Программист о программировании

Раз Downadup начал скачивать на зараженные компы поддельные антивирусы, то наверняка скоро многим придется с ними столкнуться.
Да и вообще этот тип “вирусов”, которые притворяются антивирусами, сейчас очень распространен, так что я решил написать про симптомы заражения, про опасности таких поддельных вирусов и про свой опыт лечения одного компьютера, зараженного таким поддельным антивирусом.


Около месяца назад мне позвонила одна знакомая, которая знает, что я работаю в компании, занимающейся разработкой антивируса. Она позвонила посоветоваться, так как на ее компьютере якобы появился антивирус, который ей нашел несколько десятков вирусов и теперь просит заплатить 50 долларов за их лечение. Она спрашивала, что делать - платить или нет?


Первое и самое главное, что все должны знать: настоящий антивирус никогда не попросит денег за лечение вирусов. Если уж он их нашел - вылечит. Если же закончилась лицензия - он просто либо перестанет искать вирусы, либо перестанет скачивать новые апдейты, то есть, перестанет защищать от НОВЫХ вирусов, но по прежнему будет находить и лечить старые.
Так что, если “антивирус” просит деньги, чтобы вылечить вирус - это поддельный антивирус. Всё просто. Других вариантов быть не может.



Эти поддельные антивирусы выглядят очень похоже на настоящие антивирусы и их сообщения очень назойливы и пугающи. Раз в 5-10 минут они всплывают, сообщают вам о том, что вы заражены и нужно срочно вылечиться, а для этого заплатить.
Естественно, этих вирусов, которыми поддельный антивирус пугает, на компьютере нет. Они просто выбирают случайные незараженные файлы на компьютере и говорят, что они заражены вирусом, а имя подбирают случайно из списка “страшных” имен.
Выглядеть это может примерно так (картинки с блога Касперского):




Или так:



Или даже, как сообщение в браузере с сайта Microsoft.com:




В итоге люди пугаются и платят. Кстати, чем плохо заплатить? Тем, что вы теряете 50 баксов, ничего не исправляете и, внимание, данные вашей кредитки остаются у пиратов. Что они с ними сделают дальше и сколько вы потеряете - это уже отдельная история.
Я, естественно, посоветовал знакомой не паниковать, ничего не платить, рассказал ей, чем она заражена и попросил принести мне зараженный ноутбук.
Мне было интересно разобраться, как работает эта подделка и как от нее избавиться.
В итоге всё оказалось предельно просто.
Этот вирус запускал всего один процесс, который создавал окно, пугающее пользователя. Process Explorer умеет показывать, кто создал окно, так что этот процесс был мгновенно вычислен и уничтожен.
В систему вирус интегрировался настолько слабо, что удалось удалить его из автозапуска всего лишь удалив в реестре несколько папок и удалив папку с вирусом с диска. Больше никаких сообщений от этого вируса не вылезало.


Но дальше началось самое интересное. Установил ей антивирус (нашу бета-версию) и запустил скан. Скан обнаружил еще 5 разных вирусов, причем парочка из них была активирована и запущена - троян и keylogger. С трояном всё понятно.
А чем плох кейлоггер? Если вы нашли кейлоггер у себя, то считайте, что тот, кто вас заразил, знает все ваши пароли, инфу о кредитной карте и т.п. - все, что вы вбивали в инете когда-либо.
Это было самое опасное и неожиданное, так как за день до этого эта знакомая покупала книги на amazon-е и платила кредиткой. Уже на следующий день она пошла в банк, там все рассказала и ей сразу уничтожили кредитную карту (т.к. она считалась уже скомпрометированной) и сделали новую.


В общем, в итоге все обошлось хорошо, но мораль проста:
1. Имейте антивирус, которому вы можете доверять. Я лично не доверяю бесплатным антивирусам, один из которых стоял на том ноутбуке. Если жалко денег, то можно участвовать в какой-нибудь бета-программе, которые есть у многих платных хороших антивирусов. И не забывайте, что антивирус без апдейтов - это не антивирус.
2. Если вдруг заразились - не паникуйте. Вбейте имя вируса в гугл, найдите там, как его удалить и удалите. Ни в коем случае ничего никому не платите. Эти поддельные антивирусы в большинстве своем очень просты и очень легко удаляются.
3. После его удаления вируса просканируйте диск антивирусом, т.к. этот поддельный антивирус часто устанавливает еще и троян, чтобы скачивать свои новые версии. И если троян не удалить, то этот вирус вернется.

Понравилась статья? Подпишись на RSS!