программой.
- Посещение веб-сайтов, замеченных в аномальной активности или содержащих вирусы.
- Автоматическая или случайная загрузка сетевых файлов из анонимных источников или непроверенных сайтов.
Фактически, вирус может попасть в персональный компьютер с помощью множества различных способов, диапазон которых ежедневно расширяется и совершенствуется. Именно поэтому, важным сдерживающим фактором, который может предотвратить вредоносное заражение, является обязательное использование доверенного антивирусного программного обеспечения, особенно после покупки нового компьютера или плановой переустановки операционной системы.
Принцип действия вирусов, теоретически, имеет единый схожий алгоритм. Прикрепленный к носителям данных, будь то накопитель или информация, переданная по сети, вирус попадает в компьютерное устройство и инфицирует его. После успешного внедрения вирус может находиться в спящем режиме до тех пор, пока определенные обстоятельства не запустят процесс его исполнения. Таким образом, вирус остается незаметным для пользователя, и компьютер не отображает признаков заражения. При достижении условий активации, вирус запускает процесс инфицирования устройства, поражая системные и пользовательские файлы, а также компьютеры, составляющие единую сеть. Как следствие, вредоносное действие вируса часто приводит к повреждению операционной и файловой систем, изменению имен файлов и полному стиранию данных, чем наносит значительный ущерб.
Подводя итог, становится понятно, что компьютерный вирус может создавать серьезные проблемы для работоспособности компьютера и его системных служб, и привести к утрате важной информации, которая может повлечь за собой возникновение дополнительных финансовых затрат. Поэтому восстановление файлов, удаленных вредоносной вирусной атакой, становится важной задачей, исполнение которой требует особого внимания.
Восстановление из резервной копии
По его окончанию, все отмеченные файлы и папки будут восстановлены согласно заданным параметрам.
Восстановление предыдущей версии
Необходимо помнить, что описанный способ восстанавливает предыдущую версию ваших данных и полностью заменяет текущую версию на компьютере пользователя. И отменить замену данных обратно пользователи уже не смогут. Поэтому необходимо ответственно подходить к использованию этого метода восстановления.
Все выбранные файлы будут незамедлительно восстановлены и доступны пользователям для дальнейшего использования.
Восстановление зашифрованных файлов после воздействия вируса-шифровальщика
Ограничение, применяемое к системе, может меняться во времени, иметь разнообразные дополнительные условия и может быть реализовано различными способами.
Основываясь на ограничении, визуально применяемом к системе, мы можем распознать два вида вредоносного воздействия:
- Непосредственное блокирование операционной системы с обязательным отображением страницы выкупа, размещенной на рабочем столе, и требованием заплатить выкуп для разблокирования доступа к компьютеру.
- Шифрование большинства пользовательских данных без повреждения системных файлов, для поддержания работоспособности системы, с требованием выкупа для расшифровки файлов.
Общими условиями данного мошенничества являются:
Существует много типов вирусов-вымогателей, и нет единой общей, всегда работающей, методологии для восстановления пользовательских данных. Все вирусы относятся к различным семействам, объединенные по определенным признакам, идентифицировав которые можно попытаться восстановить файлы и вернуть работоспособность системы.
Общий универсальный алгоритм устранения последствий вирусного заражения можно объединить в следующих шагах:
- Разблокирование требования о выкупе или обход принудительной блокировки экрана;
- Восстановление доступа к операционной системе или расшифровка, испорченных вирусом, файлов;
- Очистка системы и удаления источника заражения вирусом.
Некоторые виды современных вирусных программ могут сочетать в себе комбинацию блокировки системы и шифрования пользовательских данных. Поэтому необходимо обойти блокировку экрана рабочего стола компьютера, прежде чем приступить к восстановлению зашифрованных файлов, для чего необходимо запустить операционную систему в безопасном режиме перед началом восстановления. Это поможет избежать запуска вирусом защитных механизмов, направленных на удаление пользовательских данных по истечении определенного количества времени.
Сразу после восстановления необходимо сохранить файлы на внешнем запоминающем устройстве, и очистить систему, путем удаления вируса антивирусной программой. Дополнительно, разумно будет заново отформатировать диск, который содержал вирус. В отдельных случаях, придется переустановить операционную систему, так как вирус мог повредить отдельные системные файлы или записи реестра, что может вызвать дальнейшую не корректную работу операционной системы.
Лучшим способом борьбы с такими видами вирусных вымогательств является частое и регулярное резервное копирование важных данных пользователей, а также предотвращение заражения персональных компьютерных устройств путем поддержания антивирусной системы и базы вирусных угроз в актуальном рабочем состоянии.
Если система уже подверглась заражению, то расшифровать данные пользователя после вредоносного воздействия вирусом, можно при помощи специального инструмента, который попытается определить семейство, к которому относится вирус, и, в случае успешной идентификации, предоставить пользователю файл для дешифровки зараженных данных.
Восстановление потерянных файлов после вирусной атаки с помощью стороннего программного обеспечения
Поэтому, когда файлы были повреждены или удалены вследствие вирусной атаки, пользователям необходимо иметь эффективный инструмент, который помог бы восстановить утраченные данные. К виду таких инструментов относится программное обеспечение для восстановления данных сторонних производителей.
Отдельным преимуществом программы является способность восстанавливать информацию, поврежденную, испорченную или заблокированную в результате вирусных атак. Благодаря набору инновационных алгоритмов удается возвращать файлы после любого вредоносного вирусного воздействия, которое приводит к уничтожению пользовательских данных или отсутствию доступа к ним.
После завершения установки откройте установленную программу. Встроенные инструменты программы произведут первичный анализ системы и отобразят все, подключенные к персональному компьютеру, устройства для хранения данных.
В зависимости от внутреннего объема накопителя, степени повреждения информации, файловой системы и ряда других дополнительных параметров, процедура анализа и поиска удаленных файлов может занять различное количество времени: от нескольких минут до нескольких часов. Линейная шкала исполнения уведомит пользователей о степени завершения общего процесса восстановления, в процентном соотношении, и дополнительно, отобразит ориентировочное общее время завершения.
Теперь можно открыть папку с восстановленными файлами и проверить их полную работоспособность.
Когда необходимо избавляться от вируса
На сегодняшний день, когда развитие информационных технологий идет огромными темпами, практически каждый компьютерный пользователь знает об опасности заражения вирусом, важности его устранения и поддержания системы на должном уровне безопасности. Однако в вопросе времени очистки системы от вредоносного заражения присутствует отдельные нюансы.
При поражении системы вирусом, он начинает размножаться и наносить вред пользовательским данным и операционной системе в целом, негативно влияя на ее работоспособность. Поэтому лучшим решением будет не допущение попадания вируса в систему и использование антивирусной программы, обладающей мощным уровнем защиты от злонамеренного проникновения вредоносных программ.
Однако если заражение уже произошло, то естественное желание немедленно очистить операционную систему от вируса может иметь и негативные последствия. Антивирусная программа во время удаления вируса может также удалить и некоторые полезные файлы с компьютера пользователя, в соответствии с используемым алгоритмом. И как следствие, это может привести к дополнительному повреждению и удалению большего количества файлов с компьютера пользователя или безвозвратной потере некоторых данных. Поэтому лучше будет полностью завершить процесс восстановления данных, прежде чем запускать процедуру очистки диска от вирусов.
Полную версию статьи со всеми дополнительными видео уроками читайте в нашем блоге.
Данный материал является частной записью члена сообщества Club.CNews.
Редакция CNews не несет ответственности за его содержание.
Эта статья посвящена способам защиты компьютера от вирусов, которые могут повредить компьютер или позволить злоумышленникам украсть ваши данные, личные сведения или деньги.
Использование приложения для защиты от вредоносных программ. Установка приложения для защиты от вредоносных программ и его обновление могут помочь защитить компьютер от вирусов и других вредоносных программ (вредоносных программ).
Microsoft Defender — это бесплатное антивредоносное программное обеспечение, включенное в Windows, и оно обновляется автоматически через клиентский компонент Центра обновления Windows. Существуют также антивредоносные продукты, созданные другими компаниями, которые можно выбрать.
Больше не всегда лучше
Одновременное выполнение нескольких приложений для защиты от вредоносных программ может привести к медленной или нестабильной работе системы. Если установить приложение для защиты от вредоносных программ из другой компании, Microsoft Defender автоматически отключит себя. Однако при установке двух приложений для защиты от вредоносных программ от других компаний они могут попытаться запуститься одновременно.
Используйте блокирование всплывающих окон в браузере. Всплывающие окна — это небольшие окна браузера, которые отображаются поверх просматриваемого веб-сайта. Несмотря на то, что большинство таких окон используется для рекламных целей, в них может содержаться вредоносный или небезопасный код. Блокирование всплывающих окон позволяет избавиться от некоторых или даже всех всплывающих окон. Блокирование всплывающих окон в Microsoft Edge включено по умолчанию.
При использовании Microsoft Edge, убедитесь, что SmartScreen включен. SmartScreen в Microsoft Edge помогает защитить от фишинга и атак вредоносных программ, предупреждая о возможной небезопасности веб-сайта или расположения загрузки. Дополнительные сведения см. в разделе "Как SmartScreen может помочь защитить меня в Microsoft Edge?
Обратите внимание на уведомления Windows SmartScreen. С осторожностью запускайте неизвестные приложения, скачанные из Интернета. Такие приложения с большой вероятностью могут оказаться небезопасными. При скачии и запуске приложения из Интернета Фильтр SmartScreen использует сведения о репутации приложения, чтобы предупреждать вас, если приложение не известно и может быть вредоносным.
Регулярно обновляйте Windows. Корпорация Майкрософт регулярно выпускает особые обновления для системы безопасности, предназначенные для защиты компьютера. Обновления могут предотвратить атаки вирусов и других вредоносных программ, закрывая возможные слабые места в системе безопасности.
клиентский компонент Центра обновления Windows помогает убедиться, что компьютер получает эти обновления автоматически, но иногда может потребоваться перезапустить компьютер, чтобы обновления полностью устанавливались.
Используйте параметры конфиденциальности браузера. Некоторые веб-сайты могут попытаться использовать вашу личную информацию для целевой рекламы, мошенничества и кражи удостоверений. Все современные браузеры имеют параметры конфиденциальности, которые можно включить для управления тем, какие сайты могут видеть или делать.
Дополнительные сведения о настройке параметров конфиденциальности в Microsoft Edge см. в разделе Настройка параметров конфиденциальности согласно вашим потребностям.
Убедитесь, что функция контроля учетных записей включена. При внесении на компьютере изменений, требующих прав администратора, функция контроля учетных записей уведомит вас об этом и предложит утвердить эти изменения. Контроль учетных записей не позволяет вирусам вносить нежелательные изменения. Чтобы открыть контроль учетных записей, проведите пальцем от правой границы экрана, а затем коснитесь элемента Поиск. (Если вы используете мышь, наведите указатель на правый верхний угол экрана, переместите указатель вниз, а затем щелкните Поиск.) Введите в поле поиска контроль учетных записей, а затем выберите элемент Изменение параметров контроля учетных записей.
Убедитесь, что включена защита от незаконного изменения. В Windows 10 и 11 у нас есть функция под названием "Защита от незаконного изменения", которая предотвращает изменение параметров безопасности неавторизованными приложениями. Многие вирусы и вредоносные программы пытаются отключить программное обеспечение для защиты от вредоносных программ или другие параметры безопасности при их установке, чтобы избежать обнаружения. Сведения о том , как убедиться, что параметры безопасности включены, см. в разделе "Предотвращение изменений параметров безопасности с помощью защиты от незаконного изменения".
Как удалить антивирусные или антишпионские программы?
Если вы используете несколько антивирусных или антишпионских программ одновременно, то может снизиться производительность и стабильность работы компьютера. Кроме того, он может неожиданно перезапускаться.
Внимание: После удаления установленных программ для обеспечения безопасности в Интернете ваш компьютер станет незащищенным. Если вы не установили другую программу защиты от вредоносных программ, убедитесь, что антивирусная программа в Microsoft Defender и брандмауэр Windows включены.
Чтобы удалить нежелательные антивредоносные программы:
Перейдите в меню Пуск > Параметры > Приложения
Найдите нежелательное приложение или приложения и выберите их
Нажмите Удалить
Скорее всего, потребуется перезагрузить компьютер после удаления каждого приложения.
Примечание: Некоторые программы для обеспечения безопасности могут удаляться не полностью. Если вам не удается полностью удалить приложение, перейдите на сайт издателя или обратитесь за помощью в службу технической поддержки.
Экономический ущерб от вирусов
 |
Количество вирусных и других злоумышленных атак растет. Растут и расходы компаний, правительственных организаций и частных лиц на очистку систем и возвращение их в рабочее состояние. Злоумышленные программные атаки включают всевозможные разновидности червей и вирусов.
В следующих таблицах представлен анализ мирового экономического ущерба от злоумышленных атак, проведенный фирмой Computer Economics. Данные представлены отдельно для определенных заметных инцидентов и по годам. Экономический ущерб включает затраты по уничтожению вируса, очистке и восстановлению системы, упущенный доход и влияние на производительность труда.
Нападения, которые произошли после атаки Love Bug в мае 2000 года, привели к меньшему экономическому ущербу прежде всего потому, что после этого случая процесс очистки систем от последствий вирусного нападения был в значительной степени автоматизирован.
Индекс кибератаки показывает относительный экономический ущерб от каждого случая по сравнению с ущербом от вспышки Love Bug, которая произошла в 2000 году и до настоящего времени остается атакой, приведшей к самому значительному экономическому ущербу. Атака Love Bug имеет рейтинг 10, а все другие нападения оценены согласно их относительному экономическому ущербу.
CNews Analytics опираясь на данные, предоставленные несколькими исследовательскими компаниями, специализирующимися на исследованиях в сфере ИТ, уточнило данные об ущербе, причиненном различными вирусами. CNews Analytics считает, что последствия ущерба двух наиболее разрушительных вирусов, которыми полноправно можно считать Klez и Love Bug, в денежном эквиваленте не сильно отличаются друг от друга. Семейство вирусов KLEZ следует рассматривать не как отдельные вирусы, а как единую группу. Таким образом, ущерб, причиненный его разновидностями, зачисляется на счет KLEZ.
В мире распространяются тысячи самых различных вирусов, однако не все из них широко известны. Вирус становится известен только тогда, когда причиненный им ущерб достигнет определенной денежной величины. Несколько лет назад в интернете начали появляться вирусы, разрушительные последствия которых исчислялись миллиардами долларов. Так образовался клуб вирусов-миллиардеров, в котором на данный момент их насчитывается около десятка. Все из них нанесли ущерб мировой экономике больше чем на 1 млрд. долл.
В январе 2003 г. компьютерный мир пережил атаку вируса SQL Slammer Worm, который очень быстро распространялся в сети и наносил информационным системам ущерб различной степени тяжести. По окончании эпидемии, компании начали подсчитывать убытки, нанесенные новым вирусом. Компания MI2G, занимающаяся исследованиями в области компьютерной безопасности, оценивает ущерб мировой экономики в районе 950 млн. долл. 1,2 млрд. долл. в потерях продуктивности в течении первых пяти дней после начала атаки.
Через несколько дней с момента начала атаки вируса Slammer SQL, ущерб от его воздействия достиг 1 млрд. долл., что автоматически включило этот злополучный код на девятую позицию в так называемый клуб вирусов-миллиардеров.
По результатам исследований, проведенных экспертами западной аналитической компании, специализирующейся на ИТ исследованиях, наиболее разрушительными и вызвавшими максимальный ущерб были такие вирусы, как: Klez и Love Bug (LoveLetter). Так, вирус Klez нанес ущерб на сумму, находящуюся в пределах между 8 и 9,9 млрд. долл. Его практически догнал другой разрушительный код Love Bug (Love Letter), потери мировой экономики после воздействия которого составили от 7,8 до 9,6 млрд. долл. На третье место вышел вирус прародитель нынешнего SQL Slammer Worm (Красный Код) Code Red, нанесший ущерб на сумму от 2,4 до 2,9 млрд. долл.
Произошедшая в январе 2003 года атака вируса SQL Slammer снова поставила перед сообществом аналитиков в области компьютерной безопасности вопрос о том, как следует рассчитывать последствия воздействия наиболее часто встречаемого типа атаки вирусной атаки.
Несмотря на то, что данные об ущербе после атаки SQL Slammer Worm уже давно известны, многие аналитики по компьютерной безопасности продолжают спорить относительно потерь, нанесенных нашумевшим вирусом. То и дело слышны заявления, что, хотя этот вирус и легче было удалить из информационных систем, его атака была гораздо страшнее, чем атака Code Red, атаковавшего по большей части серверы, в то время, как SQL Slammer Worm, блокировал именно инфраструктуру многих компьютерных систем.
В результате несовершенства методов подсчета реального ущерба, причиняемого злонамеренным воздействием на компьютерные системы, зачастую цифры потерь от такого воздействия существенно отличаются от одной аналитической компании к другой. Но все эксперты сходятся во мнении, что вследствие причинения вирусными атаками все большого вреда мировой экономике, необходимо разработать единый механизм для оценки как вирусных, так и других типов атак. До тех пор, пока такой механизм не будет разработан и не начнет реально работать, разброс в оценке будет составлять колоссальные суммы в несколько сотен миллионов долларов.
Роман Боровко / CNews Analytics
Константин Архипов: В ближайшие пять лет Panda будет занимать не менее 30% корпоративного рынка антивирусов в России
 |
CNews. ru: Panda Software новый игрок на российском рынке антивирусного ПО. Расскажите немного о компании.
Константин Архипов: В Россию Panda Software пришла из Испании, из Страны басков. Она была основана в 1990 году в небольшом испанском городке Бильбао Микелем Уризбарреной (Mikel Urizarbarrena, прим. CNews. ru). В то время он возглавлял компанию, которая разрабатывала программное обеспечение для обучения вождению на автомобиле. Однажды программист его компании показал Микелю компьютерный вирус. Микель увлекся, стать собирать информацию. Вот так, из интереса к необычной компьютерной программе, и выросла Panda. Начиналась история компании с трех человек в штате и MS-DOS антивируса, который обезвреживал столько же три! вируса. Сегодня в штате компании трудится около семисот человек, представительства Panda открыты в пятидесяти странах, а продуктовая линейка предлагает полный спектр антивирусных программ для домашних и корпоративных пользователей.
Наталья Касперская: Рынок IPO в России еще недостаточно сформирован, мал, и условия для размещения акций пока неблагоприятны
CNews. ru: В последнем интервью CNews. ru вы говорили о том, что существует вариант, при котором крупнейшие корпорации создадут параллельную глобальную сеть и переведут в нее все свои бизнес-коммуникации. На наш взгляд, при таком сценарии компании-разработчики антивирусного ПО рискуют потерять значительную часть свих доходов. Вы согласны?
Евгений Касперский: Создание крупными корпорациями альтернативной информационной среды для бизнес-коммуникаций это лишь один из сценариев развития интернета. Я как специалист в области антивирусной безопасности не могу говорить о технологиях создания новых сетей. Я говорю о проблемах и необходимости изменения правил существующего интернета, а именно, о введении обязательной идентификации пользователей. При этом нужно отдавать себе отчет в том, что переход на новую систему организации Сети не сделает ее полностью свободной от кибер-преступников. Задача внедрения персональной идентификации глобальна: она нужна для того, чтобы и через несколько лет интернет остался информационной сетью, а не превратился в скопление ненужной и вредной информации.
Читайте также: