Если при запуске ОС Windows браузер произвольно, без каких-либо команд пользователя, открывает сайт http://www.play-toolbar.org, значит, система безопасности ПК дала брешь. Подобные симптомы — явный признак деятельности специализированного вируса — угонщика браузеров.
Злоумышленники распространяют этот зловред через инсталляторы ПО: переупаковывают их и добавляют «необходимые элементы». Не все антивирусы, защищающие ОС в реальном времени, способны распознать подобный вид маскировки. Инфицированные ПК волей-неволей приносят трафик на сайт злоумышленников (в данном случае на play-toolbar.org).
Как действует вирус?
Угонщик браузера вносит в директорию реестра, отвечающую за автозагрузку, свою директиву. А она, в свою очередь, через командую строку Windows запускает браузер с параметром открытия вирусной веб-страницы.
Примечательно, что в ключе управляющей команды задаётся другой сайт (не play-toolbar). Например, известна модификация adverttraff.org. Именно он и переадресовывает заражённый компьютер на мошеннический ресурс. Таким образом, хакеры дополнительно «запутывают следы»: затрудняют удаление «угонщика» из системы.
Процедура удаления
Очистка реестра
1. Откройте меню «Пуск» (кликните по иконке или нажмите «Win»).
2. В строке поиска введите — regedit.
3. Нажмите «ENTER».
4. В редакторе реестра откройте HKEY_CURRENT_USER (кликните левой кнопкой по папке с соответствующим названием).
5. Далее перейдите: Software → Microsoft → Windows → CurrentVersion → Run.
6. В директории Run необходимо удалить вредоносную запись со следующими характеристиками:
- Имя — CMD;
- Тип — REG_SZ;
- Значение — cmd.exe /c start [имя зловредного веб-сайта] && exit
Примечание. Вероятней всего, что в ключе будет указан adverttraff.org.
7. Выполните удаление, воспользовавшись штатной функцией ОС:
- кликните правой кнопкой по объекту;
- выберите в контекстном меню «Удалить».
8. Дополнительно аналогичным образом проверьте и, при необходимости, очистите раздел:
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run
Проверка свойств ярлыков
Чтобы открыть параметры ярлыков, необходимо выполнить следующие действия:
- для ярлыков на панели задач: клик правой кнопкой → в открывшемся меню ещё раз клик правой по иконке браузера → клик левой по разделу «Свойство» (в системном меню);
- для ярлыков на рабочем столе: клик правой → Свойства.
Далее – в окне свойств:
На вкладке «Ярлык», в поле «Объект», уберите после файла c расширением «exe» все вредоносные настройки: ссылки, в том числе и на play-toolbar, команды и ключи.
Внимание! Если у исполняемого файла расширение не «exe» и название, отличное от имени браузера, обязательно замените его на доверенный (принадлежащий браузеру). Например: firefox.bat (вредонос) → firefox.exe (истинный).
Проверить и восстановить настройки необходимо во всех имеющихся ярлыках браузеров, установленных в систему.
Настройка браузеров
После нейтрализации play-toolbar из автозагрузки и очистки ярлыков необходимо восстановить настройки браузеров, а также удалить вредоносные/сомнительные аддоны (расширения), подключенные к ним.
Эту задачу можно выполнить не только вручную, но и при помощи утилиты Avast! Browser Cleanup:
1. Скачайте с офсайта чистильщик браузеров и запустите его.
2. Кликните иконку браузера, который хотите очистить.
3. Нажмите «Восстановите настройки»:
- установите домашнюю страницу посредством указания адреса доверенной поисковой системы (google.com, yandex.ru);
- удалите аддоны, от которых порекомендует избавиться Browser Cleanup.
Проверка системы
Все вышеописанные этапы очистки Windows были направлены преимущественно на нейтрализацию последствий действия вируса. НО: даже если нет признаков его деятельности, это ещё не значит, что он исчез навсегда. Некоторая часть элементов зловреда, пусть и бездействующая, может пребывать в одной из файловых директорий системы.
Поэтому, чтобы удалить play-toolbar полностью, необходимо просканировать разделы диска одной из следующих лечащих утилит:
- HitmanPro;
- Anti-Malware Free;
- Dr.Web CureIt!;
- Virus Removal Tool (от Kaspersky).
И, соответственно, все найденные подозрительные и опасные объекты уничтожить.
Профилактика
Перезагрузите ПК и убедитесь в том, что не активизируется командная строка при запуске и браузеры работают корректно. Выполните оптимизацию реестра и удалите ненужные файлы из Windows программой CCleaner или Reg Organizer.
Добавить комментарий