Как восстановить компьютер от вирусов. Настройка микропрограмм AVZ — восстановления системы после вирусов. Сброс настроек поиска Internet Explorer на стандартные

12.03.2019

Windows 7

Скрипты для восстановления работы Windows XP после заражения вирусом.

Взято с сайта www.smallprogs.ru

У Вас не работает должным образом компьютер? Тогда этот скрипт поможет Вам избавиться от проблем на компьютере!

Скрипт "TaskBar Fixer " применяется, если возникли проблемы с панелью задач или с запуском, некорректной работой рабочего стола. После запуска скрипта закройте все папки и желательно приложения, так как скрипт перезапустит файл Explorer.exe, что повлечет перезагрузку оболочки (рабочего стола, панели задач) и закрытие всех папок.

Язык интерфейса: Русский
Лицензия: Бесплатная
Размер: 2 КБ
xp_taskbar_desktop_fixall.zip

Скрипт "Восстановление системы после вируса " исправит следующие проблемы:
Реестр:
запуск командной строки (cmd.exe)
редактирование реестра (regedit.exe)
запуск диспетчер задач (taskmgr.exe)
запуск оболочки (explorer.exe, userinit.exe, logonui.exe, sysdm.cpl)
открытие файлов (.exe и т.д.)
свойства папки (показать скрытые файлы и т.д.)
Файловая система:
открытие дисков (удаляет autorun.inf в корне всех дисков)

Операционная система: Windows XP (возможно, и другие ОС)
Язык интерфейса: Русский
Лицензия: Бесплатная
Размер: 8 КБ
RestoreXPAfterVirus.zip

----- ПРИ ПРОБЛЕМАХ С ДОСТУПОМ К САЙТАМ -----

а) скачать и запустить файл из архива StaticDelete.zip
б) проверить все вручную:

1- Обязательно проверьте файл host на наличие изменений!
Можно так: %SystemRoot%\system32\drivers\etc\hosts
Эту строку - прямо в адресную строку проводника и открыть блокнотом,
содержимое файла должно выглядеть так (все лишнее - удалить!):

ДЛЯ Win XP:
# © Корпорация Майкрософт (Microsoft Corp.), 1993-1999
#
# Это образец файла HOSTS, используемый Microsoft TCP/IP для Windows.
#
# Этот файл содержит сопоставления IP-адресов именам узлов.
# Каждый элемент должен располагаться в отдельной строке. IP-адрес должен
# находиться в первом столбце, за ним должно следовать соответствующее имя.
# IP-адрес и имя узла должны разделяться хотя бы одним пробелом.
#
# Кроме того, в некоторых строках могут быть вставлены комментарии
# (такие, как эта строка), они должны следовать за именем узла и отделяться
# от него символом "#".
#
# Например:
#
# 102.54.94.97 rhino.acme.com # исходный сервер
# 38.25.63.10 x.acme.com # узел клиента x

127.0.0.1 localhost

ДЛЯ Win 7:
# Copyright © 1993-2009 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a "#" symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host

# localhost name resolution is handled within DNS itself.
# 127.0.0.1 localhost
# ::1 localhost

2- Если в host чисто, но на сайты НЕ заходит - нужно проверить статические маршруты:
В консоли (с правами админа!)
route print >C:log.txt
Файл log.txt сохранится в коре диска С - покажите на форуме
Удалить все статические маршруты - команда в консоли route -f

Вызов консоли: Пуск>Выполнить>cmd или %SystemRoot%\system32\cmd.exe - из адресной строки проводника.
Для запуска с правами Админа нужно НАЙТИ файл cmd.exe и запустить его от имени Администратора.
ВНИЗУ ПРИКРЕПЛЕН CMD ФАЙЛ (zip) - ДЛЯ БЫСТРОЙ ПРОВЕРКИ, РЕДАКТИРОВАНИЯ host
И УДАЛЕНИЯ ПОСТОЯННЫХ (СТАТИЧЕСКИХ) МАРШРУТОВ > запускать от админа!

3- Откройте планировщик заданий и удалите неизвестные и/или подозрительные задания!
В 7, например -> Панель управления \ Все элементы панели управления \ Администрирование
или %windir%\system32\taskschd.msc /s- из адресной строки проводника.

Если используете IE (Internet Explorer) - проверьте в настройках:
Свойства обозревателя->Подключения->Настройка и Настройка сети: возможно присутствие "левых" прокси-серверов! Удалите.

Как восстановить загрузку Windows в Безопасном режиме

Взято с rusprogram.3dn.ru
Как восстановить загрузку Windows в Безопасном режиме
1. Можно попробовать восстановить загрузку Windows в Безопасном режиме, используя Восстановление системы.
2. Если это не помогает, создайте точку восстановления.
Windows XP – скачайте и разархивируйте файл xp-safeboot.zip ;
– запустите файл xp-safeboot.reg;
– в диалоговом окне Редактора реестра с сообщением «Вы действительно хотите добавить информацию из xp-safeboot.reg в реестр?» нажмите Да;
– в диалоговом окне Редактора реестра с сообщением, что данные из файла xp-safeboot.reg были успешно внесены в Реестр, нажмите OK.
Windows Vista – скачайте и разархивируйте файл vista-safeboot.zip ;
– запустите файл vista-safeboot.reg;
– в диалоговом окне Редактора реестра с сообщением «Вы действительно хотите добавить информацию из vista-safeboot.reg в реестр?» нажмите Да;
– в диалоговом окне Редактора реестра с сообщением, что данные из файла vista-safeboot.reg были успешно внесены в Реестр, нажмите OK.
Windows 7 - скачайте и разархивируйте файл 7-safe-boot.zip ;
– войдите в систему с учетной записью Администратора;
– запустите файл 7-safeboot.reg; – в диалоговом окне Редактора реестра с сообщением «Добавление сведений может привести к непреднамеренному изменению или удалению значений и неправильной работе компонентов. Если сведения в …7-safeboot.reg получены из недостоверного источника, не добавляйте их в реестр. Продолжить?» нажмите Да;
– в диалоговом окне Редактора реестра с сообщением, что данные из файла 7-safeboot.reg были успешно внесены в Реестр, нажмите OK.
Примечания
1. На некоторых клавиатурах функциональные клавиши F1 – F12 по умолчанию всегда отключены. Для их включения необходимо нажать специальную клавишу (как правило, эта клавиша обозначена стилизованным замком с надписью F-key и располагается в верхнем левом углу клавиатуры).
2. При наличии на компьютере двух или нескольких операционных систем, выберите нужную с помощью клавиш со стрелками, а затем нажмите клавишу Enter.
3. Для использования клавиш со стрелками на цифровой клавиатуре режим Num Lock должен быть отключен.
4. В некоторых ситуациях, например, при повреждении системных файлов Windows, необходимых для загрузки системы, Безопасный режим не поможет. В этом случае может помочь консоль восстановления.
5. В Безопасном режиме некоторые устройства и программы могут работать некорректно (или совсем не работать!).
6. Большинство (но не все!) вредоносных программ можно отыскать и удалить в Безопасном режиме, хотя лучше для этого использовать так называемую загрузку в чистой среде.

Лайкнуть

Твитнуть

Существуют универсальные как швейцарский нож программы. Герой моей статьи - как раз такой «универсал». Зовут его AVZ (Антивирус Зайцева). С помощью этого бесплатного антивируса и вирусы выловить можно, и систему оптимизировать, и проблемы исправить.

Возможности AVZ

О том, что это антивирусная программа, я уже рассказывал в . О работе AVZ в качестве одноразового антивируса (точнее, антируткита) хорошо рассказано в справке к ней, я же покажу вам иную сторону программы: проверка и восстановление настроек.

Что можно «починить» с помощью AVZ:

Восстановить запуск программ (.exe, .com, .pif файлов)
Сбросить настройки Internet Explorer на стандартные
Восстановить настройки рабочего стола
Снять ограничения прав (например, если вирус заблокировал запуск программ)
Удалить баннер или окно, появляющееся до входа в систему
Удалить вирусы, которые умеют запускаться вместе с любой программой
Разблокировать диспетчер задач и редактор реестра (если вирус запретил их запуск)
Очистить файл
Запретить автозапуск программ с флешек и дисков
Удалить ненужные файлы с жесткого диска
Исправить проблемы с Рабочим столом
И многое другое

Также с ее помощью можно проверить на безопасность настройки Windows (дабы лучше защитить от вирусов), а также оптимизировать систему, почистив автозагрузку.

Страница загрузки AVZ находится .

Программа бесплатна.

Сначала обезопасим свою Windows от неосторожных действий

Программа AVZ имеет очень много функций, затрагивающих работу Windows. Это опасно , потому что в случае ошибки может случиться беда. Просьба внимательно читать текст и справку, прежде чем что-то делать. Автор статьи не несет ответственности за ваши действия.

Чтобы иметь возможность все «вернуть как было» после неосторожной работы с AVZ, я написал эту главу.

Это обязательный шаг, по сути создание «пути отхода» в случае неосторожных действий - благодаря точке восстановления можно будет восстановить настройки, реестр Windows до более раннего состояния.

Система восстановления Windows - обязательный компонент всех версий Windows, начиная с Windows ME. Жаль, что о нем обычно не вспоминают и теряют время, переустанавливая Windows и программы, хотя можно было всего лишь пару раз кликнуть мышкой и избежать всех проблем.

Если повреждения серьезные (например, удалена часть системных файлов), то «Восстановление системы» не поможет. В остальных случаях - если вы неправильно настроили Windows, «намудрили» с реестром, поставили программу, от которой Windows не загружается, неправильно воспользовались программой AVZ - «Восстановление системы» должно помочь.

После работы AVZ создает в своей папке подпапки с резервными копиями:

/Backup - там хранятся резервные копии реестра.

/Infected - копии удаленных вирусов.

/Quarantine - копии подозрительных файлов.

Если после работы AVZ начались проблемы (например, вы бездумно воспользовались инструментом AVZ «Восстановлением системы» и Интернет перестал работать) и Восстановление системы Windows не откатило сделанные изменения, можно пооткрывать резервные копии реестра из папки Backup.

Как создать точку восстановления

Идем в Пуск - Панель управления - Система - Защита системы:

Нажимаем «Защита системы» в окне «Система».

Нажимаем кнопку «Создать».

Процесс создания точки восстановления может занять с десяток минут. Затем появится окно:

Точка восстановления будет создана. Кстати, они автоматически создаются при установке программ и драйверов, но не всегда. Поэтому перед опасными действиями (настройкой, чисткой системы) лучше лишний раз создать точку восстановления, чтобы в случае беды хвалить себя за предусмотрительность.

Как восстановить компьютер с помощью точки восстановления

Существует два варианта запуска Восстановления системы - из-под запущенной Windows и с помощью диска с установкой.

Вариант 1 - если Windows запускается

Идем в Пуск - Все программы - Стандартные - Служебные - Восстановление системы:

Запустится Выбрать другую точку восстановления и нажимаем Далее. Откроется список точек восстановления. Выбираем ту, которая нужна:

Компьютер автоматически перезагрузится. После загрузки все настройки, его реестр и часть важных файлов будут восстановлены.

Вариант 2 - если Windows не загружается

Нужен «установочный» диск с Windows 7 или Windows 8. Где его достать (или скачать), я написал в .

Загружаемся с диска (как загружаться с загрузочных дисков, написано ) и выбираем :

Выбираем «Восстановление системы» вместо установки Windows

Починка системы после вирусов или неумелых действий с компьютером

До всех действий избавьтесь от вирусов, например, с помощью . В противном случае толку не будет - исправленные настройки запущенный вирус снова «поломает».

Восстановление запуска программ

Если вирус заблокировал запуск каких-либо программ, то AVZ вам поможет. Конечно, надо еще запустить сам AVZ, но это довольно легко:

Сначала идем в Панель управления - ставим любой вид просмотра, кроме Категории - Параметры папок - Вид - снять галку с Скрывать расширения для зарегистрированных типов файлов - OK. Теперь у каждого файла видно расширение - несколько символов после последней точки в имени. У программ это обычно .exe и .com . Чтобы запустить антивирус AVZ на компьютере, где запрещен запуск программ, переименуйте расширение в cmd или pif:

Тогда AVZ запустится. Затем в самом окне программы нажимаем Файл - :

Надо отметить пункты:

1. Восстановление параметров запуска.exe, .com, .pif файлов (собственно, решает проблему запуска программ)

6. Удаление всех Policies (ограничений) текущего пользователя (в некоторых редких случаях этот пункт также помогает решить проблему запуска программ, если вирус попался очень вредный)

9. Удаление отладчиков системных процессов (очень желательно отметить и этот пункт, потому что даже если вы проверили систему антивирусом, от вируса что-то могло остаться. Также помогает в случае, если Рабочий стол не появляется при запуске системы)

, подтверждаем действие, появляется окно с текстом «Восстановление системы выполнено». После остается перезагрузить компьютер - проблема с запуском программ будет решена!

Восстановление запуска Рабочего стола

Достаточно частая проблема - при запуске системы не появляется Рабочий стол.

Запустить Рабочий стол можно так: нажимаем Ctrl+Alt+Del, запускаем Диспетчер задач, там нажимаем Файл - Новая задача (Выполнить…) - вводим explorer.exe :

ОК - Рабочий стол запустится. Но это только временное решение проблемы - при следующем включении компьютера придется все повторить заново.

Чтобы не делать так каждый раз, надо восстановить ключ запуска программы explorer («Проводник», который отвечает за стандартный просмотр содержимого папок и работу Рабочего стола). В AVZ нажимаем Файл - и отмечаем пункт

Выполнить отмеченные операции , подтверждаем действие, нажимаем OK. Теперь при запуске компьютера рабочий стол будет запускаться нормально.

Разблокировка Диспетчера задач и Редактора реестра

Если вирус заблокировал запуск двух вышеупомянутых программ, через окно программы AVZ можно запрет убрать. Просто отметьте два пункта:

11. Разблокировка диспетчера задач

17. Разблокировка редактора реестра

И нажмите Выполнить отмеченные операции.

Проблемы с интернетом (не открываются сайты Вконтакте, Одноклассники и сайты антивирусов)

Чистка системы от ненужных файлов

Программы AVZ умеет чистить компьютер от ненужных файлов. Если на компьютере не установлена программа очистки жесткого диска , то сойдет и AVZ, благо возможностей много:

Подробнее о пунктах:

Очистить кеш системы Prefetch - очистка папки с информацией о том, какие файлы подгружать заранее для быстрого запуска программ. Опция бесполезная, потому что Windows сама вполне успешно следит за папкой Prefetch и чистит ее, когда требуется.
Удалить файлы журналов Windows - можно очистить разнообразные базы данных и файлы, хранящие в себе различные записи о происходящих в операционной системе событиях. Опция полезна, если надо освободить с десяток-другой мегабайт места на жестком диске. То есть выгода от использования мизерна, опция бесполезная.
Удалить файлы дампов памяти - при возникновении критических ошибок Windows прерывает свою работу и показывает BSOD (синий экран смерти), заодно сохраняя информацию о запущенных программах и драйверах в файл для последующего анализа специальными программами, чтобы выявить виновника сбоя. Опция почти бесполезна, так как позволяет выиграть всего лишь десяток мегабайт свободного места. Очистка файлов дампов памяти системе не вредит.
Очистить список Недавние документы - как ни странно, опция очищает список Недавние документы. Этот список находится в меню Пуск. Очистку списка можно произвести и вручную, нажав правой кнопкой по этому пункту в меню Пуск и выбрав «Очистить список последних элементов». Опция полезная: мной было замечено, что очистка списка недавних документов позволяет меню Пуск отображать свои меню чуть-чуть быстрее. Системе не повредит.
Очистка папки TEMP - Святой Грааль для тех, кто ищет причину исчезновения свободного места на диске C:. Дело в том, что в папке TEMP многие программы складируют файлы для временного использования, забывая потом «убрать за собой». Типичный пример - архиваторы. Распакуют туда файлы и забудут удалить. Очистка папки TEMP системе не вредит, места может освободить много (в особо запущенных случаях выигрыш свободного места достигает полусотни гигабайт!).
Adobe Flash Player - очистка временных файлов - «флеш-плеер» может сохранять файлы для временного использования. Их можно удалить. Иногда (редко) опция помогает в борьбе с глюками Flash Player. Например, с проблемами воспроизведения видео и аудио на сайте Вконтакте. Вреда от использования нет.
Очистка кеша терминального клиента - насколько я знаю, эта опция очищает временные файлы компонента Windows под названием «Подключение к удаленному рабочему столу» (удаленный доступ к компьютерам по протоколу RDP). Опция вроде бы вреда не наносит, места освобождает с десяток мегабайт в лучшем случае. Смысла использовать нет.
IIS - удаление журнала ошибок HTTP - долго объяснять, что это такое. Скажу лишь, что опцию очистки журнала IIS лучше не включать. В любом случае вреда не наносит, пользы тоже.
Macromedia Flash Player - пункт дублирует «Adobe Flash Player - очистка временных файлов» , но затрагивает довольно древние версии Флеш Плеера.
Java - очистка кеша - дает выигрыш в пару мегабайт на жестком диске. Я не пользуюсь программами на Java, поэтому последствия включения опции не проверял. Не советую включать.
Очистка корзины - назначение этого пункта абсолютно понятно из его названия.
Удалить протоколы установки обновлений системы - Windows ведет журнал установленных обновлений. Включение этой опции очищает журнал. Опция бесполезна, потому что выигрыша свободного места никакого.
Удалить протокол Windows Update - аналогично предыдущему пункту, но удаляются другие файлы. Тоже бесполезная опция.
Очистить базу MountPoints - если при подключении флешки или жесткого диска не создаются значки с ними в окне Компьютер, эта опция может помочь. Советую включать только в том случае, если у вас проблемы с подключением флешек и дисков.
Internet Explorer - очистка кеша - очищает временные файлы Internet Explorer. Опция безопасна и полезна.
Microsoft Office - очистка кеша - очищает временные файлы программ Microsoft Office - Word, Excel, PowerPoint и других. Проверить безопасности опции не могу, потому что у меня нет Microsoft Office.
Очистка кеша системы записи на компакт-диск - полезная опция, позволяющая удалить файлы, которые вы подготовили для записи на диски.
Очистка системной папки TEMP - в отличии от пользовательской папки TEMP (см. пункт 5) очистка этой папки не всегда безопасна, да и места обычно освобождается немного. Включать не советую.
MSI - очистка папки Config.Msi - в этой папки хранятся различные файлы, созданные инсталляторами программ. Папка имеет большой объем, если программы установки некорректно завершали свою работу, поэтому очистка папки Config.Msi оправданна. Тем не менее, предупреждаю - могут возникнуть проблемы с удалением программ, использующих.msi-инсталляторы (например, Microsoft Office).
Очистить протоколы планировщика задач - Планировщик задач Windows хранит журнал, где записывает информацию о выполненных заданиях. Не рекомендую включать этот пункт, потому что выгоды нет, зато проблем прибавит - Планировщик заданий Windows довольно глючный компонент.
Удалить протоколы установки Windows - выигрыш места несущественен, смысла удалять нет.
Windows - очистка кеша иконок - полезно, если у вас проблемы с ярлыками. Например, при появлении Рабочего стола значки появляются не сразу. Включение опции на стабильность системы не повлияет.
Google Chrome - очистка кеша - очень полезная опция. Google Chrome хранит копии страниц в отведенной для этого папке, чтобы быстрее открывать сайты (страницы подгружаются с жесткого диска вместо загрузки через интернет). Иногда размер этой папки достигает полугигабайта. Очистка полезна ввиду освобождения места на жестком диске, на стабильность ни Windows, ни Google Chrome не влияет.
Mozilla Firefox - очистка папки CrashReports - каждый раз, когда с браузером Firefox случается проблема и он аварийно закрывается, создаются файлы отчета. Эта опция удаляет файлы отчетов. Выигрыш свободного места достигает пару десятком мегабайт, то есть толку от опции мало, но есть. На стабильность Windows и Mozilla Firefox не влияет.

В зависимости от установленных программ, количество пунктов будет отличаться. Например, если установлен браузер Opera, можно будет очистить и его кеш тоже.

Чистка списка автозапуска программ

Верный способ ускорить включение компьютера и скорость его работы - чистка списка автозапуска. Если ненужные программы не будут запускаться, то компьютер не только будет включаться быстрее, но и работать быстрее тоже - за счет освободившихся ресурсов, которые не будут забирать запущенные в фоне программы.

AVZ умеет просматривать практически все лазейки в Windows, через которые запускаются программы. Просмотреть список автозапуска можно в меню Сервис - Менеджер автозапуска:

Рядовому пользователю столь мощный функционал абсолютно ни к чему, поэтому я призываю не отключать все подряд . Достаточно посмотреть только два пункта - Папки автозапуска и Run* .

AVZ отображает автозапуск не только вашего пользователя, но и всех остальных профилей:

В разделе Run* лучше не отключать программы, находящиеся в разделе HKEY_USERS - это может нарушить работу других профилей пользователей и самой операционной системы. В разделе Папки автозапуска можно отключать все, что вам не нужно.

Зеленым отмечены строчки, опознанные антивирусом как известные. Сюда входят как системные программы Windows, так и посторонние программы, имеющие цифровую подпись.

Черным отмечены все остальные программы. Это не значит, что такие программы являются вирусами или чем-то подобным, просто не все программы имеют цифровую подпись.

Не забудьте растянуть первую колонку пошире, чтобы было видно название программы. Обычное снятие галочки временно отключит автозапуск программы (можно будет потом поставить галку снова), выделение пункта и нажатие кнопки с черным крестиком удалит запись навсегда (или до того момента, как программа снова себя пропишет в автозапуск).

Возникает вопрос: как определить, что можно отключать, а что нет? Есть два пути решения:

Во-первых, есть здравый смысл: по названию.exe файла программы можно принять решение. Например, программа Skype при установке создает запись для автоматического запуска при включении компьютера. Если вам это не нужно - снимайте галочку с пункта, заканчивающегося на skype.exe. Кстати, многие программы (и Скайп в их числе) умеют сами убирать себя из автозагрузки, достаточно снять галку с соответствующего пункта в настройках самой программы.

Во-вторых, можно поискать в интернете информацию о программе. На основе полученных сведений остается принять решение: удалять ее из автозапуска или нет. AVZ упрощает поиск информации о пунктах: достаточно лишь нажать правой кнопкой мыши по пункту и выбрать ваш любимый поисковик:

Отключив ненужные программы, вы ощутимо ускорите запуск компьютера. Однако все подряд отключать нежелательно - это чревато тем, что вы потеряете индикатор раскладки, отключите антивирус и т.д.

Отключайте только те программы, о которых вы знаете точно - они вам в автозапуске не нужны.

Итог

В принципе, то, о чем я написал в статье, сродни забиванию гвоздей микроскопом - программа AVZ подходит для оптимизации Windows, но вообще-то это сложный и мощный инструмент, подходящий для выполнения самых разных задач. Однако, чтобы использовать AVZ на полную катушку, нужно досконально знать Windows, поэтому можно начать с малого - а именно с того, о чем я рассказал выше.

Если у вас есть какие-либо вопросы или замечания - под статей есть блок комментариев, где можно написать мне. Я слежу за комментариями и постараюсь как можно быстрее вам ответить.

Восстанавление реестра

Реестр Windows, начиная с самых первых версий ОС, остается критически важным компонентом системы, по сути представляя собой базу данных для хранения различных параметров и настроек рабочего окружения, установленного ПО и самой Windows. Логично, что нарушение работы реестра или его повреждение грозит неработоспособным состоянием ОС.

Сам реестр, который открывается штатной утилитой regedit, физически представлен несколькими файлами, хранящимися по пути %SystemRoot%\System32\config\. Это файлы с именами SYSTEM, SOFTWARE, SECURITY, SAM, DEFAULT без расширений и доступные только для системных процессов NT AUTHORITY\SYSTEM, LocalSystem. Но если реестр открывать через штатный редактор, то эти файлы предстанут в виде большого иерархического дерева.

Первое, что приходит на ум, - это, конечно же, сделать бэкапы этих файлов и при необходимости просто заменить битые на резервные копии. Но из-под загруженной ОС простым копированием выполнить это не удастся, а экспорт данных с использованием regedit может получиться неполноценным. Поэтому рассмотрим инструменты, которые помогут нам в этом деле.

Штатные инструменты Windows для восстановления реестра

«Из коробки» Windows, к сожалению, не имеет отдельного инструмента, позволяющего делать резервные копии реестра. Все, что может дать система, - это функциональность морально устаревшей NTBackUp родом из эпохи Windows XP / 2003 Server или в новых ОС Windows 7, 8, 10 ее реинкарнацию в виде « », предлагающей создать целиком образ системы (всей системы - не реестра!). Поэтому рассмотрим лишь небольшой пример действий в консоли восстановления, позволяющих восстановить реестр вручную. По сути это операции замены битых файлов на инфицированной системе оригинальными файлами реестра из заранее сделанной резервной копии.

Интерфейс утилиты NTBackUp

Загрузившись в Live CD режиме с установочного диска или с локально установленной консоли восстановления (для XP/2003), необходимо выполнить следующие команды, описанные самой Microsoft:

// Создаем резервные копии реестра системы
md tmp
copy c:\windows\system32\config\system c:\windows\tmp\system.bak
copy c:\windows\system32\config\software c:\windows\tmp\software.bak
copy c:\windows\system32\config\sam c:\windows\tmp\sam.bak
copy c:\windows\system32\config\security c:\windows\tmp\security.bak
copy c:\windows\system32\config\default c:\windows\tmp\default.bak

// Удаляем битые файлы из системной директории ОС
delete c:\windows\system32\config\system
delete c:\windows\system32\config\software
delete c:\windows\system32\config\sam
delete c:\windows\system32\config\security
delete c:\windows\system32\config\default

// Копируем работоспособные файлы реестра из теневой копии
copy c:\windows\repair\system c:\windows\system32\config\system
copy c:\windows\repair\software c:\windows\system32\config\software
copy c:\windows\repair\sam c:\windows\system32\config\sam
copy c:\windows\repair\security c:\windows\system32\config\security
copy c:\windows\repair\default c:\windows\system32\config\default

Все, перезагружаем машину и смотрим на результат!

Продвинутые методы восстановления реестра

Как мы выяснили, у Windows нет достойного инструмента управления реестром. Поэтому посмотрим, что же нам могут предложить сторонние производители.

Окно утилиты TCPView

Список сетевых служб и соотносящихся с ними резервированных портов для NT-шных систем можно посмотреть в файле %SystemRoot%\system32\drivers\etc\services - это тоже по сути текстовый файл без расширения, который доступен к просмотру любым блокнотом.

Окно утилиты Nirsoft CurrPorts

И напоследок для всего из описанного выше, что мы делали руками, можно использовать тулзы, к примеру . Данная утилита восстанавливает ключи реестра сетевых настроек системы со значениями по умолчанию. Помимо этого, она также:

проверяет файл hosts на правильность указателя localhost (обязан ссылаться на адрес 127.0.0.1);
создает бэкап текущих системных установок (по желанию пользователя);
отключает все сетевые адаптеры и переустанавливает их параметры.

Окно утилиты WinSock XP Fix

Нативная тулза с графическим интерфейсом , о которой мы говорили, выполняет то же самое, что и команды netsh int ip reset и netsh winsock reset. Аналогична ей тулза Reset-TCPIP, которая выполняет все описанные комбинации консольных команд под одним GUI.

Окно утилиты Reset-TCPIP

Еще одна хорошая бесплатная тулза предназначена для исправления самых разных ошибок, связанных с работой сети и интернета в Windows. Краткий список ее возможностей:

очистить и исправить файл hosts;
включить Ethernet и беспроводные адаптеры сети;
сбросить Winsock и протокол TCP/IP;
очистить кеш DNS, таблицы маршрутизации, очистить статические IP подключений;
перезагрузить NetBIOS.

Окно утилиты NetAdapter Repair

Live CD как спасательный круг

И, продолжая нашу тему, мы просто не могли пройти мимо рассказа о Live CD сборках, предназначенных для восстановления системы. Изначально Livе CD позиционировался как инструмент для выполнения административных задач: подготовки жесткого диска, оперативного получения доступа к данным, хранящимся на дисках, и так далее. Сейчас же Live CD напоминают скорее универсальный спасательный круг для реанимации системы в случае различных падений, в том числе и после вирусной атаки. Главное их достоинство заключается в том, что все инструменты собраны под одним капотом и могут работать параллельно. Но есть и недостаток: чтобы загрузиться в Live CD режиме, нужно перезагружать машину, что в некоторых случаях для нас недопустимо.

Все известные антивирусные разработчики имеют бесплатные загрузочные диски для восстановления системы. Мы кратенько по ним пробежимся, но углубляться в детали не станем - мы же договорились в начале нашего материала, что будем использовать только те инструменты, которые не являются антивирусным ПО в чистом виде.

Если на компьютере появилось текстовое сообщение, в котором написано, что ваши файлы зашифрованы, то не спешите паниковать. Какие симптомы шифрования файлов? Привычное расширение меняется на *.vault, *.xtbl, *[email protected]_XO101 и т.д. Открыть файлы нельзя – требуется ключ, который можно приобрести, отправив письмо на указанный в сообщении адрес.

Откуда у Вас зашифрованные файлы?

Компьютер подхватил вирус, который закрыл доступ к информации. Часто антивирусы их пропускают, потому что в основе этой программы обычно лежит какая-нибудь безобидная бесплатная утилита шифрования. Сам вирус вы удалите достаточно быстро, но с расшифровкой информации могут возникнуть серьезные проблемы.

Техническая поддержка Лаборатории Касперского, Dr.Web и других известных компаний, занимающихся разработкой антивирусного ПО, в ответ на просьбы пользователей расшифровать данные сообщает, что сделать это за приемлемое время невозможно. Есть несколько программ, которые могут подобрать код, но они умеют работать только с изученными ранее вирусами. Если же вы столкнулись с новой модификацией, то шансов на восстановление доступа к информации чрезвычайно мало.

Как вирус-шифровальщик попадает на компьютер?

В 90% случаев пользователи сами активируют вирус на компьютере , открывая неизвестные письма. После на e-mail приходит послание с провокационной темой – «Повестка в суд», «Задолженность по кредиту», «Уведомление из налоговой инспекции» и т.д. Внутри фейкового письма есть вложение, после скачивания которого шифровальщик попадает на компьютер и начинает постепенно закрывать доступ к файлам.

Шифрование не происходит моментально, поэтому у пользователей есть время, чтобы удалить вирус до того, как будет зашифрована вся информация. Уничтожить вредоносный скрипт можно с помощью чистящих утилит Dr.Web CureIt, Kaspersky Internet Security и Malwarebytes Antimalware.

Способы восстановления файлов

Если на компьютере была включена защита системы, то даже после действия вируса-шифровальщика есть шансы вернуть файлы в нормальное состояние, используя теневые копии файлов. Шифровальщики обычно стараются их удалить, но иногда им не удается это сделать из-за отсутствия полномочий администратора.

Восстановление предыдущей версии:

Чтобы предыдущие версии сохранялись, нужно включить защиту системы.

Важно: защита системы должна быть включена до появления шифровальщика, после это уже не поможет.

Откройте свойства «Компьютера».
В меню слева выберите «Защита системы».
Выделите диск C и нажмите «Настроить».
Выберите восстановление параметров и предыдущих версий файлов. Примените изменения, нажав «Ок».

Если вы предприняли эти меры до появления вируса, зашифровывающего файлы, то после очистки компьютер от вредоносного кода у вас будут хорошие шансы на восстановление информации.

Использование специальных утилит

Лаборатория Касперского подготовила несколько утилит, помогающих открыть зашифрованные файлы после удаления вируса. Первый дешифратор, который стоит попробовать применить – Kaspersky RectorDecryptor .

Загрузите программу с официального сайта Лаборатории Касперского.
После запустите утилиту и нажмите «Начать проверку». Укажите путь к любому зашифрованному файлу.

Если вредоносная программа не изменила расширение у файлов, то для расшифровки необходимо собрать их в отдельную папку. Если утилита RectorDecryptor, загрузите с официального сайта Касперского еще две программы – XoristDecryptor и RakhniDecryptor.

Последняя утилита от Лаборатории Касперского называется Ransomware Decryptor. Она помогает расшифровать файлы после вируса CoinVault, который пока не очень распространен в Рунете, но скоро может заменить другие трояны.

Антивирусные программы, даже при обнаружении и удалении вредоносного программного обеспечения, далеко не всегда восстанавливают полную работоспособность системы. Нередко, после удаления вируса, пользователь компьютера получает пустой рабочий стол, полное отсутствие доступа в Интернет (или блокировку доступа к некоторым сайтам), неработающую мышку и т.п. Вызвано это, как правило, тем, что остались нетронутыми некоторые системные или пользовательские настройки, измененные вредоносной программой.

Утилита бесплатна, работает без установки, удивительно функциональна и выручала меня в самых различных ситуациях. Вирус, как правило, вносит изменения в реестр системы (добавление в автозагрузку, модификация параметров запуска программ и т.д.). Чтобы не копаться в системе, вручную исправляя следы вируса, стоит воспользоваться имеющейся в AVZ операцией "восстановление системы" (хотя и как антивирус утилита весьма и весьма неплоха, очень даже неплохо проверить утилитой диски на наличие вирусов).

Чтобы запустить восстановление, запускаем утилиту. Затем нажимаем файл - восстановление системы

и перед нами откроется такое окошко

отмечаем нужные нам галочки и жмем "Выполнить отмеченные операции"

1.Восстановление параметров запуска.exe, .com, .pif файлов

Данная микропрограмма восстанавливает реакцию системы на файлы exe, com, pif, scr.

Показания к применению: после удаления вируса перестают запускаться программы.

2.Сброс настроек префиксов протоколов Internet Explorer на стандартные

Данная микропрограмма восстанавливает настройки префиксов протоколов в Internet Explorer

Показания к применению: при вводе адреса типа www.yandex.ru идет его подмена на что-то вида www.seque.com/abcd.php?url=www.yandex.ru

3.Восстановление стартовой страницы Internet Explorer

Данная микропрограмма восстанавливает стартовую страницу в Internet Explorer

Показания к применению: подмена стартовой страницы

4.Сброс настроек поиска Internet Explorer на стандартные

Данная микропрограмма восстанавливает настройки поиска в Internet Explorer

Показания к применению: При нажатии кнопки «Поиск» в IE идет обращение к какому-то постороннему сайту

5.Восстановление настроек рабочего стола

Данная микропрограмма восстанавливает настройки рабочего стола. Восстановление подразумевает удаление всех активных элементов ActiveDesctop, обоев, снятие блокировок на меню, отвечающее за настройки рабочего стола.

Показания к применению: Исчезли закладки настройки рабочего стола в окне «Свойства:экран», на рабочем столе отображаются посторонние надписи или рисунки

6.Удаление всех Policies (ограничений) текущего пользователя

Windows предусматривает механизм ограничений действий пользователя, называемый Policies. Этой технологией пользуются многие вредоносные программы, поскольку настройки хранятся в реестре и их несложно создавать или модифицировать.

Показания к применению: Заблокированы функции проводника или иные функции системы.

7.Удаление сообщения, выводимого в ходе WinLogon

Windows NT и последующие системы в линейке NT (2000, XP) позволяют установить сообщение, отображаемое в ходе автозагрузки. Этим пользуется ряд вредоносных программ, причем уничтожение вредоносной программы не приводит к уничтожению этого сообщения.

Показания к применению: В ходе загрузки системы вводится постороннее сообщение.

8.Восстановление настроек проводника

Данная микропрограмма сбрасывает ряд настроек проводника на стандартные (сбрасываются в первую очередь настройки, изменяемые вредоносными программами).

Показания к применению: Изменены настройки проводника

9.Удаление отладчиков системных процессов

Регистрация отладчика системного процесса позволят осуществить скрытый запуск приложение, что и используется рядом вредоносных программ

Показания к применению: AVZ обнаруживает неопознанные отладчики системных процессов, возникают проблемы с запуском системных компонент, в частности после перезагрузки исчезает рабочий стол.

10.Восстановление настроек загрузки в SafeMode

Некоторые вредоносные программы, в частности червь Bagle, повреждают настройки загрузки системы в защищенном режиме. Данная микропрограмма восстанавливает настройки загрузки в защищенном режиме.

Показания к применению: Компьютер не загружается в защищенном режиме (SafeMode). Применять данную микропрограмму следует только в случае проблем с загрузкой в защищенном режиме .

11.Разблокировка диспетчера задач

Блокировка диспетчера задач применяется вредоносными программами для защиты процессов от обнаружения и удаления. Соответственно выполнение данной микропрограммы снимает блокировку.

Показания к применению: Блокировка диспетчера задач, при попытке вызова диспетчера задач выводится сообщение «Диспетчер задач заблокирован администратором».

12.Очистка списка игнорирования утилиты HijackThis

Утилита HijackThis хранит в реестре ряд своих настроек, в частности - список исключений. Поэтому для маскировки от HijackThis вредоносной программе достаточно зарегистрировать свои исполняемые файлы в списке исключений. В настоящий момент известен ряд вредоносных программ, использующих данную уязвимость. Микропрограмма AVZ выполняет очистку списка исключений утилиты HijackThis

Показания к применению: Подозрения на то, что утилита HijackThis отображает не всю информацию о системе.

13. Очистка файла Hosts

Очистка файла Hosts сводится к поиску файла Hosts, удалению из него всех значащих строк и добавлению стандартной строки «127.0.0.1 localhost».

Показания к применению: Подозрения на то, файл Hosts изменен вредоносной программой. Типичные симптомы - блокировка обновления антивирусных программ. Проконтролировать содержимое файла Hosts можно при помощи менеджера Hosts файла, встроенного в AVZ.

14. Автоматическое исправление настроек SPl/LSP

Выполняет анализ настроек SPI и в случае обнаружения ошибок производит автоматическое исправление найденных ошибок. Данную микропрограмму можно запускать повторно неограниченное количество раз. После выполнения данной микропрограммы рекомендуется перезагрузить компьютер. Обратите внимание! Данную микропрограмму нельзя запускать из терминальной сессии

Показания к применению: После удаления вредоносной программы пропал доступ в Интернет.

15. Сброс настроек SPI/LSP и TCP/IP (XP+)

Данная микропрограмма работает только в XP, Windows 2003 и Vista. Ее принцип работы основан на сбросе и пересоздании настроек SPI/LSP и TCP/IP при помощи штатной утилиты netsh, входящей в состав Windows. Обратите внимание! Применять сброс настроек нужно только в случае необходимости при наличие неустранимых проблем с доступом в Интернет после удаления вредоносных программ!

Показания к применению: После удаления вредоносной программы пропал доступ в Интернет и выполнение микропрограммы «14. Автоматическое исправление настроек SPl/LSP» не дает результата.

16. Восстановление ключа запуска Explorer

Восстанавливает системные ключи реестра, отвечающие за запуск проводника.

Показания к применению: В ходе загрузки системы не запускается проводник, но запуск explorer.exe вручную возможен.

17. Разблокировка редактора реестра

Разблокирует редактор реестра путем удаления политики, запрещающей его запуск.

Показания к применению: Невозможно запустить редактор реестра, при попытке выводится сообщение о том, что его запуск заблокирован администратором.

18. Полное пересоздание настроек SPI

Выполняет резервное копирование настроек SPI/LSP, после чего уничтожает их и создает по эталону, который хранится в базе.

Показания к применению: Тяжелые повреждения настроек SPI, неустранимые скриптами 14 и 15. Применять только в случае необходимости!

19. Очистить базу MountPoints

Выполняет очистку базы MountPoints и MountPoints2 в реестре. Данная операция нередко помогает в случае, когда после заражения Flash-вирусом в проводнике не открываются диски

Для выполнения восстановления необходимо отметить один или несколько пунктов и нажать кнопку «Выполнить отмеченные операции». Нажатие кнопки «ОК» закрывает окно.

На заметку:

Восстановление бесполезно, если в системе работает троянская программа, выполняющая подобные перенастройки - необходимо сначала удалить вредоносную программу, а затем восстанавливать настройки системы

На заметку:

Для устранения следов большинства Hijacker необходимо выполнить три микропрограммы - «Сброс настроек поиска Internet Explorer на стандартные», «Восстановление стартовой страницы Internet Explorer», «Сброс настроек префиксов протоколов Internet Explorer на стандартные»

На заметку:

Любую из микропрограмм можно выполнять несколько раз подряд без ущерба для системы. Исключения - «5.Восстановление настроек рабочего стола» (работа этой микропрограммы сбросит все настройки рабочего стола и придется заново выбирать раскраску рабочего стола и обои) и «10. Восстановление настроек загрузки в SafeMode» (данная микропрограмма пересоздает ключи реестра, отвечающие за загрузку в безопасном режиме).