Что делать, если компьютер заражен? Что делать, если на компьютере обнаружен вирус Как устранить заражение

Каждый вебмастер сталкивался с проблемой поиска уязвимых мест своего сайта, с помощью которых злоумышленник может загрузить свой вредоносный код, который так или иначе повлияет на работоспособность всего сайта, вплоть до его исключения из поисковой выдачи.

Чаще всего заражение происходит из-за человеческого фактора, но что делать, если сайт все-таки взломан?

Основные проблемы

Меньшее из зол - это найти и удалить сам вредоносный код. Основная же проблема заключается в поиске того уязвимого места, через которое злоумышленник загрузил свой код на ваш сайт, чтобы обезопасить себя от следующих подобных прецедентов.

Для поиска вредоносного кода написано немало антивирусных программ, создано много сервисов, которые могут указать на адрес зараженной страницы, предоставив даже сигнатуру и исчерпывающую информацию о самом вирусе. Но ни одно программное обеспечение не сможет сказать Вам, как этот «чужой код» появился на сайте. Здесь стоит полагаться только на себя.

Ниже я приведу несколько команд, которые можно применять при поиске зараженных файлов и/или загруженных к Вам на сайт shell-ов/backdoor-ов. Для этого нам потребуется программа Putty и SSH-доступ к сайту.

Поиск зараженных файлов

С помощью нижеперечисленных команд можно найти файлы, содержащие «опасные» элементы, с помощью которых злоумышленник может выполнить вредоносный обфусицированный код.

Вывод файлов будет записан в лог-файл в вашей текущей директории. В каждом файле будет содержаться путь к найденному файлу и строка с подозрительным участком кода.

find /Каталог с сайтом -type f -iname "*" -exec grep -Him1 "eval" {} \; > ./eval.log
find /Каталог с сайтом -type f -iname "*" -exec grep -Him1 "base64" {} \; > ./base64.log
find /Каталог с сайтом -type f -iname "*" -exec grep -Him1 "file_get_contents" {} \; > ./file_get_contents.log

Поиск директорий с полными правами на запись

Следующая команда выводит список директорий, на которых установлены полные права на запись. Именно такие директории используют для заражения сайта.

find ./Каталог с сайтом -perm 777 -type d

Поиск измененных файлов за период

Если Вы знаете когда примерно произошло заражение, можно посмотреть список измененных файлов за последние несколько дней (параметр –mtime -7 указывает на дату изменения отличную от текущей за 7 прошлых дней)

find ./Каталог с сайтом -type f -iname "*" -mtime -7

Что делать, если сайт заражен?

Итак, предположим, что мы нашли зараженные файлы или shell-файл. Перед тем как его удалить/удалить из него вредоносный код, запомните его имя (полный путь), дату изменения/создания файла, его gid и id пользователя (для unix систем), это позволит найти способ его загрузки к нам на сайт. Начнем с пользователя и группы:

Посмотрите, от какого пользователя работает Ваш web-сервер:

ps -aux | grep "apache2" | awk {"print $1"}

Если этот пользователь совпадает с пользователем, создавшим вредоносный файл, то можно предположить, что он был загружен через сам сайт. Если же нет – файл могли загрузить через ftp (мы настоятельно рекомендуем изменить пароли к FTP-серверу и административной панели сайта).

cat ./site.ru.access.log | grep “имя filenameOfShellScript”

И получаем вывод всех запросов к нашему скрипту. По нему определяем userAgent и ip адрес нашего взломщика.

Следующей командой мы получаем список всех запросов, на которые он к нам заходил.

cat ./site.ru.access.log | grep “ip” | grep “userAgent”

Внимательно его проанализировав можно найти уязвимое место на сайте, следует обратить особое внимание на POST-запросы из вывода, с помощью которых мог быть залит вредоносный файл.

Ижаковский Андрей, системный администратор

Что делать, если при входе на сайт внезапно начал ругаться антивирус (а если еще эту новость сообщили клиенты)? Или без видимых на то причин сайт стал загружаться дольше обычного, при этом основное содержимое страницы уже «отрисовалось»? А, может быть, на сайте использовались интерактивные скрипты, которые вдруг перестали работать?

Все вышеперечисленное является результатом заражения сайта вирусом -- чужеродным вредоносным кодом. Как это произошло, кто виноват, и, самое главное, что делать для устранения и предотвращения подобного в будущем?

Что такое?

Вредоносный код, о котором сигналит антивирус, -- это вставка в код страницы сайта определенного зашифрованного JavaScript-кода, при выполнении которого формируется так называемый iframe (HTML-элемент, позволяющий включить при отображении содержимое одной страницы в другую). Вставленный iframe указывает, как правило, на зараженную страницу, которая уже содержит более «тяжелый» код, использующий различные уязвимости браузеров (в основном Internet Explorer"а) для загрузки и запуска исполняемых файлов вирусов.

Механизм заражения

Механизм заражения сайтов в подавляющем числе случаев одинаков: вирус попадает на компьютер, с которого выполнялся вход на данный сайт по протоколу FTP, после чего получает реквизиты доступа к адресам, для которых в программе FTP-клиенте была выбрана опция «запомнить логин/пароль». Получив реквизиты доступа, вирус отсылает их на компьютеры злоумышленников, где уже и расположены программы-роботы, выполняющие «грязную» работу. Эти роботы выполняют подключение к FTP-адресам с полученными реквизитами, затем сканируют каталоги сайта в поисках файлов с определенными именами: чаще всего это корневые файлы -- те, к которым в первую очередь выполняется обращение при входе на сайт. Обнаружив такой файл, робот скачивает его, добавляет в конец скачанного файла вредоносный код, и закачивает этот файл обратно на FTP-сервер, заменяя оригинал.

С точки зрения сервера это выглядит как обыкновенная активность пользователя: выполняется подключение авторизованного пользователя, скачивание и закачивание файлов -- фактически именно то, что выполняется при обыкновенном обновлении сайта разработчиком по FTP.

Устранение заражения

Первое, что необходимо сделать при обнаружении подобного заражения -- это не дать вирусу повторно заразить сайт. Для этого достаточно сменить пароль доступа на FTP через панель управления, а также проверить все компьютеры, с которых выполнялось подключение к сайту по FTP на вирусы, используя антивирусы со свежими базами обновлений.

Так как код сайта, по сути, представляет собой обыкновенные текстовые файлы, для удаления вредоносного кода достаточно открыть зараженный файл, найти необходимый участок кода, удалить его и сохранить файл. В особо сложных ситуациях может случиться так, что над зараженным сайтом «поработали» несколько различных вирусов -- файлы сайта будут содержать несколько вставок различного вредоносного кода. Реже встречаются случаи, когда содержимое сайта может быть повреждено достаточно сильно, в таком случае целесообразнее восстановить данные из резервной копии, чем заниматься лечением каждого файла вручную.

Предотвращение заражения

Для того чтобы не повторять чужих ошибок и уберечься от повреждения сайта, достаточно следовать простым рекомендациям:

не использовать возможности FTP-клиентов по сохранению паролей;

периодически выполнять смену паролей доступа к FTP;

при необходимости ограничить адреса компьютеров, с которых разрешено подключаться по FTP;

использовать для доступа по FTP только «надежные» компьютеры -- те, на которых установлены антивирусы с актуальными базами обновлений.

Иногда случается, что антивирус, сканируя ваш сайт, сигнализирует об угрозах. Это значит, что он заражен вирусом, то есть вредоносным кодом. Из-за вирусов сайт начинает медленнее загружаться, некоторые его скрипты перестают работать. Все это будет сразу же замечено посетителями и их недовольство плохой работой сайта резко возрастет.Если произошло заражение сайта, то для того, чтобы устранить вирус, владельцу сайта нужно понимать, что это такое, откуда оно взялось и как работает.

Что такое вирус и как он заражает сайт?

Вирус – это зашифрованный вредоносный код, внедряющийся в код страницы ресурса. Он часто бывает сформирован в iframe — элементе, который дает внедрить одну страницу в содержание другой. Обычно, iframe внедряет еще более зараженную страницу, код которой ищет уязвимости в браузере и использует их для того, чтобы загружать и запускать файлы вирусов на компьютере посетивших сайт пользователей.

Как правило, большинство вирусов работают по одному и тому же принципу. Оказавшись на компьютере, владелец которого входил на сайт по FTP протоколу, вирус находит реквизиты для входа на этот сайт. Найденные данные отправляются на компьютеры к хакерам. Используя эти реквизиты, хакеры, с помощью роботов, сканируют сайт и ищут корневые файлы. Когда файлы найдены, они загружаются на компьютер хакера, в них добавляется опасный код, и такой зараженный файл отправляется обратно на сайт.

Для владельца сайта такая активность практически незаметна. Он видит лишь авторизацию пользователя и работу с файлами, что обычно и происходит, когда разработчик обновляет ресурс.

Как устранить заражение

Для борьбы с заражением сайта, нужно точно следовать следующим шагам:

1. Если сайт заражен, то, в первую очередь, он несет опасность для своих клиентов. Для их защиты отключите веб-сервер. После этого, с помощью антивируса, проверьте все файлы веб-сервера, а также смените абсолютно все пароли от всех рабочих станций.
2. Если у вас имеется резервная копия, созданная до того, как сайт был заражен вирусом, загрузите ее. Обязательно обновите все ПО сайта и изучите уязвимости, исправленные в последних версиях. Это может помочь в поиске причины заражения файлов.
3. Лишите повышенных полномочий всех пользователей, в которых вы до конца не уверены. Внимательно проверьте, нет ли на вашем сервере веб-шелла, используя который хакеры имеют возможность вносить правки в код вашего ресурса без авторизации.

Поиск опасного кода

• Просканируйте все шаблоны, скрипты, базы данных.
• Просканируйте конфигурационные файлы.
• Проверьте все файлы, размещенные на одном с вами сервере. Быть может, под угрозой находится весь сервер, и дело не только в вашем сайте.

Для более успешного поиска вредоносного кода в зараженных файлах обращайте внимание на следующие особенности:

• Вредоносный код отличается от кода в резервной версии. Регулярно сохраняйте резервные копии и используйте системы контроля версий. Это часто облегчает борьбу с заражением.
• Код не читается и не имеет четкой структуры.
• Время изменения файла и время заражения сайта вирусом совпадают. Этот параметр не всегда объективен, так как время изменения файла может быть подделано самим вирусом.
• В коде имеются функции, похожие на вирусный код.

Предотвращение заражения

Бороться с заражением сайта лучше до того, как оно произошло. Для того, чтобы избавиться от всех уязвимостей и минимизировать возможность заражения, следуйте следующим правилам:

• Позаботьтесь, чтобы FTP клиенты не имели возможности сохранять пароли.
• Регулярно меняйте пароли доступа и не храните их на компьютере.
• Уменьшите количество пользователей, которые могут со своих адресов подключаться по FTP.
• Все компьютеры пользователей, которые имеют доступ к FTP, должны быть в обязательном порядке оснащены антивирусами и последними обновлениями всех программ.

Если ваш сайт подключен к панели вебмастера и в ней также было сообщение об угрозе, после избавления от нее вам нужно, чтобы Яндекс снял с вашего сайта пометку об опасности. Для этого вы должны отправить соответствующий запрос. Перепроверка будет сделана и без запроса, но времени это займет значительно больше.

В век технологий нам часто приходится сталкиваться не только с удобством пользования гаджетами, но и с их неполадками. То же самое можно сказать о компьютере. Система ПК очень непростая. Она, к сожалению, подвержена разного рода кибер-атакам и Как определить, что ваш компьютер заражен вирусом или рекламным «червем»?

Вред

В чем же суть вопроса? Если вы решили, что ваш компьютер заражен вирусом, важно понимать, о чем конкретно идет речь.

Компьютерный вирус представляет собой вредоносное программное обеспечение, которое может самокопироваться, внедряться в важные коды, системные области, разрушать загрузочные секторы, а также переходить в другие системы по сети.

Главной задачей вредоносного ПО является распространение. То, что вирус может что-то удалить, спрятать, добавить и т. д. - лишь побочные его действия.

Также случается, что за подобным «злым» файлом не стоят какие-либо мотивы программирования вредоносных эффектов. Но из-за несовместимости или некоторых тонкостей взаимодействия, система может давать сбой.

Вирусы могут «проживать» на накопителях и оттуда поглощать все ресурсы.

Усовершенствованные

Чтобы понять, как определить, что компьютер заражен, нужно понимать разновидности вирусов и их взаимодействие на систему.

К сожалению, с развитием технологий вредоносное ПО стало активно совершенствоваться. Так, вирусы могут «накрывать» целые государственные системы, которые защищены особыми методами. Но даже такая оборона не может устоять перед некоторыми «злодеями».

Группы

Различаются вредоносные софты по способам распространения и функциональности. Ранее подхватить их можно было только через носители информации типа дискеты. Сейчас же большинство из них приходят на наш ПК через интернет.

Стандартизированной классификации вирусов не существует, поскольку они порой имеют неоднозначные характеристики. Поэтому определять их в какую-либо группу непросто.

Различают программы, которые поражают определенные области системы. Вирусы могут добраться до файлов, загрузочных служб, исходных кодов, сценариев и т. д.

Есть и классификация по механизму заражения. К примеру, есть «вредители», которые добавляются в исполняемый файл, или те, которые портят документ, который не подлежит восстановлению. Есть и такие вирусы, которые «живут» отдельно от всех, постоянно влияя на систему ПК.

Есть виртуальные «злоумышленники», которые могут использовать особые технологии внутри вашей системы. Так вам даже будет сложно понять, как определить, что ваш компьютер заражен.

Специалисты разделяют вирусы по языку, на котором они были написаны. А также есть софты, которые используют дополнительные функции в системе. Могут шпионить, собирать нужную информацию, регистрируют действия пользователя и т. д.

Предостережение

Можно предостеречь случаи появления уведомления о том, что ваш компьютер заражен. Что делать в этом случае?

Конечно, главными помощниками давно уже стали самые популярные антивирусники. Но последние разработки вредоносных ПО стали настолько продвинутыми, что защитные программы могут справиться не со всеми. Поэтому важно следовать некоторым рекомендациям, чтобы не подхватить вирус и не думать потом, как определить, что ваш компьютер заражен.

Старайтесь не использовать привилегированные учетные записи без необходимости. Имеется в виду аккаунт типа администратора Windows. Если вирус получит его данные, то можете распрощаться со всеми своими данными и с системой в целом.

Помните, что запуск подозрительных и малоизвестных программ с непроверенных источников также приводит к заражению. Стоит насторожиться, если система пытается изменить свои файлы самостоятельно.

Также стоит позаботиться о потенциально опасной функциональности системы. Конечно же, лучше «не лазить» по неизвестным ресурсам и присматриваться к адресной строке. Использовать доверенные дистрибутивы.

Если вы часто работаете с важными данными, лучше скидывать их на внешний накопитель или делать резервные копии. Можно записать образ всей системы с развертыванием.

Система в опасности

Многие задаются вопросом: как определить, что ваш компьютер заражен. Ответ прост. Вы точно догадаетесь, что с системой что-то не так по существующим признакам.

Тревожным звоночком являются:

• Появление неожиданных сообщений или изображений на экране.
• Регулярное воспроизведение звуков, которое может хаотично происходит в любое время.
• Самостоятельная активация программ.
• Подключение некоторых утилит к интернету без вашего ведома.
• Отправка с вашего электронного адреса непонятных сообщений (спама) вашим знакомым.
• Зависание системы или ее медленная работа.
• Огромное количество системных ошибок и уведомлений.
• Невозможность загрузки системы.
• Исчезновение личных данных: файлов, папок и архивов.
• Некорректная работа браузера.

Конечно, это далеко не все признаки, которые могут случиться при заражении. Вариаций очень много: от крупных порнографических баннеров до полного выключения ПК.

Первые действия

Что делать, если компьютер заражен вирусом? Если вы смогли определить, что в системе поселился «червь», то нужно сразу предпринять ряд действий.

Важно тут же отказаться от банковских платежей и электронных кошельков. Не переходить ни на какие важные аккаунты и финансовые системы.

Если на ПК нет антивирусника, желательно воспользоваться хотя бы его онлайн-версией. Так вы сможете быстро просканировать систему и узнать, какие «сюрпризы» там припрятаны.

Лучше всего отключить интернет и локальную сеть. Чтобы вирус не смог «позвать» кого-то себе на помощь, либо на время «скрыться» во Всемирной паутине. Если антивирусник найдет вредоносное ПО, он автоматически решит, что с ним сделать: может его сразу удалить, либо перенести на карантин.

Кстати, часто с такими проблемами некоторые защитные программы не могут справиться, поэтому придется устанавливать другие. Но это, в свою очередь, также не совсем безопасно. Поэтому постарайтесь заранее позаботиться о том, чтобы на компьютере «поселился» антивирусник. Если он мешает вам работать, его можно отключить. Но именно он знает, как определить, что ваш компьютер заражен.

Если ни один вариант не помог, стоит переходить к решительным действиям.

Дополнительная помощь

Конечно, если вы совсем не разбираетесь в компьютере, то лучше сразу вызывать мастера, который будет «лечить» ваш ПК. Если хотя бы поверхностные знания на счет системы у вас есть, можете попробовать отыскать вирусный файл самостоятельно. К этому варианту можно прийти только в том случае, если вы столкнулись с обычным червем или трояном.

Если же вы понимаете, что перед вами сложная вредоносная программа, которую не так то и просто вытащить самостоятельно из системы, можно попробовать использовать сторонние программы. В некоторых случаях потребуется подключить ЖД к другому ПК или загрузить систему с диска.

Выводы

Вирусы - это неприятность, которая наверняка случалась с каждым пользователем. Злоумышленники по всему миру стараются украсть личные данные либо просто подшутить над неопытным пользователем.

Если перед вами простой вредоносный файл, то, скорее всего, его сможет найти антивирусная программа. Она самостоятельно его вылечит или удалит.

Если же у вас завелся троян или червь, то с ним можно справиться самостоятельно, отыскав его в системных файлах или корневом каталоге. Для его поиска используют любой файловый менеджер, который может отсортировать все файлы системы по дате.

Если же в системе завелся настоящий «злодей», то с ним под силу справиться только настоящим специалистам. Так, они помогут не просто удалить его из ПК, а и сохранить ваши личные данные. Если же вам не важны документы, либо у вас ничего нет на компьютере, можете просто переустановить операционную систему.

Вирус, как ты попал сюда? Именно такие эмоции вызывает попадание вредоносного приложения на ваше устройство, и в этот момент неважно «Как?», важно «Что делать дальше?» В действительности зараженных девайсов не так много, и не по причине того, что все они перестают нормально функционировать, всему виной неплохая стандартная защита от Google. Несколько дней назад мы уже , как избежать попадания вируса на ваш смартфон, однако в случае, если неизведанное ранее существо всё же проникло в просторы программного кода системы, вам обязательно следует прибегнуть к нашим советам.

Однако, перед тем как начать, определим для себя основные причины появления вируса, впрочем, правильнее говорить именно вредоносное приложение, ведь, в действительности, нельзя навредить смартфону, перейдя по веб-ссылке. Заразиться девайс может лишь путем установки зараженного приложения, и необязательно, чтобы оно включало в себя лишь вирус, свои функции приложение выполнять будет, при этом вместе с ним в вашу систему проникнет программный код, что будет воровать, уничтожать и заполнять мусором всё на своём пути.

Выше голову

Первым делом успокойте себя: для многих это сильный моральный удар, слово «вирус» вызывает волнение у любого непрофессионала, как-никак все наслышаны о возможностях подобных «существ», и, действительно, они не так глупы, тем не менее не стоит опускать руки, образумьтесь, оцените ситуацию и действуйте — враг всегда терпит поражение.

Распознать и удалить

Ваша основная цель — уничтожить вредоносный код. Если вы заметили что-то необычное в поведение вашего смартфона, например: необоснованное увеличение памяти как оперативной, так и постоянной, странные запущенные процессы, не писанные вами ранее посты в Facebook — любое странное поведение должно вас насторожить. Первым делом вспомните, какие ближайшие программы вами были установлены и есть ли среди них подозрительные? Если да, удаляйте не думая. Впрочем, это самый простой способ.
Лучшим вариантом станет отключение вашего устройства сразу после подозрительной активности. Далее зайдите в Google Play через компьютер и проанализируйте все известные антивирусные программы, почитайте отзывы, просите совета у профессионалов. Затем вновь включите ваш девайс и скачайте выбранное антивирусное приложение, сканируйте и определите наличие вируса.

Защитите свои данные

Чтобы обезопасить себя от потери данных банковских карт, личных счетов, аккаунтов, попытайтесь сменить пароли от ВКонтакте, Twitter, Facebook, и прочих значимых для вас сайтов, это поможет вам не стать жертвой преступников. Как ни говорите, но их ключевой целью является получение прибыли.

Сбросьте настройки

В случае, если антивирус не нашел вредоносных программ, но телефон продолжает странно себя вести, вам поможет полный сброс настроек: все ваши данные, включая музыку и фотографии, по совету коллег из androidcentral перенесите на компьютер или перекиньте в Google Drive, затем воспользуйтесь нашим по сбросу настроек.

У вас есть Root?

Некоторые из вас наверняка знакомы с Root-доступом, прошивками, кастомными рекавери. Для этих пользователей всё куда проще, ведь они могут просто сменить прошивку, перед этим сделав полный сброс через рекавери, включая статистику батареи и прочее, чтобы наверняка.
А какими методами борьбы с вирусами пользуетесь вы?