Как создать вирус удаленного доступа

Вирусная ссылка

Не забывайте, что использование вирусных программ преследуется по закону!

Приступаем к самому главному действию — к созданию вирусных ссылок и выяснению способов их распространения.

• Выбираем операционную систему для атаки. Чаще это — Microsoft Windows, так как она распространена больше, чем остальные системы, особенно если речь зашла о старых версиях. К тому же многие пользователи не обновляют операционные системы, оставляя их уязвимыми к атакам.
• Выбираем способ распространения. Как создать вирусную ссылку, которая не будет распространяться? Никак. Для этого можно запаковать ее в исполняющий файл, макрос в Microsoft Office, веб-скрипт.
• Узнать слабое место для атаки. Совет: если пользователь скачивает пиратский софт, обычно он выключает антивирус или не обращает на это внимания из-за наличия таблетки в репаке, так что это еще один способ для проникновения.
• Определяем функционал вашего вируса. Вы можете просто проверить антивирус на способность обнаружить ваш вирус, или же использовать вредоносную программу в более масштабных целях типа удаления файлов, просмотра сообщений и других действий.
• Для того чтобы что-то написать, придется выбрать язык. Язык можно использовать любой, а то и несколько, но в большей мере используется язык C и C++, для макровирусов есть Microsoft Office. Разобраться можно с помощью уроков в Интернете. Visual Basic — это среда разработки.
• Время для создания. На это может уйти много времени. Не забудьте о способах сокрытия вируса от антивирусных программ, иначе вашу программу быстро найдут и обезвредят. Не факт, что вы кому-то сильно навредите, так что спите спокойно. Однако помните, что за любой зловредный софт нужно нести ответственность! Узнайте больше о полиморфном коде.
• Посмотрите методы сокрытия кода.
• Проверьте вирус на работоспособность в виртуальной машине.
• Загрузите его в сеть и ждите первых «клиентов».

Вирусная ссылка для телефона создается примерно так же, но с устройствами на iOS придется помучиться, так как там хорошая система защиты, в отличие от «Андроида». Однако в последних версиях удалось поправить многие дыры в системе защиты. Не забывайте, что есть еще старые устройства, а зная «любовь» к созданию новых версий у сторонних разработчиков, большая часть андроид-устройств подвержена опасности.

Методы защиты

Самое время подумать о способах защиты от вторжения:

• Программные методы. К ним относятся антивирусы, файрволлы и другое защитное ПО.
• Аппаратные методы. Защита от постороннего вмешательства к портам или файлам устройства, непосредственно при доступе к «железу».
• Организационные методы защиты. Это дополнительные меры для сотрудников и иных лиц, которые могут иметь доступ к системе.

Как найти список вирусных ссылок? Благодаря Интернету можно скачать сервисы, например, от Dr.Web. Или воспользоваться специальным сервисом для показа всех возможных вредных ссылок. Там есть список на вирусные ссылки. Остается выбрать наиболее подходящий вариант.

Royal TS (shareware)

Когда-то была такая программулина — mRemote. Не знаю, что там произошло, но проект mRemote был закрыт, а разработчики взяли и создали другой проект — Royal TS. На сайте ты найдешь версии для Windows, OS X и iOS (можно запускать с iPhone и iPad).

В Royal TS перед созданием подключения нужно создать документ, то есть одно подключение = один документ. Документы Royal TS весьма удобная штука, их можно передавать как обычные файлы, например другому админу. Он сможет открыть такой документ и сразу подключиться к удаленному компу без необходимости создавать соединение вручную. У shareware-версии есть ограничение на число одновременно открытых документов — десять. Как по мне, то этого вполне достаточно для некоммерческого использования программы, поэтому на практике ты даже не заметишь, что тебе чего-то не хватает (если, конечно, ты не администрируешь удаленно огромную сеть компов).

Первым делом нужно сказать, что эта программа кардинально отличается от Radmin и TeamViewer. Обе эти программы сочетают в себе функциональность как сервера, так и клиента (в случае с Radmin сервер и клиент — это разные программы, в случае с TeamViewer — одна и та же программа). Другими словами, на одном из компьютеров ты можешь установить Radmin Server или TeamViewer, а на другом использовать Radmin Viewer или TeamViewer соответственно для подключения к этому удаленному компу. Так вот, Royal TS — это что-то наподобие Radmin Viewer, то есть программа для подключения к удаленному серверу, но вот сервер придется создавать своими силами. Как ты это сделаешь — твои проблемы. Royal TS не поможет тебе создать такой сервер, а только даст подключиться к нему.

Рис. 6. Royal TS для Windows

Среди протоколов подключения к удаленному серверу, которые поддерживает Royal TS: RDP, Telnet, SSH, Citrix, VNC. Сами же серверы RDP/Telnet/SSH и прочие придется настраивать самостоятельно.

С одной стороны, это выходит за рамки статьи, с другой — она была бы неполной, если бы я не привел пример настройки хотя бы одного из серверов, которые поддерживает Royal TS. SSH/Telnet-серверы, думаю, читателю будут не очень интересны. Хочется чего-то графического. Пусть у нас есть Linux (Ubuntu или ее клон) и нужно настроить VNC-сервер. Для этого сначала установим VNC-сервер командой:

После этого нужно его запустить — в первый раз без параметров:

В процессе запуска команды sudo vnc4server нужно ввести пароль, который будет использоваться для подключения к этому VNC-серверу. Сам пароль будет сохранен в $HOME/.vnc/passwd. Больше не скажу ни слова — есть man :). После первого запуска нужно запустить vnc4server, указав номер экрана:

Далее в Royal TS нужно создать новый документ (на вкладке File), далее перейти на вкладку Edit и нажать кнопку VNC. В появившемся окне (рис. 7) нужно ввести имя дисплея (Display Name) — в нашем случае :3, IP-адрес VNC-сервера и указать номер порта (обычно 5900). Пароль будет запрошен при подключении к серверу.

Рис. 7. Параметры подключения к VNC

• Универсальный клиент для подключения к удаленному серверу по различным протоколам.
• Есть версии для Windows, OS X и iOS.
• Невозможно организовать удаленный доступ только средствами Royal TS, нужны дополнительные программы.
• Не подходит для удаленной настройки компьютеров неопытных пользователей — они просто не смогут настроить необходимые службы удаленного доступа.

Запрещаем удаленный доступ

Как уже было сказано выше, мы будем менять исключительно системные настройки, позволяющие сторонним пользователям просматривать содержимое дисков, менять параметры и совершать иные действия на нашем ПК. Имейте в виду, если вы пользуетесь удаленными рабочими столами или машина является частью локальной сети с общим доступом к устройствам и программному обеспечению, то приведенные ниже действия могут нарушить работу всей системы. Это же касается и тех ситуаций, когда требуется подключаться к удаленным компьютерам или серверам.

Отключение удаленного доступа выполняется в несколько этапов или шагов.

• Общий запрет удаленного управления.
• Выключение помощника.
• Отключение соответствующих системных служб.

Шаг 1: Общий запрет

Данным действием мы отключаем возможность подключения к вашему рабочему столу с помощью встроенной функции Windows.

1. Жмем правой кнопкой мыши по значку «Этот компьютер» (или просто «Компьютер» в Windows 7) и переходим к свойствам системы.

2. Далее идем в настройки удаленного доступа.

3. В открывшемся окне ставим переключатель в положение, запрещающее подключение и нажимаем «Применить».

Доступ отключен, теперь сторонние пользователи не смогут выполнять действия на вашем компьютере, но смогут просматривать события, используя помощник.

Шаг 2: Отключение помощника

Удаленный помощник позволяет пассивно просматривать рабочий стол, а точнее, все действия, которые вы выполняете – открытие файлов и папок, запуск программ и настройка параметров. В том же окне, где мы отключали общий доступ, снимаем галку возле пункта, разрешающего подключение удаленного помощника и жмем «Применить».

Шаг 3: Отключение служб

На предыдущих этапах мы запретили совершать операции и вообще просматривать наш рабочий стол, но не спешите расслабляться. Злоумышленники, получив доступ к ПК вполне могут изменить эти настройки. Еще немного повысить уровень безопасности можно с помощью отключения некоторых системных служб.

1. Доступ к соответствующей оснастке осуществляется путем нажатия ПКМ по ярлыку «Этот компьютер» и переходом к пункту «Управление».

2. Далее открываем ветку, указанную на скриншоте, и кликаем по «Службам».

3. Первым делом отключаем «Службы удаленных рабочих столов». Для этого кликаем по названию ПКМ и переходим к свойствам.

4. Если служба запущена, то останавливаем ее, а также выбираем тип запуска «Отключена», после чего жмем «Применить».

5. Теперь те же действия необходимо выполнить для следующих сервисов (некоторых служб может не оказаться в вашей оснастке – это значит, что просто не установлены соответствующие компоненты Windows):
   • «Служба Telnet», которая позволяет управлять компьютером с помощью консольных команд. Название может быть другим, ключевое слово «Telnet».
   • «Служба удаленного управления Windows (WS-Management)» – дает почти такие же возможности, что и предыдущая.
   • «NetBIOS» – протокол для обнаружения устройств в локальной сети. Здесь также могут быть разные названия, как и в случае с первой службой.
   • «Удаленный реестр», который позволяет менять настройки системного реестра пользователям сети.
   • «Служба удаленного помощника», о котором мы говорили ранее.

Все действия, приведенные выше, можно выполнить только под учетной записью администратора или введя соответствующий пароль. Именно поэтому для предотвращения внесения изменений в параметры системы извне необходимо работать только под «учеткой», имеющей обычные права (не «админские»).

Подробнее:
Создание нового пользователя на Windows 7, Windows 10Управление правами учетной записи в Windows 10

Заключение

Теперь вы знаете, как отключить удаленное управление компьютером через сеть. Действия, описанные в данной статье, помогут повысить безопасность системы и избежать многих проблем, связанных с сетевыми атаками и вторжениями. Правда, почивать на лаврах не стоит, поскольку никто не отменял зараженные вирусами файлы, которые попадают на ПК через интернет. Будьте бдительны, и неприятности обойдут вас стороной.

Опишите, что у вас не получилось.
Наши специалисты постараются ответить максимально быстро.

Методы воздействия вредоносных программ

К компьютерным вирусам относится множество вредоносных программ, однако не все они способны к «размножению»:

• Черви. Заражают файлы на компьютере, это могут быть любые файлы, начиная от .exe и заканчивая загрузочными секторами. Передаются через чаты, программы для общения типа Skype, icq, через электронную почту.
• Троянские кони, или трояны. Лишены самостоятельной способности распространяться: они попадают на компьютер жертвы благодаря их авторам и третьим лицам.
• Руткит. Сборка различных программных утилит при проникновении на компьютер жертвы получает права суперпользователя, речь про UNIX-системы. Представляет собой многофункциональное средство для «заметания следов» при вторжении в систему с помощью снифферов, сканеров, кейлоггеров, троянских приложений. Способны заразить устройство на операционной системе Microsoft Windows. Захватывают таблицы вызовов и их функций, методы использования драйверов.
• Вымогатели. Такие вредоносные программы препятствуют входу пользователя на устройство путем принуждения к выкупу. Последние крупные события, связанные с программами-вымогателями, — WannaCry, Petya, Cerber, Cryptoblocker и Locky. Все они требовали за возвращение доступа в систему криптовалюту биткоин.

• Кейлоггер. Следит за вводом логинов и паролей на клавиатуре. Фиксирует все нажатия, а затем отсылает журнал действий на удаленный сервер, после чего злоумышленник использует эти данные на свое усмотрение.
• Снифферы. Анализирует данные с сетевой карты, записывает логи с помощью прослушивания, подключения сниффера при разрыве канала, ответвления сниффером копии трафика, а также через анализ побочных электромагнитных излучений, атак на канальном или сетевом уровне.
• Ботнет, или зомби-сети. Такая сеть представляет собой множество компьютеров, образующих одну сеть и зараженных вредоносной программой для получения доступа хакеру или иному злоумышленнику.
• Эксплойты. Этот вид вредоносного программного обеспечения может быть полезным для пиратов, ведь эксплойты вызываются ошибками в процессе разработки программного обеспечения. Так злоумышленник получает доступ к программе, а дальше и к системе пользователя, если так задумал хакер. У них есть отдельная классификация по уязвимостям: нулевой день, DoS, спуфинг или XXS.

Supremo: бесплатно и просто (freeware)

Давай проанализируем ситуацию. Если тебе не нравится TeamViewer или ты не можешь его использовать по некоторым причинам (в том числе и из-за необходимости покупки лицензии для коммерческого использования), а Radmin тоже не подходит по каким-либо причинам, то придется искать аналоги. Раз в статье идет речь о простых и бесплатных программах, то нужно, чтобы следующая программа была: а) бесплатной; б) простой. Такой является программа Supremo, которую можно скачать с сайта.

Настраиваемый компьютер и компьютер специалиста поддержки должны работать под управлением только Windows. Поддерживаются разные выпуски Windows, в том числе Windows 7 и Windows Server 2008 R2. О поддержке Windows 8 и Windows Server 2012 на официальном сайте пока ничего не сказано.

Рис. 8. Программа Supremo

Рис. 9. Параметры безопасности Supremo

Рис. 10. Параметры соединения Supremo

Кроме своего прямого назначения, а именно удаленного управления компьютером, программа может использоваться для обмена файлами. Для обмена файлами (который возможен в двух направлениях — как скачивание, так и закачка) просто используй drag & drop.

• Проста в использовании.
• Не требует установки.
• Возможность передачи файлов.
• Возможность чата.
• Не требует настройки брандмауэра (используется HTTPS/SSL).
• Нет поддержки других ОС, кроме Windows.
• Нет мобильных клиентов.

Лично мне понравились функции копирования и вставки данных между компьютерами, а также функция перезагрузки: в процессе настройки компьютера иногда требуется его перезагрузка, после которой будет автоматически восстановлен сеанс удаленного доступа, что очень удобно.

Рис. 11. Основное окно LogMeIn

Рис. 12. Как подключиться к этому ПК

Рис. 13. Управление удаленным компьютером через браузер

• Не требует прав администратора.
• Не требует настройки брандмауэра.
• Возможность использования браузера для удаленного управления.
• Мобильные клиенты.
• Несколько необычный принцип работы.

Причины возможного вируса удаленного доступа?

Если вы получили эту ошибку на своем ПК, это означает, что произошла сбой в работе вашей системы. Общие причины включают неправильную или неудачную установку или удаление программного обеспечения, которое может привести к недействительным записям в вашем реестре Windows, последствиям атаки вирусов или вредоносных программ, неправильному отключению системы из-за сбоя питания или другого фактора, кто-то с небольшими техническими знаниями, случайно удалив необходимый системный файл или запись в реестре, а также ряд других причин. Непосредственная причина «Возможного вируса удаленного доступа»? ошибка — это неправильное выполнение одной из обычных операций с помощью системного или прикладного компонента.

Новый RAT использует протокол Telegram для кражи данных жертв

На портале GitHub был опубликован исходный код нового трояна для удаленного доступа (RAT), использующего протокол Telegram для хищения информации с инфицированных устройств.

Как утверждает разработчик инструмента, основная проблема большинства существующих на сегодняшний день RAT заключается в том, что они не используют шифрование и их операторы вынуждены настраивать переадресацию портов на устройстве жертвы для управления инфицированным компьютером. Вирусописатель решил исправить это упущение и представил собственный инструмент под названием RATAttack, который устанавливает зашифрованный канал между оператором и жертвой, используя протокол Telegram.

Прежде, чем начинать атаку, владелец RATAttack должен создать бот Telegram и встроить его токен (ключ) в конфигурационный файл трояна. Таким образом все инфицированные устройства будут подключаться к каналу бота и атакующий получит возможность отправлять простые команды для управления RATAttack на зараженном компьютере.

Троян может действовать в качестве кейлоггера, собирать данные об установленной версии ОС Windows, процессоре и т.д., IP-адресе и приблизительном местоположении хоста, отображать сообщения, загружать и выгружать различные файлы, делать скриншоты, исполнять любые файлы на целевом компьютере, делать снимки с web-камеры, копировать, перемещать и удалять файлы, а также запускать процесс самоуничтожения.

По данным ресурса BleepingComputer, разработчик RATAttack не рекламировал троян на каких-либо хакерских форумах и опубликовал код только на GitHub. В настоящее время он уже удален с портала.

Программ для организации удаленного доступа достаточно много. Есть платные и бесплатные программы, есть программы для разных операционных систем. Понятно, что в этой статье мы не сможем рассмотреть все сразу, но поговорим о самых интересных из них, а главное — поймем что эффективнее для той или иной задачи.

Дистанционное удаление вредоносных программ

В идеальном случае после обнаружения образцов вредоносных программ администратор отправляет их в антивирусную лабораторию, где они оперативно изучаются аналитиками и в базы антивируса вносятся соответствующие сигнатуры. Эти сигнатуры через автоматическое обновление попадают на ПК пользователей, и антивирус производит автоматическое удаление вредоносных программ без вмешательства администратора. Однако эта цепочка не всегда работает как положено, в частности возможны следующие причины сбоя:

• по ряду независимых от администратора сети причин образы могут не дойти до антивирусной лаборатории;
• недостаточная оперативность антивирусной лаборатории — в идеале на изучение образцов и их внесение в базы уходит не более 1-2 часов, то есть в пределах рабочего дня можно получить обновленные сигнатурные базы. Однако не все антивирусные лаборатории работают столь оперативно, и обновления можно ждать несколько дней (в редких случаях — даже недель);
• высокая работоспособность антивируса — ряд вредоносных программ после активации уничтожают антивирусы или всячески нарушают их работу. Классические примеры — внесение в файл hosts записей, блокирующих нормальную работу системы автообновления антивируса, удаление процессов, службы и драйверов антивирусов, повреждение их настроек и т.п.

Следовательно, в перечисленных ситуациях придется бороться с вредоносными программами вручную. В большинстве случаев это несложно, так как по результатам исследования компьютеров известны зараженные ПК, а также полные имена файлов вредоносных программ. Остается только произвести их дистанционное удаление. Если вредоносная программа не защищается от удаления, то уничтожить ее можно скриптом AVZ следующего вида:

begin

// Удаление файла

DeleteFile(‘имя файла’);

// Эвристическая чистка системы

ExecuteSysClean;

end.

Данный скрипт удаляет один заданный файл (или несколько файлов, так как команд DeleteFile в скрипте может быть неограниченное количество) и затем производит автоматическую чистку реестра. В более сложном случае вредоносная программа может защищаться от удаления (например, пересоздавая свои файлы и ключи реестра) или маскироваться по руткит-технологии. В этом случае скрипт усложняется и будет иметь следующий вид:

begin

// Антируткит

SearchRootkit(true, true);

// Управление AVZGuard

SetAVZGuardStatus(true);

// Удаление файла

DeleteFile(‘имя файла’);

// Включение протоколирования BootCleaner

BC_LogFile(GetAVZDirectory + ‘boot_clr.log’);

// Импорт в задание BootCleaner списка файлов, удаленных скриптом

BC_ImportDeletedList;

// Активация BootCleaner

BC_Activate;

// Эвристическая чистка системы

ExecuteSysClean;

// Перезагрузка

RebootWindows(true);

end.

Данный скрипт включает активное противодействие руткитам, применение системы AVZGuard (это блокиратор активности вредоносных программ) и системы BootCleaner. BootCleaner — это драйвер, выполняющий удаление заданных объектов из KernelMode в ходе перезагрузки, на ранней стадии загрузки системы. Практика показывает, что подобный скрипт в состоянии уничтожить подавляющее большинство существующих вредоносных программ. Исключение составляют malware, меняющие имена своих исполняемых файлов при каждой перезагрузке, — в данном случае обнаруженные в ходе исследования системы файлы могут быть переименованы. В этом случае потребуется лечение компьютера вручную или создание собственных сигнатур вредоносной программы (пример реализующего сигнатурный поиск скрипта описан в справке AVZ).

Mosh (mobile shell): хорошая альтернатива для SSH

Mosh тоже можно использовать для удаленного доступа к консоли (то есть ты сможешь удаленно выполнять команды и будешь видеть их результат). Основное преимущество Mosh над SSH — возможность роуминга, то есть смены сети на клиентской машине, что полезно в дороге, когда сеть может меняться (сейчас она сотовая, через несколько минут — Wi-Fi, при этом меняется IP, но соединение остается). Часто путешествующие админы оценят это по достоинству. Но есть один большой недостаток: к обычному SSH-серверу Mosh не подключится, то есть на сервере придется устанавливать Mosh. Зато Mosh работает не в виде демона, как SSH, а как обычная программа, то есть для ее запуска не нужен root-доступ. Mosh доступен для многих дистрибутивов Linux и BSD, OS X, iOS (в составе популярного клиента iSSH) и Android.

Пути распространения

Вредоносный контент может попасть на устройство разными способами:

• Вирусная ссылка.
• Доступ к серверу или локальной сети, по которой будет проходить распространение вредоносного приложения.
• Выполнение программы, зараженной вирусом.
• Работа с приложениями пакета Microsoft Office, когда с помощью макровирусов документов вирус распространяется по всему персональному компьютеру пользователя.

• Просмотр вложений, пришедших с сообщениями электронной почты, а они оказались с инфицированными программами и документами.
• Запуск операционной системы с зараженного системного диска.
• Установка на компьютер заранее зараженной операционной системы.

Значение возможного вируса удаленного доступа?

Возможный вирус удаленного доступа? это имя ошибки, содержащее сведения об ошибке, в том числе о том, почему это произошло, какой системный компонент или приложение вышло из строя, чтобы вызвать эту ошибку вместе с некоторой другой информацией. Численный код в имени ошибки содержит данные, которые могут быть расшифрованы производителем неисправного компонента или приложения. Ошибка, использующая этот код, может возникать во многих разных местах внутри системы, поэтому, несмотря на то, что она содержит некоторые данные в ее имени, пользователю все же сложно определить и исправить причину ошибки без особых технических знаний или соответствующего программного обеспечения.

Постановка задачи

В случае обнаружения эпидемии или некой нештатной активности в сети администратор должен оперативно решить минимум три задачи:

• обнаружить зараженные ПК в сети;
• найти образцы вредоносной программы для отправки в антивирусную лабораторию и выработки стратегии противодействия;
• принять меры для блокирования распространения вируса в ЛВС и его уничтожения на зараженных компьютерах.

В случае деятельности инсайдера основные шаги анализа идентичны и чаще всего сводятся к необходимости обнаружения установленного инсайдером постороннего ПО на компьютерах ЛВС. В качестве примера такого ПО можно назвать утилиты удаленного администрирования, клавиатурные шпионы и различные троянские закладки.

Рассмотрим более подробно решение каждой из поставленных задач.

Radmin (shareware)

Лет десять назад самой популярной программой для удаленного доступа была Radmin, она и сейчас есть (www.radmin.ru) — она никуда не подевалась за это время. С нее и начнем обзор.

Программа состоит из двух частей: Server и Viewer. Первая запускается на удаленном компьютере (или удаленных компьютерах), а вторая — на твоем компьютере и используется для подключения к удаленным машинам, которые ты собираешься настраивать. На сайте разработчиков можно скачать как полный комплект, так и отдельные компоненты. Также есть portable-версия Viewer, работающая без установки, и версия Radmin Server 3.5 NTI — это специальная версия без пиктограммы в трее, то есть пользователь удаленного компа и не узнает, что на нем установлена Radmin, пока ты не начнешь управлять его компьютером.

Рис. 2. Radmin Viewer

Отмечу ключевые возможности: поддержка Windows 8 32/64 bit, поддержка переключения сессий пользователей в Windows XP/Vista/7/8, совместимость с Wine (Radmin может организовать удаленный доступ к ПК под управлением Linux через Wine), поддержка Telnet, удаленное выключение ПК, сканер серверов Radmin (позволяет найти все ПК, которыми ты можешь управлять в своей сети), передача файлов между Server и Viewer.

Рис. 3. Брандмауэр заблокировал попытку подключения

Признаки

Любое заболевание или заражение протекает в скрытой фазе или в открытой, этот принцип присущ и вредоносному программному обеспечению:

• Устройство начало работать со сбоями, программы, которые работали раньше хорошо, вдруг стали тормозить или вылетать.
• Медленная работа устройства.
• Проблема с запуском операционной системы.
• Исчезновение файлов и каталогов или изменение их содержимого.
• Содержимое файла подвергается изменению.
• Изменение времени модификации файлов. Можно заметить, если в папке используется вид «список», или вы посмотрите на свойство элемента.
• Увеличение или уменьшение количества файлов на диске, и впоследствии увеличение или уменьшение объема доступной памяти.
• Оперативной памяти становится меньше из-за работы посторонних сервисов и программ.

• Показ шокирующих или иных изображений на экране без вмешательства пользователя.
• Странные звуковые сигналы.

Заключение

В данной статье мы рассмотрели некоторые практические методики борьбы с эпидемией ЛВС вручную, без использования антивирусных продуктов. Большинство описанных методик также могут применяться для поиска постороннего ПК и троянских закладок на компьютерах пользователей. При возникновении затруднений с поиском вредоносных программ или созданием скриптов лечения администратор может воспользоваться разделом «Помогите» форума http://virusinfo.info или разделом «Борьба с вирусами» форума http://forum.kaspersky.com/index.php?showforum=18. Изучение протоколов и помощь в лечении осуществляются на обоих форумах бесплатно, анализ ПК ведется по протоколам AVZ, и в большинстве случаев лечение сводится к выполнению на зараженных ПК скрипта AVZ, составленного опытными специалистами данных форумов.