Удаление баннера с рабочего стола

Откуда берется баннер в браузере

Баннер в браузере Опера. Ложное уведомление о необходимости обновить оперу.

Также, как и все аналогичное вредоносное программное обеспечение, рекламный баннер на всех страницах баннера появляется в результате загрузки и запуска чего-то из ненадежных источников. Подробнее об этом я писал в статье «Как поймать вирус в браузере». Иногда, от этого может спасти антивирус, иногда — нет. Достаточно частое явление также, что пользователь сам отключает антивирус, так как об этом написано в «руководстве по установке» нужной ему программы, загруженной из Интернета. Вся ответственность за такие действия, естественно, остается лишь на нем самом.

Дополнение от 17.06.2014: с тех пор, как была написана эта статья реклама в браузерах (которая появляется независимо от наличия ее на сайте. Например, всплывающее окно по клику на любой странице) стала очень актуальной проблемой для многих пользователей (раньше было реже). А также появились иные способы распространения такой рекламы. В свете изменившейся ситуации, рекомендую начать удаление со следующих двух пунктов, а у же после этого переходить к тому, что будет описано ниже.

Используйте средства для удаления вредоносных программ с компьютера (даже если ваш Антивирус молчит, так как эти программы не совсем вирусы).
Обратите внимание на расширения в вашем браузере, отключите сомнительные. Если у вас стоит AdBlock, убедитесь, что это официальное расширение (так как их сразу несколько в магазине расширений и только один официальный)

(Про опасность расширений Google Chrome и других).
Если вы знаете точно, какой именно процесс на компьютере вызывает появление рекламных баннеров в браузере (Conduit Search, Pirrit Suggestor, Mobogenie и др.), введите его имя в поиске у меня на сайте — возможно, у меня есть описание удаления именно этой программы.

Как удалить баннер «Windows заблокирован» и ему подобные?

При блокировке рабочего стола, когда вирусный баннер препятствует запуску любых программ на компьютере, можно предпринять следующее:

• зайти в безопасный режим с поддержкой командной строки, запустить редактор реестра и удалить ключи автозапуска баннера.
• загрузиться с Live CD («живого» диска), например, ERD commander, и удалить баннер с компьютера как через реестр (ключи автозапуска), так и через проводник (файлы).
• просканировать систему с загрузочного диска с антивирусом, напримерDr.Web LiveDiskилиKaspersky Rescue Disk 10.

Способ 1. Удаление винлокера из безопасного режима с поддержкой консоли.

Итак, как удалить баннер с компьютера через командную строку?

На машинах с Windows XP и 7 до старта системы нужно успеть быстро нажать клавишу F8 и выбрать из меню отмеченный пункт (в Windows 8\8.1 этого меню нет, поэтому придется грузиться с установочного диска и запускать командную строку оттуда).

Вместо рабочего стола перед вами откроется консоль. Для запуска редактора реестра вводим в нее команду regeditи жмем Enter.

Следом открываем редактор реестра, находим в нем вирусные записи и исправляем.

Чаще всего баннеры-вымогатели прописываются в разделах:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon — здесь они изменяют значения параметров Shell, Userinit и Uihost (последний параметр есть только в Windows XP). Вам необходимо исправить их на нормальные:

• Shell = Explorer.exe
• Userinit = C:\WINDOWS\system32\userinit.exe, (C: — буква системного раздела. Если Windows стоит на диске D, путь к Userinit будет начинаться с D:)
• Uihost = LogonUI.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows — смотрите параметр AppInit_DLLs. В норме он может отсутствовать или иметь пустое значение.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run — здесь вымогатель создает новый параметр со значением в виде пути к файлу блокировщика. Имя параметра может представлять собой набор букв, например, dkfjghk. Его нужно удалить полностью.

То же самое в следующих разделах:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx

Для исправления ключей реестра кликните правой кнопкой по параметру, выберите «Изменить», введите новое значение и нажмите OK.

После этого перезапустите компьютер в нормальном режиме и сделайте сканирование антивирусом. Он удалит все файлы вымогателя с жесткого диска.

Способ 2. Удаление винлокера с помощью ERD Commander.

ERD commander содержит большой набор инструментов для восстановления Windows, в том числе при поражении троянами-блокировщиками.

C помощью встроенного в него редактора реестра ERDregedit можно проделать те же операции, что мы описали выше.

ERD commander будет незаменим, если Windows заблокирован во всех режимах. Его копии распространяются нелегально, но их несложно найти в сети.

Наборы ERD commander для всех версий Windows называют загрузочными дисками MSDaRT(Microsoft Diagnostic & Recavery Toolset), они идут в формате ISO, что удобно для записи на DVD или переноса на флешку.

Загрузившись с такого диска, нужно выбрать свою версию системы и, зайдя в меню, кликнуть редактор реестра.

В Windows XP порядок действий немного другой — здесь нужно открыть меню Start (Пуск), выбрать Administrative Tools и Registry Editor.

После правки реестра снова загрузите Windows — скорее всего, баннера «Компьютер заблокирован» вы не увидите.

Способ 3. Удаление блокировщика с помощью антивирусного «диска спасения».

Это наиболее легкий, но и самый долгий метод разблокировки.

Достаточно записать образDr.Web LiveDiskили Kaspersky Rescue Diskна DVD, загрузиться с него, запустить сканирование и дождаться окончания. Вирус будет убит.

Удалять баннеры с компьютера как с помощью диска Dr.Web, так и Касперского одинаково эффективно.

Как блокировщики-вымогатели попадают на компьютер?

Чаще всего блокировщики попадают на компьютер следующими путями:

• через взломанные программы, а также инструменты для взлома платного софта (кряки, кейгены и прочее);
• загружаются по ссылкам из сообщений в соц.сетях, присланным якобы знакомыми, а на самом деле — злоумышленниками со взломанных страниц;
• скачиваются с фишинговых веб-ресурсов, имитирующих хорошо известные сайты, а на самом деле созданных специально для распространения вирусов;
• приходят по e-mail в виде вложений, сопровождающих письма интригующего содержания: «на вас подали в суд…», «вас сфотографировали на месте преступления», «вы выиграли миллион» и тому подобное.

Внимание! Порнографические баннеры далеко не всегда загружаются с порносайтов. Могут и с самых обычных.. Такими же способами распространяется другой вид вымогателей — блокировщики браузеров

Например, такой:

Такими же способами распространяется другой вид вымогателей — блокировщики браузеров. Например, такой:

или такой:

Они требуют деньги за доступ к просмотру веб-страниц через браузер.

Редактирование реестра

Вызовите диалог «Выполнить» с помощью сочетания клавиш «Win» и «R». В открывшемся окошке нужно ввести команду «regedit» и нажать Энтер. Вы попадете в редактор реестра Windows. Внимательно следуйте инструкции, чтобы ничего не пропустить. 

С помощью каталога в левой части окна программы пользователям необходимо открыть следующие директории:

·         HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/Current Version/Run

Здесь нужно найти запись, отвечающую за автозапуск вашего баннера при старте системы. Далее ее следует удалить. Щелкните ПКМ по записи и выберите опцию «Удалить» в раскрывшемся контекстном меню. Смело удаляйте все подозрительное, это никак не скажется на работе вашей системы. Если удалите что-то лишнее, например автозапуск Skype, сможете все вернуть. 

·         HKEY_LOCAL_MACHINE/Software/Microsoft/Windows NT/CurrentVersion/Winlogon

В этой папке нужно найти параметр с названием «Shell» и присвоить ему значение «explorer.exe». Далее найдите запись «Userinit» и задайте ей значение «C:\Windows\system32\userinit.exe». Чтоб редактировать записи, просто дважды кликайте по ним. 

·         HKEY_CURRENT_USER/Software/Microsoft/Windows NT/CurrentVersion/Winlogon

Также найдите параметры «Userinit» и «Shell». Запишите где-нибудь их значения – это и есть пути к вашему баннеру. Удалите обе записи. В этой директории их быть не должно.

Вот несколько путей появления баннеров, блокирующих рабочий стол и веб-обозреватель (браузер):

Первый путь проникновения — установка «Flash Player’а».При посещении некоторого сайта появляется окно с предложением установить или же обновить Flash player. Пользователь зная, что эта необходимая программа конечно же нужна на компьютере для комфортного серфинга по интернету, просмотра потокового видео, прослушивания музыки и многого другого соглашается с установкой. Но после перезагрузки (или даже без неё) оказывается, что компьютер заражен баннером. Загружайте программное обеспечения только с официальных сайтов разработчиков и всё будет в порядке.

Второй путь проникновения — активация пиратского софта.Баннер очень легко поймать при активации различных программ, предназначенных для взлома проприетарного программного обеспечения: кряков, кейгенов, патчей и так далее. Именно поэтому эксперты так часто рекомендуют не скупиться и использовать исключительное лицензионное программное обеспечение.

Третий путь проникновения — пользователь самостоятельно загружает и запускает вредоносную программу.В процессе серфинга по сети интернет и посика различных материалов (рефератов, книг, программ и прочего) пользователь скачивает на персональный компьютер огромное количество архивов, программ, файлов, в некоторых из которых может находиться вредоносное Программное Обеспечение, которое при запуске установит на ваш компьютер баннер. Иногда же, якобы для доступа к материалам просят установить программу, в лицензионном соглашении к которой будет прописано, что Вы соглашаетесь на просмотр рекламных ссылок, но мало кто читает лицензионное соглашение — таким путём и появляется блокер с рекламой на компьютере. Обязательно установите антивирусную программу и поставьте её в режим сканирования.

Четвёртый проникновения — использование уязвимостей в безопасности операционных систем и браузеров.Различные язвимости в операционной системе Windows и в частности, во встроенном браузере Internet Explorer. Чтобы избежать проникновения вродоносного софта этим путём следует постоянно устанавливать все обновления безопасности и сервис паки. В большинстве случаев виновником появления баннера, который впоследствии довольно проблематично удалить, является невнимательность пользователя. Меньшему риску подвергаются пользователи, на компьютерах которых установлены новые операционные системы Windows 7 и Windows Vista, так как в них реализована серьезная система безопасности, которая контролирует доступ к системным настройкам. Однако некоторые пользователи отключают систему безопасности для того, чтобы в последствии не потверждать действия с операционной системой многократно. Все баннеры, которые блокируют доступ пользователя к рабочему столу операционных систем семейства Windows являются модификациями троянской программы Trojan.Winlock. Этот троян появился несколько лет назад и, довольно быстро развиваясь, стал очень популярен у многочисленных злоумышленников.

К сожалению правоохранительные органы Российской Федерации никак не пресекают действия мошенников-вымогателей, поэтому мы сделаем это самостоятельно, просто удалив докучливый баннер, котрый требует отправить смс или закинуть деньги на номер телефона. Сразу предупреждаем вас — не стоит отправлять деньги мошенникам, ибо почти наверняка это никак не повлияет на ситуацию с баннером, вы лишь потратите свое время и конечно же деньги.

Как удалить баннер в загрузочной области жесткого диска

Последний и самый неприятный вариант — баннер (хотя это сложно так назвать, скорее — экран), который появляется еще до начала загрузки Windows, а сразу после экрана BIOS. Удалить его можно путем восстановление загрузочной записи жесткого диска MBR. Это также можно осуществить с помощью LiveCD, таких как Hiren’s Boot CD, однако для этого нужно  иметь кое-какой опыт работы по восстановлению разделов жесткого диска и понимание производимых операций. Есть способ несколько проще. Все, что Вам потребуется — это компакт-диск с установкой Вашей операционной системы. Т.е. если у Вас Windows XP, то потребуется диск с Win XP, если Windows 7 — то диск с Windows 7 (хотя тут подойдет и установочный диск Windows 8).

Удаление загрузочного баннера в Windows XP

Загрузитесь с установочного компакт-диска Windows XP и когда Вам будет предложено запустить консоль восстановления Windows (не автоматическое восстановление по F2, а именно консоль, запускается клавишей R), запустите ее, выберите копию Windows, и введите две команды: fixboot и fixmbr (сначала первую, потом вторую), подтвердите их выполнение (ввести латинский символ y и нажать Enter). После этого перезагрузите компьютер (уже не с компакт-диска).

Восстановление загрузочной записи в Windows 7

Производится почти аналогичным образом: вставьте загрузочный диск Windows 7, загрузитесь с него. Сначала Вам будет предложено выбрать язык, а на следующем экране слева внизу будет пункт «Восстановление системы», его и следует выбрать. Затем будет предложено выбрать один из нескольких вариантов восстановления. Запустите командную строку. И по порядку выполните следующие две команды: bootrec.exe /FixMbr и bootrec.exe /FixBoot. После перезагрузки компьютера (уже с жесткого диска), баннер должен исчезнуть. Если баннер продолжает появляться, то снова запустите командую строку с диска Windows 7 и введите команду bcdboot.exe c:\windows, в которой c:\windows — путь к папке, в которой у Вас установлена Windows. Это восстановит правильную загрузку операционной системы.

Удаление баннера с помощью реестра

(не подходит в редких случаях, когда сообщение вымогателя появляется до загрузки Windows, т.е. сразу после инициализации в BIOS, без появления логотипа Windows при загрузке, выскакивает текст баннера)

Кроме описанного выше случая, этот способ работает практически всегда. Даже если Вы новичок в работе с компьютером, не стоит опасаться — просто следуйте пунктам инструкции и все обязательно получится.

Для начала необходимо получить доступ к редактору реестра Windows. Самый простой и надежный способ сделать это — выполнить загрузку компьютера в безопасном режиме с поддержкой командной строки. Для этого: включаем компьютер и жмем F8, пока не появится список выбора режимов загрузки. В некоторых БИОС, клавиша F8 может вызвать меню с выбором диска, с которого нужно загрузиться — в этом случае, выбираем Ваш основной жесткий диск, нажимаем Enter и сразу же вслед за этим — снова F8. Выбираем уже упомянутый — безопасный режим с поддержкой командной строки.

Выбираем безопасный режим с поддержкой командной строки

После этого, дожидаемся загрузки консоли с предложением ввода команд. Вводим: regedit.exe, нажимаем Enter. В результате Вы должны увидеть перед собой редактор реестра Windows regedit. В реестре Windows содержится системная информация, в том числе и данные об автоматическом запуске программ при старте операционной системы. Где-то там записал себя и наш баннер и сейчас мы его там найдем и удалим.

Используем редактор реестра для удаления баннера

Слева в редакторе реестра мы видим папки, которые называются разделами. Нам предстоит проверить, чтобы в тех местах, где может прописать себя этот так называемый вирус, не было посторонних записей, а если они там есть — удалить их. Таких мест несколько и проверить нужно все. Начинаем.

Заходим в HKEY_CURRENT_USER -> Software -> Microsoft -> Windows -> CurrentVersion -> Run — справа мы увидим список программ, запускающихся автоматически при загрузке операционной системы, а также путь к этим программам. Нам нужно удалить те, которые выглядят подозрительно.

Параметры автозапуска, где может притаиться баннер

Как правило, они имеют названия состоящие из случайного набора цифр и букв: asd87982367.exe, еще одной отличительной особенностью является нахождение в папке C:/Documents and Settings/ (подпапки могут отличаться), также это может быть файл ms.exe или другие файлы, находящиеся в папках C:/Windows или C:/Windows/System. Вам следует удалить такие подозрительные записи в реестре. Для этого делаете правый клик в столбике Имя по имени параметра и выбираете «удалить». Не бойтесь удалить что-то не то — это ничем не грозит: лучше убрать больше незнакомых Вам программ оттуда, это не только увеличит вероятность того, что среди них будет баннер, но и, быть может, ускорит работу компьютера в будущем (у некоторых в автозагрузке стоит очень много всего лишнего и ненужного, из-за чего компьютер тормозит). Также при удалении параметров следует запомнить путь до файла, с тем, чтобы потом удалить его из его местонахождения.

Все вышеописанное повторяем для HKEY_LOCAL_MACHINE -> Software -> Microsoft -> Windows -> CurrentVersion -> RunВ следующих разделах действия несколько отличаются:HKEY_CURRENT_USER -> Software -> Microsoft -> Windows NT -> CurrentVersion -> Winlogon. Здесь необходимо убедиться, что такие параметры, как Shell и Userinit отсутствуют. В противном случае, удалить, здесь им не место.HKEY_LOCAL_MACHINE -> Software -> Microsoft -> Windows NT -> CurrentVersion -> Winlogon. В этом разделе нужно убедиться, что значение параметра USerinit установлено в виде: C:\Windows\system32\userinit.exe, а параметр Shell имеет значение explorer.exe.

В Winlogon для Current User не должно быть параметра Shell

В общем-то все. Теперь можно закрыть редактор реестра, ввести в еще незакрытую командную строку explorer.exe (запустится рабочий стол Windows), удалить файлы, месторасположение которых мы выяснили в ходе работы с реестром, перезагрузить компьютер в обычном режиме (т.к. сейчас он находится в безопасном). С большой вероятностью все будет работать.

Если загрузиться в безопасном режиме не получается, то можно воспользоваться каким-либо Live CD, в составе которого имеется редактор реестра, например Registry Editor PE и проделать все вышеописанные операции в нем.

Как выглядят и работают баннеры, блокирующие рабочий стол?

Баннер — это ни что иное, как программа, установленная на вашем компьютере. Программа блокирует графическую оболочку windows и отключает клавиатуру, а без двух данных элементов пользователь не может сделать ровным счетом ничего: ни вызвать диспетчер задач, ни открыть «Пуск». Запомните, что инициатором установки данной программы является всегда пользователь:

• Возможно, что вы скачали какую-либо необходимую вам программу, начали устанавливать, а это оказалась вовсе не она.
• Или же вы искали фильм онлайн, а сайт вам сказал, что нужно обновить Flash-плеер, и вы не задумываясь запустили загрузку какого-то неизвестного «Flash-плеера».

Выглядят баннеры примерно так, но есть и другие разновидности. Принципы «лечения» у всех одинаковы.

Баннер, требущий пополнить баланс мобильного телефона
Баннер, требущий отправить смс на короткий платный номер

Давайте попробуем по шагам разобрать, как избавиться от вирусного баннера, блокирующего рабочий стол.

Как удалить баннер Windows?

Баннер — вид компьютерного мошенничества, который появился сравнительно недавно и его популярность постоянно растёт. Если Вы стали жертвой этого чаще всего баннера и Ваш компьютер заблокирован, тогда в этой статье мы расскажем Вам как снять, разблокировать, удалить вирус с рабочего стола, не прибегая к помощи мастеров.

       Антивирусы чаще всего не защищают от вируса баннера.

Принцип работы вируса

   Из сети Интернет к вам на компьютер загружается программа, которая блокирует доступ к системе, информируя Вас, о том, что Вы являетесь нарушителем закона, просматривали порнографию и т.п. Это делается для того, чтобы надавить на вашу совесть и вынудить отправить злоумышленнику некую сумму денег, при получении которых он якобы вышлет Вам код разблокировки. Первые версии данного вируса действительно имели код разблокировки, но только вирус не отключался полностью, а через неделю-другую снова давал о себе знать, требуя повторной отправки денег. Сейчас, зачастую, никакие коды не помогают и баннер — вымогатель блокирует Вашу систему основательно и надолго. «Ахтунг, что делать?, помогите» — самое главное не паникуйте:1. Ни при каких обстоятельствах не бегите класть деньги на счет, указанный в баннере. 2. Не отправляйте SMS на указанные номера. 3. Не верьте тому, что Ваш компьютер будет отформатирован. 4. Заражение вирусом не требует переустановки операционной системы, что бы Вам не говорили. В противном случае — кошелек опустеет, а проблема останется. Главная задача мошенников — запугать пользователя с целью получения прибыли. Уверен что многие ловились уже на эту удочку.

1. Наилучший способ удаления вируса — это правка реестра

 Не пугайтесь)), это очень просто и не займет много времени. Не хотите этим заниматься, позвоните нам и мы все сделаем за Вас (8-918-474-111-5). Сделаем все по порядку. Что бы получить доступ к реестру, нужно загрузить компьютер в безопасном режиме с поддержкой командной строки, для этого при включении компьютера нажмите клавишу F8 и в выпавшем меню загрузки выбрать Безопасный режим с поддержкой командной строки.

Дожидаемся загрузки командной строки и вводим в ней regedit.exe и жмем Enter. Открылся редактор реестра — здесь и поселился наш вирус, а точнее прописался.  Проверим возможные места нахождения вируса и выкурим его.»1. HKEY_CURRENT_USER /Software /Microsoft /Windows /CurrentVersion /Run

здесь мы видим список программ автозагрузки (запускаются вместе с операционной системой), а также их расположение на вашем ПК (что бы потом удалить их с диска). Все подозрительные программы нужно удалить (правой кнопкой мыши и удалить) и запомнить путь к ним (например: grg54545.exe, bh.exe по пути C:/Documents and Settings/; C:/Windows/System и т.д.)2.HKEY_LOCAL_MACHINE /Software /Microsoft /Windows /CurrentVersion /Run — повторяем вышеизложенное.3. HKEY_CURRENT_USER /Software /Microsoft /Windows NT/ CurrentVersion /Winlogon—

здесь не должно быть параметров Shell и Userinit. При их обнаружении, смело удаляйте.4. HKEY_LOCAL_MACHINE /Software /Microsoft /WindowsNT /CurrentVersion /Winlogon — наоборот должны присутствовать и соответсвовать этим значениям Userinit — C:Windowssystem32userinit.exe Shell — explorer.exe

Если это не так, то исправляйте вручную. Все исправили? Теперь закрываем редактор реестра и вводим в командной строке Explorer.exe и жмем enter, что бы запустить рабочий стол. Удаляем файлы, пути которых мы запоминали, перезагружаемся. Вуаля! Все должно работать.

2. Второй способ удаления вируса с рабочего стола — с помощью специальных утилит

 Для этого Вам нужен будет незараженный рабочий компьютер, интернет, чистый диск или флешка. Качаете образ, записываете его на флешку или диск и загружаетесь с диска, но об этом позже. 

Способы бесплатного удаления баннера в Windows

Заведя в своем компьютере такого надоедливого зверя как «троян-вымогатель», ни в коем случае не нужно бежать к ближайшему терминалу самообслуживания или в банк для оплаты  его требований.

ОС Windows предлагает следующие и абсолютно бесплатные пути избавления от баннера:

• переустановка  операционной системы;
• через режим «Безопасного пользования»;
• правка реестра;
• через антивирусную утилиту AVZ;
• с помощью специальной антибаннерной программы;

Способ каждый подбирает, тот, который ему будет удобен. Но 100% результат может гарантировать только применение специальной программы.

Безопасный режим тоже заблокирован

В этом случае Вам придется воспользоваться каким-либо LiveCD. Один из вариантов — Kaspersky Rescue или DrWeb CureIt. Однако они не всегда помогают. Моя рекомендация — иметь загрузочный диск или флешку с такими наборами программ на все случаи жизни, как Hiren’s Boot CD, RBCD и другими. Помимо прочего, на этих дисках имеется такая вещь, как Registry Editor PE — редактор реестра, позволяющий редактировать реестр, загрузившись в Windows PE. В остальном все производится также, как было описано раньше.

Есть и другие утилиты для редактирования реестра без загрузки операционной системы, например Registry Viewer/Editor, также имеющийся на Hiren’s Boot CD.