Сегодня Интернет является достаточно небезопасным виртуальным пространством, откуда пользователь может подхватить какую-нибудь заразу в виде вируса или исполняемого кода. Относительно недавно появилась новая разновидность угроз, интерпретируемая как «вирус_exe.exe». Попробуем разобраться в том, как такие угрозы воздействуют на систему, и как с ними бороться оптимальным способом.
Вирус удаляет EXE-файлы или блокирует их: последствия воздействия
Вирусы, воздействующие именно на исполняемые файлы, известны достаточно давно (еще со времен DOS, когда Windows-систем и в помине не было). На заре развития компьютерной техники «экзешные» файлы являлись самыми основными в системе. Неудивительно, что вирусные атаки были сосредоточены именно на них. Кстати, это касается и некоторых мобильных девайсов, работающих под управлением ОС Windows.
Увы, сегодня ситуация, когда вирус удаляет EXE-объекты, переименовывает их в двойное расширение или просто заменяет собой оригинальные файлы, выглядит чуть ли не катастрофичной.
Собственно, на системе это отображается так, что при запуске какого-то приложения Windows выдает сообщение о том, что такой объект не найден или к нему нет доступа. Тут ситуация проявляется в нескольких вариантах:
- вирус просто удаляет исполняемый файл;
- вирус инфицирует объект с последующим блокированием.
Как уже понятно, в любой ситуации система не распознает искомый объект. Частенько угрозы этого типа проникают в систему, когда производится, например, обновление браузера или пользовательской программы из сомнительного источника. Многие юзеры по неопытности отключают антивирусную защиту или даже расширения браузеров вроде AdBlock, которые способны блокировать всплывающие рекламные окна, выпадающие меню, автоматически загружаемые компоненты и т. д. Этого делать нельзя ни в коем случае.
Вирус создает файлы EXE: как это отражается на системе?
Когда угроза начинает воздействовать на зараженный компьютер путем создания новых исполняемых компонентов, тут тоже можно найти несколько вариантов. В большинстве случаев выделяют два основных:
- создается объект с новым названием «вирус»_exe.exe, где «вирус» – это имя файла, или с оригинальным именем;
- вирус дублирует «экзешные» файлы, встраивая в свои клоны вредоносные коды.
В первом случае найти и обезвредить такую угрозу оказывается намного проще (чуть позже это будет показано на примере вируса some-exe.exe). Во второй ситуации дело обстоит несколько сложнее, поскольку в большинстве случаев сама угроза маскируется под системный процесс (достаточно вспомнить проблемы с объектами вроде svchost.exe).
Все ли антивирусы годятся для лечения?
Что касается средств обнаружения таких угроз, лечения зараженных файлов или изоляции вирусов в карантине, тут не все так просто. А многие бесплатные антивирусные пакеты вообще не годятся.
Известно немало случаев, когда те же бесплатные пакеты AVG и Avira при обнаружении угроз типа «вирус_exe.exe», которые заражали исполняемые файлы (заметьте, не удаляли или подменяли их), при неудачной попытке лечения инфицированных объектов даже не помещали их в карантин, а, что называется, бессовестно удаляли. К чему это приводило? К полной переустановке всей системы.
Оптимальные средства поиска и удаления
Если уж задаваться вопросами эффективного и безопасного поиска и лечения, тут стоит обратить внимание на портативные утилиты вроде Dr. Web CureIt! или KVRT «Лаборатории Касперского».
Однако, как показывает практика, для самого глубокого сканирования (вплоть до оперативной и системной памяти) самым мощным средством являются специальные программы наподобие Kaspersky Rescue Disk. Принцип их работы состоит в том, что изначально создается загрузочный USB или оптический носитель, с которого происходит запуск антивирусного сканера еще до загрузки Windows. При этом такие сканеры способны находить даже глубоко скрытые или тщательно замаскированные объекты, которые не распознаются штатными или портативными антивирусами.
К примеру, вирус Windows, EXE-файлы или папки (с добавлением в их название расширения .exe) определяются достаточно быстро, в то время как штатные сканеры созданные объекты могут пропускать. К тому же зачастую может изменяться и путь к системным файлам, в результате чего обращение происходит не к оригинальному файлу, а к его опасному клону даже на стадии загрузки.
Вирусы типа «_exe.exe»: ручное удаление на примере угрозы some_exe.exe
Теперь изучим разновидность угроз с общим названием «вирус_exe.exe» на конкретном примере.
Как уже говорилось, выявить его можно достаточно просто. Для начала останавливаем одноименный процесс в Диспетчере задач, а затем задаем поиск в Проводнике или любом другом файловом менеджере, а в качестве условия в строку вписываем либо полное имя, либо *exe.exe* (звездочки в строке ставить обязательно). В принципе, можно поступить и проще, поскольку сам файл «прописывается» в папке System32. Удаляем его оттуда. После этого удаляем аналогичную динамическую библиотеку some_dll.dll (если удаление невозможно, сначала оба объекта нужно просто переименовать).
Теперь заходим в редактор системного реестра (команда regedit в меню «Выполнить», вызываемом клавишами Win + R), где снова используем поиск (либо из главного меню, либо сочетанием Ctrl + F). Задаем в поиске полное название, а результаты полностью удаляем.
Если по каким-либо причинам последствия воздействия вируса все равно проявляются, находим файл HOSTS, расположенный в каталоге etc папки drivers, который в свою очередь находится в директории System32 основного тома (Windows) на системном диске, открываем его и удаляем все строки, находящиеся ниже значения «# ::1 localhost». Перегружаем систему, и все работает нормально. Как видим, при этом даже антивирусный сканер не нужен.
Заключение
Вот вкратце и все, что касается вирусов, воздействующих на исполняемые EXE-файлы. Методика их обнаружения и блокирования достаточно проста. Однако лучше всего использовать восстановительные «диски спасения», что не пропустить угрозу и не заниматься ее устранением вручную.
