вірус Sality

1. Методи боротьби з вірусом Sality 1. Качаємо програму від Лабораторії Касперського, звану «sality_off»....
2. 2. Лікування комп'ютерів, які не перебувають в мережі
3. 3. Додаткові ключі для роботи з утилітою командного рядка

Методи боротьби з вірусом Sality

1. Качаємо програму від Лабораторії Касперського, звану «sality_off».
Якщо ваш комп'ютер вже заражений вірусом, то програму за прямим посиланням ви завантажити не зможете, оскільки вірус блокує доступ до доменів компаній, що займаються розробкою антивірусного ПО (таких як «Dr.Web» і «Лабораторія Касперського» в першу чергу). Вихід тут один:
викачуємо цю програму, замінивши доменне ім'я kaspersky.ru на IP, який відповідає цьому домену. Дізнатися його можна, таким чином на іншому комп'ютері, підключення до інтернету (в Windows XP): Пуск -> Виконати -> cmd -> ping kaspersky.ru.
Так само IP можна дізнатися через заражений комп'ютер, використовуючи будь-який інтернет-сайт, який надає послуги Трейса.
Отримавши ip, підставляємо його в оригінальне посилання на файл:
http://support.kaspersky.ru/downloads/utils/sality_off.rar
81.177.31.148/downloads/utils/sality_off.rar

2. Качаємо антивірус Касперського та CureIT (краще їх мати заздалегідь в запасниках зі свіжими базами і на компакт-диску). Про NOD і Avast можна відразу забути - вони вмирають сразу.3. Качаємо removeIT і sality_remover .4. Відключаємо всі мережеві пристрої (простіше кажучи висмикуємо мережевий кабель) і носії інформації: флешки, виносні жорсткі диски, фотоапарати, МФУ і т.п.5. Запускаємо sality.off з ключем -m (розпаковуємо його з архіву в корінь диска C):
Пуск -> виконати -> C: /Sality_off.exe -m
Чекаємо поки він не зробить повну перевірку. Чи не виключаємо його. Запускаємо sality_remover,
перевіряємо, видаляємо заражені файли. Закриваємо його, запускаємо RemoveIT, убівавем залишилися віруси. Так само пробігає CureIT.
Додаємо ярлик C: /Sality_off.exe -m в автозавантаження.
Встановлюємо Касперський. Перезавантажуємо комп'ютер.
Активуємо Касперський (пробний ключ на місяць - для цього буде потрібно підключитися до інтернету), включаємо повну перевірку. Чекаємо закінчення перевірки. Заражених файлів більше не повинно остаться.6. Відкриваємо доступ до диспетчера завдань (taskmgr):
Пуск ->
виконати ->
gpedit.msc ->
Конфігурація користувача ->
Адміністративні шаблони ->
Система ->
Можливості Ctrl + Alt + Del ->
Видалити диспетчер задач
Відключаємо параметр. Виходимо на робочий стіл, натискаємо F5 (оновлюємо).
Повторюємо процедуру, якщо диспетчер задач не хоче пояявляться при поєднанні клавіш Ctrl + Alt + Del.

7. Відкриваємо доступ до редактора реєстру (regedit):
встановлюємо проограмму для тонкої настройки Windows (наприклад, Tweak XP),
ставимо (прибираємо) галочку в потрібно місці. Готово.

• Щоб заздалегідь застрахуватися від даного вірусу, встановіть на свій комп'ютер антивірусне ПЗ і оновлюйте бази частіше; відключіть Autorun (через реєстр, змінивши потрібний ключ / використовуючи Disable_autorun.reg, або за допомогою будь-якого твікера для Windows); перевіряйте свої носії інформації, які збираєтеся встромляти в комп'ютер; зберігайте резервні копії своїх дистрибутивів в архівах.

- По-перше для лікування Virus.Win32.Sality.aa нам потрібен софт:

1) Dr.Web Cureit! -,

2) AvpTool (від Касперски)

3) Cпец. утиліту від Каcперского «SalityKiller» і гілки реєстру для відновлення безпечного режиму Sality_RegKeys.zip.

4) Утиліту AVZ 4 Олега Зайцева.

5) Утиліту ATF Cleaner Весь цей софт потрібно качати тільки на чистому від вірусів комп'ютері і бажано записати на болванку, щоб вірус не міг змінити даний софт. Але я лікував з флешки і вилікував. Також нам знадобиться диск типу Live CD, або можна використовувати будь-який інший, який позволітa завантажитися в оболонці і запустити програми не запускаючи при цьому виндовс. Я використовував минск інформ і Windows PE і з неї займався лікуванням Virus.Win32.Sality.aa.

- Наступний крок - завантажуємося в звичайному режимі - в безпечному ви все одно не зможете і відключаємо відновлення системи.

3) Завантажуємося з нашого завантажувального диска Live CD

4) Заходимо в будь-яку папку і включаємо показ прихованих і системних файлів (сервіс> властивості папки> вкладка вид, галочку поставити на «Відображати вміст системних папок», прибираємо галку на «Приховувати захищені системні файли», ставимо галку на «Показувати приховані файли і папки ».)

5) Заходимо на кожен розділ нашого жорсткого диска і шукаємо папку System Volume Information - заходимо в неї і видаляємо там все, це не завдасть жодної шкоди комп'ютеру. Також на кожному розділі шукаємо папку RECYCLER і теж все видаляємо. Також можна почистити папку TEMP в каталозі windows і на диску с. Ну і якщо зовсім влом то можна почистити тимчасові файли інтернет Експлорера чи опери або і того і того.

6) З диска запускаємо утиліту Dr.Web Cureit! Ставимо в налаштування - змінити налаштування - типи файлів - сканувати всі файли, файли в архівах. Вкладка дії-інфіковані лікувати, невиліковні - видалити. Там же знімаємо галочку з запиту підтвердження. Тиснемо ок і запускаємо повну перевірку. Чекаємо. Коли все вилікує, закриваємо програму.

7) Запускаємо SalityKiller. Лікуємо віруси. Чекаємо, поки не з'явиться напис, що все завершено.

8) Далі радять запустити для більшої впевненості AvpTool, я запускав, проте він пройшовся по випаленої% з% ет% і землі, буквально нічого не знайшовши.

9) Завантажуємо нашу рідну windows, яка нещодавно була вражена вірусами. Заходимо на диск з софтом, який ви записали, шукаємо утиліту SalityKiller, натискаємо на ній правою клавішею миші, і відправляємо ярлик на робочий стіл (робити саме так як пишу !!! не інакше !!!) з'явився ярлик, правою клавішею натискаємо і міняємо його ім'я, пишемо SalityKiller.exe -m кидаємо в автозавантаження Пуск> всі програми> Автомат (натискаємо правою клавішею по папці Автозавантаження, натискаємо відкрити) і зберігаємо ярлик в папку Автозавантаження.

10) Перезавантажуємося. При завантаженні відразу починає працювати SalityKiller і вичищати все, що залишилося, але у мене ні залишилося нічого.

11) Далі відкриваємо AVZ4 з диска, і тиснемо - файл - відновлення системи, там натискаємо на пункти 8, 10, 11, 13, 17 і тиснемо виконати.

12) Потім відкриваємо Sality_RegKeys, вибираємо версію операційки - в моєму випадку - SafeBootWinXP.reg, виконуємо його. 13) Перезавантажуємося. Знову перевіряти Саліта кілером на можливість леченіяVirus.Win32.Sality.aa якимось дивом залишилися в живих, і прибираємо його з автозавантаження.

14) Запускаємо утиліту ATF-Cleaner, ставимо всі галочки, а потім «Empty Selected» (очистити).

15) Потім можна встановлювати Касперського. Все тут вже все практично вилікувано, проте багато системні файли пошкодження зв'язку з лікуванням Virus.Win32.Sality.aa, і можуть початися глюки з роботою. У зв'язку з чим, рекомендую поставити вінду поверх. На диску мінскінформа цей варіант є. Коли доходить до вибору дисків, установка виндовс каже, що виявлені попередні версії вінди і чи не хочете ви їх полікувати, натиснувши на букву R? Вибираємо і починається установка вінди поверх, що мало відрізняється від звичайної установки вінди, за винятком лише того що всі налаштування програми та інше залишаться. Усе! Ми вилікували цей злощасний вірус. Я витратив на лікування Virus.Win32.Sality.aa близько 6 годин, правда тут залежить від обсягів дисків і швидкості комп'ютера.

Наведені нижче рекомендації з лікування комп'ютера від Virus.Win32.Sality слід застосовувати у випадках, якщо на зараженому комп'ютері не встановлено ні один з продуктів Лабораторії Касперського, і / або комп'ютер уже заражений і встановити продукт Лабораторії Касперського штатними засобами не представляється можливим. Фахівці Лабораторії Касперського також рекомендують користуватися аварійним диском для лікування зараженого комп'ютера.

Щоб вилікувати заражену систему від Virus.Win32.Sality.aa, Virus.Win32.Sality.ae, Virus.Win32.Sality.ag, Virus.Win32.Sality.bh використовуйте утиліту SalityKiller.

1. Лікування комп'ютерів, що знаходяться в локальній мережі під управлінням домену

Крок 1. Підготовка до лікування.

1. скачайте файл SalityKiller.exe . Інформацію про те, як завантажити файл, ви можете знайти на наступних сторінках.
2. Запустіть файл SalityKiller.exe черзі на комп'ютерах (наприклад, за допомогою комплексу Administration Kit або Kaspersky Security Center , Групової політики сервера):
   • На всіх комп'ютерах, на яких може реєструватися і працювати доменний адміністратор.
     В процесі лікування групи таких комп'ютерів не виконуйте вхід під доменним адміністратором на будь-яких інших комп'ютерах в мережі в уникненні поширення зараження інших комп'ютерів!
   • На всіх інших комп'ютерах.

Не завершуйте роботу утиліти поки не буде завершено лікування всіх комп'ютерів в мережі!

Крок 2. Алгоритм лікування комп'ютерів. В першу чергу лікування проводите на комп'ютерах, на яких виконано вхід з правами доменного адміністратора. Після лікування таких ви можете приступати до лікування інших комп'ютерів у вашій мережі.

1. Запустіть повторно на заражених комп'ютерах утиліту SalityKiller.exe. Після лікування може знадобитися перезавантаження.
2. Переконайтеся, що значок антивірусу на панелі завдань придбав червоний колір і повністю працездатний. В іншому випадку повторно антивірус через Administration Kit або Kaspersky Security Center .
3. Оновлення антивірусних баз (сигнатури погроз) для продукту Лабораторії Касперського, який встановлений на комп'ютері. При неможливості завантажити бази (сигнатури) через інтернет з яких-небудь причин скористайтеся утилітою поновлення Kaspersky Updater Utility 2.0 .
4. Встановіть максимальні налаштування повної перевірки комп'ютера в продукті Лабораторії Касперського.
5. Запустіть повну перевірку комп'ютера.

Крок 3. Ознаки вилікуваного комп'ютера.

• Продукт Лабораторії Касперського запущений і працює в штатному режимі.
• Повне сканування комп'ютера, не виявляє заражених об'єктів на комп'ютері.

Крок 4. Очищення реєстру заражених комп'ютерів в доменній мережі.

1. скачайте файл Sality_RegKeys.zip . Інформацію про те, як завантажити файл, ви можете знайти на наступних сторінках.
2. Розпакуйте файл Sality_RegKeys.zip (наприклад, за допомогою програми-архіватора WinZip).
3. Запустіть файл Disable autorun.reg з архіву Sality_RegKeys.zip.

   Також відключити автозапуск з усіх носіїв можна, запустивши утиліту SalityKiller з ключем -a.
   

4. У вікні Редактор реєстру натисніть на кнопку Так, щоб підтвердити додавання інформації до реєстру.

1. Після виконання перевірки запустіть файл ключа реєстру на комп'ютері з архіву Sality_RegKeys.zip:
   • для ОС Windows XP файл реєстру SafeBootWinXP.reg.
   • для ОС Windows 2003 файл реєстру SafeBootWinServer2003.reg.
   • для ОС Windows Vista / 2008 файли реєстру SafebootVista.reg.
   • для ОС Windows 7/2008 R2 файл реєстру SafebootWin7.reg.
   • для ОС Windows 8 файл реєстру SafebootWin8.reg.

2. Лікування комп'ютерів, які не перебувають в мережі

Щоб вилікувати комп'ютери, які не перебувають в мережі, виконайте наступні дії:

1. Вимкніть технології iSwift і iChecker, якщо на вашому комп'ютері встановлений і запущений один з наступних продуктів:
   • Антивірус Касперського 2012/2013/2014
   • Kaspersky Internet Security 2012/2013/2014
   • Kaspersky Crystal 2.0 / 3.0
2. скачайте файл SalityKiller.exe . Інформацію про те, як завантажити файл, ви можете знайти на наступних сторінках.
3. Запустіть файл SalityKiller.exe
4. Після лікування може знадобитися перезавантаження.

У деяких випадках при встановленому продукті Лабораторії Касперського може з'явитися інформаційне вікно, в якому потрібно дозволити будь-яку активність процесу SalityKiller.exe. Для цього виконайте такі дії:

• У нижній лівій частині екрана виберіть Пуск -> (Всі) Програми -> Автомат.
• Натисніть правою кнопкою на меню Автозавантаження і виберіть в контекстному меню Відкрити.

• Натисніть правою кнопкою миші в будь-якому місці папки Автозавантаження і в контекстному меню виберіть Створити -> Ярлик.

• Натисніть на кнопку Огляд.
• Виберіть папку, в яку ви розпакували файл SalityKiller.exe раніше.
• Виділіть файл SalityKiller.exe.
• Натисніть на кнопку ОК.
• Натисніть на кнопку Далі.
• Натисніть на кнопку ОК.

1. скачайте файл Sality_RegKeys.zip . Інформацію про те, як завантажити файл, ви можете знайти на наступних сторінках.
2. Розпакуйте файл Sality_RegKeys.zip, використовуючи програму-архіватор (наприклад, WinZip).
3. Запустіть файл Disable autorun.reg з архіву Sality_RegKeys.zip. Також відключити автозапуск з усіх носіїв можна, запустивши утиліту SalityKiller.exe з ключем -a.
4. У вікні Редактор реєстру натисніть на кнопку Так, щоб підтвердити додавання інформації до реєстру.

1. Оновлення антивірусних баз (сигнатури погроз) в продукті Лабораторії Касперського, встановленому на комп'ютері. При неможливості завантажити бази (сигнатури) через інтернет з яких-небудь причин скористайтеся утилітою поновлення Kaspersky Update Utility 2.0 .
2. Встановіть максимальні налаштування повної перевірки комп'ютера в продукті Лабораторії Касперського.
3. Запустіть повну перевірку комп'ютера.
4. Після виконання перевірки запустіть файл ключа реєстру на комп'ютері з архіву Sality_RegKeys.zip:

• Для ОС Windows XP файл реєстру SafeBootWinXP.reg;
• Для ОС Windows 2003 файл реєстру SafeBootWinServer2003.reg;
• Для ОС Windows Vista / 2008 файли реєстру SafebootVista.reg;
• Для ОС Windows 7/2008 R2 файл реєстру SafebootWin7.reg.
• Для ОС Windows 8 файл реєстру SafebootWin8.reg.

Відновити гілка реєстру SafeBoot, без якої комп'ютер не буде завантажуватися в безпечному режимі , Також можна за допомогою SalityKiller.exe з ключем -j.

3. Додаткові ключі для роботи з утилітою командного рядка

-p <path> - сканувати певний каталог.
-n - сканувати мережеві диски.
-r - сканувати flash-накопичувачі, переносні жорсткі диски, що підключаються через USB і FireWire.
-y - закриття вікна після закінчення роботи утиліти.
-s - перевірка в «тихому» режимі (без виведення консольного вікна).
-l <ім'я файлу> - запис звіту в файл.
-v - ведення докладного звіту (необхідно вводити разом з параметром -l).
-x - відновлення можливості показу прихованих і системних файлів.
-a - відключення автозапуску з усіх носіїв.
-j - відновлення гілки реєстру SafeBoot (при її видаленні комп'ютер не може завантажитися в безпечному режимі).
-m - режим моніторингу для захисту від зараження системи.
-q - сканування системи, після закінчення утиліта переходить в режим моніторингу.
-k - сканування всіх дисків, розпізнавання на них файлу autorun.inf (створений вірусом Virus.Win32.Sality) і видалення autorun.inf. Так само видаляється виконуваний файл, на який посилається autorun.inf, навіть якщо цей файл вже проліковано і паче не заражений вірусом.