В последнее время всё чаще и чаще поступают жалобы на вирус, который производит полную блокировку компьютера и вымогательство денег , на стадии ещё до загрузки операционной системы (красные буквы на черном экране). Проблема в том, что для неподготовленного пользователя ситуация может стать действительно тупиковой: компьютер не загружается ни в обычном, ни в безопасном режиме, загрузка и сканирование антивирусом с live-cd безрезультативна, даже попытка переустановки Windows может не увенчаться успехом ! Здесь я расскажу о способах как на самом деле легко и просто его удалить.
Данный вирус поражает MBR — главную загрузочную запись жёсткого диска, доступа к которой ни пользователь, ни операционная система доступа обычно не имеют. В этом и заключается вся сложность, и, одновременно простота его удаления.
Заражение обычно происходит во время клика на заражённой ссылке или загрузки зараженной веб-страницы. Далее компьютер через несколько секунд выключается, пытается перезагрузиться и показывает сообщение от том, что «Ваш компьютер заблокирован за просмотр, копирование и тиражирование видео с элементами педофилии… Необходимо платить штраф в размере… » и т.д. и т.п. Оплата осуществляется через Ibox-ы на кошельки Webmoney U338098752819, U225475893811, U250977606445, U193923440709, U255460166383, U229167721843, 380684668914 и др., либо пополнением счёта мобильного телефона. Существуют различные разновидности вируса для Украины и России:
Версия mbr-winlock для инопланетян (если они пользуются Windows) (шутка). Автору хватило ума написать и распространить вирус, а вот сделать надпись в правильной кодировке он не осилил))
Хочется так же отметить практически полную несостоятельность антивирусов против данной напасти: платные и с громкими названиями, как и два года назад, неспособны вовремя и адекватно реагировать против этой, действительно серьёзной угрозы:
Проверка вирусного файла sys3.exe на сайте virustotal.com показала, что на момент заражения из 43 антивирусов данный винлокер могло поймать только 5!
Каждый раз заражению соответствует наличие файла sys3.exe (собственно вирус ) во временных файлах браузера и netprotocol.exe в автозагрузке (создаёт брешь в операционной системе ) (версии данных файлов всё время изменяются и срабатываемость на них антивирусов остаётся крайне низкой , названия файлов злоумышленники пока не изменяли).
Уязвимость операционной системы Windows : пользователь просто сёрфит в интернете, а злоумышленники в это время модифицируют MBR и перезагружают компьютер!!!
Беспомощность нашей милиции/полиции в борьбе с данным видом преступлений: как ловить таких преступников они не знают, не умеют, не могут и не хотят, чем мошенники пользуются и будут пользоваться.
Люди, которые платят мошенникам — соучастники и спонсоры данных преступлений. Эти вирусы будут появляться вновь и вновь до тех пор, пока это экономически выгодно.
Способ 1. Восстановление MBR из резервной копии Acronis TrueImage
Если Вы относитесь к тем людям, которые после установки Windows, драйверов, программ и настроек сделали резервную копию системного диска — поздравляю, Ваши усилия не пропали даром! Для Вас эта проблема не является проблемой: нужно лишь загрузиться с загрузочного диска Acronis и восстановить mbr из своей резервной копии:
Загружаемся с диска Acronis True Image и выбираем пункт Recovery (восстановить)
Выбираем файл-образ системного диска
Выбираем пункт Restore disks or partitions (Восстановление дисков или разделов)
Выбираем из списка винчестер (системный), на котором нужно восстановить MBR
Нажать кнопку Proceed (Продолжить)
После перезагрузки от вируса не остаётся и следа, остаётся лишь провести «контрольную зачистку» компьютера свежими антивирусом и антитроянской программой.
Способ 2. С помощью утилиты CureIt от DrWeb либо Kaspersky TDSSKiller
Несмотря на то, что DrWeb данное заражение пропускает, результат заражения — модифицированый MBR он может с успехом лечить. Для этого нужно загрузиться с любого LiveCD и запустить эту утилиту . Вредоносная запись обезвреживается в считанные секунды:
Dr.Web CureIt! восстанавливает загрузочную запись в считанные секунды
При перезагрузке Windows загружается в нормальном режиме, как будто ничего и не было.
UPD (18.05.2012):
Новые модификации данного вируса изменяют разбивку диска на разделы. Скриншот консоли Windows Disk Management до лечения утилитой DrWeb CureIt:
После лечения и перезагрузки:
Способ 3. С помощью установочного диска Windows
Внимание! В свете последних модификаций данного вируса этим способом пользоваться НЕ РЕКОМЕНДУЕТСЯ!
Для Windows XP: вставляем установочный диск и включаем компьютер, жмём любую кнопку для подтверждения загрузки (Press any key to boot from CD…..). Ждём когда полностью загрузится диск и предложит выбор действий. Выбираем режим восстановления, кнопка R . Теперь система предложит выбрать какую ОС из найденных восстанавливать, нажимаем цифру и Enter (обычно 1). Теперь необходимо ввести пароль администратора, если его нет, то просто оставляем пустым и жмём Enter. Вот мы добрались до консоли восстановления. Вбиваем команду: FIXBOOT , Enter, вас попросят подтвердить, нажмите Y . Теперь вбиваем команду FIXMBR , Enter и опять подтверждаем нажатием Y . Всё теперь вбиваем EXIT и перезагружаемся. Можно грузиться с жёсткого диска. Всё.
Для Windows 7: загрузиться с установочного диска или флешки с windows 7 — восстановление системы — коммандная строка — bootsect /mbr All
Способ 4. Переустановка Windows
При переустановке Windows необходимо полностью удалить системный раздел, а потом создать его вновь. При этом пересоздастся и MBR.
UPD (26.01.2012):
Сегодня обнаружил тело вируса — файл
«Ваш компьютер заблокирован Internet Police за поиск и просмотр видеоматериалов содержащих педофилию, извращения, сексуальное насилие над детьми… Webmoney 380971559633 на 850 гривен»
Ситуация с обнаружением данной разновидности антивирусами пока что очень печальна . Кому интнресно, тело вируса можно взять здесь (пароль к архиву — infected):
UPD (13.07.2012):
Вчера разблокировал свежую версию, примечательной особенностью которой является почти 100% «слепота» антивирусов (в т.ч. Касперского). Рассылка данного образца по антивирусам возымела некоторое действие . Скачать тело вируса (пароль к архиву — infected):
Пару месяцев назад столкнулся с очень интересной ситуацией, компьютер брата начал очень сильно тормозить, проведя предварительный анализ установил что компьютер сильно заражен вирусами. Удалять их в ручную посчитал нецелесообразно и решил просто переустановить систему.
При переустановке системы столкнулся с неприятной ситуацией: дисковод начал плохо читать загрузочный диск, в результате чего установка ОС прерывалась, причем на разных этапах. Замена дисковода ничего не дала, ситуация повторялась. Но все же после более чем десятка попыток файлы были скопированы и компьютер перезагрузился для дальнейшей установки уже жесткого диска, но тут же выскочила ошибка об отсутствии какого-то файла. Я начал установку заново и дойдя до выбора раздела для установки ОС увидел что раздел в который только что копировались файлы пустой. Я решив что проблемы с жестким диском отправил брата с компьютером в мастерскую, посчитав что лег жесткий диск. Поле недельного ремонта компьютер вернули в работоспособном состоянии, и уже через неделю начались вывалы из интернета, интернет работал, но через 10-15 минут вываливался и войти снова можно было лишь после перезагрузки компьютера. Позже брату кто-то переустановил ОС заменив XP на win 7, которая вначале работа нормально, а через какое-то время начались опять тормоза и зависание.
Я снова проверив компьютер увидел в диспетчере задач кучу непонятных процессов, причем они назывались длинным набором букв. Стало ясно что это вирусы. И что делаю я? Да тупо меняю 7-ку на XP, но каково же было мое удивление, когда при установке ОС все повторилось (остановка дисковода при загрузке установочных файлов) И все же после n-ного количества попыток ОС установилась. Установив необходимые драйвера, я перезагрузил компьютер и тут начались опять тормоза. В диспетчере задач опять появилась куча процессов с длинными именами запущенных от администратора, и тут я понял что вирус сидит в загрузочном секторе жесткого диска (где это понимание было 2 месяца назад?).
Для удаления вируса из загрузочного сектора я проделал следующее:
Вставил загрузочный диск с которого устанавливал ОС. В BIOS установил загрузку с CD-ROM"а, и перезагрузился. Когда установщик Windows XP загрузил свои файлы в оперативную память ПК, появилось диалоговое окно Установка Windows XP Professional, содержащее меню выбора,
из которого выбрал пункт *Чтобы восстановить Windows XP с помощью консоли восстановления, нажмите . Нажал R. Загрузилась консоль восстановления. Так как на ПК установлена одна ОС, и она (по умолчанию) установлена на диске C:, то появилось следующее сообщение:
1: C:\WINDOWS В какую копию Windows следует выполнить вход?
Ввожу 1 , жму Enter
Появляется сообщение:
Введите пароль администратора : у меня пароля нет поэтому просто эжму Enter .
Появилось приглашение системы:
C:\WINDOWS> ввожу fixmbr
Появляется сообщение: **ПРЕДУПРЕЖДЕНИЕ** На этом компьютере присутствует нестандартная или недопустимая основная загрузочная запись. При использовании FIXMBR можно повредить имеющуюся таблицу разделов. Это приведет к утере доступа ко всем разделам текущего жесткого диска. Если отсутствуют проблемы доступа к диску, рекомендуется прервать работу команды FIXMBR. Подтверждаете запись новой MBR?
Ввожу y (что означает yes).
Выскакивает сообщение:
Производится новая основная загрузочная запись на физический диск \Device\Harddisk0\Partition0. Новая основная загрузочная запись успешно сделана.
В появившемся приглашение системы:
C:\WINDOWS> Ввожу fixboot
Вижу сообщение: Конечный раздел: C:. Хотите записать новый загрузочный сектор в раздел C:?
Ввожу y (что означает yes).
Файловая система в загрузочном разделе: NTFS (или FAT32). Команда FIXBOOT записывает новый загрузочный сектор. Новый загрузочный сектор успешно записан.
В приглашении системы C:\WINDOWS> ввожу , вхожу в BIOS Setup и устанавливаю загрузку с жесткого диска.
После загрузки системы иду в диспетчер задач и опять вижу кучу непонятных процессов с длинными именами из набора букв. Т. е. вирус не удален. Пробую установить антивирус, сразу после начала установка прерывается (вирус блокирует установку антивируса!!!). Пробую скачать из интернета другой антивирус, но после нажатия на сайте антивируса “скачать” браузер закрывается (и тут вирус блокирует!!!)
Пробую делать проверку и лечение AVZ. Загружается, обновляет базы, сканирует, но результат нулевой. Вирусы живут и размножаются.
Загружаюсь с Dr.Web Live CD в режиме safe mode, графический интерфейс почему-то виснет (то ли вирус, то ли глюк). Сканирую все диски. проходит часа 3-4. Перезагружаюсь. Вирусы живы. Что делать? Искать и удалять в ручную! Надо было этим заняться сразу!
Гружусь с диска Bart (аналог erdcommander), предварительно записав название процессов на листок. Ввожу в поиск по очереди названия процессов, в результате нахожу их в папках C:/windows, C:/windows/system32, C:/Documents and Settings/User/Local Settings/Temp, кстати в последней папке больше всего файлов с похожими именами, поэтому я по одному беру их вставляю в поиск, сразу удаляю найденные файлы, причем тут же их удаляю и из корзины. Захожу в редактор реестра (regedit) выбираю правка-поиск или F3, ввожу скопированный файл жму “найти” удаляю найденные ключи, жму “найти далее” или F3 пока не появится окно с уведомление о том что ничего не найдено. После этого перехожу к следующему файлу.
Так потратив пол часа я удалил все файлы вирусов. После перезагрузки вхожу в диспетчер задач и... непонятных процессов нет. Пробую установить антивирус-устанавливается, обновляю антивирус, запускаю сканирование всех дисков, проходит несколько часов-вирусов нет.
Вывод: нужно было сразу вручную удалить все вирусы.
Если у вас при включении компьютера не загружается Windows, процесс зависает на черном экране, то может быть повреждена загрузочная запись жесткого диска (MBR).
Внешние проявления
При появлении ошибки на экране сомнения пропадают.
Может выдаваться и иная информация о неисправности загрузчика HDD.
Текстовая информация может быть разная в зависимости от классификации ошибки. Но когда упоминается слово boot, то ясно, что с загрузкой непорядок.
Как восстановить MBR, доведаетесь на этой странице.
Причины
Обратите внимание на распространенные причины неисправностей загрузочного сектора HDD.
Два типа загрузчика
На старых системах до Windows XP использовался загрузчик NT Loader (NTLDR). В Windows 7, Vista и последующих версиях ОС стал применяться UEFI и EFI. Поэтому старые и новые системы на одном ПК, обычно, не ставят. В ином случае NTLDR затирает UEFI.
Сторонний софт
Ошибки в загрузочном секторе HDD могут происходить при использовании даже популярных программ для раздела винчестера. У меня такое случалось с Acronis. Такое бывает потому, что подобный софт заменяет драйвера загрузки дисков своими. Это способно испортить исходную запись MBR. Поэтому лучше пользуйтесь встроенными методами раздела жесткого диска от Windows.
Вирусы
Свои «порядки» в MBR иногда наводят вирусы. Следовательно, после восстановления загрузки HDD проверьте компьютер антивирусными программами.
Если вы уверены, что причина в вирусах, то очистите от них ПК еще до ремонта MBR. Для этого существуют утилиты известных антивирусных компаний, например — Kaspersky Rescue Disk. Их предоставляют бесплатно на официальных сайтах с инструкциями по применению.
Любая из таких программ входит в комплект софта для CD или DVD, который позволяет загружаться с компакт-диска, находить и удалять вирусы на HDD.
Восстановление загрузки Windows 7
Ремонт сектора выполняется с компакт-диска или с USB-флеш-накопителя с установочным пакетом операционной системы.
- Сначала вставляете DVD в дисковод или флеш-накопитель в USB-разъем с дистрибутивом Windows.
- Затем нужно разрешить запуск с данных устройств. Делается это в настройках BIOS.
Изменение источников загрузки
Технология следующего порядка:
Обязательно при выходе нажимаете F10, иначе изменения не сохранятся!
Работа с компакт-диска или флеш-устройства
Действуете в следующем порядке:
- После перезагрузки внизу появится надпись: «Press any key…». Это просят нажать любую клавишу. Нажимаете. Иначе не выйдет. Если надпись уже пропала, повторяете все сначала. Для этого жмете сразу три клавиши: Ctrl+Alt+Del. Это вызовет перезагрузку компьютера.
- Когда загрузитесь с DVD или «флешки», появится окно установки Windows. Слева внизу выбираете «Восстановление системы».
- Будут предлагать подключить сетевые возможности, выбрать языки или букву диска. Ничего не меняете и доходите до выбора систем.
- Выделяете нужную Windows и ставите отметку напротив «Используйте средства восстановления…».
- Если требуемой системы нет, то она должна появиться, когда нажмете «Загрузить драйверы».
- Продолжаете кнопкой «Далее».
- В следующем окне выбираете «Восстановление запуска», и MBR может реанимироваться в автоматическом режиме.
- Если сектор не заработал, тогда жмете «Командная строка».
- В командной строке вызываете утилиту Bootrec и пишете для нее, чтобы она отремонтировала MBR: bootrec /fixmbr
. Каждую команду заканчиваете клавишей Enter.
- Затем создаете новый загрузочный сектор: bootrec / fixboot . Для выхода из программы набираете exit и помните, что нужно нажать Enter.
Если исправления не помогли
Имеется еще одна команда реанимации MBR — bootsect /NT60 SYS . После нее пробуйте снова загрузиться.
В случае неудачной попытки пишите в командной строке так: bootsect /rebuildbcd. Произойдет поиск операционных систем, установленных на ПК.
Теперь снова попытайтесь зайти в Windows. Обратите внимание, что в списке систем сейчас будет на одну больше. Пробуйте зайти в каждую из них. Должно получиться!
Нестандартный способ
Если не спасли все варианты восстановления сектора, то рекомендуется переустанавливать Windows. А как ни хочется иногда это делать! Ведь правда?
Я тоже так подумал и решил поставить рядом еще одну маленькую систему. Что означает «маленькую»? Это система-загрузчик. Она пустая: я не ставил на нее драйвера и свои программы, потому что в ней не работаю. Но зато она загружается!
То, что было нужно, я добился: на винчестере появился рабочая загрузочная область. Теперь в прежнюю систему я нормально захожу. Недостаток в том, что потерял около 14 Гб места на диске. Если вам это не страшно, можете взять такой способ на вооружение !
Как исправить сектор в Windows 8-10 и Vista?
Для Vista и более поздних версий Windows подходят те же методы, что и для «семерки», отличается лишь дизайн. Например, в «восьмерке» он такой.
Но пункты остаются те же. Поэтому описывать их не будем. Используйте описанную выше инструкцию для Windows 7.
В Windows XP
В «экспишке» принцип реанимации сектора аналогичный. Но вход немного другой.Сейчас его увидите:
- После загрузки с компакт-диска начинается копирование файлов системы на винчестер.
- Потом появляется окно выбора действий.
- Выбираете вариант восстановления с помощью консоли, поэтому жмете клавишу R.
- Далее, спросят о том, в какую систему заходить. Когда она одна, то выбирать нечего, но ответить нужно. Для этого нажимаете на клавиатуре цифру «1», если написано: «1. C: \WINDOWS», — или жмете на другую цифру, которая стоит около нужной ОС.
- Затем появляется черный экран DOS-режима. Это та же командная строка, но на всю площадь монитора. Набираете fixboot и нажимаете Enter.
- Вас переспросят о том, хотите ли записать новый сектор загрузки.
- Отвечаете положительно: пишите Y. Напомню, что Enter жмете после каждой введенной команды или своего ответа.
- Потом появляется запись об успешной операции, если все прошло верно.
Если мы захотим избавиться от текущей структуры жёсткого диска – убрать все разделы на нём и вернуть ему исходное нераспределённое пространство, в среде активной Windows с использованием её штатных средств сможем сделать это при соблюдении двух условий. Во-первых, в качестве оперируемого диска — того, на котором хотим убрать все разделы, естественно, не должно выступать хранилище текущей ОС.
Под хранилищем понимаются либо все разделы системы, либо как минимум один из них, например, загрузочный. Во-вторых, на таком оперируемом диске не должно существовать защищённых от удаления разделов. Если ранее оперируемый диск имел стиль разметки MBR , с помощью утилиты в составе Windows мы без проблем удалим все пользовательские и системные разделы.
И превратим дисковое пространство в нераспределённое, на базе которого сможем создать новую структуру разделов под другие задачи.
А вот пространство GPT -дисков, на которых ранее была установлена Windows, таким образом мы полностью не сможем очистить. Для скрытого системного EFI -раздела не будут доступны ни функция удаления, ни любые иные возможности.
Даже если избавиться от всех остальных разделов, EFI -раздел останется.
Подобно последнему, на носителях OEM -устройств могут также существовать неудаляемые служебные Recovery -разделы, необходимые для отката Windows до заводских настроек.
Как очистить жёсткий диск с защищёнными разделами от структуры — удалить все разделы, убрать стиль разметки, чтобы он стал таким, как до инициализации? Рассмотрим несколько вариантов, как это можно осуществить.
1. Командная строка
Проводить очистку носителей данных от их структуры умеет штатный Windows-инструмент – командная строка . Важный нюанс: запущена она должна быть от имени администратора .
В её окне вводим последовательно:
diskpart list disk
Здесь вместо нуля каждый должен подставить свой порядковый номер.
Последний шаг – ввод команды для очистки носителя от структуры:
clean |
Всё – диск очищен от разделов и инициализации. После этого можем снова обратиться к утилите , чтобы сформировать структуру по новой.
Выбираем GPT — или MBR -стиль разметки.
2. Процесс установки Windows
Удалять скрытые разделы диска умеет процесс установки Windows. Если к компьютеру подключён установочный носитель системы, можно загрузиться с него и на этапе выбора места её установки убрать разделы. А затем прекратить установку и перезагрузить компьютер.
Правда, этот вариант подойдёт только для пользователей, которые хорошо знают оперируемый диск. Поскольку установочный процесс отображает дисковое пространство в виде перечня разделов, высока вероятность ошибочно повредить структуру неоперируемого носителя.
Хейтеры командной строки могут прибегнуть к стороннему софту для работы с дисковым пространством типа Acronis Disk Director 12 . Это более функциональный, более юзабильный и даже в каком-то смысле более безопасный способ проведения операций с разметкой носителей данных.
3. Acronis Disk Director 12
И менеджер работы с дисками от компании Acronis , и его аналоги примечательны чёткой и понятной подачей структуры дисков. Более того, подобного рода программы в составе LiveDisk – это единственный способ решить поставленную в статье задачу, если оперируемый носитель является единственным таковым в составе компьютера. Чтобы с помощью Acronis Disk Director 12 избавиться от структуры диска, выбираем его, например, в визуальном представлении.
И задействуем функцию .
Acronis нас предупреждает, что на очищаемом носителе есть загрузочные разделы. И таким образом защищает нас от необдуманных решений. Дело в том, что у двух Windows, установленных на разных дисках, могут быть как свои загрузчики, так и один общий. Важно проверить этот момент: у оставляемой Windows должны быть свои разделы загрузки:
Либо
«Зарезервировано системой» (MBR)
;
Либо
«Восстановить» и «EFI» (GPT)
.
Если Ваш компьютер постоянно виснет сразу же после прохождения тестов BIOS, а переустановка операционной системы и форматирование не помогают, то возможно причиной этого является присутствие у вас на винчестере загрузочных вирусов. Они поражают загрузочный сектор диска. Следует произвести операции, которые помогут удалить загрузочные вирусы.
Вам понадобится
- Установочный компакт-диск Windows.
Инструкция
Вам понадобится
- - установочный диск Windows.
Инструкция
- Как бороться с загрузочными вирусами