Потерпевшим от SMS – вымогателей посвящается!

Внесены добавления (в конце статьи) – всё добавленное выделено этим цветом.

Время, проведённое в Интернете вообще и на CForum в частности показало, что есть много разновидностей баннеров, так называемых SMS – вымогателей, которые то и дело доставляют массу неприятностей пользователям Интернет.

Большинство из них требуют отправить SMS сообщение на короткий номер и затем ввести в окошко в баннере полученный в ответном SMS сообщении  код. Что здесь можно сказать. На более чем 160 страницах форума мы не встретили ни одного подтверждения того, что в ответ на посланное SMS сообщение пришёл код, который решил бы проблему. Поэтому, методом научного  умозаключения мы пришли к выводу, что это – очередной, как бы это правильней выразиться, ЛОХОТРОН.

            Нам не захотелось быть лохами, и мы решили с этим явлением справиться собственными силами. Были проведены исследования (научные, конечно же), мы специально сами себя (то бишь свои компьютеры) заражали всевозможными баннерами, с одной целью – изучить эту гадость и найти способы борьбы с ней применяя, по возможности, «подручные средства». Под подручными средствами здесь подразумевается имеющаяся у нас (или у Вас) зараженная система (Windows естественно) ну и пара – тройка доступных в сети бесплатных антивирусных программ и утилит.

            Итак, что мы имеем?

Компьютер с установленной Windows XP (Vista и Семёрка не рассматривается) – это подопытный кролик.

AVZ – Антивирусная утилита AVZ предназначена для обнаружения и удаления:

• SpyWare и AdWare модулей - это основное назначение утилиты
• Dialer (Trojan.Dialer)
• Троянских программ
• BackDoor модулей
• Сетевых и почтовых червей
• TrojanSpy, TrojanDownloader, TrojanDropper

Malwarebytes - Программа для быстрого сканирования системы с целью обнаружения и удаления различных видов вредоносного ПО. Malwarebytes Anti-Malware ориентирована в первую очередь на борьбу со шпионскими модулями и позволяет после их удаления полностью восстанавливать нормальную работу компьютера.

Unlocker – программка для удаления файлов, которые обычными средствами удалить не удаётся.

Dr.Web CureIt – бесплатный антивирусный сканер.

FAV(FixAfterVirus) - восстанавливает функциональность системы после удаления вируса. 

Для особо тяжёлых случаев хорошо бы иметь какой нибудь LiveCD (ERD Commander, например) , желательно с возможностью доступа к зараженному реестру. Но это только для «продвинутых чайников». На крайняк можно обойтись и установочным диском Windows, но тут придётс вспомнить командную строку DOS, а многие даже не знают, что это такое, поэтому – этот вариант для любителей садо – мазо ;-).

Всё что выше – это лекарства, с помощью которых мы и будем лечить нашего подопытного кролика.

Ссылки на программы не даются не потому, что секрет, а потому, что Гуглите и Вам отГуглится.

Качать самые свежие версии!

Ну и самое главное, с чего заварилась вся эта кутерьма, баннер – вымогатель!!!

( Ссылки тоже не даём ;-))

Ладно, это была присказка, сейчас начнётся сказка. Если баннер уже у Вас на столе, то сказка для Вас уже началась.

Итак, начнёмс…

Здесь мы рассмотрим известные нам на данный момент типы баннеров.

Тип первый – баннеры, которые появляются только при запуске Интернет браузера ( IE, Mozilla, Opera) – ещё их называют ИНФОРМЕРЫ. Вот один из них:

Тип второй – баннеры, которые вылазят просто на рабочий стол, закрывают большую его часть но при этом у пользователя остаётся возможность открывать другие программы, открывать Главное меню, Диспетчер задач и др. (типичный представитель – YesPorno)

Тип третий – (самый гадкий), Закрывает практически весь рабочий стол, блокирует все ( иногда только антивирусные и системные) программы, не пускает в Защищённый режим и прочие гадости. (Типичный представитель – eKAV антивирус, он же Интернет Секьюрити)

Мы не обольщаемся на счёт того, что это ВСЕ ТИПЫ баннеров. Просто нам такие попадались.

Ну вот. Посмотрели мы свой любимый порно фильм, открыли вложение в электронной почте, пришедшей неизвестно откуда, перешли по интересной ссылке, скачали ну оооочень нужную программу и т.д.(нужное подчеркнуть) и в награду нам на стол влез красавец (или красавица, или и тот и другая  и много) баннер и требует от нас денег за полученное удовольствие. Мы, конечно же сразу хватаем телефон и отправляем SMS на указанный номер. Потом с нетерпением ждём ответа…. Спустя некоторое время встаём и идём смотреть в зеркало на лоха.

Что, неприглядная картина?  «А что же делать?», скажете Вы!   Ну чего делать НЕ СЛЕДУЕТ, так это отправлять SMS. Не берёмся утверждать на 100% , но на 99.99999999% - это развод. И никакого кода Вы не получите. Сомневаетесь – проверте. Только напишите, пожалуйста, нам в форум, мы будем приводить этот пример, как артефакт.  

А теперь о деле. Итак, баннер у нас уже есть. Не паникуем и определяем к какому из описанных типов он относится. Что для этого надо сделать?

Если у Вас открыт браузер, закрываем его. Если окно закрылось вместе с браузером – считайте, что вам крупно повезло – у Вас простой информер. То есть – это Тип первый.

Если баннер висит на столе и после закрытия браузера – продолжаем определяться.

Для начала судорожно жмакаем Ctrl+Alt+Del (или Ctrl+Shift+Esc) и смотрим. Обычно при такой комбинации клавиш выскакивает Диспетчер задач. Выскочил?  Вам повезло – есть вероятность, что у Вас – Тип второй. Хотя не факт. Но надежда есть.  Если Диспетчер задач не запустился, пробуем надавить на «Пуск». Работает? – это хорошая новость. Не работает? – новость похуже, но тоже не конец света! Запускаем что-нибудь ещё, ну там Блокнот, Word…

Запускаются – это обнадёживает. Это говорит о том, что у Вас, похоже, Тип второй.

Ну и наконец – все Ваши попытки запустить «…ну хоть что-нибудь…» оканчиваются неудачей – поздравляем! У Вас – Третий тип!

А теперь займёмся «лечением».

Тип первый. Ну, с этими всё просто.

Инструкция в картинках для пользователей подхвативших информер или порноинформер.

Удаление информера или порноинформера из браузера Мозила

Открываем ( запускаем браузер Мозила) в меню идём на вкладку «Инструменты- Дополнения»

Во вкладке Дополнения-Расширения и отключаем всё подозрительное ( например informer 1.0 и так далее) в этом примере нет подозрительных расширений

Потом проверяем Плагины; Темы и отключаем там всё подозрительное ( например Informer 1.0 и тому подобное)

Затем закрываем браузер Мозила и по новому его открываем, если информер пропал значит мы не зря старались! Ура!!!

Удаление порно информера в браузере  Opera

Открываем браузер Опера (программа через которую вы заходите в интернет) Выбираем пункт меню "Инструменты -> Настройки”.

 Откроется форма "Настройки”. В "Настройках” выбираем вкладку "Дополнительно”. Во вкладке "Дополнительно” сначала нажимаем "Содержимое” а потом на появившуюся кнопку на кнопку "Настройки Javascript…”.

В открывшемся окне стираем все, что написано в поле "Папка пользовательских файлов Javascript” (делаем поле пустым) и нажимаем кнопочку "OK”. Нажимаем "ОК” и для формы "Настройки”

Закрываем оперу. По пути, написанном в поле "Папка пользовательских файлов Javascript” можно зайти и удалить файлы заразы с расширением «js». Если у вас там будет написано "C:WINDOWS uscripts” то деляйте всю папку "uscripts”
Всё!!! Теперь информер удалён из браузера Opera.

Удаление порно-информера из браузера Internet Explorer

Для начала идем в меню Internet Explorer, "Управление надстройками”->”Включение и отключение надстроек..”.

Открывается список подключенных DLL-библиотек.

Отключаете все, что вы не знаете - не беспокойтесь, ничего от этого не поломается, всегда успеете включить ту или иную библиотеку обратно. :)

Итак, выключаете все неизвестные вам модули, нажимаете "ОК”, закрываете и вновь открываете браузер Internet Explorer. Если проблема не исчезла - вновь идете в вышеуказанное меню и отключаете еще что-то, пока проблема не решится. Если же порно-информер пропал - можете спать спокойно. :)

Для особо принципиальных

Если вас беспокоит факт того, что информер лишь отключен, а не удален с вашего компьютера - открываете вышеуказанное меню, переписываете имена DLL-библиотек на листок (или запоминаете) и идете в папку C:\Windows\System32 и ищете там данные DLL. После чего удаляете их, перезагружаете компьютер - и, вуаля, все чисто. :)

Есть следующая защита: в папке Windows\system32\ необходимо войти в Вид\Упорядочить значки\Изменен. После этого все файлы выстроятся по датам их появления (изменения). Вручную убираем в корзину недавние .dll поочереди, пока информер не исчезнет, после этого все .dll из корзины восстанавливаем, кроме виновного в появлении информера

Можно еще таким способом:
Пуск-программы-стандартные-служебные-восстановление системы. В последнем окне возвращаешься на день (или сколько там было до похода на этот сайт) назад.
Бывает что прописываются
rqdlib.dll
gjplib.dll
в System32, их надо просто удалить
или так : свойства обозревателя-дополнительно-сброс
а можно и так:
C:\WINDOWS\uscripts файл feeder.js,удаляем его и дело в шляпе)

Участились случаи, когда такие «пляски с бубном» всё же не дают желаемого результата.

А ещё бывает, что такой информер просто напросто блокирует браузер и не даёт войти в меню. В таком случае, делаем следующее:

Удаление  информера из  Mozilla Firefox

1. Завершаем процесс firefox.exe  Для этого запускаем Диспетчер задач (Ctrl+Alt+Del), находим в процессах firefox.exe, Правый клик –> завершить процесс.

2. Пуск - Виполнить - Regedit - Ctrl+F. Вводим firefox и ищем такие строки

"C:\Program Files\Mozilla Firefox\firefox.exe" -preferences

"C:\Program Files\Mozilla Firefox\firefox.exe" -requestPending -osint -url "%1"

Ищем по ВСЕМУ реестру

3. Всё что здесь выделено жирным шрифтом - удаляем

4. При первом после этой процедуры запуске Mozilla попытается восстановить предыдущую сессию - жмём "Начать новую сессию"

5. Всё!

Просканируйте компьютер с помощью свежей версии программ DrWeb CureIt

Удаление баннера из Оперы:

1.Завершаем процесс opera.exe Для этого запускаем

Диспетчер задач (Ctrl+Alt+Del), находим в процессах opera.exe,

Правый клик –> завершить процесс.(или просто закрываем Opera, если даётся)

2. Пуск - Виполнить - Regedit - Ctrl+F. Вводим opera.exe,

снимаем галку с "искать только строку целиком" и ищем такие строки

"C:\Program Files\Opera\opera.exe" -preferences

"C:\Program Files\Opera\opera.exe" -requestPending -osint -url "%1" или что либо подобное

Ищем по ВСЕМУ реестру!!!\\

3. Всё что здесь выделено жирным шрифтом - удаляем

4. При запуске Opera указать, что начинать надо с экспресс-панели.

5. Всё !!!

Тип второй. Этот пострашнее (на первый взгляд), но тоже удаляется легко (относительно легко).

Этого красавца рассмотрим на примере YesPorno.

Картинка очень динамичная – аж в глазах рябит. Пробуем коды – не помагают.

Нажимаем на крест в правом верхнем углу, появляется обнадёживающая надпись, что окно мол закроется через 60 секунд и начинается обратный отсчёт.

Фу, пронесло, думаем мы и глубоко ошибаемся. Окно, правда, закрывается, но всего лишь на несколько (10-15)сек., а потом снова появляется.