Алгоритм выполнения работы
Потенциальными местами записей «троянских программ» в системном реестре являются разделы, описывающие программы, запускаемые автоматически при загрузке операционной системы от имени пользователей и системы.
1. Запустите программу regedit.exe.
2. В открывшемся окне выберите ветвь HKEY_LOCAL_MACHINE и далее Software\ Microsoft\ WindowsNT\ CurrentVersion\ Winlogon (щелкнуть по значку «папка»).
3. В правой половине открытого окна программы regedit.exe появится список ключей.
4. Найдите ключ Userinit (REG_SZ) и проверьте его содержимое.
5. По умолчанию (исходное состояние) 151 этот ключ содержит следующую запись C:\WINDOWS\system32\userinit.exe (рис. 14).
Рис. 14
6. Если в указанном ключе содержатся дополнительные записи, то это могут быть «троянские программы».
7. В этом случае проанализируйте место расположения программы, обратите внимание на время создания файла и сопоставьте с Вашими действиями в это время.
8. Если время создания файла совпадает со временем Вашей работы в Интернете, то возможно, что в это время Ваш компьютер был заражен «троянским конем».
9. Для удаления этой записи необходимо дважды щелкнуть на названии ключа (или при выделенном ключе выбрать команду Изменить из меню Правка программы regedit.exe).
10. В открывшемся окне в поле Значение (рис. 15) удалите ссылку на подозрительный файл.
Рис. 15
11. Закройте программу regedit.exe.
12. Перейдите в папку с подозрительным файлом и удалите его.
13. Перезагрузите операционную систему и выполните пункты задания 1-4.
14. Если содержимое рассматриваемого ключа не изменилось, то предполагаемый «троянский конь» удален из Вашей системы.
Еще одним потенциальным местом записей на запуск «троянских программ» является раздел автозапуска Run.
Для его проверки выполните следующее.
1. Запустите программу regedit.exe.
2. В открывшемся окне выберите ветвь HKEY_LOCAL_MACHINE и далее Software\ Microsoft\ Windows\ CurrentVersion\ Run\ ... (REG_SZ) (рис. 16).
Рис. 16
3. В рассматриваемом примере автоматически запускается резидентный антивирус и его планировщик заданий, а также утилита, относящаяся к программе Nero (запись на CD).
4. Если в указанном разделе есть записи вызывающие подозрения, то выполните пункты 6-14 предыдущего задания.