Likvidace havěti

V současnosti se většina havěti likviduje smazáním patřičných souborů, léčení je minulost. Ale ani mazání nemusí být bezproblémové…

S jakou havětí se můžeme setkat?

V současnosti se jen sporadicky objevují klasické souborové viry, které lze odstranit „vykousnutím“ z infikovaných souborů a vrátit je tak do stavu před infekcí.

U současných operačních systémů Microsoft Windows se doporučujeme takovému způsobu léčení vyhnout, protože technicky je téměř nemožné zajistit, aby byl vyléčený soubor naprosto identický se stavem před infekcí. Řada programů obsahuje různé sebe-kontroly a každý sebemenší rozdíl oproti originálu může způsobovat různorodé problémy. Tudíž pokud je to možné, je potřeba obnovit ze zálohy, jinak se je potřeba smířit s tím, že v PC budou soubory s nejistou funkcionalitou…

Z výše uvedeného plyne, že nejčastěji se řeší problémy s havětí, pro kterou platí společné heslo: léčení souboru = smazání souboru.

Díky tomu, že si tato havěť „přitáhne“ veškeré „infikované“ soubory s sebou, se ani nic jiného než mazání nenabízí. Uživatel zároveň při mazání nepříjde o žadné soubory/aplikace, které používal v minulosti.

Následuje soupis nejvýznamějších druhů havěti, kterou lze odstranit právě smazáním infikovaných souborů, resp. souborů samotné havěti:

• TROJAN – obecný pojem. V minulosti se takto označovaly škodlivé programy, které se vydávaly za jiný – neškodný software.
• ROOTKIT – fungováním připomíná trojana, nicméně používá techniky, které mají zamést pod koberec všechny stopy o jeho přítomnosti, pokud je aktivní v PC. Soubory, které na disku vytvořil, tak nejsou vidět a na stejné problémy pak narážejí i samotné antivirové programy.
• BACKDOOR – škodlivý kód, který umožňuje převzít vzdáleně (např. přes Internet) kontrolu nad takto infikovaným PC.
• DOWNLOADER – škodlivý kód, který z Internetu stahuje další havěť.
• DROPPER – škodlivý kód, který ve svých „útrobách“ přenáší další škodlivou havěť a tuto po spuštění vypouští do PC.
• WORM, ČERV – každý tímto pojmem označuje něco jiné. V dnešní době se obvykle pojmem „červ“ označuje havěť, která se šíří ve formě síťových paketů (jako slavný červ Lovsan/Blaster).
• ADWARE – aplikace, která má obvykle za následek to, že vyskakují reklamní okna během práce i surfování a nervy uživatele tak dostávají na frak.
• SPYWARE – špionážní software. Může odcizovat data z PC uživatele. Většinou se na něj váže další havěť.
• DIALER – aplikace, která se postará o to, že připojení k Internetu se v případě vytáčeného dial-up připojení několikanásobně prodraží.
• TRACKING COOKIE – speciální druh „sušenky“ zneužívány k monitorování pohybu uživatele po síti Internet.

Jdeme na to!

Nejprve je dobré zkusit havěť odstranit pomocí antivirového či antispywarového programu s využitím poznatků uvedených výše. Pokud se nedaří (což není nic neobvyklého), lze použít tvrdší metodu likvidace.

Aktivní havěť dokáže zabránit korektní instalaci či provozu antivirového či antispywarového programu. Vzhledem k množství existující havěti existuje taktéž riziko, že právě daný konkrétní kus havěti nebude celou řadou bezpečnostních aplikací detekován (a je pro ně tudíž velkou neznámou). Pokud nabízí antivirus možnost vytvoření záchranného CD a nastartování systému z něho, pak určitě zkuste i tuto variantu. Obejdete tak i případné rootkity (viz. výše) a antivirus tak může detekovat větší množství infikovaných souborů než při klasickém náběhu systému bez použití CD.

Pokud se nezadařilo, je potřeba využít rad odborníků, např. na diskuzním fóru viry.cz.

Odborník pak může postupovat například tak, že si nejprve vyžádá podrobnější informace o běžících programech v PC. To může dokonale splnit například protokol z aplikace RSIT. Oko odborníka dokáže v takovém protokolu najít věci, které nemají v PC co dělat a tudíž tak odhalit ať už známou, tak neznámou havěť.
Občas není od věci ještě předtím pročistit počítač například pomocí aplikace CCleaner, aby nebylo nutné procházet tak dlouhý a často i nepřehledný protokol.
Pak může být využita opět například aplikace The Avenger, která dokáže mimojiné i potřebné soubory „zlikvidovat“ i když je nelze klasickou metodou smazat.
Zcela alternativní cestou může být použití aplikace Combofix, nicméně občas je to trochu adrenalin, jelikož Combofix je vcelku agresivní a občas odmaže i něco, co neměl. Naštěští vytváří zálohy a při správném použití je „v oboru“ téměř bezkonkurenční.

Nejčastější problémy během likvidace havěti

Havěť se stále po restartu odněkud vrací:

• Pokud je PC ve firemní síti (LAN), je potřeba zkontrolovat, zda síťově nesdílíme celý pevný disk, popřípadě systémové adresáře (celý adresář Documents and Settings, Windows…). Taková síťová sdílení je potřeba zakázat. Některá havěť se dokáže šířit z jiných infikovaných PC právě přes tato sdílení.
• Zároveň je vhodné zkontrolovat, zda uživatel „Administrator“ má nastaveno heslo a pokud nemá, nastavit ho. Ideálně nějaké rozumné a nikoliv „profláknuté“ jako „abc“ nebo „123“. Tato a další hesla totiž znají i některé potvory.
• Pokud je aktivní funkce OBNOVA SYSTÉMU, havěť může „vylézat“ ze složky System Volume Information (_RESTORE). Je potřeba vypnout funkci OBNOVA SYSTÉMU (viz. níže). Odtud může systém automaticky obnovovat soubory – bohužel i v infikované podobě.
• V počítači se může nacházet další infikovaný objekt (nejčastěji soubor), který antivirus nedokáže detekovat (popř. odborník přehlédl) a právě tento vrací známou část infekce (např. opakovaným stahováním z Internetu).

Infikovaný soubor nelze odstranit:

• Infikovaný soubor je v archivu RAR, ZIP, CAB… – vnořený objekt. Pokud to antivirus nedokáže sám, je nutné infikovaný soubor v archivu odmazat pomocí archivačního programu (WinRAR), popřípadě smazat celý archiv. Typickým případem je havěť v adresáři Internet Temporary Files. S úspěchem lze použít aplikaci CCleaner, právě pro pročištění těchto adresářů.
• Infikovaný soubor je v držení samotné havěti (běží jako aktivní proces…). To je naprosto normální 🙂 Doporučujeme použít aplikaci Combofix či The Avenger (jednodušší).

OBNOVA SYSTÉMU – System Volume Information (_RESTORE)

Před likvidací havěti doporučujeme vypnout funkci OBNOVA SYSTÉMU. V opačném případě hrozí riziko, že se havěť bude stále vracet.

Postup pro Windows 7 / Vista:

• Klikněte pravým tlačítkem myši na ikonu POČÍTAČ.
• Zvolte VLASTNOSTI (PROPERTIES), vlevo pak UPŘESNIT NASTAVENÍ SYSTÉMU.
• Na záložce OCHRANA SYSTÉMU vyberte minimálně disk C: a stiskněte KONFIGUROVAT.
• Přepněte na VYPNOUT OCHRANU SYSTÉMU.
• Vše potvrďte a pokud budete požádáni o restart PC, určitě tak učiňte.

Postup pro Windows XP:

• Klikněte pravým tlačítkem myši na ikonu TENTO POČÍTAČ (MY COMPUTER).
• Zvolte VLASTNOSTI (PROPERTIES) a nalistujte záložku OBNOVENÍ SYSTÉMU (SYSTEM RESTORE).
• Zatrhněte volbu VYPNOUT NÁSTROJ OBNOVENÍ SYSTÉMU NA VŠECH JEDNOTKÁCH.
• Potvrďte, Windows provede restart.

Postup pro Windows ME:

• Klikněte pravým tlačítkem myši na ikonu TENTO POČÍTAČ (MY COMPUTER) a zvolte z nabídky VLASTNOSTI (PROPERTIES).
• Přepněte se do záložky VÝKON (PERFORMANCE) a stiskněte tlačítko SOUBOROVÝ SYSTÉM (FILE SYSTEM).
• Zde se přesuňte na záložku PŘI POTÍŽÍCH (TROUBLESHOOTING) a zaškrtněte poslední volbu – ZAKÁZAT OBNOVU SYSTÉMU (DISABLE SYSTEM RESTORE).
• Vše potvrďte tlačítkem OK, Windows se restartuje.