Jak se zbavit viru „Policie ČR“

Postup odvirování nehezkého případu viru, snažícího se vzbudit dojem, že je varováním od české policie.

Jak virus vypadá

Virus se neustále šíří v nových vlnách, zvyšuje se jeho odolnost vůči jednoduchým postupům odstranění a mění se také trochu podoba stránky, která se zobrazuje po infikování tímto virem. Kromě české mutace se vyskytuje i v dalších jazycích, například ve slovenské verzi, kde nevyhrožuje policie ČR, ale policajný zbor Slovenskej republiky. Společné prvky na stránce, kterou blokuje přístup do Windows jsou:

• Několik odstavců jmenujících různé paragrafy a čísla článků, které měl uživatel porušit.
• Okénko s webovou kamerou.
• Kód na odblokování stránky s virem a zpřístupnění plochy.
• Platební brána pro zaslání platby.

Co je cílem viru

Tento vir patří v současnosti k těm nejen velmi agresivně se šířícím a poměrně těžko odstranitelným, ale zejména k velmi věrohodně vypadajícím. Jeho sdělení je zhruba následující:

• Policie ČR detekovala, že na počítači děláte něco, co je v rozporou se zákonem (porušujete autorská práva, pomáháte terorismu, šíříte pornografii atd.).
• Za toto chování vám hrozí vazba až na několik let.
• Pokud do 2 dnů (někdy zase 48 hodin, 72 hodin, podle verze viru) nezaplatíte určitou částku (někdy 2000 Kč, jindy 3000 Kč

Příčiny zavirování

Nákaza se do počítače dostala s nejvyšší pravděpodobností kvůli tomu, že jste šli někam kam jste neměli – tj. na zavirované stránky. Nemuselo se ani jednat o hned o nějaký ruský server s warez verzemi dětského porna, naopak – dost často už dnes dochází i k tomu, že vir napadne nejprve nějaký normální web (například díky tomu, že správce má uložené heslo na ftp přímo v ftp klientu),  a z něj se pak šíří dále. Z nějaké napadené či cíleně infikované stránky se vám tedy pak vir stáhl pravděpodobně díky tomu, že nemáte aktualizován flash player na poslední verzi, případně nemáte poslední verzi java virtual machine. Právě toto jsou bohužel bezpečnostní díry v pluginech obsažených v prohlížeči, které antviry většinou nezachytí a pokud nemáte správně nastavený firewall, jste poměrně snadno napadnutelní.

Jak odvirovat počítač od této havěti

Nebojte se žádné žaloby ani vězení. Toto varování je od začátku do konce podvod a jeho cílem je vylákat z vás peníze, které doputují autorovi viru.

1. Nejprve vložte do počítače, kde virus není, USB flashku, stáhněte a uložte na ni program RogueKiller (ke stažení zde)
2. Spusťte infikovaný počítač a než nastartuje Windows, stiskněte (klidně i opakovaně) klávesu F8. Z možností spuštění pak zvolte Nouzový režim s příkazovým řádkem (Vista/7/8) nebo Nouzový režim s příkazovým řádkem MS-Dos (XP).
3. Vložte USB disk a spusťte program RogueKiller. Ten by měl odstranit vir z počítače. Pokud nic nedetekuje, je potřeba jít do Správce úloh (klávesová zkratka Ctrl+Alt+Del nebo Ctrl+Shift+Esc) pak zvolte Soubor > Procházet. Nyní projděte disk a podívejte se, zda nenajdete některý z následujících souborů a pokud ano, odstraňte ho.
   C:\Documents and Settings\profil uživatele\Nabídka Start\Programy\Po spuštění\ctfmon.lnk, náhodný soubor.lnk, runctf.lnk
   C:\Windows\ náhodný soubor.runctf.lnk
   C:\Documents and Settings\All Users\Data aplikací\dsgsdgdsgdsgw.js
   C:\Documents and Settings\profil uživatele\dsgsdgdsgdsgw.js
   C:\ProgramData\dsgsdgdsgdsgw.bat.
   C:\ProgramData\dsgsdgdsgdsgw.0s.
   C:\ProgramData\dsgsdgdsgdsgw.js.
   C:\ProgramData\dsgsdgdsgdsgw.pad.
   c:\users\UŽIVATELSKÝ PROFIL\wgsdgsdgdsgsd.exe,(náhodný soubor exe).
   C:\Users\UŽIVATEĽSKÝ PROFIL\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runctf.lnk.
   C:\Users\UŽIVATELSKÝ PROFIL\wgsdgsdgdsgsd.dll.
   C:\Users\UŽIVATELSKÝ PROFIL\náhodné názvy.DLL,(wgsdgsdgdsgsd.dl).
4. Obnovte stav systému do podoby, než se zaviroval. To provedete pomocí nástroje Obnovení systému.
5. Proveďte důkladnou antivirovou kontrolu a pročištění počítače.