Ложный файл подкачки, или «Кто, кто в теремочке живет?»

При лечении зараженных ПК автор статьи часто обнаруживает в корневых директориях дисков C:\ и D:\ странную папку – filesystem.

Значком папки выбран стандартный значок, применяемый для Корзины Windows:

В Проводнике Windows (даже при включенной опции Показывать скрытые и системные файлы) папка filesystem при открытии выглядит пустой.

Файловый менеджер Total Commander показывает следующее:

Папка filesystem содержит 2 файла:

– Desktop.ini (64 байт) с содержимым

[.ShellClassInfo]

CLSID={645FF040-5081-101B-9F08-00AA002F954E}

– pagefile.exe (125 440 байт).

Исследование показало, что файл pagefile.exe является сетевым червем, «косящим» под файл подкачки.

Вирус pagefile.exe предназначен для 32-битной платформы ОС Windows с процессором x86.

Вирус распространяется посредством локальной, Глобальной и P2P-сетей, а также с помощью съемных носителей информации (флешек).

***

Как ликвидировать вирус и устранить последствия вирусной атаки

– в корневых директориях дисков (включая съемные) удалите папку filesystem (вместе с содержимым);

– нажмите Пуск –> Выполнить… –> в поле Открыть введите regedit –> OK;

– раскройте ветвь [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon], проверьте значение строкового (REG_SZ) параметра Shell (должно быть Explorer.exe);

– проверьте значение строкового (REG_SZ) параметра Userinit, – должно быть C:\Windows\system32\userinit.exe, (если система установлена на диске C:\, если на другом диске, то <буква_диска>:\Windows\system32\userinit.exe,);

– закройте Редактор реестра;

– нажмите Пуск –> Выполнить… –> в поле Открыть введите regsvr32 /i shell32.dll –> OK;

– появится окно RegSvr32 с сообщением «DllRegisterServer and DllInstall в shell32.dll завершено успешно», нажмите OK;

– для предотвращения повторного заражения отключите восстановление системы (или вручную очистите папку System Volume Information);

– очистите кэш интернет-файлов;

– перезагрузите ПК;

– включите восстановление системы.

Примечания

1. Настоящий файл подкачки имеет название pagefile.sys (по умолчанию расположен в корневой директории диска с операционной системой; имеет атрибуты Скрытый, Системный).

2. Файл подкачки (swap-file, paging-file) используется операционной системой Windows для хранения частей программ и файлов данных, не помещающихся в оперативной памяти. По мере необходимости Windows перемещает данные из файла подкачки в оперативную память (для их использования программами) и обратно (для освобождения места для новых данных).

Синонимы: своп-файл; свопинг-файл; файл виртуальной памяти.

3. Будьте осторожны при манипуляциях с Реестром! Некорректное использование Редактора реестра может привести к возникновению серьезных неполадок, вплоть до переустановки операционной системы!

4. Помните, что предупредить легче, чем лечить! Пользуйтесь брандмауэрами и надежными антивирусными программами с регулярно (не менее одного раза в неделю!) обновляемыми базами.

5. Почаще делайте резервное копирование важной информации.

Валерий Сидоров