Как вылечить вирус подмены страниц

OZTUMTI.RU — это рекламный вирус, при заражении которым браузер вашего компьютера начинает перенаправлять вас на сайты с рекламой вне зависимости от используемого вами браузера.
Вирусы, подобные OZTUMTI.RU, как правило занимаются подменой домашних страниц вашего браузера, меняют поисковый сайт, создают собственные задания в расписании, видоизменяют свойства ярлыков ваших браузеров.

Как происходит заражение рекламным вирусом OZTUMTI.RU?

Как всегда — суббота. Как всегда — запарка. Опять магазины, беготня по городу, нервотрепка, и прочие прелести большого города. И вот наконец вечер. Я расслаблен, сел почитать новости и послушать музыку… Да просто хотел расслабиться, черт возьми!

Но снова эта назойливая реклама, нигде нет спасенья. На этот раз эти помои начали литься на меня с сайта OZTUMTI.RU. На любой открытой страничке мне предлагалось либо воспользоваться их фейковым поисковиком, либо откровенно доставало рекламой. Ничего приятного, в общем. Поэтому я решил не откладывать лечение в долгий ящик.

На самом деле OZTUMTI.RU — обычный вирус перенаправитель, каких сейчас пруд пруди. И деятельность у него тоже — традиционная: подмена стартовой страницы, замена поисковика, заражение свойств ярлыков браузеров, создание заданий в расписании. Ну как обычно, в общем.

И этот поток вирусов, подобных рекламному вирусу OZTUMTI.RU в последнее время просто переходит все границы. Ребята, вы реально достали!!!
Церемониться не буду даже, сразу лечить. И да, я не собираюсь в субботний вечер сидеть и ковыряться в реестре и прочих вещах, у меня для этого всего UnHackMe есть. Но если вы фанат, вкратце и про ручное удаление я конечно вам расскажу.

И все же, прежде чем бросаться рыть в реестре, в каталогах, в ярлыках руками и тратить на это нервы (а они, как известно, не железные), рекомендую дочитать про удаление вируса OZTUMTI.RU до конца. Ну а там уж решайте.

Инструкция по ручному удалению рекламного вируса OZTUMTI.RU

Для того, чтобы самостоятельно избавиться от рекламы OZTUMTI.RU, вам необходимо последовательно выполнить все шаги, которые я привожу ниже:

1. Поискать «OZTUMTI.RU» в списке установленных программ и удалить ее.



2. Открыть Диспетчер задач и закрыть программы, у которых в описании или имени есть слова «OZTUMTI.RU». Заметьте, из какой папки происходит запуск этой программы. Удалите эти папки.



3. Запретить вредные службы с помощью консоли services.msc.



4. Удалить “Назначенные задания”, относящиеся к OZTUMTI.RU, с помощью консоли taskschd.msc.



5. С помощью редактора реестра regedit.exe поискать ключи с названием или содержащим «OZTUMTI.RU» в реестре.



6. Проверить ярлыки для запуска браузеров на предмет наличия в конце командной строки дополнительных адресов Web сайтов и убедиться, что они указывают на подлинный браузер.



7. Проверить плагины всех установленных браузеров Internet Explorer, Chrome, Firefox и т.д.



8. Проверить настройки поиска, домашней страницы. При необходимости сбросить настройки в начальное положение.



9. Очистить корзину, временные файлы, кэш браузеров.

И все же автоматика лучше!

Если ручной метод — не для вас, и хочется более легкий путь, существует множество специализированного ПО, которое сделает всю работу за вас. Я рекомендую воспользоваться UnHackMe от Greatis Software, выполнив все по пошаговой инструкции.
Шаг 1. Установите UnHackMe. (1 минута)
Шаг 2. Запустите поиск вредоносных программ в UnHackMe. (1 минута)
Шаг 3. Удалите вредоносные программы. (3 минуты)

UnHackMe выполнит все указанные шаги, проверяя по своей базе, всего за одну минуту.

При этом UnHackMe скорее всего найдет и другие вредоносные программы, а не только редиректор на OZTUMTI.RU.

При ручном удалении могут возникнуть проблемы с удалением открытых файлов. Закрываемые процессы могут немедленно запускаться вновь, либо могут сделать это после перезагрузки. Часто возникают ситуации, когда недостаточно прав для удалении ключа реестра или файла.

UnHackMe легко со всем справится и выполнит всю трудную работу во время перезагрузки.

И это еще не все. Если после удаления редиректа на OZTUMTI.RU какие то проблемы остались, то в UnHackMe есть ручной режим, в котором можно самостоятельно определять вредоносные программы в списке всех программ.

Итак, приступим:

Шаг 1. Установите UnHackMe (1 минута).

1. Скачали софт, желательно последней версии. И не надо искать на всяких развалах, вполне возможно там вы нарветесь на пиратскую версию с вшитым очередным мусором. Оно вам надо? Идите на сайт производителя, тем более там есть бесплатный триал. Запустите установку программы.



2. Затем следует принять лицензионное соглашение.



3. И наконец указать папку для установки. На этом процесс инсталляции можно считать завершенным.

Шаг 2. Запустите поиск вредоносных программ в UnHackMe (1 минута).

1. Итак, запускаем UnHackMe, и сразу стартуем тестирование, можно использовать быстрое, за 1 минуту. Но если время есть — рекомендую расширенное онлайн тестирование с использованием VirusTotal — это повысит вероятность обнаружения не только перенаправления на OZTUMTI.RU, но и остальной нечисти.



2. Мы увидим как начался процесс сканирования.

Шаг 3. Удалите вредоносные программы (3 минуты).

1. Обнаруживаем что-то на очередном этапе. UnHackMe отличается тем, что показывает вообще все, и очень плохое, и подозрительное, и даже хорошее. Не будьте обезьяной с гранатой! Не уверены в объектах из разряда “подозрительный” или “нейтральный” — не трогайте их. А вот в опасное лучше поверить. Итак, нашли опасный элемент, он будет подсвечен красным. Что делаем, как думаете? Правильно — убить! Ну или в английской версии — Remove Checked. В общем, жмем красную кнопку.



2. После этого вам возможно будет предложено подтверждение. И приглашение закрыть все браузеры. Стоит прислушаться, это поможет.
3. В случае, если понадобится удалить файл, или каталог, пожалуй лучше использовать опцию удаления в безопасном режиме. Да, понадобится перезагрузка, но это быстрее, чем начинать все сначала, поверьте.



4. Ну и в конце вы увидите результаты сканирования и лечения.

Итак, как вы наверное заметили, автоматизированное лечение значительно быстрее и проще! Лично у меня избавление от перенаправителя на OZTUMTI.RU заняло 5 минут! Поэтому я настоятельно рекомендую использовать UnHackMe для лечения вашего компьютера от любых нежелательных программ!

(6 votes, average: 5,00 out of 5)
Загрузка…

В интернете можно столкнуться с мошенниками, цель которых — завладеть личной информацией пользователя. Личные данные — это фамилия, имя, отчество, пароли от учетных записей к социальным сетям, паспортные данные, реквизиты банковской карты и другие личные сведения.

Личная информация нужна для полноценной работы многих приложений и сайтов. Например, вы указываете ФИО и адрес при оформлении заказа в интернете или электронную почту — при подписке на рассылку.

Мошенники используют незаконно полученную информацию, чтобы рассылать спам или получить доступ к вашему мобильному или банковскому счету. Поэтому важно распознать подозрительный или ненадежный сайт, прежде чем вводить личные данные.

Стоит ли передавать информацию конкретному сайту, решать вам. Лучше не оставлять личные данные на подозрительных сайтах.

• Способы хищения данных
• Рекомендации по защите данных
• Если вы стали жертвой мошенников

Злоумышленники используют разные схемы хищения личной информации.

Фишинговые сообщения — это письма от мошенников, которые представляются банками и другими официальными организациями. Цель таких писем — заставить вас ввести пароль или данные карты в поддельную форму.

Злоумышленники запрашивают конфиденциальные данные для подтверждения учетной записи или активации почтового ящика. В результате ваша личная информация оказывается у мошенников.

Подмена сайта — это скрытое перенаправление пользователей на поддельные сайты с помощью вредоносных программ. Пытаясь зайти на популярный сайт, пользователь попадает на сайт-подделку, очень похожий на оригинал. Данные учетной записи, введенные на таком сайте, оказываются у злоумышленников.

Чтобы распознать сайт-подделку, обратите внимание на адрес в поисковой строке — он будет отличаться от официального. В правом верхнем углу вы не найдете значка безопасного соединения , а размещенные на поддельной странице ссылки, скорее всего, будут нерабочими.

Телефонные мошенники звонят или рассылают SMS от имени банка или платежной системы с просьбой предоставить номер карты или перевести деньги на указанный номер. Причины могут быть разными: истекший срок действия пароля, блокировка карты, крупный выигрыш или даже авария с участием близкого человека.

Вас могут попросить перейти по ссылке для восстановления доступа к аккаунту, отправить SMS или позвонить по конкретному номеру. Цель таких сообщений — списать деньги за отправку ответного SMS, подписать на платные услуги или заставить вас ввести пароль и данные карты.

1. Не оставляйте незаблокированными телефоны и компьютеры, не выбрасывайте бумаги и носители данных (жесткие диски, SIM-карты, flash-карты), на которых хранятся пароли.

2. Если компьютером пользуется несколько человек, используйте разные профили операционной системы.

3. Не храните в электронной почте и не выкладывайте в открытый доступ копию документов, удостоверяющих личность: если мошенники взломают вашу почту, они смогут воспользоваться личными данными.

4. Перед работой на чужом компьютере войдите в приватный режим. Если такой возможности нет, очистите кэш, и cookie после завершения работы.

5. Регулярно проверяйте антивирусом съемные диски, флеш-карты и прочие носители информации, которые вы подключаете к чужим компьютерам.

6. Не вводите личную информацию в подозрительные формы, особенно в электронных письмах.

7. Не открывайте вложения и не переходите по ссылкам из электронной почты или мессенджеров (Telegram, WhatsApp и т. п.) от сомнительных адресатов. Если адресат кажется вам подозрительным, внесите его в черный список.

8. Позвоните по официальному номеру банка или другой организации, от имени которой было отправлено подозрительное письмо.

9. Прежде чем совершать покупки онлайн, проверяйте отзывы и рейтинг магазинов, аккаунты продавцов и условия оплаты.

10. Оплачивайте покупки только через известные платежные сервисы и системы (например, Яндекс.Деньги, Visa, WebMoney, Paypal) — такие платежи надежно защищены.

11. Выбирайте сайты с протоколом https, а не http: вероятность взлома сайтов с http гораздо выше, чем сайтов с https.

12. Прежде чем вводить логин и пароль на сайте, убедитесь, что в адресной строке браузера указан верный адрес. Фишинговые веб-страницы могут иметь адрес, очень похожий на настоящий (например, yanclex.ru вместо yandex.ru).

13. Закройте страницу, если в браузере появится сообщение о переходе на подозрительный сайт. Яндекс.Браузер, например, использует панель Protect, отслеживая мошеннические сайты.

14. Подключите двухфакторную аутентификацию для всех своих аккаунтов.

    Подробнее о безопасности в сети читайте в разделе Помощи.

• Если с вашего счета незаконно списали денежные средства, заблокируйте карту по телефону и обратитесь в полицию.

• Если вы отправляли SMS на короткий номер, указанный мошенниками, попытайтесь вернуть деньги через мобильного оператора или компанию, которой принадлежит этот номер.

• Если вы перешли по фишинговой ссылке, проверьте ваш компьютер на вирусы, например, с помощью бесплатных антивирусных программ.

• Если вы ввели пароль на поддельной странице, смените пароль, контрольный вопрос и ответ на него после проверки на вирусы.

• Если вы ввели пароль на поддельной странице вашего аккаунта на Яндексе, измените пароль, секретный вопрос и ответ на него в Паспорте. Если доступ к аккаунту потерян, воспользуйтесь инструкцией по восстановлению доступа.

В последнее время в Рунете появилось вредоносное программное обеспечение нового типа – программы, созданные для искажения страниц в браузере пользователя. Поскольку нас интересует поиск, мы рассмотрим деятельность этих программ в контексте поисковых систем.

В строгом понимании термина «вирус» эти программы вирусами не являются, однако механизм их работы очень похож на деятельность вирусов, поэтому условимся называть такое ПО «вирусом подмены страниц». При обращении пользователя, компьютер которого заражен таким вирусом, к поисковой системе вирус изменяет один из результатов поиска. Таким образом, пользователь переходит не на сайт, найденный поисковой системой, а на какой-то другой.

Эта проблема существует для всех популярных в Рунете поисковиков – для Яндекса, Google, Рамблера, MSN (Live). Кроме того, вирус может подменять не только страницы с результатами поиска, а вообще любые сайты.

Вирус подмены страниц может попасть на компьютер вместе с какой-нибудь программой, загруженной из интернета. Например, вместе с бесплатным ускорителем закачки файлов BitAccelerator, который предоставляется файлообменным сервисом Letitbit.net. Вместе с этой программой пользователь скачивает скрытую библиотеку. Эта библиотека остается на компьютере пользователя и при удалении BitAccelerator.

Чаще всего на зараженном компьютере вирус ведет себя одним из двух способов:

• Вирус подменяет html-код страницы с результатами поиска, подставляя вместо одного из результатов ссылку и описание другого сайта. Дизайн и общий вид подмененной позиции похожи на обычные результаты поиска, но сам сайт к заданному запросу отношения не имеет. Например, по запросу [самолет] выводится порносайт, или по запросу [Яндекс] – сайт другой компании. Если задать тот же самый запрос еще раз, нерелевантный сайт исчезнет из результатов поиска.
• Другой вариант появился позднее, возможно, вследствие того, что пользователи меньше кликали по нерелевантным ответам. По запросу пользователя страница выдачи не изменяется, но при переходе по одному из первых результатов поиска вирус переадресовывает пользователя на другой сайт.

Вирус подмены страниц используется для воровства и продажи трафика – с его помощью можно получить, по самым скромным оценкам, несколько сот тысяч переходов в день. Переходы пользователей продаются рекламодателям как контекстная реклама.

Схема работы мошенников выглядит следующим образом:

• Рекламодатель заказывает рекламу сайта по определенным ключевым словам. Эти слова передаются в программу, работающую на удаленном сервере злоумышленников.
• Когда пользователь заходит с зараженного компьютера на сайт какой-нибудь поисковой системы и вводит запрос в строке поиска, вирус активизируется и передает запрос на сервер мошенников. Если этот запрос содержится в программе, в ответ приходит адрес сайта, который подставляется в выдачу поисковика.
• Пользователь переходит по ложной ссылке и уходит, решив, что поисковая система дала ему нерелевантный ответ. При этом вирус модифицирует HTTP-запрос таким образом, что в логи посещенного сайта записывается переход с рекламной сети мошенников – поэтому рекламодатель заплатит за этот переход.

В результате проигрывают все – кроме авторов вируса, конечно. Пользователь не находит нужную информацию. Рекламодатель платит за нецелевой трафик. Поисковая система теряет репутацию – обнаружив последствия работы вируса подмены, некоторые пользователи обвиняют поисковики в продаже мест на первых страницах выдачи.

До недавнего времени антивирусные компании классифицировали вирусы подмены страниц просто как рекламный софт – не особо полезный, но вроде бы и не вредный. В результате совместных с нами обсуждений и исследований большинство антивирусных компаний пришло к выводу, что такие программы представляют несомненную угрозу. Сейчас большинство производителей антивирусов перевели вирусы подмены страниц в класс вредоносного и опасного ПО. Антивирусы компаний Dr.Web, «Лаборатория Касперского», ESET (NOD32), Panda Security обнаруживают и автоматически удаляют все известные версии вируса подмены страниц.

Кроме того, можно избавиться от вируса при помощи утилиты Касперского или CureIt от «Доктора Веба». 

Мы рассчитываем на то, что вместе с антивирусными компаниями нам удастся остановить распространение вируса и появление его новых образцов.

Если вы подозреваете, что ваш компьютер заражен вирусом подмены страниц, пишите по адресу – safesearch@yandex-team.ru. Мы обязательно поможем.

Александр Садовский