Postupci za uklanjanje zlonamernih programa

Autori zlonamernih programa stalno usavršavaju metode i načine širenja istih, tako da dole navedeni postupci obuhvataju samo neke od trenutno poznatih načina za uklanjanje zlonamernih programa.

Ukoliko i pored svih mera opreza dođe do instaliranja zlonamernih programa na Vašem kompjuteru, predlažemo da na svim kompjuterima u mreži uradite sledeće:

Proverite kompjuter sa antivirusnim programom koji koristite (hard disk "c:" kao i ostale diskove u kompjuteru).

Dodatnu proveru možete izvršiti preko online verzija antivirusnih programa:

• http://www.kaspersky.com/kos/eng/partner/default/pages/default/check.html?n=1256923421050 i
• http://security.symantec.com/sscv6/WelcomePage.asp

Sledeća provera sa odnosi na adware/trojan detektore:

• Spybot-S&D - http://www.safer-networking.org/en/mirrors/index.html (pre provere uraditi ažuriranje programa)
• Malwarebytes - http://www.malwarebytes.org/, besplatna verzija i ažuriranje
• ComboFix - http://download.bleepingcomputer.com/sUBs/ComboFix.exe i http://www.bleepingcomputer.com/combofix/how-to-use-combofix - uputstvo

Zatim sortirati fajlove po datumu c:\windows, c:\windows\system32 i c:\windows\system32\drivers i videti ima li "dll" ili "exe" fajlova novijeg datuma i/ili čudnog imena, na www.google.com proveriti da li jos neko ima isti fajl/program i ima li komentara o trojancu ili virusu; uraditi upload preko linka http://virscan.org/ i testirati sumnjive fajlove.

Obavezno promeniti sve lozinke/šifre na online servisima koji koristite.

Povremeno proveriti preko start - run - cmd:

• u konzoli kucati: netstat -o

Ova komanda daje ispis sličan navedenom primeru:

Proto	Local Address	Foreign Address	State	PID
TCP	127.0.0.1:1890	127.0.0.1:1891	ESTABLISHED	3160
TCP	127.0.0.1:1891	127.0.0.1:1890	ESTABLISHED	3160
...

 

Ako u koloni "Foreign Address" postoji ":25" (ili ":smtp") znači da kompjuter šalje e-mail poruke bez Vašeg znanja.

Poslednja kolona "PID" pokazuje koji proces (program) to radi.

Komanda "tasklist /svc" daje listu procesa, tako da može da se vidi koji je "pid" odnosno program inficiran.

Ako je "pid" 0 ili 4, virus je u boot sektoru i može da se očisti samo ako se sistem podigne preko instalacionog CD-a i ručno očisti; obično se nalazi u c:\windows\system32\drivers\nestocudno.sys

Proveriti WLAN okruženje ako postoji, možda imate uljeza u Wireless okruženju sa inficiranim računarom.