Премахване на зловреден софтуер – софтуерни продукти
Ако въпреки всички усилия на администратора някой от компютрите е заразен с вируси или е засегнат от опасни програми, естественото желание е да се отървете от тях. Опитът за премахване на злонамерен софтуер с помощта на помощната програма за добавяне/премахване на програми е малко вероятно да бъде успешен, така че ще разгледаме алтернативни подходи към всеки тип нежелана програма.
Премахване на вируси
Забележка: Когато редактирате системния регистър, винаги е необходимо стриктно да спазвате предпазните мерки. Неправилните промени могат да навредят много, включително да попречат на системата да се стартира.
Проверка на компонентите преди деинсталиране
Най-трудното нещо е не да се откриват приложения, които се стартират автоматично с операционната система, а да се установи кои изпълними файлове са полезни (са част от операционната система или приложения на трети страни) и кои са вредни.
 |
| Фигура 1: Проверка на стартиращи програми с Msconfig |
Ако вашата система е различна от XP и Windows 98 или ако искате да получите по-задълбочена представа за компонентите, които стартират при зареждане на системата, можете да изтеглите безплатната помощна програма Autoruns от Sysinternals (http://www.sysinternals.com/utilities/autoruns.html). Autoruns предоставя подробна информация за компонентите, конфигурирани да работят при зареждане на системата или влизане на потребителя. Примерен екран за автоматично стартиране е показан на фигура 2.
 |
| Фигура 2: Проверка на стартиращи програми с Autoruns |
Търсене на шпионски софтуер в помощни обекти на браузъра
 |
| Фигура 3: Управление на плъгини в IE |
 |
| Фигура 4: Проверка на помощните обекти на браузъра в IE |
Възможно е да се пропуснат идентификатори на клас за обекти Browser Helper, които имат описателен етикет и чиито приложения са законни. Всички останали идентификатори на класове са забележителни. Трябва да направите списък с тях и след това да потърсите в секцията HKEY_CLASSES_ROOT\CLSID съответните уникални идентификатори на класове. Фигура 5 показва идентифицирания и изолиран подозрителен идентификатор на клас.
 |
| Фигура 5: Проверка на подробните характеристики на помощния обект на браузъра |
Обектът Browser Helper има две характеристики. Първо, в ключа на системния регистър HKEY_LOCAL_ MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ Explorer\Browser Helper Objects този елемент няма описание. Второ, при по-близко запознаване с идентификатора на класа се оказа, че обектът извиква DLL директно от директорията %SystemRoot% на системата Windows. В резултат на проверка на DLL в списъка на уебсайта на Microsoft беше установено, че това е нестандартна част от операционната система. Следователно този обект на Browser Helper е силно съмнителен и вероятно трябва да бъде премахнат. За да премахнете напълно помощния обект на браузъра, трябва да премахнете препратките от двата ключа на системния регистър (ключа на помощния обект на браузъра и ключа CLSID) и след това да изтриете всички .dll и .exe файлове, изброени в ключа CLSID.
Вместо да го правите ръчно, можете да използвате Microsoft Windows Defender Anti-Spyware. Инсталирането на Defender на система, заразена с шпионски софтуер, е може би най-лесният и бърз начин да се отървете от нежеланите програми на работната станция на потребителя.
Премахването на вредни изпълними файлове от компютър в предприятие не е лесна задача, но е изпълнима. С внимателно планиране, обмислена политика и внедряване на архитектурни решения можете значително да намалите вероятността нежелани програми да навлязат в организацията през компютрите на потребителите. Но ако някоя система се зарази, администраторът трябва да има под ръка средство да се отърве от „вредителя“.