Защити свой компьютер на 100% от вирусов и хакеров

Бойцев Олег Михайлович

25 – Ajan, Antigen, Email Password Sender, Haebi Coceda, Happy 99;

31 – Master Paradise;

121 – BO jammerkillahV;

456 – HackersParadise;

555 – Phase Zero;

666 – Attack FTP;

1001 – Silencer;

1001 – WebEx;

1010 – Doly Trojan 1.30 (Subm.Cronco);

1011 – Doly Trojan 1.1 + 1.2;

1015 – Doly Trojan 1.5 (Subm.Cronco);

1033 – Netspy;

1042 – Bla1.1;

1170 – Streaming Audio Trojan;

1207 – SoftWar;

1243 – SubSeven;

1245 – Vodoo;

1269 – Maverick's Matrix;

1492 – FTP99CMP;

1509 – PsyberStreamingServer Nikhil G;

1600 – Shiva Burka;

1807 – SpySender;

6669 – Vampire 1.0;

6670 – Deep Throat;

6883 – DeltaSource (DarkStar);

6912 – Shitheep;

6939 – Indoctrination;

7306 – NetMonitor;

7789 – iCkiller;

9872 – PortalOfDoom;

9989 – nIkiller;

10607 – Coma Danny;

11000 – SennaSpyTrojans;

11223 – ProgenicTrojan;

12076 – Gjamer;

12223 – Hackr99 KeyLogge;

12346 – NetBus 1.x (avoiding Netbuster);

12701 – Eclipse 2000;

16969 – Priotrity;

20000 – Millenium20034-NetBus Pro;

20203 – Logged!;

20203 – Chupacabra;

20331 – Bla;

21544– GirlFriend;

22222 – Prosiak 0.47;

23456 – EvilFtp;

27374 – Sub-7 2.1;

29891 – The Unexplained;

30029 – AOLTrojan1.1;

30100 – NetSphere;

30303 – Socket25;

30999 – Kuang;

31787 – Hack'a'tack;

33911 – Trojan Spirit 2001 a;

34324 – Tiny Telnet Server;

34324 – BigGluck TN;

40412 – TheSpy;

40423 – Master Paradise;

50766 – Fore;

53001 – RemoteWindowsShutdown;

54320 – Back Orifice 2000 (default port);

54321 – Schoolbus 1.6+2.0;

61466 – Telecommando;

65000 – Devil 1.03.

4.4.

Практический экзорцизм – изгоняем «зло-код» голыми руками

Проверено автором. Если в процессе работы антивирусов, чистильщиков, сканеров и прочего вы все-таки почувствовали, что экзорцист – это вы, а порции адреналина получает кто-то другой, то непременно, даже не задумываясь, вам обязательно следует «убить» его собственными руками.

Для ритуала нам понадобятся:

светлая голова и работающая Windows;

Редактор реестра;

минимальный набор специальных программ (Starter, ADinf).

Как правило, процедура безопасного избавления от вредоносного ПО включает в себя ряд стадий, главными из которых будут следующие.

1. Завершение "зло-процесса".

2. Уничтожение исполняемого файла.

3. Уничтожение записи в реестре, принадлежащей вирусу/троянскому коню.

Технология убийства процесса, принадлежащего "чужому", несложна и сводится к выделению процесса в списке Диспетчера задач и нажатию кнопки Завершить процесс. Понятное дело, что следующие процессы трогать не стоит: Explorer, Lsass, Services, System, Winlogon, Vsmon, Ctfmon, Svchost, Csrss, Smss. Естественно, помимо перечисленных, в Диспетчере задач можно обнаружить и другие процессы – те, которые принадлежат запущенным и резидентно выполняющимся приложениям. Это, например, avp, принадлежащий «Антивирусу Касперского», zonealarm, принадлежащий

брандмауэру, и т. д. Особое внимание следует обратить на так называемые процессы-маскировщики, имитирующие истинные: explore, sys, svshost, winlogin, systrey и т. д.

При невозможности остановки "зло-процесса" средствами Диспетчера задач можно воспользоваться утилитой Process Explorer или ей подобной (например, вышеупомянутой Anti-Spy Info).

Здесь следует упомянуть о множестве подводных камней, с которыми может столкнуться пользователь, пытающийся "высадить" заразу из системы:

никто не запретит вредоносному коду висеть в Диспетчере задач под «легальным» именем (например, svchost);

"зло-процесс" может вообще не светиться в Диспетчере задач – такое вполне возможно.

Вторая стадия нашего ритуала подразумевает удаление тела "зло-кода". Но опять с некоторым уточнением.

Удаление такого файла может стать непреодолимым препятствием: система просто запретит удалять ею используемый файл. В этом случае удалить вирус можно будет только из другой среды (например, используя Live-CD) или, предварительно переименовав подозрительный файл, удалить его одним из возможных способов.

Возможен также вариант, когда "зло-код" изменяет настройки Windows, так чтобы пользователь не мог видеть скрытые файлы (в числе которых и сам вирус).

Если вирус внедрится в один из легально используемых системой файлов – кого тогда мы будем удалять?! К счастью, большинство из вариантов подобного рода несостоятельны изначально: в системе Windows присутствует служба SFC, следящая за грубой подменой системных файлов.

Возможен также вариант, когда файл будет удален, но по прошествии некоторого времени легко и просто "восстанет из пепла". Как такое может быть? Да очень просто. Хотя бы посредством технологии "watch dog" (от англ. "сторожевой пес"), когда вирус или троянский конь для своей работы использует два взаимоподдерживающих файла: в случае удаления первого второй реанимирует его, и наоборот.

Более продвинутый "зло-код" внедрится прямо в адресное пространство одного из доверенных процессов (например, IE, Opera и т. д.). Физически такой код будет присутствовать только в оперативной памяти! Результат – никаких следов на диске. Решение проблемы напрашивается само собой, исходя из специфических особенностей работы такого кода…

Будем считать, что у читателя не возникнет трудностей с удалением исполняемого файла заразы. Но для начала его надо найти!

Одним из возможных вариантов такого поиска может стать поиск системных файлов, дата создания которых отличается от остальной массы аналогичных файлов. Как это сделать? Просто. Для просмотра даты создания открываем проводник Windows, после чего в меню Вид выбираем Таблица, затем Вид  Выбор столбцов в таблице и устанавливаем флажок напротив Дата создания. Щелкнув кнопкой мыши на шапке таблицы, выбираем сортировку по убыванию даты создания, после чего самые новые файлы окажутся в начале списка. Системные файлы, чья дата создания отличается от «основной» для таких же аналогичных файлов, должны насторожить.