Обнаружение ущерба, нанесенного вирусом

Question

Этим утром после того, как я поступил в колледж, вирус заразил мой компьютер без какого-либо вмешательства пользователя. Когда я пришел домой, мой компьютер был полностью заморожен и заражен большим количеством троянов. Я не набрал ничего важного с момента возврата, чтобы ключи не могли быть зарегистрированы. Однако я хочу точно знать, когда произошел сбой моего компьютера с момента заражения, чтобы увидеть, что потенциально может сделать хакер удаленно.

Вирус, который был диагностирован на моем компьютере, был "fakespypro" в полностью обновленной установке Windows 7 с включенным брандмауэром. Мой компьютер был подключен к внутренней сети комнаты в общежитии, так что, вероятно, с этим нужно было что-то делать.

Будем весьма благодарны за любую дополнительную информацию о том, как я мог отследить эту вирусную инфекцию или о способах выяснить, какие данные могут быть украдены.

Answer 1

Если у вас не включено ведение журналов (что не по умолчанию), очень маловероятно, что вы узнаете, что было сделано.

Тем не менее, я сталкивался с этим (и подобным) вредоносным программным обеспечением, и они обычно используются только для того, чтобы люди покупали мусорное / поддельное программное обеспечение, они не являются троянами в обычном смысле слова и отправляют ваши файлы и информацию третьей стороне.

Я не говорю, что это невозможно, но вряд ли.

Однако, если вы хотите обнаружить ущерб, нанесенный вашей действительной системе, вы можете попробовать загрузить хороший инструмент поиска по всему (доступно на Ninite) и отсортировать по дате - это покажет вам все, что скопировано и изменено на дату (есть много похожих (встроенные) инструменты, но, я думаю, это самый быстрый.

Кроме того, в командной строке вы можете ввести SFC /SCANNOW , чтобы проверить целостность и состояние системных файлов Windows.

Answer 2

Ссылка, которую вы включили в свой вопрос, конкретно описывает, что делает вирус.

Trojan:Win32/FakeSpypro may be installed from the program's web site or by social engineering from third party web sites. When executed, Win32/FakeSpypro copies itself to "%windir%\sysguard.exe" and sets a registry entry to run itself at each system start:

Adds value: "system tool"
With data: "%windir%\sysguard.exe"
To subkey: HKCU\Software\Microsoft\Windows\CurrentVersion\Run

It drops a DLL component to "\iehelper.dll" and sets the following registry values to load the dropped DLL at Windows start and to register the DLL component as a BHO:

Adds value: "(default)"
With data: “bho”
To subkey: HKLM\SOFTWARE\Classes\CLSID\{C9C42510-9B21-41c1-9DCD-8382A2D07C61}

Adds value: "(default)"
With data: “\iehelper.dll”
To subkey: HKLM\SOFTWARE\Classes\CLSID\{C9C42510-9B21-41c1-9DCD-8382A2D07C61}\InProcServer32

Adds value: "(default)"
With data: "0”
To subkey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{C9C42510-9B21-41c1-9DCD-8382A2D07C61}

It also creates the following registry subkey:

HKCU\Software\AvScan
HKCU\Software\AVSuite 

The DLL, "\iehelper.dll", installed by Win32/FakeSpypro is used to moderate the affected user's Internet use. For example, it may modify search results for the following search engines, by appearing to direct users to browser-security.microsoft.com:

    * yahoo.com
    * google
    * msn.com
    * live.com

Win32/FakeSpypro may modify the Hosts file under \drivers\etc\hosts, to ensure that users visiting 'browser-security.microsoft.com' are directed to the listed IP address as in the following example:

195.245.119.131 browser-security.microsoft.com 

Нет никаких упоминаний об открытии каких-либо задних дверей, и я не слышал об этом раньше, поэтому я сомневаюсь, что хакер был «на вашем компьютере». Я предлагаю вам взглянуть на учетные записи пользователей, чтобы убедиться, что кто-то не создал учетную запись, которую он может использовать на досуге. Этот конкретный троян чаще всего воспринимается как скачивание с диска, что означает, что вы сразу же не понимаете, что получили его. Это может произойти, даже если вы посещаете авторитетный сайт, если сайт был взломан. Самое страшное, что если вы точно не знаете, когда были заражены, любая информация, введенная в ваш браузер, могла быть перехвачена. Хорошей новостью является то, что этот вирус не лежит спокойно, но мешает вам купить его. Я считаю, что это также обнаруживается большинством антивирусных программ. Мне нравится предложение Уилла о поиске на вашем жестком диске недавно измененных файлов, но у меня есть сомнения по поводу того, какая помощь будет на самом деле.

Answer 3

Наихудший сценарий здесь заключается в том, что любые сохраненные / кэшированные пароли, хранящиеся на машине, были скомпрометированы, и ваш номер социального страхования был украден. Вряд ли что-то еще было взято. Помимо кражи этой конкретной информации, другая мотивация для вредоносных программ включает показ рекламы и использование процессорного времени вашего компьютера и сетевого времени для увековечения ddos-атак и других действий зомби. В наши дни все сводится к деньгам, и слишком сложно собирать платежи с частных лиц, чтобы оправдать удаление файлов данных из вашей системы.

Чтобы защитить себя, я бы пошел на чистую машину и поменял бы любые пароли, которые приходят на ум: электронная почта, онлайн-банкинг, Facebook / социальные сети, World of Warcraft / Steam / Gaming, vpn и т.д. Вы также можете добавить предупреждение о мошенничестве в свой кредитный отчет.

Затем используйте флэш-накопитель USB или записываемый DVD-диск, чтобы сделать резервную копию всех ваших данных - любых файлов и настроек на компьютере или любых программ, которые вы не можете легко установить в новой системе. Когда это будет сделано, отформатируйте жесткий диск, переустановите операционную систему и приложения (и на этот раз не забудьте включить обновления Windows) и, наконец, восстановите ваши данные.

Ключевым моментом здесь является то, что, как только ваша система заражена, вы никогда не сможете быть уверены , что она снова полностью очищена. Раньше он был достаточно хорош, чтобы быть уверенным, что любое вредоносное ПО больше не беспокоит вас, но в наши дни лучшее (читай: худшее) вредоносное ПО хочет оставаться скрытым, а тот тип данных, который имеется в вашей системе, делает его более не стоящим риска. попытаться почистить компьютер. Вы должны стереть это и начать все сначала.

Answer 4

я бы посоветовал не зависеть от зараженной машины для сканирования; есть два варианта, которые я бы выбрал

[1.] подключил этот жесткий диск к другой системе ... и сканировал его, загружаясь с незараженного компьютера

если нет доступа к другой машине

[2.] сделайте загрузочный USB-накопитель с помощью Unetbootin и любого другого дистрибутива Linux, установите на него хорошее бесплатное аудио / видео и отсканируйте загрузочный жесткий диск с этого USB