Удаление вируса wmpscfgs.exe

Что это за руководство

Это подробное пошаговое руководство, составленное на основе опыта одного читателя, который столкнулся с вредоносным файлом wmpscfgs.exe. Мы не выполняли независимое лабораторное тестирование этих шагов, поэтому используйте инструкцию с осторожностью и всегда имейте резервную копию важных данных.

Симптомы заражения wmpscfgs.exe

Если вы видите одно или несколько из перечисленного — высока вероятность того, что именно этот троян присутствует в системе:

Антивирусы типа Malwarebytes или SuperAntiSpyware обнаруживают угрозу при каждом сканировании, но после перезагрузки файл возвращается.
Всплывает окно с предупреждением, что Internet Explorer не установлен по умолчанию, даже если вы не запускали браузер.
Центр контроля учётных записей Windows (UAC) постоянно предлагает разрешить ранее выполненную программу автозапуска; попытка разрешить — отключает UAC, а повторное включение не вызывает запрошенной перезагрузки, что необычно.
Microsoft Security Essentials или другой защитник может пометить ваши программы автозапуска как вирусы.

Если эти симптомы совпадают — продолжайте по шагам ниже. Сканы антивирусом полезны для обнаружения, но в описанном варианте они часто не способны полностью очистить систему сами по себе.

Подготовка и меры предосторожности

Важно прежде всего:

Создайте резервную копию важных файлов на внешнем носителе или в облаке.
Имейте доступ к учётной записи с правами администратора.
Если вы не уверены в своих навыках работы с реестром и системой — привлеките специалиста.

В следующих инструкциях некоторые операции требуют внимательности: удаление или переименование системных файлов и изменение реестра может нарушить работу ПО.

Пошаговая инструкция по удалению

Загрузитесь в безопасном режиме
- Перезапустите компьютер и войдите в безопасный режим (Safe Mode). В безопасном режиме загружается минимальный набор драйверов и процессов, что упрощает поиск и удаление вредоносных файлов.
Покажите скрытые файлы и расширения
- Откройте Проводник Windows и перейдите в меню Сервис → Свойства папки (Tools → Folder options).
- Убедитесь, что отмечено «Показывать скрытые файлы и папки» (Show hidden files and folders).
- Снимите галочку с «Скрывать расширения для зарегистрированных типов файлов» (Hide extensions for known file types).
Найдите и удалите файлы wmpscfgs.exe
- Проверьте следующие папки (пример для Windows Vista/Windows 7, пути для других версий аналогичны):
  C:\Program Files\Internet Explorer C:\Users\user\AppData\Local\Temp
- Если в этих или других каталогах вы видите файл wmpscfgs.exe — удалите его.
Проверьте диспетчер задач и завершите процесс
- Откройте Диспетчер задач, включите отображение всех процессов (Show all processes) и найдите процесс wmpscfgs.exe или подозрительные процессы с похожими именами. Если процесс запущен — завершите его (Kill).
Работа с реестром — удаление записи автозапуска
Внимание: изменение реестра может повредить систему. Делайте экспорт ветки реестра перед изменениями.
- Откройте regedit и перейдите в ветку:
  HKLM->Software->Microsoft->Windows->CurrentVersion->Run
- Ищите записи, указывающие на wmpscfgs.exe, например запись типа:
  Adobe_reader = “%ProgramFiles%\Internet Explorer\wmpscfgs.exe”
- Удалите такие записи.
Проверьте записи Run для каждого приложения
- Этот троян может заражать множество программ в списке автозапуска. Проверьте каждую запись в ветке Run. Если значение указывает на каталог приложения и рядом появляется копия с именем wmpscfgs.exe — займитесь восстановлением файла приложения (см. шаг 7).
Восстановите переименованные оригинальные исполняемые файлы
Механика заражения часто бывает такой: вирус переименовывает оригинальный файл, добавляя пробел перед расширением, и создаёт исполняемый файл-имитацию (вирус) с исходным именем. Например в каталоге McAfee вы можете увидеть:
- mcagent.exe — файл ~39 KB, недавно созданный, часто вирус
- mcagent .exe — оригинальный исполняемый файл, переименован
- mcagent.exe.delme — дополнительный временный файл (не всегда присутствует)
- Если вы обнаружили такую структуру:
  1. Завершите соответствующий процесс в Диспетчере задач.
  2. Удалите новый подозрительный исполняемый файл (обычно ~39 KB).
  3. Переименуйте файл с пробелом назад в правильное имя, убрав пробел перед .exe.
  4. Повторите эту процедуру для каждого заражённого приложения в списке автозапуска.
Примечание: простая переустановка программы часто не помогает — троян может оставаться в каталоге приложения и повторно внедряться.
Поиск по диску
- Выполните поиск по всему диску файлов, которые были недавно созданы и имеют размер около 39 KB (или иные подозрительные маленькие .exe). Тщательно проверяйте найденные исполнители и восстанавливайте по шагу 7.
Проверка всех процессов в Диспетчере задач
- Для уверенности проверьте каждый процесс в Диспетчере задач: у многих процессов правый клик показывает «Открыть расположение файла» (Open File Location). Это помогает быстро перейти к фактическому файлу и оценить его подлинность. Если у процесса нет такой опции, это может быть системный процесс — не трогайте его без знаний.
Перезагрузите систему

После всех чисток перезагрузите компьютер в обычном режиме и проверьте стабильность работы.

Проверка и профилактика после очистки

Выполните полное сканирование надёжным антивирусом в нормальном режиме, чтобы отловить оставшиеся следы.
Обновите операционную систему и все критические приложения.
Измените пароли учётных записей, особенно если система использовалась в заражённом состоянии.

Когда этот метод может не сработать

Если троян внедрился в глубоко интегрированную службу или драйвер, простая очистка автозапуска и файлов в программах может быть недостаточной.
Если у вредоносного кода есть механизм восстановления из удалённого C2-сервера, потребуется блокировка сетевого трафика и/или использование оффлайн-средств восстановления.
При отсутствии административных прав на машине многие операции будут недоступны.

Альтернативные подходы

Использовать загрузочный антивирусный носитель (rescue disk) от производителя (Kaspersky Rescue Disk, ESET SysRescue и т. п.) для сканирования вне загруженной ОС.
Восстановить систему из известной чистой резервной копии образа диска.
В экстремальных случаях — полная переустановка ОС после сохранения данных.

Контрольный список (шаги для выполнения)

Сделана резервная копия важных данных
Загружено в безопасном режиме
Показаны скрытые файлы и расширения
Удалён wmpscfgs.exe из Program Files и Temp
Удалены записи автозапуска, указывающие на wmpscfgs.exe
Восстановлены переименованные оригинальные .exe-файлы
Проверены все процессы в Диспетчере задач
Проведено полное сканирование антивирусом после перезагрузки
Обновлены ОС и ключевые приложения

Роли и ответственность

Администратор: выполняет все операции в реестре, проверяет сервисы и права, контролирует перезагрузки.
Пользователь: создает резервные копии данных и предоставляет информацию о симптомах.
Специалист по безопасности: при подозрении на сложное внедрение анализирует логи, сетевой трафик и, при необходимости, проводит форензику.

Ментальные модели и рекомендации

Представьте заражение как «подмену автостарта»: вирус прячет оригинал и ставит себя на место. Поэтому действия: удалить подмену, вернуть оригинал и убрать следы запуска.
Всегда думайте об источнике: как файл попал на компьютер? Откройте доступ в интернет/внешние носители? Это поможет предотвратить повторные заражения.

Критерии приёмки

После перезагрузки в обычном режиме не появляются всплывающие предупреждения о IE.
Антивирусы не обнаруживают wmpscfgs.exe и не сообщают о подозрительных автозапусках.
Ветвь реестра HKLM\Software\Microsoft\Windows\CurrentVersion\Run не содержит ссылок на wmpscfgs.exe.
Переименованные оригинальные .exe восстановлены и работают корректно.

Короткое объявление (готовое сообщение для команды или пользователей, 100–200 слов)

Команда, обнаружен троян wmpscfgs.exe, который подменяет исполняемые файлы в автозапуске. План действий: 1) сделать резервные копии; 2) загрузиться в безопасном режиме; 3) удалить wmpscfgs.exe из каталога Internet Explorer и Temp; 4) очистить записи в реестре HKLM\Software\Microsoft\Windows\CurrentVersion\Run; 5) восстановить переименованные .exe-файлы; 6) выполнить полное сканирование антивирусом и обновить систему. Если вы не уверены, обратитесь к администратору. Не перезагружайте машины до завершения очистки тех, кто отвечает за восстановление.

Краткий глоссарий

Автозапуск: список программ в реестре, запускаемых при старте Windows.
UAC: Контроль учётных записей Windows (User Account Control), система подтверждения привилегий.
Rescue disk: загрузочный антивирусный носитель для сканирования компьютера вне ОС.

Итог

Вирус wmpscfgs.exe часто действует как «подменщик» исполняемых файлов в списке автозапуска. Самое безопасное и эффективное решение — последовательная работа в безопасном режиме: удаление вредоносных копий, очистка автозапуска и восстановление оригинальных файлов. При любых сомнениях привлеките специалиста и не забывайте о резервных копиях.

Важно: если вы не уверены в своих действиях, остановитесь и обратитесь к профессионалу — неверное редактирование реестра или удаление системных файлов может привести к нестабильности системы.