SUBIECT: Dezinfectie calculator

Reguli de baza

Am decis sa postez cateva reguli de baza pentru o dezinfectie rapida si eficienta in cazul unei virusari. Nu sunt lucruri poate noi pentru unii, dar merita a fii amintite pentru cei care nu le stiu.

1. Daca suspectati o infectie, verificati ce programe pornesc odata cu sistemul: Start-> Run: msconfig. Ce este suspect debifati. In principiu in afara de firewall, antivirus nu ar trebui sa aveti altceva pe acolo.

2. Actualizati-va programul antivirus si realizati o scanare completa a sistemului. Utilizati un antivirus bun pentru a avea si rezultate bune.

3. In cazul in care gaseste virusi si nu-i poate sterge nici chiar la reboot faceti o scanare in Safe Mode.
Daca va gasi virusi in foldere de tipul “\temporary\” descarcati ATF Cleaner, rulati-l si dupa bifarea “Select all” apasati “Empty selected”. Rulati apoi din nou scanarea.
Daca va gasi virusi in foldere de tipul: “System Volume Information\_restore…” dati disable la System Restore (click dreapta pe My Computer -> Properties -> System Rstore, bifezi “Turn off system restore on all drives” si dai OK) si reluati scanarea dupa restart-ul PC-ului.

4. In multe cazuri virusul poate infecta si executabilul antivirusului instalat sau ii blocheaza update-ul. Atunci trebuie sa rulezi o scanare online cu un antivirus. Recomandabile sunt: Bit Defender sau TrendMicro (O sa postez in curand si o lista cu scannere online antivirus si ce fac ele)

5. Daca nimic din cele de mai sus nu da rezultate posteaza un log HijackThis pe un forum care este specializat in analiza lor: Softpedia (romana) sau CastleCops (engleza).

Pentru a obtine un astfel de log al sistemului tau urmeaza urmatoarea procedura: Descarci programul de aici, il rulezi si selectezi: “Scan and save a log file”. Va fi generat un fisier .txt al carui continut il copiezi pe unul din forumuri intr-un topic nou.

Succes si feriti-va de virusi.

Va promiteam eu mai sus o lista cu site-urile unde puteti sa va scanati online intreg calculatorul in cazul unei infectii.

Iat-o mai jos:

1. Scanare + dezinfectie:

BitDefender
Trend Micro HouseCall
F-Secure
Panda
NOD32

2. Doar scanare:

Kaspersky
McAfee
Panda NanoScan
Symantec / Norton

3. Scanarea unui singur fisier:

VirusTotal
Jotti’s Malware Scan
VirScan
VirusScanner
Kaspersky’s File Scanner
Avast

Daca sunteti infectati sau suspectati un singur fisier de a fi virusat scanati-l pe unul din aceste site-uri.

Sa inteleg ca se poate face gratis? Si daca da...nu exista pericolul incompatibilitatii, daca tu ai un antivirus? Multa sanatate si....Doamne-ajuta!

Da, este gratis... iar in momentul scanarii online este bine sa dezactivezi antivirusul tau, pentru o scanare mai rapida a sistemului

C:\resycled\boot.com - cum scap de el ?

Daca poza de mai jos iti este cunoscuta inseamna ca esti unul dintre norocosii care s-au virusat cu cea mai noua varianta de Win32\Sality.
Eroarea (C:\resycled\boot.com is not a valid Win32 application) apare la incercarea de a accesa o partitie din sistem.



Rezolvarea e relativ simpla: se descarca ComboFix de aici: https://download.bleepingcomputer.com/sUBs/ComboFix.exe
Apoi te asiguri ca ai inchis toate programele care ruleaza (yahoo messenger, firefox, etc) si rulezi apoi ComboFix. Te va intreba daca sa inceapa curatirea. Confirma cu Yes de fiecare data. Nu-l opri in timp ce scaneaza si dezinfecteaza sistemul. E posibil ca in timpul rularii lui desktop-ul sa dispara, dar nu te ingrijora.
La sfarsit va afisa rezultatele scanarii si teoretic PC-ul tau este curat.

Virusul este foarte raspandit si m-am gandit sa postez aici o solutie pentru cei care s-au confruntat cu el

HijackThis log - instructiuni

Spuneam intr-un articol precedent despre o dezinfectie eficienta a sistemului ca o varianta ar fi si postarea unui log HijackThis pe un forum specializat in analiza lui.

Pentru ca atunci nu dadusem niste instructiuni prea detaliate despre el, iata mai jos cum poti crea un log corect.

Descarci HijackThis de aici.
Il instalezi dar nu-l rulezi inca.

Te duci in My Computer-> Tools-> Folder options-> View si bifezi: “Show hidden files and folders”, apoi debifezi: “Hide protected operating file systems”. Dati OK.

Apoi rulezi HijackThis.exe
In fereastra care apare bifeaza Don’t show this frame again when I startup HijackThis.
Apasa primul buton de sus Do a system scan and save a logfile.
Copiaza logul din Notepad si posteaza-l intr-un nou topic pe un forum: recomand SoftPedia.
Nu fixa nimic cu HJT, cele mai multe intrari de acolo sunt legitime !

In unele cazuri este necesara de asemenea redenumirea hijackthis.exe in test.exe sau orice altceva, si rularea programului dupa aceea.

Succes!

Abexo Free Registry Cleaner

Unul dintre cele mai simple softuri de curatat registrii pe care le-am intalnit, poate chiar primul la categoria asta. Tot ce trebuie sa faci e sa alegi ce anume sa curete (implicit curata registrii in totalitate), sa dai Next, iar apoi Run.



Poti de asemenea sa faci backup la registrii in orice moment, desi acest lucru se face implicit inaintea inceperii curatarii. Interfata este simpla si la obiect, prietenoasa pentru oricine si nu contine nimic ce nu are rol functional. Abexo Free Registry Cleaner merita instalat, incercat si folosit constant datorita rapiditatii si a simplitatii sale.


https://www.download.com/Abexo-Free-Registry-Cleaner/3000-2094_4-10434886.html

Dezinfectie Trj/Wsnpoem.JA

Am decis sa postez aici metoda de dezinfectie pentru virusul din titlu...
Semnele sale sunt: aparitia unui fisier: C:\Windows\system32\ntos.exe, si a unui folder C:\Windows\system32\wsnpoem in care exista fisierele audio.dll si video.dll

Troianul va crea niste chei in registry si va deschide niste porturi cu ajutorul carora se va conecta la niste servere trimitand datele obtinute de pe PC-ul victimei: parole, numele utilizatorului, sistemul de operare, IP-ul, etc.
Va termina automat firewall-urile ZoneAlarm si Outpost si va controla de la distanta PC-ul.
Detalii complete aici.

Pentru dezinfectie urmati pasii urmatori:
1. Descarcati fisierul: SDFix de aici si-l rulati.
2. Reporniti PC-ul in Safe Mode si cautati folder-ul: C:\SDFix. Aici executati fisierul: RunThis.bat gasit acolo.
3. Tastati Y pentru a incepe procesul de curatare.
4. Programul va incepe curatarea PC-ului de toate urmele troianului. Durata este cam de 9-10 minute.
5. La sfarsit va va cere sa apasati orice tasta pentru a restarta sistemul.
6. Dupa restart programul va porni din nou pentru a finaliza procesul de curatare. Va mai dura cam un minut.
7. La sfarsit va afisa Finished si apasati orice tasta pentru a incarca desktop-ul.

Procesul de curatare este acum complet.

Norton Safe Web - scaneaza un site inainte de a-l vizita

Se apropie sarbatorile cu pasi repezi si creatorii de virusi au grija sa ne faca oferte destul de tentante de asemenea: site-uri infectate si e-mail-uri cu atasamente virusate.
Despre cea de-a doua categorie va prezentasem o stire acum cateva zile, insa astazi va voi invata cum sa va protejati de prima amenintare: site-urile infectate.

Norton a lansat un site: Norton Safe Web si de asemenea un plugin pentru Norton Internet Security 2009 care face un lucru simplu si destul de usor de citit si interpretat: analieaza site-urile web pentru virusi, exploit-uri sau alte amenintari pe care le pot pune pentru Pc sau pentru dumneavoastra. In functie de acest continut le da un rating si le atribuie un semn distinctiv, dupa cum vedeti in poza de mai jos.
Site-ul analizeaza adresa introdusa de utilizator si va afisa apoi pagina cu rezultate ce contine:
***numele site-ului, indicativul, tara de origine, numarul de amenintari la adresa PC-ului si care sunt acestea in detaliu.

In plus in partea dreapta utilizatorii pot de asemenea evalua acea pagina si sa-i acorde un punctaj in consecinta.
Aceasta optiune poate fi utila atunci cand pentru site-ul respectiv Norton nu are nici o informatie: exista milioane si milioane de site-uri si nu pot fi analizate toate.

De aceea ori de cate ori doriti sa vizitati un site ce vi se pare suspect il puteti analiza inainte pe Norton Safe Web si veti fi siguri ca este curat sau infectat.

NoVirusThanks - scanare online antivirus

Cel mai probabil ca deja sunteti familiari cu serviciile de scanare online antivirus actuale: Jotti’s, Virustotal, Virusscaner, insa in peisajul It a mai aparut un nou site de acest gen.
Foloseste 24 de programe antivirus printre care: a-squared, Avira, BitDefender, Kaspersky, Dr.Web, NOD32, Trend Micro.



Site-ul se numeste NoVirusThanks si puteti scana fisiere de pana la 20MB fiind un bun inlocuitor pentru virustotal.com atunci cand acesta este supraincarcat.

Fiecare dintre noi a observat ca dupa o anumita perioada de utilizare a calculatorului acesta devine greu la manevrat (dureaza din ce in ce mai mult sa se deschida aplicatiile).
Ca si o locuinta acesta trebuie curatat de gunoaie care sunt fisierele temporare inregistrate de diferitele aplicatii pe care le folositi zilnic, cum ar fi browserele (fisiere temp internet), multimedia, fisiere sistem, windows temp etc.

Pt aceasta cel mai renumit pt cine nu stie sa o faca manual o poate face cu ajutorul unui program gratuit CCleaner care il luati de aici de aici: https://www.ccleaner.com/download .

Dupa ce il instalati lansati programul, care este f simplu si usor de manevrat, singurul lucru care trebuie sa-l faceti este sa apasati butonul din dreapta jos: "Lanseaza Curatirea". In acel moment apare o fereastra de avertisment care va spune ca unele fisiere vor fi sterse definitiv, la care raspundeti cu DA si turul este jucat.


PS. trebuie sa aveti inchise toate celelalte programe cand lansati acest program !

Panda USB Vaccine - dezactivarea rularii automate a continutului stick-urilor USB

Una dintre cauzele principale ale infectarii PC-ului o reprezinta folosirea necorespunzatoare a stick-urilor USB.
Cele care sunt virusate executa continutul malitios automat la conectarea la un calculator.

Virusul Conficker este un bun exemplu in acest caz, un virus care prin efectele sale a determinat Microsoft sa ofere 250.000 $ recompensa pentru prinderea autorului sau.

Tocmai pentru a rezolva aceasta problema a rularii automate a continutului stick-urilor USB, Panda a lansat un program gratuit care rezolva simplu si rapid inconvenienta.
Programul se numeste Panda USB Vaccine
Acesta permite atat dezactivarea rularii automate a acestui continut, cat si “vaccinarea” stick-urilor USB pentru a preveni orice infectare ulterioara a acestora.



Cauza infectarii PC-ului de pe un stick USB o reprezinta fisierul autorun.inf gasit pe stick si a carei informatii, sistemul de operare Windows o va executa automat.
Acest fisier contine un cod care indica spre un fisier infectat, situat de asemenea pe stick.

Panda USB Vaccine dezactiveaza definitiv rularea informatiei din aceste fisiere: autorun.inf.
Folositi-l cu incredere.

Programul se poate descarca de aici: https://www.download.com/Panda-USB-Vaccine/3000-2239_4-10909938.html

[UPDATE] Win32\Conficker.C - dezinfectie garantata

A inceput sa circule o noua versiune a viermelui Conficker, care deschide cai de acces ce ar putea permite unui atacator sa distribuie malware pe computerele afectate, a avertizat organizatia US-CERT.

Acum are posibilitatea de update si foloseste noi tehnici care-l fac si mai greu de eradicat: mii de domenii de propagare zilnic.

Virusul are mai multe caracteristici si actiuni specifice: se copiaza in cateva locuri in calculatorul infectat luand denumiri aleatorii: %System%\[Random].dll, %Temp%\[Random].tmp, %Program Files%\Internet Explorer\[Random].dll.

Apoi pentru a-si asigura rularea la fiecare pornirea a Pc-ului, adauga cateva chei in registry. In plus creeaza un fisier autorun.inf in radacina fiecarei partitii pentru a fi rulat la accesarea acesteia.

In continuare dezactiveaza cateva servicii importante ale Windows-ului pentru a nu-i bloca executia:

* Windows Automatic Update Service
* Background Intelligent Transfer Service
* Windows Defender Service
* Windows Error Reporting Service

O actiune ce va fi sesizata de cei mai multi utilizatori este blocarea accesului catre site-urile care contin in denumire unul din cuvintele: virus, malware, avira, kaspersky, avg, microsoft, defender, etc. Drept urmare nici programele de securitate (antivirus, anti-spyware, firewall) nu vor mai putea fi actualizate.

Nu in ultimul rand virusul se raspandeste in retea si descarca alti virusi in PC-ul victimei.

Dezinfectie: BitDefender a dezvoltat un utilitar de dezinfectie pentru aceasta noua varianta
Se va descarca initial patch-ul Microsoft conform indicatiilor din acest buletin de securitate.
Se descarca programul de curatare: https://bdtools.net/bd_rem_tool.zip.
Se deconecteaza cablul de internet, se dezarhiveaza utilitarul si se ruleaza.
Apoi se restarteaza PC-ul si se reconecteaza cablul de internet.

Acum PC-ul ar trebui sa fie curat.

Disk Cleanup pentru Windows XP - stergere totala a fisierelor inutile

Daca rulati programul Disk Cleanup - oricare de acolo, veti observa ca acesta nu sterge toate fisierele.

Disk Cleanup nu permite stergerea fisierelor accesate in ultimele 7 zile.
Modificarea acestei configuratii se face direct in registru.Cautati cheia:
In panoul din dreapta faceti clic pe parametrul "LastAccess".
Modificati valoarea 7 cu 0 (0 inseamna 0 zile).
Reporniti calculatorul.
Modificarea in registru trebuie facuta cu multa grija.

In ultimele zile blog-urile de specialitate si alte site-uri au vuit prezentand marea stire: Win32\Conficker va ataca pe 1 aprilie cu noua varianta, ce va fi mult mai sofisticata decat primele.

In fond, virusul se conecteaza la niste servere de unde descarca noi executabile, care au anumite actiuni. Se stie ca pe 1 aprilie pot fi descarcate noi executabile, desi se poate la fel de bine sa fie pe 3, 4 sau 5 aprilie. Am spus ''pot'' pentru ca dublarea numarului de domenii, nu inseamna neaparat si descarcarea unor variante modificate de Conficker.
Si in plus... daca atunci va fi descarcat ceva, de unde ar stii acum analistii ce va face noul virus ? In acest moment pe servere exista variantele vechi, cu actiunile cunoscute.

De asemenea, cei care au acum computer-ul curat si patch-ul Microsoft instalat nu vor avea nici o problema pe data de 1, 3, 7 sau 10 aprilie.

Pentru cei curiosi numele Conficker provine prin anagramarea trafficconverter, primul website care a distribuit acest vierme.

Momentan sunt aproximativ 2 milioane de computere infectate, iar pentru virus exista cel putin 3 metode valide de dezinfectie. V-am prezentat metoda BitDefender cu 2 posturi mai sus, acum voi adauga si metoda celor de la McAfee, se numeste Conficker Stinger v10 si poate fi descarcat de aici.