 Nog steeds krijgen we van lezers vragen hoe het 'politievirus' kan worden verwijderd van een geïnfecteerde computer. Wij hebben de definitieve oplossing, want deze ransomware blijft de kop opsteken.
Even kort samengevat: het politievirus - ook bekend als het Ukash ramsomware - zorgt voor een permanente melding in beeld van de computer, waarin staat dat er kinderporno of illegale muziek is gevonden op de pc. Doorstarten is niet mogelijk: volgens de melding kan de pc alleen worden vrijgegeven door het betalen van € 100.
Allereerst: dit betreft zogenaamde ramsomware en deze malafide software is er alleen maar op uit om u geld afhandig te maken en richt geen verdere schade toe aan het systeem. Ga dus nooit in op deze melding en maak zeker geen geld over. Hieronder leest u hoe u uw computer weer kunt herstellen.
Stappenplan
Verwijderen van het politievirus is dan ook eenvoudiger dan vaak wordt gedacht. Allereerst moet u Windows 7 in de veilige modus opstarten. Vanuit de veilige modus is het vervolgens mogelijk om het systeem te herstellen naar een eerder tijdstip, nog voordat het politievirus actief was.
Klik na het BIOS-scherm van uw computer meteen op de F8-toets. U krijgt dan het onderstaande startscherm van Windows 7 te zien:
Kies uit deze lijst voor de optie 'Veilige modus met opdrachtprompt', na enkele seconden wordt Windows 7 opgestart met alleen de noodzakelijke drivers en services. Het politievirus wordt op dat moment niet gestart, omdat deze alleen wordt aangeroepen vanuit een normale Windows 7-opstartprocedure met grafische interface.
Met de optie 'veilige modus met opdrachtprompt' wordt de grafische schil van Windows 7 niet helemaal geladen.
Systeemherstel
Nadat de pc is opgestart in de veilige modus, kunt u het Windows Systeemherstel opstarten. Met Systeemherstel kunt u de status van de computer als het ware 'terug in de tijd' brengen: Windows 7 houdt namelijk de wiijzigingen van uw besturingssysteeem bij. Bijvoorbeeld, wanneer er een nieuw programma is geïnstalleerd, of een driver. Maar los daarvan maakt Windows 7 ook regelmatig herstelpunten.
Om Systeemherstel te starten, typt u op de opdrachtprompt het volgende commando, gevolgd door enter:
rstrui
In Systeemherstel kunt u nu een herstelpunt kiezen waarnaar de computer moet worden hersteld.
Kies een datum en tijd ruim voordat uw computer niet kon worden gestart, bijvoorbeeld drie maanden eerder. Uw persoonlijke documenten, foto's, muziek en andere aangemaakte bestanden raakt u niet kwijt.
Sommige programma's die u in de tijd tussen het herstelpunt en nu hebt geïnstalleerd, gaan wel verloren: die zult u dus opnieuw moeten installeren. Onder de link 'Zoeken naar programma's die worden beïnvloed' in het Systeemherstel-scherm kunt u zien welke programma's u wellicht opnieuw moet installeren.
Let op: met het teruggaan naar een eerder herstelpunt verwijdert u niet direct het politievirus, maar heeft u er wel voor gezorgd dat het virus niet meer automatisch start als u Windows 7 opstart. Verderop gaan we het virus daadwerkelijk ook verwijderen.
Heeft u een herstelpunt gekozen? Dan wordt de pc opnieuw opgestart en de gegevens hersteld.
Na de herstart
U zult zien dat Windows 7 nu in de gewone opstartprocedure zonder de melding van het politievirus opstart. Maar, het virus zelf is nog wel aanwezig op het systeem, alleen niet actief. Het is dus belangrijk om het politievirus alsnog te verwijderen.
Om het virus op een juiste manier (handmatig) te verwijderen, moeten we vanuit de Windows Verkenner te werk gaan.
Daar moet u vanaf uw Windows-partitie (doorgaans is dit de C:-schijf) de volgende bestanden en mappen verwijderen:
C:\ProgramData\csrss.exe
C:\ProgramData\lsass.exe
C:\ProgramData\[Random.exe]
In de hoofdmap van ProgramData horen nooit uitvoerbare bestanden te staan: deze kunt u dus gerust allemaal verwijderen. Uit de submappen in ProgramData hoeft u geen bestanden te verwijderen.
Ook in de profielmappen van Windows 7 moet u een aantal bestanden verwijderen:
C:\Gebruikers\{gebruikersnaam}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.exe
C:\Gebruikers\{gebruikersnaam}\AppData\Local\Microsoft\Windows\[Random]\ [Random.exe]
C:\Gebruikers\{gebruikersnaam}\AppData\Local\Microsoft\Windows\ [Random]
De mappen en bestanden [Random] zijn op ieder systeem willekeurig: het is dus even zoeken en kijken welke bestanden Windows u laat verwijderen.
(Politie)virusvrij?
In principe bent u nu verlost van het politievirus. Herhaal voor de zekerheid de bovenstaande stappen voor het verwijderen van de mappen, ook voor alle andere gebruikers, zodat u zeker weet dat het politievirus niet wordt gestart als iemand met een andere gebruikersnaam inlogt.
De volgende voor de hand liggende stap is om een goede virusscanner te installeren, bijvoorbeeld AVG Antivirus (gratis). Na de installatie van deze - of een andere virusscanner - kunt u het best meteen een hele scan van uw systeem uit te voeren, om te controleren of er geen resten van het politievirus, of andere virussen op het systeem zijn achtergebleven.
Microsoft heeft met het gratis Malicious Software Removal Tool inmiddels ook een update uitgebracht, waarmee de laatste bedreigingen van de verschillende vormen van het computervirus ook worden verwijderd. De Microsoft Malicious Software Removal Tool kunt u hier downloaden. Na de installatie is het programma direct onderdeel van Windows en krijgt u ook automatisch updates van deze software via Windows Update.
|
PC opstarten in veilige modus (tijdens opstarten paar keer op f8 drukken)
na opstarten klik je op "start" dan programma's en kijk je wat er in opstarten staan wat hier staat verwijder je (programma's die je er zelf in hebt gezet laten staan) daarna ga je weer naar start en dan uitvoeren hier typ je regedit in dan krijg je je register te zien. hier klik je op bewerken en dan zoeken in het zoek scherm typ je de naam van het virus in (naam van programma wat je hebt verwijderd uit lijst opstarten) dan kom je vanzelf een regel tegen met de naam van het virus deze verwijderen alle regels met die naam verwijderen en dan pc opnieuw opstarten en klaar is kees.