Поиск следов активности вредоносного по реестр windows - Доктор Windows

Что делать в случае, когда обычного метода проверки компьютера с помощью обычного антивирусного ПО бывает недостаточно? Казалось бы, проверили пк, полностью очистили от мусора и вредоносного ПО, но через определенное время, угроза появилась снова.

Для начала необходимо понять, что вирусов в реестре не бывает, но в нем может храниться запись, содержащая ссылку на сам исполняемый зараженный файл.

А это значит, что наш защитник не полностью справился со своей задачей и отыскал не все угрозы.

Итак, как же найти и удалить вирусы в реестре? Давайте разберем 4 основных способа и остановимся на каждом более подробно.

Содержание статьи

Dr.Web CureIT
Microsoft Malicious Software
Поиск с помощью программы
Самостоятельная проверка
Еще несколько способов разобраны в этом видео
Комментарии пользователей

Dr.Web CureIT

В первую очередь необходимо провести полное сканирование системы с помощью бесплатного сканера от Доктора Веба. Очень эффективное решение, проверен временем и никогда меня не подводил, находит и удаляет практически все, не требует установки, не конфликтен по отношению к установленным антивирусным программам.

Microsoft Malicious Software

Эффективный, бесплатный сканер от компании Microsoft. Можно использовать как дополнительное средство для очистки реестра. Установка не требуется, работает на Виндовс.

Как пользоваться:

Скачать с оф.сайта и произвести запуск;
Выбрать тип проверки «Полная»;
Дождаться ее окончания и удалить найденные угрозы;

Дополнительно можно использовать и другие утилиты, о которых я писал ранее в этой статье.

Используйте любой софт и не переживайте за свою «купленную» лицензию, она не слетит!

Поиск с помощью программы

После деинсталляции программ в реестре остаются от них следы и время от времени необходимо проводить полную проверку системы, удалять неверные записи и исправлять ошибки. В этом нам поможет программа Ccleaner.

Для этого:

Скачиваем с оф.сайта, инсталлируем и запускаем;
Переходим в раздел «Реестр» и производим Поиск;
После, отобразится перечень ошибок и кликаем «Исправить»;
И здесь нам предложат предварительно создать бэкап, соглашаемся и сохраняем. Чтобы в случае падения ОС, была возможность восстановить;
Кликаем «Исправить отмеченные»;

Работает как на Windows 10, так и на Xp. После выполнения не сложных действий, реестр будет очищен от угроз. Способ эффективен так же и при удалении вирусов в браузере.

Самостоятельная проверка

Ручная проверка – это еще один способ эффективного поиска и очистки системы от рекламных и прочих угроз. В идеале, для борьбы с вирусами, нужны хотя-бы минимальные знания системы. Но справиться можно и без них.

Для того, чтобы произвести очистку реестра от вирусов , выполняем следующие шаги, на примере в Windows 7(64 bit):

Помните, что Все действия необходимо проделывать с особой осторожностью, дабы не повредить работоспособность ОС.

Нажимаем и выполняем команду Regedit;
Открываем раздел: HKEY_LOCAL_MACHINE, после чего идем в «SoftwareMicrosoftWindowsNTCurrentVersion», далее в категории Winlogon находите запись с названием «Shell» и смотрим, чтобы значение для нее стояло «explorer.exe», если стоит еще что-то, то убираете лишнее;
В этой же ветке находим пункт «Usernit» она должна ссылаться на свой исполняемый файл «Расположение/userinit.exe», если кроме этого, выставлено что-то еще, убираете лишнее;
Следующим шагом будет перейти в «HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion», открываем раздел Run, отвечающий за автозагрузку, убрать можно все, например, кроме антивируса;
В данной категории «HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun» выполняем те же действия, что и в 4-ом пункте.

Для применения всех внесенных правок, следует выполнить перезагрузку компьютера.

Таким образом, мы проверили и почистили реестр компьютера от вирусов (баннеров, казино вулкан, маил), в том числе и от тех, которые размножают записи.

Для полноценной защиты пк, рекомендую использовать комплексные антивирусы. О их преимуществах было рассказано в предыдущей статье.

Для того, чтобы обезопасить свое устройство, независимо от того, что это пк, ноутбук, нетбук или обычный смартфон — лазия по всемирной паутине, скачивайте ПО только с оф.сайтов, а не с файлообменников или откуда либо еще.

Еще несколько способов разобраны в этом видео

Источник

Download PC Repair Tool to quickly find & fix Windows errors automatically

Windows Registry is one of the most sensitive parts of a Windows computer that takes care of every operation that occurs. It’s not unusual to encounter registry malware on your Windows 11/10 computer, which results in system hack or failure of resources. In this post, we will walk you through the manual procedure to check and remove malware from the registry in Windows 11/10.

It is not easy to tell if your PC is infected with any of such registry malware. Fileless Malware sometimes may also hide in Rootkits or the Windows Registry. However, if you doubt malware has infected your machine, you may either remove it or have antimalware do it for you.

Once the malware infects the system registry, it hijacks the command center, which may result in system and data collapse that sometimes is beyond recovery.

To check and manually remove malware from the registry in Windows 11/10, do the following:

Since this is a registry operation, it is recommended that you back up the registry or create a system restore point as necessary precautionary measures. Once done, you can proceed as follows:

Press Windows key + R to invoke the Run dialog.
In the Run dialog box, type regedit and hit Enter to open Registry Editor.
Navigate or jump to the registry key path below:

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion

At the location, on the left pane, scroll down to locate folders starting with Run.

You may find one to up to six of such folders depending on your computer.

Now, click on each of these Run folders, which contain a list of programs that your computer is programmed to run automatically as soon as you boot the machine.

It is important you pay extra attention to the entries as many malware programs may be there with misspelled names or they may look unfamiliar to you. If you find any such name, you can search for it on Google or any search engine and research. As soon as you’re satisfied that the entry is not legit and may be malware, right-click the entry, and choose delete.

Once you’ve deleted the suspected entry, you’ve possibly removed a registry malware.

Other common Registry keys that malware uses

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServicesOnce

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerShell Folders

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerUser Shell Folders

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionexplorerUser Shell Folders

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionexplorerShell Folders

If you find it difficult to delete locked Registry Keys or DWORDS. etc, you may use Registry DeleteEx.

Read: Malware Removal Guide & Tools for Beginners.

Use free Registry Auditor

Registry Auditor scans your registry for Adware, malware and spyware entries – including parasites and trojans, and tells you by colored icons whether specific Objects are known to be safe or harmful –

Green icon stands for Safe,
Yellow icon for Unknown and
Red icon for Harmful entries.

You can download it here.

Related read: Clean up a ransomware-infected Registry using Kaspersky WindowsUnlocker.

That’s it!

Anand Khanse is the Admin of TheWindowsClub.com, a 10-year Microsoft MVP (2006-16) & a Windows Insider MVP (2016-2022). Please read the entire post & the comments first, create a System Restore Point before making any changes to your system & be careful about any 3rd-party offers while installing freeware.

Источник

Download PC Repair Tool to quickly find & fix Windows errors automatically

Once the malware infects the system registry, it hijacks the command center, which may result in system and data collapse that sometimes is beyond recovery.

To check and manually remove malware from the registry in Windows 11/10, do the following:

Since this is a registry operation, it is recommended that you back up the registry or create a system restore point as necessary precautionary measures. Once done, you can proceed as follows:

Press Windows key + R to invoke the Run dialog.
In the Run dialog box, type regedit and hit Enter to open Registry Editor.
Navigate or jump to the registry key path below:

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion

At the location, on the left pane, scroll down to locate folders starting with Run.

You may find one to up to six of such folders depending on your computer.

Now, click on each of these Run folders, which contain a list of programs that your computer is programmed to run automatically as soon as you boot the machine.

Once you’ve deleted the suspected entry, you’ve possibly removed a registry malware.

Other common Registry keys that malware uses

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServicesOnce

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerShell Folders

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerUser Shell Folders

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionexplorerUser Shell Folders

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionexplorerShell Folders

If you find it difficult to delete locked Registry Keys or DWORDS. etc, you may use Registry DeleteEx.

Read: Malware Removal Guide & Tools for Beginners.

Use free Registry Auditor

Green icon stands for Safe,
Yellow icon for Unknown and
Red icon for Harmful entries.

You can download it here.

Related read: Clean up a ransomware-infected Registry using Kaspersky WindowsUnlocker.

That’s it!

Источник

Содержание

Где прячутся вирусы и как пользоваться командой msconfig в Windows 🕔 1 мин.
1. В автозагрузке операционной системы
2. Вместо проводника
3. Вместе с userinit.exe или uihost.exe
Где находятся вирусы
Как легко избавиться от вирусов в реестре
Dr.Web CureIT
Microsoft Malicious Software
Поиск с помощью программы
Самостоятельная проверка
4 способа поиска вирусов без покупки антивирусного ПО
Как найти вирус в реестре windows 10
В реестре хранятся вирусы — чистим его!
Что такое реестр?
С чего начать?
Полное сканирование системы
Автоматический поиск в реестре
Ручная проверка
Разбираемся в Windows 10 с вирусами
Защита Виндовс
Средство устранения вредоносных программ
Отключаем Защитник Виндовс
Через «Параметры»
Через реестр
Через редактор групповых политик
Как легко избавиться от вирусов в реестре
Dr.Web CureIT
Microsoft Malicious Software
Поиск с помощью программы
Самостоятельная проверка
Еще несколько способов разобраны в этом видео
Как проверить компьютер Windows 10 на вирусы
Где прячутся вирусы

Где прячутся вирусы и как пользоваться командой msconfig в Windows 🕔 1 мин.

При заражении компьютера вирусы поступают таким образом, чтобы при загрузке операционной системы они тоже загружались, либо загружалась их необходимая часть. Для этого они вносят изменения в реестр Windows.

В зависимости от «продвинутости» создателя вируса, это может быть реализовано по-разному. Рассмотрим самые распространенные случаи:

1. В автозагрузке операционной системы

Проверить это можно с помощью команды msconfig, запущенной через меню Пуск — Выполнить

pLaAJIi

В столбце «Команда» не должно быть подозрительных элементов, например C:Program Filesnovirus.exe

Команда msconfig позволяет только отображать и отключать ненужные программы из автозагрузки, для полного удаления следов необходимо почистить соответствующие ветки реестра (посмотреть в столбце «Расположение»).

Как альтернативe команде msconfig можно использовать программу XPTweaker (скачайте с официального сайта).

В разделе «Система» перейти на закладку «Загрузка системы», прокрутить скроллом немного вниз до заголовка «Автозагрузка». Также просмотреть внимательно список загружаемых вместе с операционной системой приложений и при необходимости удалить ненужные. Программа удаляет информацию сразу и в реестре Windows.

Внимание! Для того, чтобы случайно не удалить важный системный процесс Windows — уточните предварительно у компьютерных гуру или найдите ответ через поисковую систему Яндекс или Гугл о неизвестных вам загружаемых приложений, например RTHDCPL.EXE

Данный способ загрузки вируса — самый элементарный. Он легко обнаруживается, и вирус удаляется. Так действовали вирусы 5−10-летней давности.

2. Вместо проводника

Это очень распространенный случай при заражении вирусами, особо часто он был замечен при установке пopнo-баннеров на операционную систему. Вирус в этом случае грузится вместо проводника Windows, заменив запись в реестре:

В ветке HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogon

Параметр Shell (reg_sz) вместо значения «explorer.exe» заменяется вирусом на свой, например C:WINDOWSsystem32h6d8dn.exe или подобную хрень.

В ветке HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogon

Исправить это с наименьшими потерями можно, загрузившись с загрузочного CD-ROM или USB, проверить систему с помощью утилиты от Доктора Веба — launcher.exe. Но только в том случае, если в базе вирусов Доктора Веба есть информация об этом вирусе.

Более действенный и быстрый способ — загрузившись с загрузочного диска запустить программу редактирования реестра с возможностью подключения к удаленному реестру. Для этого идеально подходит сборка ERD.

Нужно посмотреть запись в реестре по адресу HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogon, исправить «хрень» у записи параметра Shell (reg_sz) на «explorer.exe» и запомнить путь нахождения и имя файла вируса, чтобы удалить его вручную.

3. Вместе с userinit.exe или uihost.exe

В этом случае рабочий стол может отображаться и компьютер может вроде бы нормально работать, но могут быть заблокированы некоторые функции браузера по умолчанию или всех браузеров, невозможность отрыть сайты антивирусных программ и др.

Userinit.exe — программа, которая открывает Рабочий стол и активирует сетевые функции после запуска Windows. Находится он по адресу C:WINDOWSsystem32userinit.exe. Размер оригинального файла составляет 26,0 КБ (26 624 байт), на диске: 28,0 КБ (28 672 байт).

Некоторые вирусы могут изменить запись в реестре у трех параметров (у всех или только некоторых) Userinit, UIHost и Shell, расположенных по адресу:

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon

Оригинальные параметры записи в реестре должны быть следующими:

Вирус может прописать себя например так:

В данном примере файл gertinw.exe — это 100% вирус! Обязательно запомнить путь к файлу вируса и удалить его!

После удаления нужно заменить файлы userinit.exe, logonui.exe (находятся в C:WINDOWSsystem32) и explorer.exe (находится в C:WINDOWS) на аналогичные файлы из дистрибутива виндовса (найдете поиском), т.к. остатки червя могут находиться в файлах ключей.

Где находятся вирусы

После нужно проверить файл hosts (открыть любым тестовым редактором) на наличие запретов на известные сайты антивирусных программ: C:windowssystem32driversetchosts. Удалить все после строки 127.0.0.1 localhost

Также запрет на загрузку сайтов может быть прописан в реестре по следующим адресам:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParametersPersistentRoutes

HKEY_LOCAL_MACHINESYSTEMControlSet <номера 001 или 002>ServicesTcpipParameters PersistentRoutes

Удалить их содержимое полностью кроме строки «По умолчанию» с неприсвоенным значением.

Автор текста: Сергей «Остров»

Если вы нашли ошибку, пожалуйста, выделите фрагмент текста и нажмите Ctrl+Enter.

Источник

Как легко избавиться от вирусов в реестре

А это значит, что наш защитник не полностью справился со своей задачей и отыскал не все угрозы.

Dr.Web CureIT

doctor1

Microsoft Malicious Software

Как пользоваться:

Дополнительно можно использовать и другие утилиты, о которых я писал ранее в этой статье.

Используйте любой софт и не переживайте за свою «купленную» лицензию, она не слетит!

Поиск с помощью программы

Самостоятельная проверка

Помните, что Все действия необходимо проделывать с особой осторожностью, дабы не повредить работоспособность ОС.

Для применения всех внесенных правок, следует выполнить перезагрузку компьютера.

Для того, чтобы обезопасить свое устройство, независимо от того, что это пк, ноутбук, нетбук или обычный смартфон — лазия по всемирной паутине, скачивайте ПО только с оф.сайтов, а не с файлообменников или откуда либо еще.

Источник

4 способа поиска вирусов без покупки антивирусного ПО

Всегда следует устанавливать лучшую антивирусную программу. Но знаете ли вы, что вы можете сканировать свой компьютер на вирусы без использования стороннего антивирусного программного обеспечения?

Держите эти методы в своем арсенале безопасности. В 2002 г. было известно 60 000 компьютерных вирусов, сетевых червей, троянов и другого вредоносного ПО. Тенденции указывают что по состоянию на март 2020 года общее количество обнаружений новых вредоносных программ во всем мире составило 677,66 млн программ.

Эти проактивные методы могут стать второй линией защиты. Прежде чем мы начнем, полезно понять симптомы зараженного ПК, чтобы вы могли сразу понять, когда безопасность вашей системы находится под угрозой.

Симптомы зараженного ПК

Компьютерный вирус, как и вирус обычного гриппа, очень заразен и мешает даже самым простым компьютерным задачам. Он повреждает программы, стирает системные файлы и снижает производительность вашей системы.

Не всегда легко определить наличие вредоносного ПО на ПК, потому что отказ оборудования и несовместимость системы также могут вызывать одни и те же проблемы. Однако обратите внимание на эти сигналы тревоги и немедленно просканируйте свою систему.

Низкая производительность системы

Частые сбои приложений

Необычные сообщения об ошибках

Браузер часто зависает

Система перезагружается сама

Посадка на страницы, на которые вы не переходили

Доступ к файлам и программам заблокирован

Связанный: Признаки заражения вашего Mac вирусом (и как это проверить)

Киберпреступники и хакеры достаточно умны, чтобы скрывать свои вредоносные коды, когда они действуют на вашем компьютере. Современное вредоносное ПО может уклониться от обнаружения антивирусом и проникнуть на ваш компьютер, не проявляя ни одного из вышеупомянутых признаков. Единственный способ определить, заражен ли ваш компьютер, — это просканировать его и удалить вирус вручную, используя следующие методы.

1. Найдите необычную активность в диспетчере задач.

Диспетчер задач Windows предоставляет подробную информацию обо всех процессах и программах, запущенных на вашем компьютере. Вы можете использовать эту функцию для поиска любых необычных действий, потребляющих ваши системные ресурсы. Откройте диспетчер задач и проверьте системные процессы.

Введите Диспетчер задач в меню «Пуск» или просто нажмите Ctrl + Shift + Esc. Кроме того, вы можете нажать Ctrl + Alt + Del и выбрать «Диспетчер задач» в новом окне.

Щелкните вкладку «Процессы», чтобы просмотреть всю активность системы.

Если вы видите меньший список, нажмите «Подробнее», чтобы увидеть обширный список процессов.

Анализируйте процессы и ищите подозрительную активность.

Щелкните подозрительную активность правой кнопкой мыши и выберите «Завершить задачу».

Компьютерный вирус или вредоносная программа часто используют большой объем памяти, ЦП и дисковых ресурсов. Обычно они носят странные имена, но они также могут выдавать себя за легитимные файлы, чтобы избежать обнаружения. Если у вас есть подозрения по поводу процесса, просто щелкните его правой кнопкой мыши и выберите «Поиск в Интернете», чтобы найти более подробную информацию о программе.

2. Используйте встроенный Защитник Windows.

Windows 10 поставляется со встроенным приложением безопасности Windows, которое постоянно сканирует ваш компьютер на наличие вирусов и вредоносных программ. Однако вы также можете выполнять сканирование на наличие вредоносных программ вручную с помощью приложения. Вот пошаговый процесс того, как вы можете его использовать.

Откройте меню «Пуск» и выберите «Настройки».

Нажмите «Обновление и безопасность», а затем выберите в меню «Безопасность Windows».

Среди множества областей защиты щелкните Защита от вирусов и угроз, чтобы открыть окно сканирования.

Щелкните Параметры сканирования, чтобы просмотреть три варианта, включая быстрое сканирование, полное сканирование и выборочное сканирование.

Выберите нужный вариант и коснитесь «Сканировать сейчас», чтобы запустить сканирование вручную.

Защитник безопасности Windows просканирует ваш компьютер на наличие вредоносных программ и вернет сведения о сканировании. Интегрированный инструмент также позволяет вам принимать меры против угроз. Вы можете удалить, восстановить, заблокировать или поместить в карантин угрозу с помощью Защитника Windows.

3. Используйте командную строку

Поскольку большинство вирусов и вредоносных программ скрываются на дисках, вы можете использовать командную строку, чтобы выявить скрытые атрибуты файла, а затем удалить его. Вот как вы можете удалить вирусы из вашей системы с помощью CMD.

В меню «Пуск» Windows 10 введите cmd.

Щелкните правой кнопкой мыши командную строку и выберите Запуск от имени администратора.

Перейдите к зараженному разделу или диску с помощью символа «X:». Замените X на зараженный диск.

Введите команду dir, чтобы увидеть все файлы каталогов и подкаталоги на назначенном диске.

Теперь поищите подозрительные файлы с именами, содержащими такие слова, как «автозапуск» и расширение «.inf». Используйте команду Удалить, чтобы удалить вирус, как показано ниже:

del имя зараженного файла

В команде attrib h представляет скрытый атрибут файла, r показывает атрибут «только для чтения», а s изменяет файлы из пользовательских файлов в системные файлы. / S расширяет поиск по всему пути, включая подпапки, а / d включает все папки процессов в поиск.

Очень важно осторожно использовать CMD, потому что неправильное использование может повредить важные системные файлы.

4. Отредактируйте реестр Windows.

Реестр Windows — это база данных, в которой хранятся параметры конфигурации системного оборудования и программного обеспечения. Он также позволяет вручную удалить вирус с вашего компьютера. Однако вам необходимо идентифицировать вирус, прежде чем вы сможете удалить его из реестра.

Это технический процесс, требующий некоторого знакомства с реестром Windows. Поэтому мы советуем вам попробовать этот метод только тогда, когда вы полностью уверены в идентичности вируса.

Связано: Что такое реестр Windows и как его редактировать?

Вот как вы используете реестр Windows для удаления вируса.

Введите Regedit в меню «Пуск» или в окне «Выполнить».

Щелкните Реестр Windows, чтобы войти в Реестр.

Перейдите к HKEY_LOCAL_MACHINE, поскольку именно там вредоносные программы обычно устанавливаются в системе.

Теперь найдите подозрительный файл в реестре в разделе:

Программное обеспечение / Microsoft / Windows / CurrentVersion

Найдите незнакомую программу или файл с непонятным именем и выполните поиск в Интернете, чтобы убедиться, что это вредоносная программа.

Щелкните правой кнопкой мыши подтвержденную запись и удалите ее из реестра Windows.

При удалении вируса из реестра Windows рекомендуется создавать резервные копии важных файлов и программ. Вы также можете использовать программное обеспечение для восстановления данных в чрезвычайной ситуации, но убедитесь, что до нее не дошло.

Защитите свой компьютер от посторонних глаз

Независимо от того, насколько вы осторожны, вы не можете полностью устранить угрозу компьютерных вирусов. Используйте эти методы, чтобы противостоять угрозам вредоносного ПО и защитить свои ценные данные от посторонних глаз.

А если вышеперечисленных методов недостаточно, есть много других антивирусных инструментов, которые еще больше укрепят защиту вашего ПК.

Источник

Как найти вирус в реестре windows 10

В реестре хранятся вирусы — чистим его!

Доброго времени суток, друзья. Я вот много пишу о борьбе с разными вредоносными программами, которые блокируют запуск системы, замедляют работу компьютера, отображают рекламу в браузерах. Но удаление зараженных файлов и процессов – это лишь вершина айсберга. Необходимо выполнять более глубокое сканирование. Хотите узнать, как проверить реестр на вирусы? Данная статья полностью посвящена этой теме.

Что такое реестр?

Это своего рода база данных, которая содержит массив атрибутов и значений, отвечающих за конфигурацию Windows и установленных приложений. Также, там храниться информация об учётных записях пользователей.

Когда Вы деинсталлируете софт, то в реестре остаются следы. В статье про оптимизацию работы ПК я писиал об этом. К примеру, после удаления графического редактора Photoshop я обнаружил немного «мусора»:

А после использования утилиты для поиска рекламных вирусов Anti-Malware (от Malwarebytes) было найдено множество ключей, которые пришлось почистить вручную:

Представьте, сколько подобного «хлама» может собраться за месяц, год. И всё это замедляет систему, потребляя ресурсы ПК.

А Вы не задумывались, почему компания Microsoft до сих пор не создала собственного инструмента для сканирования реестра на ошибки?

Хорошо, что есть доступ к утилите «regedit», где можно самостоятельно отыскать неиспользуемые записи и удалить их. Это также очень эффективный способ для выявления вирусов (точнее последствий их активности).

Вообще-то, реестр не может содержать трояны и прочие вредоносные скрипты, но в нём могут храниться измененные записи, влияющие на работоспособность системы. Вирусы могут влиять на автозагрузку, выполнение процессов и т.д. С этим нужно бороться, согласны?

С чего начать?

К реестру мы обязательно вернемся. Сначала я вкратце напомню, что следует делать при обнаружении «заразы». О симптомах и проявлениях читайте в этой статье.

Полное сканирование системы

Для этой цели подойдет разный защитный софт. Наилучшим образом себя проявляет KIS (Internet Security от Kaspersky Lab). Это комплексный инструмент, который я не хочу сейчас расхваливать. Его преимущества всем и так давно известны.

Если нет желания платить деньги за качественную проверку, то в качестве альтернативы советую скачать свеженькую версию Cure It! от Доктор Веб.

После запуска обязательно выберите все объекты сканирования:

Конечно же, данный способ не даёт 100%-ой гарантии успеха, но большинство угроз будут удалены. Останется только обезвредить их и перезапустить компьютер.

Автоматический поиск в реестре

Если после вышеупомянутых шагов (сканирования с помощью антивируса nod32 или любого другого подобного софта) поведение ПК всё еще остается загадочным, то следует выполнить очистку конфигурационной базы данных.

С этой задачей могут справиться разные приложения. Но если Вы не хотите устанавливать «прожорливые» комплексные утилиты, то достаточно будет скачать и запустить программу CCleaner.

Уже более пяти лет я использую именно это ПО из-за его простоты и удобства. Иногда тестирую другие продукты аналогичного типа, но в итоге возвращаюсь к данному оптимизатору.

Cкачать Ссleaner для Windows на русском >>>

Вот и всё. Реестр почищен. Ошибки устранены.

Ручная проверка

Даже самый лучший Касперский антивирус не способен устранять все последствия «жизнедеятельности» вирусов. Придётся немножко поработать руками и головой. Впереди – увлекательное путешествие в мир редактора реестра.

Эта программа запускается очень просто. Достаточно набрать в консоли «Выполнить» (Win + R) следующую команду:

Ответственность за дальнейшие действия лежит исключительно на Вас! Я подскажу универсальный способ, но каждая ситуация индивидуальна и требует особого подхода и повышенной внимательности!

Если в чем-то сомневаетесь, обязательно задавайте вопросы мне или ищите ответы через поисковые системы.

Я покажу пример проблемы, с которой пришлось столкнуться не так давно. Мне удалось устранить вирус, который запускался из папки Windows AppPatch с помощью файла «hsgpxjt.exe». Решить проблему помог Dr. Web, но после очередного запуска ПК на экране отобразилось окно ошибки.

Всё указывало на то, что в реестре (разделе автозагрузки) остались следы этого скрипта. Откровенно говоря, CCleaner не помог (увы, он тоже не всесилен). Что я сделал?

Возможно, Вам придется потратить больше времени, если вирус оставил множество следов. Но так будет надежнее.

Кстати, многие «умники» предлагают сервисы, которые способны проверять реестр на вирусы в режиме «онлайн». Отвечу, что это невозможно. Не верите? Можете прочесть мою статью об утилитах для сканирования ПК через интернет. Там много интересного и полезного.

На этом извольте откланяться. Все вопросы и пожелания можете писать в комментариях. Я не обещаю поддержку 24/7, но обязательно отвечу всем оперативно и, по существу.

С уважением, Виктор

Разбираемся в Windows 10 с вирусами

Microsoft приложили максимум усилий, чтобы сделать Windows 10 самой безопасной операционной системой среди всего ряда оконных ОС. Одним из первых шагов к этому был брандмауэр, который появился еще в XP. C выходом Виндовс 8 разработчики внедрили в саму операционную систему антивирусную программу, которая с легкостью обнаруживает вирусы и препятствует заражению компьютера. Сегодня рассмотрим, каким образом в Windows 10 реализована защита от вирусов.

Защита Виндовс

Известны три распространённых пути, по которым вирусы попадают на компьютер:

Особенностями защитника являются:

Для проверки работоспособности встроенного в Windows 10 антивируса необходимо выполнить следующие операции.

Вызываем «Параметры» посредством «Win+I» и идем в последний пункт «Обновление, безопасность».

В подразделе «Защитник Windows» смотрим его состояние. Если ничего не изменяли, ползунок будет переключен в положение «Вкл.».

Для запуска антивирусного приложения листаем список настроек вниз и жмем по ссылке «Использовать Защитник…».

Вскоре откроется окно приложения на домашней вкладке, где содержатся основные сведения: статус или состояние, версия продукта и время последнего сканирования. Здесь же, правее, расположен фрейм, отвечающий за проверку системы:

Посмотрите ещё: Как зарезервировать себе Windows 10

Выбираем последний вариант и жмем «Проверить сейчас». При помощи флажков отмечаем диски и каталоги, которые могут содержать вредоносное ПО и потенциально зараженные файлы.

По завершению проверки на вирусы ее результаты отобразятся в отдельной форме главного окна программы.

Во вкладке «Обновить» можно загрузить актуальную редакцию утилиты, а «Журнал» содержит данные о найденных и устраненных угрозах.

Средство устранения вредоносных программ

Кроме антивируса и файрвола, Майкрософт разработали приложение для удаления вредоносного ПО в Виндовс 10. Его отличие состоит в том, что софт работает не постоянно, а запускается пользователем с целью проверить систему на вирусы и/или обезвредить их в случае наличия.

Средство обновляется каждый месяц, потому для следующего сканирования компьютера с Виндовс 10 обязательно загружайте новую версию программы.

При выборе последнего варианта необходимо указать объекты для проверки.

Отключаем Защитник Виндовс

Если не доверяете программам от Майкрософт, они не удовлетворяют ваши запросы, не нравятся или по ряду других причин хотите отключить их, данный раздел поможет сделать это несколькими путями.

Через «Параметры»

Посмотрите ещё: Запуск Windows 10 на слабом компьютере

Кроме защиты в реальном времени, приложение также отправляет Майкрософт массу информации о найденных угрозах, сканированных объектах.

При длительном отключении функции Windows 10 автоматически активирует защиту, поэтому с целью деактивации приложения на постоянной основе воспользуйтесь иными способами: через реестр и редактор групповых политик.

Через реестр

В Windows 10 практически все настройки хранятся в ее реестре. Потому изменить параметры защитника можно путем изменения значений соответствующих ключей.

Через редактор групповых политик

В целом, метод аналогичный предыдущему с тем лишь отличием, что значение ключа «DisableAntiSpyware» изменяется более понятным новичку образом.

После деактивации защитника обязательно установите антивирусную программу!

Включение Windows Defender осуществляется аналогичным с его отключением образом (в первом случае ставим «0» в качестве значения параметра, во втором – активируем пункт «Отключено»).

(Visited 6 650 times, 11 visits today)

Как легко избавиться от вирусов в реестре

Опубликовано: 2017-01-10 / Автор: Виктор Трунов

А это значит, что наш защитник не полностью справился со своей задачей и отыскал не все угрозы.

Dr.Web CureIT

В первую очередь необходимо провести полное сканирование системы с помощью бесплатного сканера от веба. Очень эффективное решение, проверен временем и никогда меня не подводил, находит и удаляет практически все, не требует установки, не конфликтен по отношению к установленным антивирусным программам.

Microsoft Malicious Software

Дополнительно можно использовать и другие утилиты, о которых я писал ранее в этой статье.

Используйте любой софт и не переживайте за свою «купленную» лицензию, она не слетит!

Поиск с помощью программы

Самостоятельная проверка

Помните, что Все действия необходимо проделывать с особой осторожностью, дабы не повредить работоспособность ОС.

Для применения всех внесенных правок, следует выполнить перезагрузку компьютера.

Для того, чтобы обезопасить свое устройство, независимо от того, что это пк, ноутбук, нетбук или обычный смартфон — лазия по всемирной паутине, скачивайте ПО только с оф.сайтов, а не с файлообменников или откуда либо еще.

Еще несколько способов разобраны в этом видео

Как легко избавиться от вирусов в реестре

Как проверить компьютер Windows 10 на вирусы

В нижнем левом углу экрана откройте меню «Пуск». В открывшемся окне нажмите на вкладку или значок — Параметры.

Далее, на странице «Параметры» нажмите на вкладку — Обновление и безопасность.

Далее, на странице «Обновление и безопасность», слева в боковой панели, перейдите на вкладку — Защитник Windows. Вверху страницы нажмите на кнопку — Открыть Защитник Windows.

Далее, у вас откроется окно защитника. Обратите внимание, в окне должен отображаться зелёный цвет — это значит ваш компьютер защищён. Также должно быть включено:

— Защита в реальном времени.

— Определения вирусов и программ-шпионов.

— Быстрая. При быстром сканировании проверяются области наиболее вероятного заражения вредоносным программным обеспечением, включая вирусы, шпионские и нежелательные программы.

— Полная. При полном сканировании проверяются все файлы на жёстком диске и все выполняющиеся программы. В зависимости от системы такое сканирование может занять больше часа.

— Особая. Проверяются только выбранные вами расположения и файлы.

После запуска, у вас начнётся процесс проверки компьютера на наличие вирусов и шпионских программ. Дождитесь окончания процесса.

Далее, на вкладке «Обновить» вы можете проверить обновления защитника. Для защиты вашего компьютера определения вирусов и программ-шпионов автоматически обновляются.

Как проверить компьютер Windows 10 на вирусы обновлено: Май 28, 2017 автором: Илья Журавлёв

Где прячутся вирусы

При заражении компьютера вирусы поступают таким образом, чтобы при загрузке операционной системы они или их необходимая часть загружалась тоже. Для этого они вносят изменения в реестр Windows. В зависимости от продвинутости создателя вируса это может быть реализовано по-разному. Рассмотрим самые распространенные случаи:

1. В автозагрузке операционной системы

Проверить это можно с помощью команды msconfig, запущенной через меню Пуск — Выполнить

В столбце «Команда» не должно быть подозрительных элементов, например C:Program Filesnovirus.exe

Она позволяет только отображать и отключать ненужные программы из автозагрузки, для полного удаления следов необходимо почистить соответствующие ветки реестра (посмотреть в столбце «Расположение»).

Как msconfig можно использовать утилиту XPTweaker.

В разделе «Система» перейти на закладку «Загрузка системы», прокрутить скроллом немного вниз до заголовка «Автозагрузка». Также просмотреть внимательно список загружаемых вместе с операционной системой приложений и при необходимости удалить ненужные. Приложение удаляет информацию сразу и в реестре.

Внимание! Для того, чтобы случайно не удалить важный системный процесс Windows — уточните предварительно у компьютерных гуру или найдите ответ через поисковую систему Яндекс или Гугл о неизвестных вам загружаемых приложений, например RTHDCPL.EXE

Данный способ загрузки вируса — самый элементарный. Он легко обнаруживается, и удаляется.

2. Вместо проводника

В ветке HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogon Параметр Shell (reg_sz) вместо значения «explorer.exe» заменяется вирусом на свой, например C:WINDOWSsystem32h6d8dn.exe или подобную хрень.

Исправить это с наименьшими потерями можно, загрузившись с загрузочного DVD или USB, проверить систему с помощью утилиты от Доктора Веба — launcher.exe. Но только в том случае, если в базе вирусов есть информация об этом вирусе.

Нужно посмотреть запись в реестре по адресу HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogon, исправить «ерунду» у записи параметра Shell (reg_sz) на «explorer.exe» и запомнить путь нахождения и имя файла вируса, чтобы удалить его вручную.

3. Вместе с userinit.exe или uihost.exe

Userinit.exe — программа, которая открывает Рабочий стол и активирует сетевые функции после запуска ОС. Находится он по адресу C:WINDOWSsystem32userinit.exe. Размер оригинального файла составляет 26,0 КБ (26 624 байт), на диске: 28,0 КБ (28 672 байт).

Некоторые вири могут изменить запись в реестре у трех параметров (у всех или только некоторых) Userinit, UIHost и Shell, расположенных по адресу:

Оригинальные параметры записи в реестре должны быть следующими

Вирус может прописать себя например так:

В данном примере файл gertinw.exe — это 100% вирус! Обязательно запомнить путь к зараженному файлу и удалить его!

После удаления нужно заменить userinit.exe, logonui.exe (находятся в C:WINDOWSsystem32) и explorer.exe (находится в C:WINDOWS) на аналогичные из дистрибутива ОС (найдете поиском), т.к. остатки червя могут находиться в файлах ключей.

Где находятся вирусы

После нужно проверить hosts (открыть любым тестовым редактором) на наличие запретов на известные сайты антивирусных программ: C:windowssystem32driversetchosts. Удалить все после строки 127.0.0.1 localhost

Также запрет на загрузку сайтов может быть прописан в реестре по следующим адресам:

HKEY_LOCAL_MACHINESYSTEMControlSet <номера 001 или 002>ServicesTcpipParameters PersistentRoutes

Удалить их содержимое полностью кроме строки «По умолчанию» с не присвоенным значением.

Источник

Реестр Windows — одна из наиболее важных частей компьютера с Windows, которая выполняет все выполняемые операции. Нередко можно встретить вредоносное ПО для реестра на вашем компьютере с Windows 10, которое приводит к взлому системы или отказу ресурсов. В этом посте мы рассмотрим ручную процедуру проверки и удаления вредоносных программ из реестра в Windows 10.

Нелегко определить, заражен ли ваш компьютер какой-либо из таких вредоносных программ для реестра. Бесфайловые вредоносные программы иногда также могут скрываться в руткитах или реестре Windows. Однако, если вы сомневаетесь, что вредоносная программа заразила ваш компьютер, вы можете либо удалить ее, либо сделать это за вас с помощью антивирусной программы.

Как только вредоносная программа заражает системный реестр, она захватывает командный центр, что может привести к краху системы и данных, который иногда невозможно восстановить.

Чтобы проверить и вручную удалить вредоносное ПО из реестра в Windows 10, сделайте следующее:

Проверить и вручную удалить вредоносное ПО из реестра

Поскольку это операция реестра, рекомендуется создать резервную копию реестра или создать точку восстановления системы в качестве необходимых мер предосторожности. После этого вы можете действовать следующим образом:

HKEY_LOCAL_MACHINE ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ Microsoft Windows CurrentVersion

В этом месте на левой панели прокрутите вниз, чтобы найти папки, начинающиеся с «Выполнить».

В зависимости от вашего компьютера вы можете найти от одной до шести таких папок.

Теперь щелкните по каждому из этих Папки запуска, которые содержат список программ, которые ваш компьютер запрограммирован для автоматического запуска при загрузке машины.

Важно уделять особое внимание записям, так как многие вредоносные программы могут содержать имена с ошибками или могут показаться вам незнакомыми. Если вы найдете такое имя, вы можете найти его в Google или любой поисковой системе и провести исследование. Как только вы убедитесь, что запись незаконна и может быть вредоносной, щелкните ее правой кнопкой мыши и выберите «Удалить».

После того, как вы удалили подозрительную запись, возможно, вы удалили вредоносное ПО из реестра.

Другие распространенные ключи реестра, которые использует вредоносное ПО

HKEY_LOCAL_MACHINE Software Microsoft Windows CurrentVersion RunServicesHKEY_LOCAL_MACHINE Software Microsoft Windows CurrentVersion RunServicesOnceHKEY_CURRENT_USER Software Microsoft Windows CurrentVersion Explorer Папки оболочки Shell Folders Software Microsoft Windows Explorer Software_CURRENT_USER Программное обеспечение HKEY_CURRENT_USER Программное обеспечение HKEY_CURRENT_USER Программное обеспечение HKEY_CURRENT_USER Программное обеспечение HKEY_CURRENT_USER Программное обеспечение Microsoft Windows CurrentVersion explorer Папки пользовательской оболочки HKEY_LOCAL_MACHINE Software Microsoft Windows CurrentVersion explorer Папки оболочки

Если вам сложно удалить заблокированные ключи реестра или DWORDS. и т. д., вы можете использовать Registry DeleteEx.

Прочтите: Руководство по удалению вредоносных программ и инструменты для начинающих.

Используйте бесплатный аудитор реестра

Аудитор реестра сканирует ваш реестр на наличие записей рекламного, вредоносного и шпионского ПО, в том числе паразитов и троянов, и с помощью цветных значков сообщает вам, являются ли определенные объекты безопасными или вредоносными —

Зеленый значок обозначает сейф,
Желтый значок для неизвестных и
Красный значок для вредоносных записей.

Ты можешь скачать здесь.

Связанное чтение: Очистите реестр, зараженный вымогателем, с помощью Kaspersky WindowsUnlocker.

Вот и все!

Источник

Все методы обнаружения вирусов на компьютере
Все способы входа в панель управления Windows
Руководство по удалению вируса из vk
Все методы очистки от вируса Recycler

Что такое реестр?

С чего начать?

Полное сканирование системы

После запуска обязательно выберите все объекты сканирования:

Автоматический поиск в реестре

После открытия следует перейти во вкладку «Реестр» (слева), затем кликнуть по кнопке «Поиск…»:

Отобразится список ошибок. У меня он оказался небольшим, так как проверку выполняю почти ежедневно. У Вас может быть несколько сотен пунктов, если ни разу не выполняли чистку.

После нажатия на «Исправить…» появится окно с предложением создать резервную копию перед очисткой. Соглашаемся и указываем путь сохранения:

Будет создан файл с расширением «reg», который, в случае возникновения ошибок после чистки, поможет восстановить удачную конфигурацию.
Теперь выбираем пункт «Исправить отмеченные» в открывшемся окне:

Вот и всё. Реестр почищен. Ошибки устранены.

Ручная проверка

Эта программа запускается очень просто. Достаточно набрать в консоли «Выполнить» (Win + R) следующую команду:

Regedit

Если в чем-то сомневаетесь, обязательно задавайте вопросы мне или ищите ответы через поисковые системы.

Перешел по пути:

HKEY_CURRENT_USER Software Microsoft Windows CurrentVersion Windows

Удалил ключи в разделах «Load» и «Run»:

Перезагрузил ОС и сообщение исчезло!

Возможно, Вам придется потратить больше времени, если вирус оставил множество следов. Но так будет надежнее.

С уважением, Виктор

Источник

В реестре хранятся вирусы — чистим его!

Что такое реестр?

С чего начать?

Полное сканирование системы

После запуска обязательно выберите все объекты сканирования:

Автоматический поиск в реестре

После открытия следует перейти во вкладку «Реестр» (слева), затем кликнуть по кнопке «Поиск…»:

Отобразится список ошибок. У меня он оказался небольшим, так как проверку выполняю почти ежедневно. У Вас может быть несколько сотен пунктов, если ни разу не выполняли чистку.

После нажатия на «Исправить…» появится окно с предложением создать резервную копию перед очисткой. Соглашаемся и указываем путь сохранения:

Будет создан файл с расширением «reg», который, в случае возникновения ошибок после чистки, поможет восстановить удачную конфигурацию.
Теперь выбираем пункт «Исправить отмеченные» в открывшемся окне:

Cкачать Ссleaner для Windows на русском >>>

Вот и всё. Реестр почищен. Ошибки устранены.

Ручная проверка

Эта программа запускается очень просто. Достаточно набрать в консоли «Выполнить» (Win + R) следующую команду:

Regedit

Если в чем-то сомневаетесь, обязательно задавайте вопросы мне или ищите ответы через поисковые системы.

HKEY_CURRENT_USER Software Microsoft Windows CurrentVersion Windows

Удалил ключи в разделах «Load» и «Run»:

Перезагрузил ОС и сообщение исчезло!

Возможно, Вам придется потратить больше времени, если вирус оставил множество следов. Но так будет надежнее.

С уважением, Виктор

it-tehnik.ru

Разбираемся в Windows 10 с вирусами

Защита Виндовс

Известны три распространённых пути, по которым вирусы попадают на компьютер:

съемные накопители – им вызван противостоять Защитник Windows;
сеть – здесь на страже стоит появившийся в XP файрвол;
интернет – при использовании браузера Edge у вирусов нет шансов заразить вашу систему благодаря совершеннейшим на данный момент механизмам защиты.

Особенностями защитника являются:

бесплатное распространение;
высокая степень обнаружения вирусов (~88%);
работа в фоне, из-за чего возникает масса вопросов (работает ли он, как запустить сканирование);
малое потребление системных ресурсов.

Для проверки работоспособности встроенного в Windows 10 антивируса необходимо выполнить следующие операции.

Вызываем «Параметры» посредством «Win+I» и идем в последний пункт «Обновление, безопасность».

быстрое – проверяются самые подверженные заражению области (ОЗУ, объекты автозапуска, системный файлы);
полное – проверит все файлы Виндовс 10;
особое – предоставит возможность сделать выбор мест для проверки на вирусы.

Посмотрите ещё: Как зарезервировать себе Windows 10

По завершению проверки на вирусы ее результаты отобразятся в отдельной форме главного окна программы.

Средство устранения вредоносных программ

Переходим на страницу загрузки программы и выбираем язык продукта.

Запускаем загруженный файл и кликаем «Далее» для одноразового запуска проверки.

Выбираем удовлетворяющий вариант проверки, значение которого кратко поясняется выше, и жмем «Далее».

При выборе последнего варианта необходимо указать объекты для проверки.

Дожидаемся окончания операции, наблюдая за ее прогрессом, или свертываем окно и занимается своими делами.

По завершению выбираем, что необходимо сделать с обнаруженными угрозами или закрываем окно средства для устранения вредоносных программ в Виндовс 10.

Отключаем Защитник Виндовс

Через «Параметры»

Вызываем новое окно настроек Windows 10 при помощи пиктограммы в Пуске, его контекстного меню или комбинации клавиш «Win+I».
Идем в раздел «Обновление, безопасность» и кликаем по пункту «Защитник…».

Посмотрите ещё: Запуск Windows 10 на слабом компьютере

Переносим требуемые переключатели в положение «Откл.» и закрываем окно.

Через реестр

Вводим «regedit.exe» в поисковой строке.
Переходим по пути: HKLMSOFTWAREPoliciesMicrosoftWindows Defender.
При наличии параметра «DisableAntiSpyware» изменяем его значение на «1» или создаем параметр DWORD32 с таким именем и значением.

Через редактор групповых политик

Вводим «gpedit.msc» в поиск, жмем «Enter».
Переходим в каталог «Административные шаблоны» в конфигурации компьютера.
Открываем «Компоненты Windows».

Находим «Endpoint Protection», кликаем по нему дважды и перемещаем чекбокс к надписи «Включено».

После деактивации защитника обязательно установите антивирусную программу!

(Visited 6 650 times, 11 visits today)

windowsprofi.ru

Как легко избавиться от вирусов в реестре

Опубликовано: 2017-01-10 / Автор: Виктор Трунов

А это значит, что наш защитник не полностью справился со своей задачей и отыскал не все угрозы.

Dr.Web CureIT

Microsoft Malicious Software

Как пользоваться:

Скачать с оф.сайта и произвести запуск;
Выбрать тип проверки «Полная»;
Дождаться ее окончания и удалить найденные угрозы;

Дополнительно можно использовать и другие утилиты, о которых я писал ранее в этой статье.

Используйте любой софт и не переживайте за свою «купленную» лицензию, она не слетит!

Поиск с помощью программы

Для этого:

Скачиваем с оф.сайта, инсталлируем и запускаем;
Переходим в раздел «Реестр» и производим Поиск;
После, отобразится перечень ошибок и кликаем «Исправить»;
И здесь нам предложат предварительно создать бэкап, соглашаемся и сохраняем. Чтобы в случае падения ОС, была возможность восстановить;
Кликаем «Исправить отмеченные»;

Самостоятельная проверка

Для того, чтобы произвести очистку реестра от вирусов , выполняем следующие шаги, на примере в Windows 7(64 bit):

Нажимаем и выполняем команду Regedit;
Открываем раздел: HKEY_LOCAL_MACHINE, после чего идем в «SoftwareMicrosoftWindowsNTCurrentVersion», далее в категории Winlogon находите запись с названием «Shell» и смотрим, чтобы значение для нее стояло «explorer.exe», если стоит еще что-то, то убираете лишнее;
В этой же ветке находим пункт «Usernit» она должна ссылаться на свой исполняемый файл «Расположение/userinit.exe», если кроме этого, выставлено что-то еще, убираете лишнее;
Следующим шагом будет перейти в «HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion», открываем раздел Run, отвечающий за автозагрузку, убрать можно все, например, кроме антивируса;
В данной категории «HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun» выполняем те же действия, что и в 4-ом пункте.

Для применения всех внесенных правок, следует выполнить перезагрузку компьютера.

Еще несколько способов разобраны в этом видео

Оцените статью:

Как легко избавиться от вирусов в реестре

Оцените статью:

onoutbukax.ru

Как проверить компьютер Windows 10 на вирусы

Привет ! Сегодня я покажу вам как проверить свой компьютер Windows 10 на наличие вирусов. Многие забывают о том, что компьютер нуждается в постоянной защите и проверке на наличие вирусов и программ-шпионов. Если вы не проверяете свой компьютер, то вероятность того, что ваш компьютер может быть заражён, возрастает в разы.

Далее, на странице «Параметры» нажмите на вкладку — Обновление и безопасность.

— Защита в реальном времени.

— Определения вирусов и программ-шпионов.

Если у вас в окне отображается жёлтый или красный цвет, вам нужно срочно сделать проверку компьютера ! Вам доступно три типа проверки:

— Особая. Проверяются только выбранные вами расположения и файлы.

Обратите внимание ! Защитник Windows автоматически следит за всеми файлами, которые вы скачиваете из интернета. Если файл является угрозой, то защитник автоматически удалит его и заблокирует его загрузку на ваш компьютер.

Защита системы Windows 10 !

Остались вопросы ? Напиши комментарий ! Удачи !

Как проверить компьютер Windows 10 на вирусы обновлено: Май 28, 2017 автором: Илья Журавлёв

info-effect.ru

Где прячутся вирусы

Как найти вирус

1. В автозагрузке операционной системы

Проверить это можно с помощью команды msconfig, запущенной через меню Пуск — Выполнить

В столбце «Команда» не должно быть подозрительных элементов, например C:Program Filesnovirus.exe

Как msconfig можно использовать утилиту XPTweaker.

В разделе «Система» перейти на закладку «Загрузка системы», прокрутить скроллом немного вниз до заголовка «Автозагрузка». Также просмотреть внимательно список загружаемых вместе с операционной системой приложений и при необходимости удалить ненужные. Приложение удаляет информацию сразу и в реестре.

Данный способ загрузки вируса — самый элементарный. Он легко обнаруживается, и удаляется.

2. Вместо проводника

Это очень распространенный случай, особо часто он был замечен при установке порно-баннеров на операционную систему. Вирус в этом случае грузится вместо проводника Windows, заменив запись в реестре:

3. Вместе с userinit.exe или uihost.exe

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon

Оригинальные параметры записи в реестре должны быть следующими

Вирус может прописать себя например так:

Userinit = C:WINDOWSsystem32userinit.exe,C:WINDOWSsystem32gertinw.exe

В данном примере файл gertinw.exe — это 100% вирус! Обязательно запомнить путь к зараженному файлу и удалить его!

Где находятся вирусы

Также запрет на загрузку сайтов может быть прописан в реестре по следующим адресам:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParametersPersistentRoutes

HKEY_LOCAL_MACHINESYSTEMControlSet {номера 001 или 002}ServicesTcpipParameters PersistentRoutes

Удалить их содержимое полностью кроме строки «По умолчанию» с не присвоенным значением.

Вконтакте

Facebook

Twitter

Google+

Одноклассники

Мой мир

E-mail

increaseblog.ru

Смотрите также

Источник

Скачать 33,01 Kb.

Дата	15.02.2022
Размер	33,01 Kb.
	#179152
Тип	Занятие

Связанные:
Laboratornoe zanyatie 4 (1)
phpCpAfai Ponyatie-o-spryazhenii-glagola.-Lichnye-okonchaniya-glagolov-1-i-2-spr 2

Оборудование
Раздел Назначение
Задание 2.

Лабораторное занятие № 4

Применение средств исследования реестра Windows для нахождения следов активности вредоносного ПО

Цель: ознакомиться с основными средствами исследования реестра Windows для нахождения следов активности вредоносного ПО.

Оборудование: ПЭВМ АМD FX ™ – 4300 Quad – Core Processor 3,80 GHz

Программное обеспечение: Windows 10, текстовый редактор Microsoft Word, браузер Google Chrome, редактор реестра.

Теоретические вопросы (предоставить описание в КТС)

1. Основные принципы работы с системным реестром.

2. Расположение системного реестра.

3. Редактирование системного реестра.

4. Структура системного реестра.

5. Копирование и восстановление реестра.

Задание 1. Опишите разделы реестра Windows. Заполните таблицы.

HKEY_CURRENT_USER	Данный раздел содержит настройки текущего активного пользователя, вошедшего в систему. Здесь хранятся папки пользователя, цвета экрана и параметры панели управления. Эти сведения сопоставлены с профилем пользователя. Вместо полного имени раздела иногда используется аббревиатура HKCU. Хотя этот раздел выглядит как один из основных в редакторе реестра, он является всего лишь ссылкой на один из профилей HKEY_USERS.
HKEY_USERS	Раздел HKEY_USERS (псевдоним HKU) содержит информацию о профилях всех пользователей данного компьютера. Данный раздел практически никогда не используется пользователями. Следует отметить связь данного корневого раздела с разделом HKEY_CURRENT_USER, который фактически является ссылкой подраздела корневого раздела HKEY_USERS, хранящего сведения о текущем пользователе.
HKEY_LOCAL_MACHINE	Раздел содержит параметры конфигурации, относящиеся к данному компьютеру (для всех пользователей). Вместо полного имени раздела иногда используется аббревиатура HKLM.
HKEY_CLASSES_ROOT	Является подразделом HKEY_LOCAL_MACHINESoftwareClasses. В основном, содержит информацию о зарегистрированных типах файлов и объектах COM и ActiveX. Раздел HKLMSoftwareClasses содержит параметры по умолчанию, которые относятся ко всем пользователям локального компьютера. Параметры, содержащиеся в разделе HKCUSoftwareClasses, относятся только к текущему пользователю, имея приоритет над стандартными. Раздел CLASSES_ROOT включает в себя данные из обоих источников. Кроме того, раздел CLASSES_ROOT предоставляет объединённые данные программам, написанным под ранние версии Windows. Изменения настроек текущего пользователя выполняются в разделе HKCUSoftwareClasses. Модификация параметров по умолчанию должна производиться в разделе HKLMSoftwareClasses. Данные из разделов, добавленных в CLASSES_ROOT, будут сохранены системой в разделе HKLMSoftwareClasses. Если изменяется параметр в одном из подразделов раздела CLASSES_ROOT и такой подраздел уже существует в HKCUSoftwareClasses, то для хранения информации будет использован раздел HKCUSoftwareClasses, а не аналогичный раздел в LOCAL_MACHINE.
HKEY_CURRENT_CONFIG	Данный раздел содержит сведения о профиле оборудования, используемом локальным компьютером при запуске системы. Является ссылкой на HKEY_LOCAL_MACHINESYSTEMCurrentControlSetHardware ProfilesCurrent

Раздел	Назначение
Config	Различные конфигурации компьютера.
Enum	Информация о подключенных к данному компьютеру устройствах.
Hardware	Информация о последовательных интерфейсах и модемах, которые используются программой HyperTerminal.
Network	Хранящаяся здесь сетевая информация создается при входе пользователя в сеть: имя пользователя, регистрационная информация, первичный поставщик услуг и другие сведения.
Security	Информация о том, какой компьютер в сети следит за безопасностью сети и поддерживает ли (допускает ли) данный компьютер удаленное управление.
Software	Информация о программных средствах, установленных на данном компьютере, и различные конфигурационные данные программ.
System	Информация данного раздела управляет запуском системы, загрузкой драйверов устройств, сервисом Windows и поведением системы.

Задание 2. В каких разделах реестра хранится информация о выбранной политике безопасности.

Задание 3. Опишите возможности программы REGEDIT.EXE.

Задание 4. Проведите исследование реестра Windows для нахождения следов активности вредоносного ПО.

Скачать 33,01 Kb.

Поделитесь с Вашими друзьями:

Источник

Удаляем вирус-баннер в реестре Windows

Во время начала загрузки компьютера нажимаем клавишу F8. И выбираем «Безопасный режим с поддержкой командной строки» и жмем «Enter»

По окончанию загрузки появится окно «Администратор :cmd.exe» где через клавиатуру введите «regedit.exe». Снова жмем «Enter» и выходим в «Редактор реестра»

В реестре Windows regedit содержится системная информация и данные об автоматическом запуске программ при старте операционной системы. Тут-то мы и попытаемся найти следы нашего баннера-вируса.

Для нормальной работы ОС необходимо всего 5 файлов в корневом каталоге:
ntldr
boot.ini
pagefile.sys
Bootfont.bin
NTDETECT.COM

Без детального анализа удалять из реестра ничего нельзя. Вы должны быть на 100% уверены, что это именно вирус а не программа которая была загружена в корневую папку. Вирус должен как-то загружаться при старте системы, как правило этот процесс происходит при автозапуске. Поэтому смотрим следующие ключи реестра на предмет подозрительных программ. (А если вы уже нашли вирус, то ищите имя файла везде в реестре и удаляйте):

С самого начала ищем вирус в цепочке:HKEY_LOCAL_MACHINESOFTWAREMicrosoft
WindowsNTCurrentVersionWinlogon Находим в списке запись Shell (XP) В Windows7 данного раздела нет.

Смотрим: значение параметра, по умолчанию должно быть Explorer.exe , если есть еще что то удаляем.

Теперь находим запись: Usernit (Присутствует в любой версии Windows). В значении данной записи должно быть C:Windowssystem32userinit.exe Все что есть кроме этой записи – удаляем. Естественно если ос установлена не на диск С то запись будет другая.

Следующим этапом будет редактирование автозагрузки раздела Run .

Ищем и открываем цепочку: HKEY_CURRENT_USERSoftwareMicrosoft
WindowsCurrentVersionRun (данный раздел применителен к Windows 7) В этой ветке можно удалить все, кроме антивирусного программного обеспечения и так же необходимого для вашей работы софта (утилиты для принтера, skype, сканера).

Следующая цепочка: HKEY_LOCAL_MACHINESOFTWAREMicrosoft
WindowsCurrentVersionRun Тут делаем то же самое что и в предыдущем пункте.

Возможно нужно будет заменить файл «hosts» который находится по адресу: Откройте Пуск» и введите: %systemroot%system32driversetc

Копируем стандартный с сайта разработчика http://support.microsoft.com/kb/972034/ru а старый переименовываем hosts.old.

Щелкните правой кнопкой мыши в свободном месте в папке %WinDir%system32driversetc,

выберите пункт Создать, щелкните элемент Текстовый документ, введите имя hosts/ Откройте новый файл hosts в текстовом редакторе»Блокнот» и скопируйте в файл сохраненный текст с сайта. Перегружаем компьютер.

Иногда бывает, что не требуется искать приложение.ехе в реестре Windows а достаточно только при выходе на рабочий стол произвести быструю проверку «Security Esseentiats» , сделать перезагрузку и когда включится компьютер появится окно, которое указывает имя программы, скажем 2088322.exe, которую защитник Windows не может распознать. Вам нужно будет только записать это значение в «Пуск» — «Найти программы и файлы «, а затем с помощью правой кнопки мышки выяснить адрес этого баннера и удалить его сначала в корзину а потом навсегда.

Если необходимо проверить реестр на исправном компьютере, т.е. когда ОС полностью загружена, не нужно использовать «Безопасный pежим» достаточно набрать в меню «Пуск» команду regedit и кликнуть по открывшемуся файлу, и перед вами откроется «Редактор реестра».

Но что делать если невозможно загрузить ОС в безопасном режиме, как убрать баннер и разблокировать Windows? В этом случае нам нужно прибегнуть к сторонним средствам, одним компьютером тут не обойдешся. Рассмотрим самые лучшие утилиты на сегодняшний день, которые помогут нам разблокировать наш компьютер : «Как удалить баннер если Windows не загружается в безопасном режиме»

Человек это
самый страшный вирус
на планете — Земля.
«inpropart»

Источник

Как легко избавиться от вирусов в реестре

А это значит, что наш защитник не полностью справился со своей задачей и отыскал не все угрозы.

Dr.Web CureIT

Microsoft Malicious Software

Как пользоваться:

Скачать с оф.сайта и произвести запуск;
Выбрать тип проверки «Полная»;
Дождаться ее окончания и удалить найденные угрозы;

Дополнительно можно использовать и другие утилиты, о которых я писал ранее в этой статье.

Используйте любой софт и не переживайте за свою «купленную» лицензию, она не слетит!

Поиск с помощью программы

Скачиваем с оф.сайта , инсталлируем и запускаем;
Переходим в раздел «Реестр» и производим Поиск;
После, отобразится перечень ошибок и кликаем «Исправить»;
И здесь нам предложат предварительно создать бэкап, соглашаемся и сохраняем. Чтобы в случае падения ОС, была возможность восстановить;
Кликаем «Исправить отмеченные»;

Самостоятельная проверка

Для того, чтобы произвести очистку реестра от вирусов , выполняем следующие шаги, на примере в Windows 7(64 bit):

Помните, что Все действия необходимо проделывать с особой осторожностью, дабы не повредить работоспособность ОС.

Нажимаем и выполняем команду Regedit;
Открываем раздел: HKEY_LOCAL_MACHINE, после чего идем в «SoftwareMicrosoftWindowsNTCurrentVersion», далее в категории Winlogon находите запись с названием «Shell» и смотрим, чтобы значение для нее стояло «explorer.exe», если стоит еще что-то, то убираете лишнее;
В этой же ветке находим пункт «Usernit» она должна ссылаться на свой исполняемый файл «Расположение/userinit.exe», если кроме этого, выставлено что-то еще, убираете лишнее;
Следующим шагом будет перейти в «HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion», открываем раздел Run, отвечающий за автозагрузку, убрать можно все, например, кроме антивируса;
В данной категории «HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun» выполняем те же действия, что и в 4-ом пункте.

Для применения всех внесенных правок, следует выполнить перезагрузку компьютера.

Для того, чтобы обезопасить свое устройство, независимо от того, что это пк, ноутбук, нетбук или обычный смартфон — лазия по всемирной паутине, скачивайте ПО только с оф.сайтов, а не с файлообменников или откуда либо еще.

Источник

Как найти вирус в реестре windows 7

Любые вопросы по услугам всегда можно уточнить позвонив нам.

При попадании вируса в компьютер, вирус имеет свойство прописываться в автозагрузку, а далее в реестр. Для малоопытных пользователей, эти слова мало о чем говорят. Вирус – это программное обеспечение, которое наносит вред компьютеру, так же это могут быть скрипты или зараженные архивы и pdf файлы. В момент попадания вирус начинает самораспространяться, при этом риску заражения в основном подвергаются exe и bat файлы, а так же архивы zip и rar.

На что стоит обратить внимание, если вы подозреваете или просканировали компьютер антивирусными утилитами, но проблема осталась, прежде всего смотрим автозагрузку. Для этого нужно ввести следующие команды в командную строку:
1. Открываем: Пуск далее жмем выполнить или в строке поиска «msconfig.exe»

Открывается окно: «Конфигурация системы» , нажимаем на вкладку «Автозагрузка», и смотрим что у нас там стоит в автозапуске. Прежде всего обращаем внимание на названия программ, а так же на название файла и пути его нахождения. Обычно вирусами являются файлы с нечитаемым названиями, либо файлы названия которых состоят из цифр допустим «004284.exe» «73294.exe».

2. Снимаем галочки с данных видов программ, жмем кнопку «Применить», далее «Ок».

Следующее действие это редактирование реестра. Почему и зачем нам это нужно сделать. При настройке автозагрузки, через конфигурацию системы, не всегда с автозагрузки убирается то что нам не нужно.

1. Открываем меню «Пуск», ищем строку поиска либо вкладка «Выполнить», вводим команду «regedit».Открывается окно редактора реестра.

2. Первым делом проверяемm ветку:

Ищем в списке запись «Shell» (XP) В Windows7 данного раздела нет. Смотрим: значение параметра, по умолчанию должно быть «Explorer.exe», если есть еще что то удаляем.

3. Далее смотрим запись: «Usernit» (Присутствует в любой версии Windows). В значении данной записи должно быть «C:Windowssystem32userinit.exe», либо другая буква системного раздела, если у вас Windows не установлена на диск C. Все что есть кроме этой записи – удаляем.

Следующим этапом будет редактирование автозагрузки раздела «Run».

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun (данный раздел применителен к Windows 7)

В принципе в это ветке можно все удалить, кроме антивирусного программного обеспечения и так же необходимого для вашей работы софта (skype, утилиты для принтера, сканера).

2. Смотрим вторую ветку:

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun Тут делаем то же самое что и в первом варианте.

Обычно этими действиями мы очищаем автозагрузку. Далее следует проверить фалй «hosts». Для этого открываем «Мой компьютер» и ищем:

1. C:WindowsSystem32driversetc В этом разделе находится файл hosts. Скачиваем стандартный и заменяем файлом в этот раздел.

2. Перегружаемся, в принципе на этом этап чистки реестра в ручную завершен.

Что такое реестр?

С чего начать?

Полное сканирование системы

После запуска обязательно выберите все объекты сканирования:

Автоматический поиск в реестре

После открытия следует перейти во вкладку «Реестр» (слева), затем кликнуть по кнопке «Поиск…»:

Отобразится список ошибок. У меня он оказался небольшим, так как проверку выполняю почти ежедневно. У Вас может быть несколько сотен пунктов, если ни разу не выполняли чистку.

После нажатия на «Исправить…» появится окно с предложением создать резервную копию перед очисткой. Соглашаемся и указываем путь сохранения:

Будет создан файл с расширением «reg», который, в случае возникновения ошибок после чистки, поможет восстановить удачную конфигурацию.
Теперь выбираем пункт «Исправить отмеченные» в открывшемся окне:

Вот и всё. Реестр почищен. Ошибки устранены.

Ручная проверка

Эта программа запускается очень просто. Достаточно набрать в консоли «Выполнить» (Win + R) следующую команду:

Если в чем-то сомневаетесь, обязательно задавайте вопросы мне или ищите ответы через поисковые системы.

Удалил ключи в разделах «Load» и «Run»:

Перезагрузил ОС и сообщение исчезло!

Возможно, Вам придется потратить больше времени, если вирус оставил множество следов. Но так будет надежнее.

А это значит, что наш защитник не полностью справился со своей задачей и отыскал не все угрозы.

Dr.Web CureIT

Microsoft Malicious Software

Не удалось устранить проблему? Обратитесь за помощью к специалисту!

Как пользоваться:

Скачать с оф.сайта и произвести запуск;
Выбрать тип проверки «Полная»;
Дождаться ее окончания и удалить найденные угрозы;

Дополнительно можно использовать и другие утилиты, о которых я писал ранее в этой статье.

Используйте любой софт и не переживайте за свою «купленную» лицензию, она не слетит!

Поиск с помощью программы

Скачиваем с оф.сайта , инсталлируем и запускаем;
Переходим в раздел «Реестр» и производим Поиск;
После, отобразится перечень ошибок и кликаем «Исправить»;
И здесь нам предложат предварительно создать бэкап, соглашаемся и сохраняем. Чтобы в случае падения ОС, была возможность восстановить;
Кликаем «Исправить отмеченные»;

Самостоятельная проверка

Не удалось устранить проблему? Обратитесь за помощью к специалисту!

Для того, чтобы произвести очистку реестра от вирусов , выполняем следующие шаги, на примере в Windows 7(64 bit):

Помните, что Все действия необходимо проделывать с особой осторожностью, дабы не повредить работоспособность ОС.

Нажимаем и выполняем команду Regedit;
Открываем раздел: HKEY_LOCAL_MACHINE, после чего идем в «SoftwareMicrosoftWindowsNTCurrentVersion», далее в категории Winlogon находите запись с названием «Shell» и смотрим, чтобы значение для нее стояло «explorer.exe», если стоит еще что-то, то убираете лишнее;
В этой же ветке находим пункт «Usernit» она должна ссылаться на свой исполняемый файл «Расположение/userinit.exe», если кроме этого, выставлено что-то еще, убираете лишнее;
Следующим шагом будет перейти в «HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion», открываем раздел Run, отвечающий за автозагрузку, убрать можно все, например, кроме антивируса;
В данной категории «HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun» выполняем те же действия, что и в 4-ом пункте.

Для применения всех внесенных правок, следует выполнить перезагрузку компьютера.

Для того, чтобы обезопасить свое устройство, независимо от того, что это пк, ноутбук, нетбук или обычный смартфон — лазия по всемирной паутине, скачивайте ПО только с оф.сайтов, а не с файлообменников или откуда либо еще.

Не удалось устранить проблему? Обратитесь за помощью к специалисту!

Еще несколько способов разобраны в этом видео

Профессиональная помощь

Если не получилось самостоятельно устранить возникшие неполадки,
то скорее всего, проблема кроется на более техническом уровне.
Это может быть: поломка материнской платы, блока питания,
жесткого диска, видеокарты, оперативной памяти и т.д.

Важно вовремя диагностировать и устранить поломку,
чтобы предотвратить выход из строя других комплектующих.

В этом вам поможет наш специалист.

Это бесплатно и ни к чему не обязывает.
Мы перезвоним Вам в течении 30 мин.

Источник

Listen to this article

Так уж вышло, что русскоязычный сегмент Интернета никогда не пестрил материалами, посвященными цифровой криминалистике. Толковые практические публикации, посвященные криминалистике в рамках реагирования или расследования инцидентов, и вовсе — можно пересчитать по пальцам одной руки.

В самом начале неплохо бы получить некоторую информацию о профиле пользователя. Сделаем мы это с помощью ForensicUserInfo. Утилита извлекает системную информацию о RID, сроке действия учетной записи и смене пароля; LM/NT-хеш; количество входов в системы, даты неудачных попыток; имеющиеся группы и путь к профилю пользователя.

Начнем с самого простого, а именно глянем список пользовательских и системных процессов. Самый быстрый способ — это запустить из CMD встроенную утилиту tasklist:

c:>tasklist — вывод списка всех процессов в текущем окне;
c:>tasklist /svc — вывод списка всех работающих сервисов в системе;
c:>tasklist > c:processes_list.txt — вывод данных о процессах (сервисах) в текстовый файл с именем processes_list.txt.

Еще один неплохой вариант — это любой альтернативный Task Manager, к примеру AnVir Task Manager или Process Explorer.

А теперь достанем из загашника несколько специально заточенных под форензику утилит, входящих в комплект под общим названием Sleuth Kit.

Для просмотра доступной информации о памяти набираем команду mmstat.

Мы знаем тип системного тома, и после исполнения команды mmls она позволит просмотреть неразмеченные области диска:

mmls -t dos X:RAM_Img_Forensic.E01

Далее мы можем использовать FileName Layer Tools, позволяющий просмотреть удаленные файлы и неразмеченные сегменты.

fls -o 1435648 X:RAM_Img_Forensic.E01

Что теперь? Создадим некий bodyfile — файл-заготовку с помощью все той же fls. Это позволит нам выстроить историю активности в системе (англ. timelines of file activity). Записываем полученные данные в файл bodyfile.txt.

fls -r -m «/» -o 1435648 X:RAM_Img_Forensic.E01 > bodyfile.txt

После того как мы создали bodyfile.txt, мы можем запустить утилитку mactime и выстроить временную шкалу активности (удаления, создания, переименования) файлов в системе c экспортом в Excel-подобный вид:

mactime.pl -b bodyfile.txt -d > timeline.csv

Кстати, вот вам небольшая шпаргалка по используемым утилитам из пакета Sleuth Kit:

mmstat — информация о типе системных томов и таблице разделов диска;
mmls — информация о занятом месте, удаленных и allocated файлов;
fsstat — информация о ФС, включая серийный номер тома, ID, размер кластера, смещение от начала;
fls — поиск allocated и удаленных файлов в директории или всем диске;
mactime — создание таймлайна активности файловой системы из данных, полученных от fls.

Дальше попробуем найти удаленные файлы или то, что от них еще осталось. Одна из самых лучших утилит для этого — Autopsy из сборника Sleuth Kit.

Неплохим вариантом будет еще пройтись NirSoft’овской утилитой ShadowCopyView и пошукать остатки файлов, сохранившихся в теневых копиях Windows.

Следующим шагом будет анализ системного реестра. В ход пойдут три инструмента Windows Registry analysis из пакета Magnet AXIOM, RegRipper и Registry Explorer.

Для того чтобы просмотреть удаленный софт, можно ковырнуть файл — базу данных NTUSER.DAT по пути в системной директории:

NTUSER.DATSOFTWAREMicrosoftUserDataUninstallTimes

А также можно поднять сохраненные URL-адреса, если юзался старый добрый ослик IE:

NTUSER.DATSOFTWAREMicrosoftInternetExplorerTypedURLs

И там же попробовать достать пароли, если пользователь настроил автосохранение введенных данных:

NTUSER.DATSoftwareMicrosoftInternet ExplorerIntelliForms

Интересные места реестра Windows

Список последних используемых файлов (Most Recent Used — MRU) находится по пути

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerRunMRU

Глобальные уникальные идентификаторы (ID), которые содержат в себе зашифрованные записи каждого объекта ОС, приложения (программы), исполняемого exe-файла, к которому пользователь обращался в системе, хранятся в ветке

HKEY_CURRENT_USERSoftwareMcirosoftWindowsCurrentVersionExplorerUserAssist

Все когда-либо ранее подключавшиеся к компьютеру USB-устройства также отмечаются в ветке реестра

HKEY_LOCAL_MACHINESystemControlSet00xEnumUSBSTOR

Беспроводные сети (Wi-Fi SSID), к которым компьютер когда-либо подключался, будут храниться в ветке

HKEY_LOCAL_MACHINESoftwaremicrosoftWZCSVCParametersInterface

Для тех, кто хочет больше узнать об интересных местах Windows Registry, очень хорошо подойдет статья Forensic Analysis Of The Windows Registry.

Анализ сетевых подключений

Для просмотра сетевых подключений на скорую руку можно воспользоваться обычной командой шелла netstat:

netstat -a

Среди всего вывода нас больше всего интересуют следующие статусы:

CLOSED — соединение закрыто, сокет не используется;
LISTEN (LISTENING) — ожидает входящих соединений;
ESTABLISHED — соединение установлено (данные передаются).

И еще дополнительные опции вывода:

// Список соединений TCP

netstat -at

// Список соединений UDP

netstat -au

// Список всех открытых входящих портов

netstat -n

Аналогичный вывод можно посмотреть и в графическом режиме, используя крохотную утилиту TCPViewer.

Еще одна специальная тулза — NetworkMiner. Помимо фич, которые имеются у описанных выше программ, в NetworkMiner есть опции извлечения файлов из протоколов FTP, TFTP, HTTP, POP3, IMAP, экстракт сертификатов X.509 certificates из SSL-сессий, декапсуляция GRE, 802.1Q, PPPoE, VXLAN, определения геолокации по IP, экспорт результатов в CSV, Excel, XML, CASE, JSON-LD.

Анализ корзины Windows

Не секрет, что часть данных, побывавших в корзине, все еще можно просмотреть, даже если файлы были удалены (в терминологии Windows, «корзина очищена»). Использовать будем большой пак под названием EnCase Forensic.

Вот и дошла очередь до анализа логов (системных журналов). В работе будут участвовать FullEventLogView от уже известной команды разработчиков NirSoft, а также Magnet AXIOM for computers.

Итак, какие события нас будут интересовать в первую очередь:

Account Logon — вход в систему под определенной учетной записью;
Account Mgmt — изменение учетной записи (перемещение в группу, переименование, назначение прав и так далее);
Logon Events — вход в учетную запись / выход из нее;
Directory Service — присоединение объектов из Active Directory;
Object Access — аудит доступа к какому-либо объекту ОС;
Policy Change— изменение политики безопасности;
Privilege Use — выполнение каких-либо команд от имени администратора или другого привилегированного пользователя;
Process Tracking — трекинг событий, связанных с системными процессами;
System Events — загрузка и завершение работы ОС (в том числе сбои).

Более подробный список событий безопасности с принадлежащими им ID можно глянуть на страничке проекта GitHub.

Следующий шаг — это LNK file analysis, или поиск ярлыков на программы, которые были установлены, запущены или позднее удалены в какой-то момент. В работе будем использовать уже знакомый нам пак EnCase Forensic.

Ну и в завершение всех процедур мы еще на всякий случай просканим встроенные в систему пользовательские App’ы — Skype, OneDrive и Edge, вдруг найдем там что-нибудь интересное. Для браузера Edge заюзаем уже известный нам Belkasoft Evidence Center. Той же программой кое-какие данные мы попытаемся извлечь из файла подкачки Pagefile.sys.

Напоследок ко всему перечисленному добавим Skype. Кстати, для скайпа профиль с полезной для нас информацией хранится в директории

C:Users%USERNAME%AppDataRoamingSkype

хотя не помешало бы поискать папку с именем Skype по всему винту, поскольку мессенджер мог быть установлен кастомно или запущен как portable-версия.

Наша тулза Belkasoft Evidence Center извлекает данные из указанного файла профиля, в том числе SQLite-листы, неразмеченную область диска, синхронизированные файлы из чатов, данные из pagefile.sys и hiberfil.sys. Есть и еще одна замечательная утилита — SkypeLogView от все тех же ребят из NirSoft.

Несмотря на то что это может показаться детской забавой, в Windows-системах можно извлечь даже историю оповещений из системного трея. Информация о нотификации хранится в директории

Users%Username%AppDataLocalMicrosoftWindowsNotifications

Имя базы данных, содержащей историю нотификации, может меняться на каждой машине и зависит от каких-то внутренних параметров (расширение файла не обязательно будет именно .db). Чтобы ее открыть, понадобится SQLite manager. Запустив SQLite, нужно найти файлы .db в

C:UsersUsernameAppDataLocalMicrosoftWindowsNotifications

и, просто добавив в менеджер, получить окно встроенного вьювера.

Аналогичная тема с голосовым помощником Cortana: у нее тоже есть база данных, хранящая историю, и располагается она по пути

C:Users[User]AppDataLocalPackagesMicrosoft.Windows.Cortana_xxxxLocalStateESEDatabase_CortanaCoreInstanceCortanaCoreDb

Несколько слов об OneDrive. Если была включена опция синхронизации (например, с Android-смартфоном), то часть файлов можно найти в гаджете по пути

/mnt/sdcard/Android/data/com.microsoft.skydrive

Если речь идет про десктопную версию, то логи загрузки/выгрузки, синхронизации и подобных событий можно посмотреть в текстовых документах по пути

C:Users<USERNAME>AppDataLocalMicrosoftOneDrivelogs

На этом все. Теперь вы знаете, как найти следы работы в Windows.

Источник: http://www.spy-soft.net/

Если Вам понравилась статья — поделитесь с друзьями

560 просмотров

Отказ от ответственности: Автор или издатель не публиковали эту статью для вредоносных целей. Вся размещенная информация была взята из открытых источников и представлена исключительно в ознакомительных целях а также не несет призыва к действию. Создано лишь в образовательных и развлекательных целях. Вся информация направлена на то, чтобы уберечь читателей от противозаконных действий. Все причиненные возможные убытки посетитель берет на себя. Автор проделывает все действия лишь на собственном оборудовании и в собственной сети. Не повторяйте ничего из прочитанного в реальной жизни. | Так же, если вы являетесь правообладателем размещенного на страницах портала материала, просьба написать нам через контактную форму жалобу на удаление определенной страницы, а также ознакомиться с инструкцией для правообладателей материалов. Спасибо за понимание.

Если вам понравились материалы сайта, вы можете поддержать проект финансово, переведя некоторую сумму с банковской карты, счёта мобильного телефона или из кошелька ЮMoney.

Источник