Movemenoreg vbs как удалить вирус с компьютера

Защита от вирусов, вешающих ярлыки на флешку, авторанов ⁠ ⁠

Алоха всем. Намутил тут на днях .bat файл, который препятствует проникновению авторан-вирусов на флешку. Решил поделиться, мало ли кому поможет. Сразу прошу за какие-то технические неточности, я не спец, просто жизнь вынудила)

Маленькая предыстория:

В универе у нас на компах завелся вирусяка гадостный. Его алгоритм действий: Перебрасывает все файлы на флешке в папку, эту папку скрывает и делает системной. Потом создает ярлык на эту скрытую папку. Как правило называется «Съемный диск %буква%» или то же самое но с размером флешки. Но ярлык не простой, а золотой) Открыв флешку по ярлыку, мы запускаем вредоносный код. Т.к. текучка студентов на компах огромная, кто-то да занесет опять, несмотря на периодические чистки. Залезает вирусяка иногда других модификаций, но в целом можно считать, что одного типа. «Антивирус» подходит как правило для рабочих мест, где постоянно несут один и тот же вирус, но для иных версий файл можно модифицировать самому, ничего секретного там нет.

На этом основная часть закончена, переходим к рассмотрению сути защиты.

В .zip архиве 2 файла — AVP Enable.bat и AVP Disable.bat. Запускать их надо из корня флешки. Один файл для создания файлов и папок, другой удаляет их соответственно (если зачем-либо захочется удалить). Все это хозяйство скрывается и делается системным, и на компах, настроенных по дефолту, вы ничего не увидите.

Защита строится исходя из следующего принципа, все это зашито в батник:

1) Смотрим название папки, в которую вирус перекидывает ваши файлы. Очень часто это вроде » » или «_»

2) Создаем файл с таким именем. При попытке создать папку, вирусяка получит отказ, т.к. уже есть файл с таким именем. (Если создать папку, а не файл, то вирус просто пропустить одну итерацию — облегчим ему работу)

3) Создаем папку с именем вашей флешки и расширением .lnk. Работает аналогично, вирус хочет создать ярлык (файл), а на его месте уже сидит папка. Подпапка com1 — для того, чтобы вирусяка не мог удалить наши папки. Конечно может, но специальными методами, далеко не все так заморачиваются. Delet’ом не удалишь короче.

4) Создаем следующие папки: WindowsServices\installer.vbs\com1 , \WindowsServices\helper.vbs\com1 , WindowsServices\movemenoreg.vbs\com1 . Тут ситуация аналогичная. Вирусяка записывает свои скрипты в папку WindowsServices с расширением .vbs. А мы делаем папки вместо файлов.

5) Создаем папку autorun.inf\com1

6) Ну и по опыту, создаются другие папки и файлы, в которые попадают вирусяки смежных типов.

Если что-то пошло не так:

На ярлык не клацаем, сохраняем спокойствие. Идем: Панель управления — параметры папок — вид. Убираем галку «Скрывать защищенные системные файлы» и ставим точку на «Показывать скрытые файлы, папки, диски»

На флешке должны появиться скрытые файлы и папки. Соответственно ваши файлы никуда не пропали, можете их вытащить.

— Спрятались файлы, но ярлык флешки не появился. Значит вирусяка переместил данные в папку с именем, отличным от п.1), но имя ярлыка подошло. Необходимо скорректировать имя для создания файла в соответствии с именем папки.

— Файлы не спрятались, но появился ярлык флешки. Это более безобидно, т.к. не надо лишний раз искать ваши файлы. А вот ярлык удалить лучше от греха подальше. Смотрим его название, и меняем имя папки в п.3)

Перечень создаваемых папок и файлов можете посмотреть, открыв батник блокнотом, Notepad++, или любым другим редактором.

movemenoreg.vbs, helper.vbs, installer.vbs — что это за файлы на флешке?

Приветствую. Я постараюсь написать простую инструкцию о том как удалить вирус, который создает ярлык на флешке.

movemenoreg.vbs, helper.vbs, installer.vbs — что это такое?

Файлы вируса, который создает на флешке ярлык (название может быть как у самой флешки), при запуске которого вы можете заразить ПК вирусом. Содержимое флешки при этом скрыто, иногда к нему можно получить доступ если вы запустите вирусный ярлык.

Расширение файла vbs это скрипт (Visual Basic Script), при запуске которого будет выполняться то, что прописано внутри файла. Такие скрипты VBS — встроенная функция Windows, но вирусописатели иногда используют такие скрипты и для своих нехороших целей.

Важно понимать

Часто схема таких вирусов — скрытие содержимого флешки и создание ярлыка с таким названием, чтобы вы по нему нажали.
При этом, если зайти в свойства ярлыка, то можно увидеть — происходит запуск некого скрипта, часто это именно movemenoreg.vbs. Поэтому запускать ярлык ни в коем случае нельзя.
На самом деле кроме ярлыка на флешке также могут присутствовать файлы/папки, но вы их не видите, так как им присвоен атрибут скрытый и системный. Увидеть их можно только если на ПК включен показ скрытых файлов/папок.

На флешке ярлык может быть вообще без названия:

Может показаться что какая-то системная ошибка и нужно просто еще раз зайти на флешку. На это и рассчитано, если так сделаете, то ПК будет заражен вирусом.

Удаляем вирус с ПК

Может у вас и не будет вируса на компе. Но лучше проверить и если обнаружите — то сперва удалите вирус с компа, а потом уже заняться флешкой.

Запускаем командную строку от администратора. В Windows 10 просто нажмите правой кнопкой по пуску и там будет пункт Командная строка (администратор).
Прописываем команды, которые снимут атрибуты с папки вируса — WindowsServices.
Удаляем файлы и папку вируса.

Важно: USER_NAME — имя вашей учетной записи.

В командной строке выполните такие команды (выполняйте по очереди):

attrib -s -h -a -r /d C:\Users\USER_NAME\AppData\Roaming\WindowsServices

attrib -s -h -a -r /s C:\Users\USER_NAME\AppData\Roaming\WindowsServices\installer.vbs

attrib -s -h -a -r /s C:\Users\USER_NAME\AppData\Roaming\WindowsServices\helper.vbs

attrib -s -h -a -r /s C:\Users\USER_NAME\AppData\Roaming\WindowsServices\movemenoreg.vbs

Когда все атрибуты сняты — вирусные файлы и папка станут видны и их можно будет удалить. Советую сразу удалять папку WindowsServices. При проблемах с удалением используйте утилиту Unlocker (при установке снимите галочку чтобы не поставился Delta Toolbar).

После всех действий настоятельно рекомендую проверить ПК антивирусными утилитами AdwCleaner, HitmanPro, Dr.Web CureIt!.

Получаем доступ к файлам флешки

Открываем флешку.
Рядом с ярлыком создайте текстовый документ с любым названием. В конце названия должно быть .txt, если этого нет — включите отображение расширений файлов (в интернете море инструкций как это сделать). Ваша задача — создать текстовый документ и чтобы было видно разрешение файла, например test.txt (test — просто название файла).
Теперь откройте текстовый документ и пропишите внутри команду: attrib «*» -s -h -a -r /s /d , потом закройте документ и сохраните изменения.
Теперь у текстового документа смените окончание .txt на .bat, например у вас был файл test.txt, а вы переименуйте его в test.bat.
Запустите переименованный файл (должно появиться черное окошко). После — все файлы/папки на флешке должны стать видимыми.
Теперь на флешке найдите папку с вашими файлами. Скопируйте их всех на ПК в какую-то отдельную папку. Саму флешку — форматируйте (правой кнопкой по флешке > пункт Форматировать). Форматировать советую используя кластер 4К и файловую систему NTFS.

Когда все файлы на флешке покажутся видимыми, то вы можете увидеть папку с названием WindowsServices — ее нужно удалить:

Здесь видим, что ярлык и правда имеет название самой флешки. В папке с названием — (тире или нижний пробел) скорее всего содержатся все ваши файлы, которые были на флешке. Ну а папка System Volume Information — служебная, ее можно тоже удалить.

Вирус создал ярлык флешки на флешке

Имел неосторожность воткнуть свою флешку в компьютер коллективного пользования, и тут же получил подарок в виде вируса. И это несмотря на установленный на нем антивирус Касперского. При попытке зайти на флешку, в корневом каталоге обнаружил ярлык флешки. Все остальные файлы и папки исчезли.

Вначале я не на шутку распереживался, поскольку на флешке были важные данные, а бэкап я делал уже довольно давно. Но все таки — это была не физическая смерть данных. Флешка оставалась заполненной, прекрасно открывалась и я понял что смогу решить проблему.

По запросу «ярлык флешки на флешке» поисковики вывели довольно много вопросов пользователей на различных сервисах и форумах. Вероятно вирус начал активно распространяться недавно и проблема актуальна не только для меня.

Как исправить ситуацию

Решения проблемы необходимо разделить на два пункта. Первое — это возвращение вместо ярлыка, на флешку, всех файлов и папок целыми и невредимыми. И второе — это удаление вируса и предотвращение его дальнейшего распространения.

Вернуть файлы на флешку

Как исправить ситуацию и вернуть все файлы и папки на флешку? На самом деле все очень просто. Необходимо вставить флешку в компьютер, вызвать командную строку, прописать следующие команды:

cd /d X: (вместо Х вы вводите букву каталога вашей флешки)

attrib -s -h -a -r /s /d *.* (прописываете точно как указано)

Если файлов на флешке действительно много, может показаться что ничего не происходит или командная строка подвисла. Не переживайте, спустя некоторое время в корневом каталоге флешки появятся новые файлы и папки. В папке без названия «-» будут лежать все исчезнувшие файлы и папки.

Вам останется лишь удалить лишние файлы, и вырезать из папки «-» ваши файлы и вставить их назад в корневой каталог. Только пока не удаляйте autofun.inf (читайте об этом в самом конце).

Для автоматизации процесса я сделал небольшой батник (файл .bat) который можно просто скопировать на флешку и запустить. Он выполняет указанную выше команду, просто её не будет нужно прописывать в командной строке.

Ну и может быть он пригодится тем, у кого заражена целая сеть и много людей обращаются с проблемой ярлыка флешки на флешке. Иногда легче дать людям батник и показать как он работает, чем по 20 раз возвращать флешку к жизни самому.

Удалить вирус

Осталось дело за малым, удалить вирус с компьютера, чтобы остановить дальнейшее распространение.

Для этого скачиваем программу Process Explorer от Майкрософт с официального сайта.

Process Explorer v16.20

Далее её разумется запускаем и выбираем в выпадающем меню File / Show Details for All Processes для того чтобы отобразить все запущенные на компьютере процессы.

Жмем Ctrl + L и в окне в нижней части программы ищем процесс autorun.inf Вероятнее всего он будет находиться в ветке svchost.exe .

Жмем правой кнопкой мыши и выбираем Close handle (закрываем процесс). После чего удаляме с флешки файл autofun.inf .

Во временной папке Temp ( C:\users\%username%\AppData\Local\Temp ) ищем файл с необычным расширением .pif и удаляем его (можно воспользоваться поиском).

Всё, теперь вы точно удалили вирус и с флешки и с компьютера.

Winset

Вынесу из комментариев алгоритм действий в случае, если на флешке находится скрытая папка Winset.

Вместо autorun.inf может присутствовать ещё одна скрытая папка «Winset» с тремя скриптами .vbr (кроме папки «_», в которой лежат все файлы с флэшки). Тогда в Process Explorer нужно завершить ветку процессов wscript.exe и удалить из C:\Users\<Имя пользователя>\AppData\Roaming\ скрытую папку «Winset» в которой на компьютере лежат копии тех .vbr скриптов, которые прописываются на флэшку. С флэшки папку «Winset» тоже удалить.

82 комментария

У меня нет на флешке файла autofun.inf. И при поиске в программе Process Explorer у меня нет файла autorun. Но все флешки заражаются от моего ноутбука. Помогите, пожалуйста.

Переустановка системы однозначно решит проблему с вирусом, проникшим в систему. Но сам файл, из которого вирус проник в систему может быть скрыт в любом файле на любом диске вашего компьютера. После переустановки системы удалите все подозрительные приложения, игры и файлы со своего компьютера.

У меня тоже самое. Что делать?

Спасибо за помощь. Удалось вернуть файлы в нормальное видимое состояние.

Благодарю за отзыв, рад что смог помочь

Столкнулся с такой проблемой — флешка заразила два ноутбука и ещё три флешки. Помог антивирус Касперского ( другие ничего не показывали Dr WEB и Avast и USB guard) Касперский определил путь — C:\Users\Дмитрий\AppData\Roaming\Winset\ Но сначала надо на панели управления — свойства папки — вид-поставить точку — показывать скрытые папки и файлы, тем самым увидеть папку AppData. В папке Winset три файла — они постоянно прописываются на флешке при открытии. В итоге я удалил папку Winset, перезагрузил компьютер — и отформатировал флешку при подключении и всё.

Когда я словил вирус, Касперский его еще не обнаруживал.

Подскажите, пожалуйста, если Process Explorer не обнаруживает процесс autofun.inf, то это значит, что его действительно не существует, компьютер чист и вирус я подхватила с другого компьютера? Папка Temp тоже отсутствует.

Да, вероятнее всего так и есть. Вспоминайте куда флешку втыкали, вот тот то комп и надо чистить.

Windows services vbs вирус

movemenoreg.vbs, helper.vbs, installer.vbs — что это за файлы на флешке?