Факевар

DiZa-74

Факевар

Речь идёт от так называемых fakeware – программном обеспечении, которое самовольно устанавливается на компьютере пользователя либо под видом какого-то потного «ускорителя загрузок», либо – самое популярное – под видом псевдоантивирусной программы. В любом случае – избавление от факевара чрезвычайно сложно и трудоёмко.



Mind you, названные факевары объявиляются на компьютере как «Ускоритель загрузок» и «антивирус».

99% безбашенных пользователей, умудряются вылавливать заразу из мировой компьютерной сети без оглядки на пол и возраст. Показательно, однако, другое: на всех машинах, подцепивших факевар, стоял полный пакет безопасности! То есть – мощный современный антивирус, файрволл и т.н. «интеллектуальный охранник», который, якобы, сканирует в реальном времени весь входящий и исходящий трафик на предмет – нет, даже не malware, а потенциально подозрительного кода.




Тем не менее, пакет безопасности благополучно пропустил и «ускоритель загрузок», и «антивирус», оставаясь при этом, что говорится, чистым перед законом. Дело в том, что всякий уважающий себя факевар на определенном этапе ведет себя как полноценная почтенная компьютерная программа, которая не задействует никакие уязвимости компьютера, не сканирует порты на предмет выявления дырок безопасности, не уподобляется трояну, вирусу. Короче – самый что ни на есть добропорядочный представитель софтверного хозяйства.



Но это только поначалу. Факевар при самоинсталляции прописывает себя в самых непредсказуемых и нетрадиционных местах (каких, скоро узнаете), и лишь после этого включает свой дьявольский механизм вымогательства. Поскольку никакого формального вредительства факевар не предпринимает, то на него не реагируют ни антивирусные пакеты, ни программы для борьбы с троянами.



Никакие антивирусы и антитрояны в борьбе с факеварами не помогают. Гадость удаляется только ручками! Так что перехлдим к мануальной терапии, которая хоть и муторна, но единственно действенна.



Итак, знакомьтесь: мразь №1, побившая все рекорды назойливости а начале осени 2009 года (вполне вероятно случалась и ранее, однако масштаб эпидемия получила явно только сейчас), называется uFAST Download Manager. Научная кличка - Trojan-Ransom.Win32.SMSer.qm, Trojan.Win32.Agent.dapb (по Касперскому) или BehavesLike:Trojan.UserStartup (BitDefender). Пик активности этого вымогателя пришёлся на 30 и 31 октября.



uFast Download Manager изображает из себя крутой «ускоритель загрузок», который вы якобы добровольно установили (на самом деле никто ничего не устанавливает – факевары распространяются интернет-рекламой и троянами), а затем «нарушили лицензионного соглашение программы», а потому в отместку программа заблокировала ваш доступ в Интернет.

Само же вымогательство примитивно как только и бывает у напёрсточников: «Чтобы получить регистрационный код, отправьте смс с кодом wf17999 на номер 7122».

Как бы там ни было, uFast Download Manager работать нормально не позволяет, окно с вымоганием денег постоянно маячит на переднем плане экрана. В отчетах антивирусных компаний зафиксированы даже случаи блокировки "Диспетчера задач".



Уничтожение гниды проводится в четыре этапа:



1. Скачиваем замечательную бесплатную утилиту AZV



2. Копируем в буфер обмена вот такой небольшой текст скрипта:

var SP: string; begin SearchRootkit(true, true); SetAVZGuardStatus(true); SP:=RegKeyStrParamRead('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders','Startup'); QuarantineFile(SP+'\zavupd32.exe',''); QuarantineFile('%UserProfile%\applic~1\ufastd~1\propet~1.exe',''); DeleteFile('%UserProfile%\applic~1\ufastd~1\propet~1.exe'); DeleteFile(SP+'\zavupd32.exe'); BC_ImportALL; ExecuteSysClean; ExecuteRepair(11); BC_Activate; RebootWindows(true); end.

3. Вставляем этот скрипт (через Ctrl + V) в утилиту AZV и выполняем его по алгоритму, детально описанному по этому линку - virusinfo.info



4. После перезагрузки мы проверяем работу Интернета. В 9 случаев из 10 коннекта не будет, потому что гнида uFast Download Manager уже успела покоцать сетевой адаптер. Поэтому отправляемся в "Диспетчер устройств" Windows и удаляем сетевой адаптер. Нажимаем на кнопку обновления конфигурации, адаптер вновь обнаруживается и устанавливается в систему уже в рабочем состоянии.




Ничего кроме описанного выше способа в борьбе с uFast Download manager не помогает: популярные антивирусные пакеты и антитрояны с ним не справляются.





Второй факевар, напившийся моей кровушки уже в середине ноября, рядил себя под антивирусную программу. Называется стильно – SecurityTool.



Гнида симулирует поиск инфекции на компьютере и «находит» её – кто бы сомневался! – в невообразимом количестве. На одном из зараженных домашних ноутбуков «было» аж 20 троянов, вирусов, шпионов, червей и рекламных модулей! Изобилие «отловленной» инфекции рассчитано, видимо, на истероидных юзеров, которые столкнувшись с подобным букетом сразу же ринутся покупать волшебный SecurityTool. Благо ходить далеко не нужно: тут же в окне услужливо размещена форма для оплаты банковской карточкой.

Удаление этого факевара проходит не столь гладко, как uFast Download Manager. Ни рекомендованные почтенным ресурсом fakeware.ru Malwarebytes' Anti-Malware, ни Spyware Doctor не помогают. Первая программа вроде что-то обнаруживает (SecurityTool появляется в списке присутствующих на компьютере гадов), но после процедуры исправления и перезагрузки вымогатель появляется снова.




Опять же, помогает только работа ручками. Алгоритм следующий.



Остановите процессы фальшивого Security Tool:



1. Останавливаем через "Диспетчер задач" процесс, запускающий факевар. Разумеется в "Диспетчере" он не представлен под прозрачным именем (типа securitytool.exe или security.exe), а скрывается под несуразностью типа 4946550101.exe. Это числовое имя дает ресурс fakeware.ru, однако факевар явно мутирует, потому что цифры могут быть другие. Так что учтите – цифровое имя исполняемого exe-процесса в вашем списке будет в единственном роде.



2. Удаляете из реестра следующие ключи SecurityTool:



HKEY_CURRENT_USER\Software\Security Tool




HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "4946550101"



Опять же, цифры могут быть другими и записи в реестре окажутся в иных местах, но и это не имеет значения: сначала через F3 вы проводите поиск на «SecurityTool» в слитном написании, затем в раздельном («Security Tool», и все ключи удаляете. Затем отправляетесь в раздел HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, в котором перечислены программы автозагрузки и находите в списке процесс с тем именем, который вы удалили в пункте 1 данного алгоритма.



3. Заключительный этап - удалите все файлы и директории SecurityTool:



%UserProfile%\Application Data46550101



%UserProfile%\Application Data4655010146550101.bat




%UserProfile%\Application Data4655010146550101.cfg



%UserProfile%\Application Data4655010146550101.exe



%UserProfile%\Desktop\SecurityTool.lnk



%UserProfile%\Start Menu\Programs\SecurityTool.lnk



%UserProfile% - это имя, под которым вы работаете на своем компьютере. В Application Data4655010146550101.* цифры могут отличаться, но парадигма общая, так что перепутать и удалить что-то полезное у вас не получится при всём желании.



По материалам computerra.ru