Удаление баннера в безопасном режиме с помощью правки реестра
Этот способ работает в подавляющем количестве случаев. Скорее всего, сработает именно он. Итак, нам потребуется загрузиться в безопасном режиме с поддержкой командной строки. Для этого сразу после включения компьютера Вам потребуется неистово нажимать клавишу F8 на клавиатуре, пока не появится меню выбора вариантов загрузки как на картинке ниже.
В некоторых случаях BIOS компьютера может среагировать на клавишу F8, выдав собственное меню. В данном случае, нажмите Esc, закрыв его, и снова нажимайте F8.
Вам следует выбрать «Безопасный режим с поддержкой командной строки» и дождаться завершения загрузки, после чего перед Вам будет окно командной строки. Если в Вашем Windows имеется несколько учетных записей пользователей (например, Администратор и Маша), то при загрузке выберите того пользователя, который поймал баннер.
В командной строке введите regedit и нажмите Enter. Откроется редактор реестра. В левой части редактора реестра Вы увидите древовидную структуру разделов, а при выборе определенного раздела в правой части будут отображаться имена параметров и их значения. Мы будем искать те параметры, значения которых изменил т.н. вирус, вызывающий появление баннера. Они всегда записываются в одни и те же разделы. Итак, вот список параметров, значения которых необходимо проверить и исправить, если они отличаются от приведенных ниже:
Раздел:HKEY_CURRENT_USER/Software/Microsoft/Windows NT/CurrentVersion/WinlogonВ этом разделе должны отсутствовать параметры с именем Shell, Userinit. Если они имеются, удаляем. Также стоит запомнить, на какие файлы эти параметры указывают — это и есть баннер.Раздел:HKEY_LOCAL_MACHINE/Software/Microsoft/Windows NT/CurrentVersion/WinlogonВ этом разделе нужно убедиться, что значение параметра Shell — explorer.exe, а параметра Userinit — C:Windowssystem32userinit.exe, (именно так, с запятой на конце)
Помимо этого, следует заглянуть в разделы:
HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/Current Version/Run
и тот же раздел в HKEY_CURRENT_USER. В этом разделе прописываются программы, автоматически запускающиеся при старте операционной системы. Если видите какой-то необычный файл, не имеющий отношения к тем программам, которые действительно автоматически запускаются и находящийся по странному адресу — смело удаляйте параметр.
После этого выйдете из редактора реестра и перезагрузите компьютер. Если все было сделано правильно, то с большой вероятностью после перезагрузки Windows будет разблокирован. Не забудьте удалить вредоносные файлы и на всякий случай просканировать жесткий диск на наличие вирусов.
Шаг 7: Запуск проверки через программы для удаления рекламного ПО
Существуют специальные программы, которые обнаруживают установленное рекламное ПО и предлагают удалить все связанные с ним файлы. При этом часто акцент делается не на вирусах, а на различных приложениях, которые могут незаметно установиться в Windows и работать фоном, временами отображая различные уведомления.
Скачать Malwarebytes
- Мы выбрали Malwarebytes и предлагаем скачать эту бесплатную программу с официального сайта. Однако если вам известен другой софт для удаления рекламного ПО, смело используйте его.
После установки и запуска программы найдите кнопку для начала проверки.
Ожидайте конца этого процесса, следя за тем, сколько угроз уже удалось найти.
В первом окне с результатами вы получите уведомление о том, сколько программ с рекламой удалось найти и какие файлы отвечают за ее запуск. Вы можете отметить все их галочками и поместить в карантин либо удалить.
Если раскрыть информацию о каждой программе, появится строка с информацией о том, где находится тот самый файл, отвечающий за запуск рекламы, что тоже будет полезно для дальнейшей очистки.
Определившись с претендентами на удаление, нажмите кнопку «Далее».
В некоторых случаях вы будете уведомлены о том, что в Windows предустановлены разные программы. По большей части это относится к ноутбукам, в которых уже при первом запуске есть фирменное ПО. Здесь вам нужно быть осторожным и самостоятельно решить, какие из этих предустановок вам не нужны.
Выберите их через отдельный список, если такие программы на вашем компьютере присутствуют.
Нажмите кнопку «Карантин», чтобы удалить файлы рекламного ПО и обезопасить себя от дальнейшего отображения объявлений на рабочем столе.
Обязательно дождитесь окончания этой процедуры.
Появится оповещение о том, что файлы отправлены карантин. Теперь можете перейти к разделу с ними и уже отдельно удалить, если в этом будет потребность.
Kaspersky WindowsUnlocker
Если удалить рекламу из браузера можно с помощью расширения Adblock, то избавиться от баннеров на рабочем столе помогает сразу несколько приложений от ведущих антивирусных лабораторий.
Запись на носитель и установка
Запустите утилиту Kaspersky USB Rescue Disk Maker. Укажите местоположение загруженного ранее образа Kaspersky WindowsUnlocker и букву флешки.
Нажмите «Старт» и дождитесь окончания записи.
Нажмите на любую кнопку в течение 10 секунд.
Выберите язык.
Примите Лицензионное соглашение, нажав клавишу «1».
Выберите режим загрузки – графический (рекомендуется) или текстовый (если нет мыши).
Запуск утилиты и лечение
При выборе графического режима нажмите кнопку в виде буквы «K» и выберите меню «Терминал».
Введите «windowsunlocker» в появившейся командной строке и нажмите Enter.
Если вы загрузились в текстовом режиме, закройте меню с помощью клавиши F10. Затем внизу введите команду «windowsunlocker» и нажмите Enter.
Появится меню с возможностью выбора команды. Введите последовательно:
1 – произвести проверку и очистку реестра.
2 – сохранить копии загрузочных секторов.
0 – выйти из интерфейса.
После этого необходимо осуществить полную проверку системы.
Полная проверка
Загрузитесь в графическом режиме. Нажмите кнопку в виде буквы «К» и выберите пункт «Kaspersky Rescue Disk». Перейдите на вкладку «Обновление» и нажмите «Обновить».
Перейдите на вкладку «Проверка». Отметьте объекты, которые нужно проанализировать, и нажмите «Выполнить проверку».
После окончания проверки при обнаружении вируса вам необходимо выбрать действия, которые нужно с ним произвести.
В текстовом режиме процедура практически полностью идентична описанной выше. Единственное отличие – здесь нужно по очереди нажать клавиши «S» и «B», чтобы проверить автозапуск и загрузчик.
Если ничего не помогает, то крайняя мера – установить Windows 7 или другую версию ОС от Microsoft заново. Однако обычно для решения проблем с баннерами хватает описанных выше способов, поэтому до переустановки дело не доходит.
Профилактически меры
Рекламный баннер с рабочего стола убран, вирус удален, система работает корректно. Однако расслабляться не стоит: нужно узнать, как вредоносное ПО проникло в компьютер. Кроме того, необходимо принять некоторые профилактические меры, которые в будущем помогут избежать подобных проблем.
Своевременно обновляйте браузеры.
Разработчики с каждым очередным обновлением делают веб-обозреватель чуть более защищенным. Поэтому если вы хотите, чтобы компьютер был максимально защищен, разрешите автоматическое обновление браузера или производите его вручную.
Если следовать этим несложным рекомендациям, то вероятность попадания очередного баннера вымогателя становится практически равной нулю.
Как удалить баннер в загрузочной области жесткого диска
Последний и самый неприятный вариант — баннер (хотя это сложно так назвать, скорее — экран), который появляется еще до начала загрузки Windows, а сразу после экрана BIOS. Удалить его можно путем восстановление загрузочной записи жесткого диска MBR. Это также можно осуществить с помощью LiveCD, таких как Hiren’s Boot CD, однако для этого нужно иметь кое-какой опыт работы по восстановлению разделов жесткого диска и понимание производимых операций. Есть способ несколько проще. Все, что Вам потребуется — это компакт-диск с установкой Вашей операционной системы. Т.е. если у Вас Windows XP, то потребуется диск с Win XP, если Windows 7 — то диск с Windows 7 (хотя тут подойдет и установочный диск Windows 8).
Удаление загрузочного баннера в Windows XP
Загрузитесь с установочного компакт-диска Windows XP и когда Вам будет предложено запустить консоль восстановления Windows (не автоматическое восстановление по F2, а именно консоль, запускается клавишей R), запустите ее, выберите копию Windows, и введите две команды: fixboot и fixmbr (сначала первую, потом вторую), подтвердите их выполнение (ввести латинский символ y и нажать Enter). После этого перезагрузите компьютер (уже не с компакт-диска).
Восстановление загрузочной записи в Windows 7
Производится почти аналогичным образом: вставьте загрузочный диск Windows 7, загрузитесь с него. Сначала Вам будет предложено выбрать язык, а на следующем экране слева внизу будет пункт «Восстановление системы», его и следует выбрать. Затем будет предложено выбрать один из нескольких вариантов восстановления. Запустите командную строку. И по порядку выполните следующие две команды: bootrec.exe /FixMbr и bootrec.exe /FixBoot. После перезагрузки компьютера (уже с жесткого диска), баннер должен исчезнуть. Если баннер продолжает появляться, то снова запустите командую строку с диска Windows 7 и введите команду bcdboot.exe c:windows, в которой c:windows — путь к папке, в которой у Вас установлена Windows. Это восстановит правильную загрузку операционной системы.
Удаление баннера с помощью реестра
(не подходит в редких случаях, когда сообщение вымогателя появляется до загрузки Windows, т.е. сразу после инициализации в BIOS, без появления логотипа Windows при загрузке, выскакивает текст баннера)
Кроме описанного выше случая, этот способ работает практически всегда. Даже если Вы новичок в работе с компьютером, не стоит опасаться — просто следуйте пунктам инструкции и все обязательно получится.
Для начала необходимо получить доступ к редактору реестра Windows. Самый простой и надежный способ сделать это — выполнить загрузку компьютера в безопасном режиме с поддержкой командной строки. Для этого: включаем компьютер и жмем F8, пока не появится список выбора режимов загрузки. В некоторых БИОС, клавиша F8 может вызвать меню с выбором диска, с которого нужно загрузиться — в этом случае, выбираем Ваш основной жесткий диск, нажимаем Enter и сразу же вслед за этим — снова F8. Выбираем уже упомянутый — безопасный режим с поддержкой командной строки.
Выбираем безопасный режим с поддержкой командной строки
После этого, дожидаемся загрузки консоли с предложением ввода команд. Вводим: regedit.exe, нажимаем Enter. В результате Вы должны увидеть перед собой редактор реестра Windows regedit. В реестре Windows содержится системная информация, в том числе и данные об автоматическом запуске программ при старте операционной системы. Где-то там записал себя и наш баннер и сейчас мы его там найдем и удалим.
Используем редактор реестра для удаления баннера
Слева в редакторе реестра мы видим папки, которые называются разделами. Нам предстоит проверить, чтобы в тех местах, где может прописать себя этот так называемый вирус, не было посторонних записей, а если они там есть — удалить их. Таких мест несколько и проверить нужно все. Начинаем.
Заходим в HKEY_CURRENT_USER -> Software -> Microsoft -> Windows -> CurrentVersion -> Run — справа мы увидим список программ, запускающихся автоматически при загрузке операционной системы, а также путь к этим программам. Нам нужно удалить те, которые выглядят подозрительно.
Параметры автозапуска, где может притаиться баннер
Как правило, они имеют названия состоящие из случайного набора цифр и букв: asd87982367.exe, еще одной отличительной особенностью является нахождение в папке C:/Documents and Settings/ (подпапки могут отличаться), также это может быть файл ms.exe или другие файлы, находящиеся в папках C:/Windows или C:/Windows/System. Вам следует удалить такие подозрительные записи в реестре. Для этого делаете правый клик в столбике Имя по имени параметра и выбираете «удалить». Не бойтесь удалить что-то не то — это ничем не грозит: лучше убрать больше незнакомых Вам программ оттуда, это не только увеличит вероятность того, что среди них будет баннер, но и, быть может, ускорит работу компьютера в будущем (у некоторых в автозагрузке стоит очень много всего лишнего и ненужного, из-за чего компьютер тормозит). Также при удалении параметров следует запомнить путь до файла, с тем, чтобы потом удалить его из его местонахождения.
Все вышеописанное повторяем для HKEY_LOCAL_MACHINE -> Software -> Microsoft -> Windows -> CurrentVersion -> Run В следующих разделах действия несколько отличаются: HKEY_CURRENT_USER -> Software -> Microsoft -> Windows NT -> CurrentVersion -> Winlogon . Здесь необходимо убедиться, что такие параметры, как Shell и Userinit отсутствуют. В противном случае, удалить, здесь им не место. HKEY_LOCAL_MACHINE -> Software -> Microsoft -> Windows NT -> CurrentVersion -> Winlogon . В этом разделе нужно убедиться, что значение параметра USerinit установлено в виде: C:\Windows\system32\userinit.exe, а параметр Shell имеет значение explorer.exe.
В Winlogon для Current User не должно быть параметра Shell
В общем-то все. Теперь можно закрыть редактор реестра, ввести в еще незакрытую командную строку explorer.exe (запустится рабочий стол Windows), удалить файлы, месторасположение которых мы выяснили в ходе работы с реестром, перезагрузить компьютер в обычном режиме (т.к. сейчас он находится в безопасном). С большой вероятностью все будет работать.
Если загрузиться в безопасном режиме не получается, то можно воспользоваться каким-либо Live CD, в составе которого имеется редактор реестра, например Registry Editor PE и проделать все вышеописанные операции в нем.
Деактивируем уведомления на рабочем столе из браузера Opera
В браузере Opera всплывающие уведомления на столе Windows также можно отключить, если внимательно следить за действиями, которые мы вам предлагаем сделать. Итак, для начала нам нужно попасть в настройки браузера.
А для этого выберите в левом углу фирменный значок Opera:
- Далее необходимо нажать на пункт «Настройки»;
- В этом браузере также создано меню для быстрого доступа к тем или иным настройкам. Выберите в нём пункт «Сайты»;
- В настройках нужно найти блок с названием «Уведомления» и внизу нажать на кнопку «Управлять исключениями»;
- В новом блоке, который откроется, нужно нажать на крестик напротив сайта. Если сайтов несколько — удалите их все из этого списка;
- Далее следует нажать на кнопку «Готово», чтобы настройки вступили в силу;
-
Не спешите закрывать настройки, так как вам нужно ещё поставить флажок на чекбоксе с названием «Запретить сайтам показывать уведомления»;
- После этого настройки можно закрыть.
Теперь сайты больше не побеспокоят вас своими уведомлениями, появляющимися в нижнем углу экрана справа. На рабочем столе не будут отображаться блоки с рекламой, которые так надоедают нам во время работы за ПК.
Голыми руками
Для некоторых троянов действительно существует код разблокировки. В редких случаях они даже честно удаляют себя полностью после ввода верного кода. Узнать его можно на соответствующих разделах сайтов антивирусных компаний – смотрите примеры ниже.
Зайти в специализированные разделы сайтов «Доктор Веб», «Лаборатории Касперского» и других разработчиков антивирусного ПО можно с другого компьютера или телефона.
После разблокировки не радуйтесь преждевременно и не выключайте компьютер. Скачайте любой бесплатный антивирус и выполните полную проверку системы. Для этого воспользуйтесь, например, утилитой Dr.Web CureIt! или Kaspersky Virus Removal Tool.
Несколько причин появления баннеров, блокирующих рабочий стол Windows и/или web-браузер:
1. Установка или чаще обновление Flash Player.
Все выглядит весьма безобидно. Вы просматриваете какой либо (чаще ранее неизвестный) сайт, все вроде бы хорошо, но вдруг появляется сообщение вида: «Обновить Flash Player»
Вы конечно же думаете, что эта программа очень важна для комфортного просмотра видео, прослушивания музыки, использования приложений в соцсетях и многого другого, и соглашаетесь с установкой. Но когда вновь включаете компьютер, а иногда и сразу, без перезагрузки, видите, что компьютер заблокирован.
Наши специалисты настоятельно рекомендуют устанавливать или обновлять плагины, в частности Flash Player исключительно и строго скачивая новую версию плагина только с официального сайта производителя. В случае с флеш плеером это будет сайт компании Adobe.
2. Активация пиратских программ с помощью кейгенов, кряков, патчей, активаторов и тд.
Баннер очень легко поймать, запуская различные программы, предназначенные для взлома нелицензионного (пропатченного) программного обеспечения. Такие программы очень небезопасны – более того, некоторые из них якобы для успешной активации требуют отключить антивирусы, а сами тем временем модифицируют реестр только им известным образом. Именно поэтому компания КОМ-ЭКСПЕРТ настоятельно рекомендует не жалеть деньги и приобретать исключительное лицензионное программное обеспечение или пользоваться официальными пробными бесплатными версиями.
3. Пользователь сам запускает вредоносную программу.
В процессе поиска различных материалов в сети (музыки, книг, программ, рефератов и прочего) пользователь загружает на свой компьютер большое количество архивов, программ, файлов, иногда даже и не подозревая о том, что в месте с полезной информацией загружаются и специальные программы-вирусы, прикрепленные к некоторым казалось бы безобидным файлам (очень часто это различные архивы и самораспаковывающиеся архивы), которые при запуске установят на ваш компьютер баннер-вымогатель и заблокируют его. Чтобы обезопасить себя от подобных вещей нужно всего лишь быть внимательней, ну а в идеале нужно каждый скачанный из Сети файл проверить антивирусом.
4. «Дыры» и уязвимости в службах безопасности операционных систем и браузеров.
Наши специалисты настоятельно рекомендуют устанавливать все обновления и сервис — паки, выпускаемые разработчиком операционной системы. Различные уязвимости в системе Windows и в частности, в браузере Internet Explorer, уже давно замечены мошенниками и вирусописателями и используются с целью подсунуть вам какой-нибудь нехороший и опасный баннер или вирус. Чтобы этого избежать, нужно постоянно следить за обновлениями, которые выходят в виде отдельных файлов на сайте разработчика операционной системы, и своевременно их устанавливать. Конечно же, можно просто настроить автоматическое обновление системы и забыть про ручную установку. В любом случае, систему безопасности WINDOWS нужно держать в актуальном состоянии.
К сожалению, наказать и привлечь к ответственности мошенников, которые распространяют по сети такие баннеры вымогатели, довольно проблематично, а в большинстве случаев невозможно, поэтому обезопасить себя лучше своими силами. А как это сделать, мы расскажем в одной из наших статей.
Ах да, совсем забыл сказать самое главное:
НИКОГДА И НИ ПРИ КАКИХ ОБСТОЯТЕЛЬСТВАХ НЕ ПЕРЕВОДИТЕ ДЕНЬГИ МОШЕННИКАМ – ЭТО ПРОСТО БЕСПОЛЕЗНО!
Ещё несколько способов удаления баннера.
В последнее время часто задаются вопросы о инфоремере в браузере с неким содержимым или о заставке при загрузке windows :
Windows заблокирован. Для разблокировки необходимо отправить смс с текстом
4128800256 на номер 3649 ввести полученный код:
Попытка переустановить систему может привести к потере важной информации и нарушениям работы компьютера. Отправлять СМС конечно же не надо, это чистой воды интернет-мошенничество!!! Это вредоносное программное обеспечение по классификации антивирусов trojan winlock
его надо убирать
Отправлять СМС конечно же не надо, это чистой воды интернет-мошенничество!!! Это вредоносное программное обеспечение по классификации антивирусов trojan winlock. его надо убирать.
Этап 3. Загрузка с Dr.Web LiveCD
При загрузке Dr.Web LiveCD на экране появляется диалоговое окно, в котором вы можете выбрать стандартный или текстовый (расширенный) режим запуска программы.
С помощью стрелок на клавиатуре выберите нужный пункт меню и нажмите Enter.
Выбираем этот режим (нажимаем клавишу Enter или ждем 10 секунд автоматического запуска).
Если вы выберете режим DrWeb-LiveCD (по умолчанию), операционная система автоматически найдет все доступные разделы жесткого диска и, если возможно, настроит локальное сетевое соединение.
При загрузке Dr.Web LiveCD в графическом режиме Центр управления Dr.Web для Linux запускается автоматически.
Нажмите кнопку «Перейти к сканеру.
Проверьте основные загрузочные записи.
Нажмите кнопку Начать проверку
Как только вы обнаружите угрозу, нажмите кнопку «Очистить
Если сканер ничего не находит, сверните его или закройте.
Если вы новичок, сразу переходите к шагу 4A. Автоматический сбор логов (рекомендуется всем).
Как удалить баннер «Windows заблокирован» и ему подобные?
При блокировке рабочего стола, когда вирусный баннер препятствует запуску любых программ на компьютере, можно предпринять следующее:
- зайти в безопасный режим с поддержкой командной строки, запустить редактор реестра и удалить ключи автозапуска баннера.
- загрузиться с Live CD («живого» диска), например, ERD commander, и удалить баннер с компьютера как через реестр (ключи автозапуска), так и через проводник (файлы).
- просканировать систему с загрузочного диска с антивирусом, например Dr.Web LiveDisk или Kaspersky Rescue Disk 10.
Способ 1. Удаление винлокера из безопасного режима с поддержкой консоли.
Итак, как удалить баннер с компьютера через командную строку?
На машинах с Windows XP и 7 до старта системы нужно успеть быстро нажать клавишу F8 и выбрать из меню отмеченный пункт (в Windows 8\8.1 этого меню нет, поэтому придется грузиться с установочного диска и запускать командную строку оттуда).
Вместо рабочего стола перед вами откроется консоль. Для запуска редактора реестра вводим в нее команду regeditи жмем Enter.
Следом открываем редактор реестра, находим в нем вирусные записи и исправляем.
Чаще всего баннеры-вымогатели прописываются в разделах:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon — здесь они изменяют значения параметров Shell, Userinit и Uihost (последний параметр есть только в Windows XP). Вам необходимо исправить их на нормальные:
- Shell = Explorer.exe
- Userinit = C:\WINDOWS\system32\userinit.exe, (C: — буква системного раздела. Если Windows стоит на диске D, путь к Userinit будет начинаться с D:)
- Uihost = LogonUI.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows — смотрите параметр AppInit_DLLs. В норме он может отсутствовать или иметь пустое значение.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run — здесь вымогатель создает новый параметр со значением в виде пути к файлу блокировщика. Имя параметра может представлять собой набор букв, например, dkfjghk. Его нужно удалить полностью.
То же самое в следующих разделах:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
Для исправления ключей реестра кликните правой кнопкой по параметру, выберите «Изменить», введите новое значение и нажмите OK.
После этого перезапустите компьютер в нормальном режиме и сделайте сканирование антивирусом Он удалит все файлы вымогателя с жесткого диска.
Способ 2. Удаление винлокера с помощью ERD Commander.
ERD commander содержит большой набор инструментов для восстановления Windows, в том числе при поражении троянами-блокировщиками.
C помощью встроенного в него редактора реестра ERDregedit можно проделать те же операции, что мы описали выше.
ERD commander будет незаменим, если Windows заблокирован во всех режимах. Его копии распространяются нелегально, но их несложно найти в сети.
Наборы ERD commander для всех версий Windows называют загрузочными дисками MSDaRT (Microsoft Diagnostic & Recavery Toolset), они идут в формате ISO, что удобно для записи на DVD или переноса на флешку.
Загрузившись с такого диска, нужно выбрать свою версию системы и, зайдя в меню, кликнуть редактор реестра.
В Windows XP порядок действий немного другой — здесь нужно открыть меню Start (Пуск), выбрать Administrative Tools и Registry Editor.
После правки реестра снова загрузите Windows — скорее всего, баннера «Компьютер заблокирован» вы не увидите.
Способ 3. Удаление блокировщика с помощью антивирусного «диска спасения».
Это наиболее легкий, но и самый долгий метод разблокировки.
Достаточно записать образ Dr.Web LiveDisk или Kaspersky Rescue Disk на DVD, загрузиться с него, запустить сканирование и дождаться окончания. Вирус будет убит.
Удалять баннеры с компьютера как с помощью диска Dr.Web, так и Касперского одинаково эффективно.