Jak ručně vyčistit počítač od multirezistentního škodlivého software
24. 7. 2008 – 18.07
Nedávno jsem si nainstaloval Internet Explorer 7, v naději, že vyřeším problém neuvolňování paměti (memory-leak) při použití Javascriptu. To se mi sice nepodařilo, zato se mi však začal Internet Explorer sám od sebe v několikahodinových intervalech sám od sebe spouštět a nabízel mi místo mé homepage, stránky s různými hloupostmi…
Bylo mi jasné, že mám v počítači adware, tedy škodlivý program. Říkal jsem si, že to bude v pohodě, jako už mnohokrát předtím jsem sáhl po Spyware terminatorovi, aktualizoval jeho databázi a spustil jsem jej. Nepomohlo. Stáhnul jsem Lavasoft ad-aware 2008, zaktualizoval, nechal projet počítač, nepomohlo. Do třetice jsem si vzpoměl na Microsoft Windows defender. Stejný výsledek.
Windows defender má v sobě výbornou utilitu zvanou software explorer, která umí zobrazit spuštěné procesy a zobrazit o nich užitečné podrobnosti – jako zda patří do systému windows, kdo je jejich vydavatel, cestu odkud jsou spuštěny, zda jsou digitálně podepsány atd. Díky této utilitě jsem v počítači našel některé podezřelé procesy. Ty jsem kill-nul a pak i ručně smazal. S uspokojením jsem restartoval počítač, jenže po chvíli už tam bylo to protivné okno zase. Navíc se vždy aktivovalo do popředí, takže mi to třeba shazovalo v nejexponovanějších chvílích Battlefield 2142, který následně vytuhnul! A to pohár mé trpělivosti přetekl.
To už mne vážně dožralo. Navíc jsem zjistil, že exe soubory, které jsem předtím ručně smáznul, se na disku opět objevily! Dalším nepříjemným zjištěním bylo to, že počítač se 4GB RAM měl po nabootování obsazeno 2,5GB stránkovacího souboru. RAM však bylo dost!
Rebootoval jsem do nouzového režimu. Opět jsem smazal ty škodlivé soubory (začínaly na HLEXD*.exe HLEX*.a_a, HLEX*.dat měly cca 33kB), ale bylo mi jasné, že v počítači musí být ještě něco, co je po smazání a restartu „oživuje“. Jak to najít? Zkusil jsem v total commanderu použít rozšířené hledání s těmito parametry:
jméno souboru: *.exe
velikost: <150kb (adware totiž bývají vždy malé)
není starší než:2 měsíce
A povedlo se! Výsledkem mého hledání byl exe soubor (cca 130kB), jehož jméno bylo evidentně vytvořeno náhodnými znaky, byl asi týden starý. Hned vedle byl stejně pojmenovaný soubor s příponou .a_a. Škodlivý software v mém počítači měl tedy 2 exe soubory. Jeden přímo „škodil“, a druhý, velmi, velmi dobře schovaný jej vždy po případné likvidaci vrátil zpět. Nevím, jak se dokázal po startu windows spustit (nikde, ani v registru, ani v žádném ini jsem příkaz k jeho spuštění nenašel) – že by rootkit??? Možná se také hned po oživení druhého-škodícího exe souboru sám ukončil (nebyl tedy k nalezení v běžících procesech)…