Что делать, если хосты поражены вирусом хост?

Ваш компьютер — это город. Операционная система — мэр, приложения — жители, а файл hosts — центральный реестр улиц и адресов. Представьте, что злоумышленник подменил карту города: теперь вместо банка вы попадаете в подпольное казино, а почта перенаправляет вас в логово фишеров. Именно это и происходит, когда файл hosts поражён вирусом. Этот крошечный системный файл, расположенный в корне Windows, отвечает за сопоставление доменных имён IP-адресам. Взломав его, вредоносное ПО может перенаправлять трафик, блокировать доступ к антивирусам, замедлять интернет или красть данные.

Что такое файл hosts и как он работает

Файл hosts — это текстовый документ без расширения, который находится по пути C:WindowsSystem32driversetchosts. Он используется операционной системой раньше, чем DNS-сервера. Это значит, что если в hosts прописано, будто google.com находится на IP 1.1.1.1, ваш компьютер пойдёт туда, даже если настоящий Google на другом адресе. Изначально этот механизм применялся для быстрого доступа к локальным серверам и тестирования сайтов.
Сегодня файл hosts остаётся мощным инструментом, но именно его приоритетность делает его мишенью для киберпреступников. Вредоносные программы редактируют его, чтобы перехватывать запросы, блокировать безопасные ресурсы или внедрять рекламу. Например, строка 127.0.0.1 kaspersky.com направит вас на локальный сервер (т.е. «никуда»), эффект — сайт Касперского станет недоступен.
Файл hosts не должен содержать ничего, кроме комментариев (строки с #) и IP-доменных пар. Любые сторонние записи — повод для тревоги. При этом он защищён системой: обычные пользователи не могут его редактировать без прав администратора. Но вирусы, получившие контроль над системой, легко обходят эти ограничения.

Признаки заражения файла hosts

Не каждый сбой указывает на вирус в hosts, но есть типичные симптомы, которые должны насторожить:

• Некоторые сайты не открываются, особенно антивирусные, банковские или сервисы безопасности (например, virustotal.com).
• Перенаправление на подозрительные страницы при попытке зайти на известные ресурсы (вместо mail.ru — странная форма авторизации).
• Появление незнакомой рекламы, которая не блокируется adblock’ом.
• Антивирус не запускается или сообщает о проблемах с обновлением.
• Медленная работа интернета, хотя скорость соединения в норме.
• Блокировка доступа к панелям управления (например, firewall.msc).

Особенно тревожны случаи, когда несколько антивирусов становятся недоступны одновременно. Вирус может заблокировать их через hosts, прописав ложные IP-адреса. Также обратите внимание, если при пинге сайта (через командную строку) вы видите странный IP, например, 127.0.0.1 (это localhost) или 0.0.0.0.

Как вирусы заражают файл hosts

Хакеры используют несколько методов, чтобы получить доступ к этому файлу. Наиболее распространённые:

• Трояны-банкинги — такие как ZeuS, Emotet или TrickBot. Они активно ищут файл hosts, чтобы заблокировать антивирусы и фишинговые центры.
• Рекламное ПО (adware) — вставляет строки, перенаправляющие трафик на рекламные площадки. Иногда это делается под видом «оптимизации» или «защиты от вредоносных сайтов».
• Руткиты — скрывают своё присутствие, модифицируя hosts, чтобы блокировать обновления системы и антивирусов.
• Фишинговые эксплойты — при переходе по вредоносной ссылке запускается скрипт, который с помощью UAC-bypass меняет hosts без согласия пользователя.

Часто заражение происходит через:

• Пиратское программное обеспечение;
• Поддельные установщики (например, «активаторы Windows»);
• Вредоносные вложения в письмах;
• Устаревшие версии браузеров или плагинов.

Современные вирусы не просто добавляют строки — они создают резервные копии оригинального hosts, чтобы восстанавливать свои изменения при попытке удаления. Некоторые даже следят за файлом в реальном времени через службы Windows.

Как проверить файл hosts вручную

Проверка занимает 5 минут, но требует внимания. Делайте всё по шагам:

1. Откройте проводник и перейдите в C:WindowsSystem32driversetc.
2. Найдите файл hosts (без расширения). Если вы видите hosts.txt — включите отображение скрытых расширений.
3. Щёлкните правой кнопкой → «Открыть с помощью» → выберите Блокнот (или Notepad++).
4. Изучите содержимое. Стандартный файл hosts содержит только одну строку: 127.0.0.1 localhost и, возможно, IPv6-запись ::1 localhost.

Любые дополнительные строки, особенно с IP-адресами и доменами, требуют анализа. Пример опасной записи:

0.0.0.0 www.kaspersky.com
127.0.0.1 microsoft.com
91.198.22.142 facebook.com

Первые две строки блокируют сайты, третья — перенаправляет на поддельный IP. Чтобы понять, легален ли IP, используйте WHOIS-сервисы (например, whois.domaintools.com).

Пошаговое удаление вируса из hosts

Если вы обнаружили подозрительные записи, действуйте так:

Шаг 1: Отключите автозагрузку вредоносных процессов

• Нажмите Win + R, введите msconfig.
• Перейдите на вкладку «Службы», поставьте галочку «Скрыть службы Microsoft».
• Снимите флажки с подозрительных служб (особенно с непонятными названиями).
• Перейдите во вкладку «Автозагрузка» → «Открыть диспетчер задач».
• Отключите все подозрительные элементы.

Шаг 2: Запуститесь в безопасном режиме

• Перезагрузите компьютер.
• Удерживайте Shift и нажмите «Перезагрузить».
• Выберите «Поиск и устранение неисправностей» → «Дополнительные параметры» → «Параметры загрузки» → «Перезагрузить».
• Нажмите F4 для безопасного режима.

Это предотвратит запуск многих вирусов.

Шаг 3: Удалите вредоносные строки из hosts

• Откройте файл hosts как администратор: запустите Блокнот от имени администратора → «Файл» → «Открыть» → укажите путь.
• Удалите все строки, кроме:

  # Copyright (c) 1993-2009 Microsoft Corp.
  #
  # This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
  #
  # It is a plain text file containing IP addresses and their aliases.
  # Each entry should be kept on an individual line.
  #
  127.0.0.1 localhost
  ::1 localhost

• Сохраните файл. Если система не даёт сохранить — смените владельца папки etc (через свойства → Безопасность → Дополнительно).

Шаг 4: Проверьте реестр

Вирусы могут прописаться в автозагрузке:

• Нажмите Win + R, введите regedit.
• Перейдите в HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun.
• Удалите ключи с подозрительными путями (особенно те, что ведут в Temp или AppData).

Шаг 5: Перезагрузитесь и проверьте результат

• Запустите обычный режим.
• Попробуйте открыть ранее заблокированные сайты.
• Выполните команду ping google.com в командной строке — IP должен быть публичным, не 127.0.0.1.

Автоматические инструменты для очистки

Ручная чистка эффективна, но современные угрозы требуют автоматизации. Вот лучшие инструменты:

Как использовать:

• Скачайте утилиту с официального сайта (только HTTPS!);
• Запустите от имени администратора;
• Выполните полное сканирование;
• Примите действия по удалению;
• Перезагрузите ПК.

После этого обязательно проверьте файл hosts снова — некоторые вирусы восстанавливают изменения.

Как предотвратить повторное заражение

Профилактика важнее лечения. Следуйте этим правилам:

• Никогда не используйте пиратское ПО — большинство активаторов содержат встроенные трояны.
• Установите постоянный антивирус — Kaspersky, ESET или Bitdefender. Бесплатные решения (Avast, AVG) часто продают данные.
• Обновляйте систему и софт — 70% заражений происходят через уязвимости в старых версиях.
• Не открывайте вложения от неизвестных — особенно .exe, .js, .scr, .zip.
• Ограничьте права пользователя — работайте под учётной записью без прав администратора.
• Регулярно проверяйте hosts — раз в месяц.

Дополнительно можно защитить файл hosts от изменений:

• Щёлкните по нему правой кнопкой → «Свойства» → «Безопасность».
• Нажмите «Дополнительно» → «Отключить наследование» → «Удалить все разрешения, кроме Administrators и SYSTEM».
• Снимите галочку «Запись» для всех, кроме владельца.

Экспертное мнение

Защита файла hosts — это не просто техническая задача, а часть общей стратегии цифровой гигиены. Современные угрозы всё чаще атакуют на уровне конфигурации, а не кода. Это позволяет им оставаться незамеченными долгое время. Важно понимать, что любой системный файл, имеющий приоритет перед стандартными механизмами (DNS, шифрование, обновления), становится целью.
Регулярный аудит таких файлов, использование средств второго мнения и многоуровневая защита (антивирус + фаервол + поведенческий контроль) — единственный способ снизить риски. Особенно важно обучать пользователей: большинство заражений происходят из-за доверия к поддельным сообщениям или желания сэкономить на лицензиях.

Вопросы и ответы

Заключение

Файл hosts — это маленький, но крайне важный элемент вашей цифровой безопасности. Его взлом может привести к серьёзным последствиям: от потери данных до финансовых убытков. Однако при правильном подходе угрозу можно быстро нейтрализовать и предотвратить в будущем.

• Файл hosts имеет приоритет перед DNS — его взлом даёт злоумышленнику контроль над трафиком.
• Проверяйте hosts при любых странностях с доступом к сайтам.
• Используйте комбинацию ручной проверки и автоматических сканеров.
• Профилактика — ключ к безопасности: обновления, антивирус, осознанное поведение.
• Если сомневаетесь — перезапишите hosts стандартным содержимым.