Как вылечить вирус нечто
Ну вот вам первый совет.
До сих пор встречается этот вирус, хоть и стоят у людей различные антивирусные программы. Вот что муж писал в черновиках…
Вот может кому и пригодится данная информация. Искал себе на просторах Интернета дефрагментатор и… нашел с кряком:). Мой антивирус Comodo сразу взвыл – вирус win32.neshta.a, но я не принял его доводы во внимание и разрешил ему установиться.
Вот что известно о нем: Neshta — зловредный код ( в дальнейшем вирус) появившился в Беларуси в конце 2005г. Имя вирус получил возможно от транслитерации белорусского слова «не́шта», означающего «нечто», «что-то», а возможно по названию города. Neshta относится к категории файловых вирусов— в настоящее время не сильно популярных среди вирусных программ.
В базах антивирусных программ Neshta известен, как Virus.Win32.NeshtaWin32.HLLP.Neshta (Dr. Web), Win32.NeshtaWin32.Neshuta («Symantec Antivirus»), Win32:Trojan-gen («avast!»).
(«Антивирус Касперского»), (NOD32),
При запуске зараженной программы на «чистой» машине, вирус копирует своё тело в файл svchost.com (размер — 41 472 байта) в директории Windows. После этого регистрирует этот файл в системном реестре по адресу HKCRexefileshellopencommand, в результате чего запуск любого exe-файла на зараженной машине будет предваряться запуском файла вируса. Затем, вирус сканирует доступные логические диски компьютера и заражает exe файлы, удовлетворяющее некоторым критериям (как правило, это подавляющее большинство exe-файлов). После заражения работа компьютера не нарушается.
Для восстановления работоспособности компьютера после удаления Neshta антивирусом может понадобиться изменить значение ключа в реестре по адресу HKCRexefileshellopencommand с «%Windows%svchost.com „%1″ %*»«„%1″ %*» — БЕЗ упоминаний о windowssvchost.comна
Выявлен факт, что при невозможности скопировать свое тело в папку Windows, вирус пытается копировать себя в профиль учетной записи administrator. И прописывает свой запуск в реестр оттуда.
Скачал утилиту от Касперского и запустил – вирус не находит. Скачал утилиту от Доктора Веб и запустил – вирус не находит. Очень неприятный момент. Пришлось действовать головой).
Способ лечения вируса win32.neshta.a :
Первый – переустановить начисто систему, предварительно прогнав из-под DOS антивирусом. В этом случае, вы лишитесь всех файлов EXE, зараженных NESHTA.
Второй. Как ни прискорбно, но большинство антивирусов не лечат файлы зараженные NESHTA, а просто удаляют их. Но, у DRWEB есть бесплатная утилита под названием CUREIT. Вы можете бесплатно скачать ее с сайта DRWEB. Так же вам понадобится файл реестра, который вы можете сделать сами следующим образом. Создаем текстовый документ и вносим в него следующие данные:
REGEDIT4
[HKEY_CLASSES_ROOTexefileshellopencommand]
@=»»%1″ %*»
[HKEY_LOCAL_MACHINESOFTWAREClassesexefileshellopencommand]
@=»»%1″ %*»
Примечание: пустая строка после REGEDIT4 – обязательна.
Сохраняемся и закрываем текстовый документ. Затем, меняем расширение документа с TXT на REG. Запускаем полученный файл реестра и соглашаемся с добавление данных. После чего запускаем утилиту CUREIT и проводим полную проверку системы. Что удивительно, теперь утилита видит вирус и лечит его спокойно. Утилита от Касперского все и теперь не видит заражение – прискорбно. Ну продолжим… На предложения типа «лечить» соглашаемся «да для всех».
Лечение 120 гигов заняло 8,5 часов, пролечил 950 файлов с расширением exe.
Источник
— компьютерный вирус, появившийся в Беларуси в конце 2005-го года.
Название вируса происходит от транслитерации белорусского слова
«не́шта» , означающего «нечто» , «что-то» . Neshta относится к категории
файловых вирусов — ныне мало популярному виду вредоносных программ.
В
базах антивирусных программ Neshta известен, как Virus.Win32.Neshta
(«Антивирус Касперского») , Win32.HLLP.Neshta (Dr. Web), Win32.Neshta
(NOD32), Win32.Neshuta («Symantec Antivirus»), Win32:Trojan-gen
(«avast!»).
Фактически, Neshta является первым белорусским
вирусом, получившим широкое распространение (в основном, в самой
Беларуси и странах СНГ) . При том, что вирус не содержит в себе
разрушительной функции, в первые месяцы его распространения большое
число компьютеров в Беларуси пострадало как раз от его лечения. Это было
связано с тем, что популярные антивирусы удаляли сам вирус, но не
возвращали некоторые изменённые вирусом значения в реестре ОС Windows в
первоначальный вид. В результате, нормально работавшая до лечения
система, при попытке запустить любую программу выдавала стандартное
сообщение об ошибке Windows: «Не удалось открыть следующий файл…» .
К сожалению страдают и сейчас.
Вирус Win32.NESHTA
очень распространенный вирус. Излюбленным местом обитания этого
паразита являются неадминистрируемые локальные сети. Любит компьютеры
незащищенные антивирусными программами или защищенные в недостаточной
степени. Устаревшие антивирусные базы или бесплатные антивирусы, ни в
коей мере не могут поставить надежный щит от проникновения этого и
многих других вирусов.
Последствия заражения вирусом NESHTA.
Когда на компьютере перестают запускаться программы и игры, знайте, вы
попали в цепкие лапы вируса NESHTA. Упорно кликая по ярлыкам или файлам
программ, вы с удивлением замечаете, что ничего не происходит.
Принцип действия вируса NESHTA. На заражаемый компьютер прописывается исполняемый файл вируса C:WINDOWS svchost.com, который, в свою очередь, пытается дотянуться до всех исполняемых файлов с расширением EXE.
А, дотянутся, он может до всего. Это и программы, которые вы
используете в повседневной работе на компьютере, и любимые игры и
дистрибутивы из вашей коллекции программ. Дотянувшись до файла с
расширением EXE, NESHTA увеличивает размер файла на 41472
байт. Происходит внедрение в тело файла тела вируса. В дальнейшем
зараженный файл уже сам является разносчиком заразы и способен заразить
незащищенный компьютер.
Есть два способа избавить от NESHTA.
Первый — переустановить начисто систему, предварительно прогнав из-под DOS антивирусом. В этом случае, вы лишитесь всех файлов EXE, зараженных NESHTA.
Второй. Как ни прискорбно, но большинство антивирусов не лечат файлы зараженные NESHTA, а просто удаляют их. Но, у DRWEB есть бесплатная утилита под названием CUREIT.
Вы можете бесплатно скачать ее с сайта . Так же вам понадобится файл
реестра, который вы можете сделать сами следующим образом. Создаем
текстовый документ и вносим в него следующие данные:
Ключ реестра
REGEDIT4
[HKEY_CLASSES_ROOTexefileshellopencommand]
@=»»%1″ %*»
[HKEY_LOCAL_MACHINESOFTWAREClassesexefileshellopencommand]
@=»»%1″ %*»
Примечание: пустая строка после REGEDIT4 — обязательна.
Сохраняемся и закрываем текстовый документ. Затем, меняем расширение документа с TXT на REG. Запускаем полученный файл реестра и соглашаемся с добавление данных. После чего запускаем утилиту CUREIT и проводим полную проверку системы. На предложения типа «лечить» соглашаемся «да для всех» .
Произведя
все эти действия, и избавившись от вируса, не забудьте установить
качественный антивирус, со свежими антивирусными базами
Источник
Здравствуйте. На форуме у многих много вопросов как избавиться от вируса Neshta. И нашел решение.
И так:
Сначало у Вас не будет запускаться ни одна программа, а будет запускаться окно с таким текстом:
1) Будет писать выберите программу для открытия этого файла.
2) Потом все антивирусы будут блокироваться.
3) При перезапуске компьютера у вас не будет не одного процесса.
Дальше: ——>>>>Как с этим бороться?
1. Скачиваем архив
Cкачать с ######.ru
2 .Открываем архив.
3. Запускаем оба файла .reg
4 .В обоих нажимаем «Да»
5 .Готово!Вирус больше не будет заражать файлы на Вашем компьютере!
6. Главное удаляйте старый антивирус, и скачивайте новый.
7. Далее проверяйте систему на вирусы.
8. После удаляйте все зараженные вирусом файлы.
9. И вирус умер.
P.S — Если кто то думает что я кидаю стиллер, вот вам VirusTotal =)Тот кто не знает что такое вирус Neshta привожу примеры скрины:
Запомните что качать читы нельзя и не нужно, если вы скачаете ваш компьютер будет опасен риску
__________________________________________________ _______________
Как излечится от вируса: Вариант 2. (Сделал лично я)
Технические деталиВредоносная программа, которая находит и заражает исполняемые файлы с файловым расширением «EXE». Является приложением Windows (PE-EXE файл). Имеет размер 9487286 байт. Написана на Delphi.
Инсталляция
После активации вирус копирует свое тело в корневой каталог Windows под именем svchost.com:%WinDir%svchost.com
Данный файл имеет размер 41472 байта.
md5: BC93F4F527B58419EF42F19DB49F64A8
sha1: 2650A73B61577CFC0C0D80A7F38103D65388D808Предварительно производится поиск и удаление существующего файла «%WinDir%svchost.com».
Вирус изменяет значения следующего параметра ключа системного реестра:[HKCRexefileshellopencommand]
«(default)» = «%WinDir%svchost.com «%1″ %*»
Таким образом, при запуске всех EXE-файлов в системе будет запускаться тело вируса %WinDir%svchost.com с параметром равным имени программы, которую запускает пользователь.Деструктивная активность
Вирус получает список логических дисков на компьютере пользователя. После чего сканирует найденные диски в поисках исполняемых файлов Windows(PE-EXE), найденные файлы такого типа заражаются вирусом. При этом найденные файлы должны соответствовать критериям:
файл должен быть не меньше 41472 байта и не больше 10000000 байт;
файл не должен находиться в каталогах %WinDir% и %ProgramFiles%;
не заражаются файлы на CD-ROM и на логических дисках A и B;
При заражении вирус записывает в начало файла свое тело и перенаправляет точку входа в программу на тело вируса, оригинальное начала файла переносится в конец файла, при этом часть переносимого блока шифруется.Также вирус создает файл в корневом каталоге Windows под именем «directx.sys»:
%WinDir%directx.sys
Если тело вируса запускается с параметром равным имени программы, которую запускает пользователь,то производится запуск программы, имя которой передается в виде параметра, а полный путь к запущенной программе помещается в файл %WinDir%directx.sys для дальнейшего заражения. При этом соблюдаются вышеуказанные критерии заражаемых файлов. Если был запущен зараженный файл (размер запускаемого файла больше 41472 байта), то после запуска тела вируса, вирус расшифровывает оригинальный файл и сохраняет его во временном каталоге текущего пользователя Windows в каталоге «3582-490» под оригинальным именем:
%Temp%3582-490
после чего оригинальный файл запускается на выполнение. Для контроля уникальности своего процесса в системе вирус создает уникальный идентификатор с именем:
MutexPolesskayaGlush
В теле вируса содержаться следующие строки:
Delphi-the best. *** all the rest. Neshta 1.0 Made in Belarus.
Рекомендации по удалениюЕсли ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
md5: 09CBA414D6EDC9999220D79660C155B8
sha1: 5C4C02F5F84A932CB476480F0343FCCF7F4B393D
Источник
Вирусы-программы (W32)
Со временем вирусы, прятавшие свой код в теле других программ, сдали свои позиции. Во многом это произошло из-за того, что размеры самих вирусов стали больше — а спрятать код размером в сотни килобайт не так-то просто. Да и сами программы и операционные системы резко поумнели, научившись проверять целост¬ность собственных файлов.
В итоге произошло то, что PI должно было случиться — «исполняемые» вирусы перестали маскироваться, представ перед публикой в «чи¬стом» виде. Вирус превратился в абсолютно от-дельную, независимую программу, не нуждаю¬щуюся в «хозяине-переносчике» . Однако сразу же перед вирусописателями встал другой во¬прос — а как заставить пользователей скачать и запустить у себя на машине этот самый вирус?
«Программные» вирусы, написанные для операционной системы Windows, решили эту проблему, маскируясь под разные «полез¬ные» утилиты — например, под «ломалки» для условно-бесплатных программ или мультиме¬дийные презентации. Другой излюбленный при¬ем распространителей заразы — наряжать свои детища в «одежду» обновлений для операцион¬ной системы или даже.. . антивирусной програм¬мы! Увы, до сих пор многие пользователи, не задумываясь, запускают неизвестные програм¬мы, пришедшие в виде вложений в электронные письма якобы от Microsoft или «Лаборатории Каспсрского» а ведь это самый верный путь поселим. на atoii компьютер вирус!
Иолышпктио вирусов люди запускают на споем компьютере самостоятельно! — увы, несмотря на все усилия борцов с вирусами, некие стереотипы человеческой психологии оказыва¬ются непреодолимыми.. .
В 1995—1999 гг. на просторах Интернета in село развивалась добрая сотня «Windows- совместимых» вирусов. Эти милые зверушки, по¬нятно, развились не просто так.. . Только за период е лета 1998 по лето 1999 г. мир пережил несколь¬ко поистине разрушительных вирусных атак: в результате деятельности вируса Win95.CIH, поражающего BIOS системной платы, из строя были выведены около миллиона компьютеров но всех странах мира.
В середине 2003 г. Сеть оказалась поражена новым «червем» SoBig, распространявшимся в виде вложения в электронные письма. Не¬смотря на то что о вредоносных «вложениях» уже давно трубила вся пресса, люди запускали файл-вирус без малейших опасений. И вот ре¬зультат: по данным аналитиков, в начале 2003 г. каждое 17-е письмо содержало в себе начинку в виде SoBig!
Впрочем, некоторые вирусы способны ата¬ковать ваш компьютер даже в том случае, если его «тело» физически находится в другом месте. Например, один из вирусов 2003 г. — Blaster — был способен атаковать все компью¬теры в локальной сети с одной-единственной машины! Сканируя локальную сеть, программа обнаруживала бреши в защите каждого ком¬пьютера и самостоятельно пропихивала в эту «дырочку» вредоносный код.
Для борьбы с Win32-вирусами одной анти¬вирусной программы, увы, недостаточно — главным условием вашей безопасности яв¬ляется обязательная и регулярная загрузка обновлений к Windows. А именно — файлов- «заплаток» , предназначенных для закрытия уже обнаруженных «дыр» в системе защите операционной системы.
потому что являются win32 приложениями.
Neshta — компьютерный вирус, появившийся в Беларуси в конце 2005-го года. Название вируса происходит от транслитерации белорусского слова «не́шта» , означающего «нечто» , «что-то» . Neshta относится к категории файловых вирусов — ныне мало популярному виду вредоносных программ.
В базах антивирусных программ Neshta известен как Virus.Win32.Neshta («Антивирус Касперского») , Win32.HLLP.Neshta (Dr. Web), Win32.Neshta (NOD32), Win32.Neshuta («Symantec Antivirus»), Win32:Neshta(«avast!»).
Фактически, Neshta является первым белорусским вирусом, получившим широкое распространение (в основном, в самой Беларуси и странах СНГ) . При том, что вирус не содержит в себе разрушительной функции, в первые месяцы его распространения большое число компьютеров в Беларуси пострадало как раз от его лечения. Это было связано с тем, что популярные антивирусы удаляли сам вирус, но не возвращали некоторые изменённые вирусом значения в реестре ОС Windows в первоначальный вид. В результате, нормально работавшая до лечения система, при попытке запустить любую программу выдавала стандартное сообщение об ошибке Windows: «Не удалось открыть следующий файл…» . Также, после заражения возможна некорректная работа некоторых программ, в частности: Google Earth и Google Chrome.
Backdoor.Win32.Sinowal — буткит, похищающий конфиденциальную информацию пользователя. Является приложением Windows (PE-EXE файл) .
Тип вируса: Загрузочный вирус.
Был обнаружен в конце марта 2009 года.
Размер инсталлятора может варьироваться в пределах от 300 до 460 КБ.
Источник
В настоящее время огромное число сайтов заражено вирусами. Обычно вебмастера называют вирусами любой вредоносный код, который тем или иным образом вредит работе сайта или посетителей. Одни вирусы выполняют безобидный редирект на сайты варезных приложений, азартных игр или сайты для взрослых. Другие, используя уязвимости в браузерах или плагинах, проникают на компьютер посетителя и заражают операционную систему, выполняя разрушительные операции. Но не важно, насколько вредоносным оказывается действие конкретного вируса, любой вредоносных код необходимо убрать с сайта как можно раньше и вот почему.
Наличие вируса на сайте приводит к тому, что последний пессимизируется поисковой системой, теряет позиции в поисковой выдаче, а трафик существенно падает. Падение посещаемости может быть связано с двумя проблемами:
- сайт попал в базу поисковой системы, и маркирован как подозрительный или вредоносный
- сайт попал в базу антивируса (например, Касперского)
Итог один: сайт теряет посещаемость, лояльность пользователей и поисковых систем. Для того, чтобы восстановить позиции или удалить сайт из базы «подозрительных», придется потратить достаточно много времени и сил.
Оперативно и качественно вылечить сайт от вирусов, исключив повторное заражение, всегда помогут специалисты, которые ежедневно удаляют с сайтов вредоносный код, быстро фиксируют его видоизменения и анализируют способы хакерских атак. Профессиональная помощь в вопросе лечения и защиты веб-проектов помогает сэкономить время на неудачные эксперименты, а самое главное, избежать повторных взломов и заражений.
Быстро (до 48 часов), с гарантированным результатом и по фиксированной цене проблему безопасности сайта помогут решить специалисты компании «Ревизиум», достаточно заполнить форму заявки на лечение.
Заказать
Сайт заражается вирусом несколькими способами:
- злоумышленник взламывает сайт через уязвимости в скриптах или на сервере, модифицирует настройки сервера, шаблоны или php скрипты для того, чтобы на странице появлялся вредоносный код на javacript, или выполнялся редирект при определенном условии на сторонний сайт.
Для того, чтобы это не произошло, нужно укреплять безопасность сайта: регулярно обновлять версию операционной системы на сервере и скриптов системы управления сайтом, грамотно выставлять привилегии для директорий, использовать безопасные настройки PHP/Perl на сервере, регулярно менять пароли от панели администратора и т.п.
- вирус на компьютере владельца сайта перехватывает пароль от FTP, отсылает его злоумышленнику или боту, который в свою очередь соединяется по FTP и заражает сайт (см. п 1)
Для того, чтобы этого не произошло, нужно использовать безопасное соединение SFTP вместо FTP, не хранить пароли в FTP-клиенте, чаще
менять пароли от FTP, проверять компьютер антивирусом.
Обнаружить вирус помогают поисковые системы, браузеры, антивирусы и иногда посетители сайта. Поисковая система, обычно, присылает отчет о том, что сайт представляет угрозу для посетителей через интерфейс вебмастера. Антивирус или браузер (например, Chrome) блокирует доступ к зараженному сайту, который находится в базе инфицированных сайтов, и показывает пользователю предупреждение при заходе на такой ресурс. Владельцу сайта рекомендуется использовать инструменты вебмастера Яндекса и Гугла для того, чтобы отслеживать работоспособность своих ресурсов. Также в обнаружении вредоносного кода хорошо помогает наблюдение за трафиком: заметное снижение посещаемости сайта может быть сигналом к наличию редиректа или заражению сайта.
Многие владельцы сайтов даже не подозревают о наличии вирусов на своих ресурсах, поскольку вредоносный код может срабатывать при определенных условиях (какое-то конкретное время, количество кликов на странице, заход с определенного браузера или мобильного устройства). Такие вредоносы могут существовать на сайте месяцы, а то и годы. Для их обнаружения необходим как внешний анализ работы сайта, так и внутренний анализ состояния скриптов и сервера.
- Для внешнего анализа работы сайта подойдут браузер Chome, антивирус Касперского и две панели вебмастера (Яндекс.Вебмастер и Google Webmaster Tool).
Браузер Chrome кроме богатого инструментария вебмастера (включая сетевой анализатор и сниффер трафика) имеет встроенный сервис Google Safe Browsing, который покажет, находится ли зараженный сайт в базе Google Safe Browsing. - Для внутреннего анализа рекомендуется использовать специализированные инструменты поиска вредоносных скриптов и следов взлома сайта:
- AI-Bolit для поиска шеллов, вирусов и других вредоносных скриптов среди скриптов сайта
- Rkhunter для поиска руткитов на выделенном (VDS/VPS) сервере
- ClamAV для поиска вирусов под Unix
- Проверьте свой компьютер коммерческим антивирусом с регулярно обновляемыми базами
- Смените все пароли (доступ к хостингу, к панели администратора сайтов)
- Выполните внешний и внутренний анализ сайта, описанные в предыдущем разделе
- Удалите вредоносный код из шаблонов и скриптов
- Укрепите безопасность сервера и скриптов (советы по усилению безопасности можно посмотреть в группе «Безопасность сайтов» https://vk.com/siteprotect)
- Следуйте рекомендациям для предотвращения повторного заражения в статье «Как уберечь сайт от заражения вирусом»
Если вы достаточно уверенно администрируете сервер и являетесь опытным вебмастером, вы сможете легко справится с вредоносными скриптами на сайте.
Также вы всегда можете обратиться к профессионалам, которые помогут вам избавиться от проблем с вирусами, а также защитить сайт от взлома и повторного заражения.
Источник
