Win32.Neshta.A - устраняем последствия

🔄 Обновлено 2026-08-09. Neshta никуда не делся: он до сих пор ездит на флешках и в старых инсталляторах, а Windows 10 и 11 ломает ровно так же, как Windows 7 в 2015-м. Разбил пост на разделы, поправил значение ключа реестра (в исходной версии оно было записано с лишним экранированием), добавил способ починить ассоциацию, когда regedit уже не запускается, и заметку про то, что вирус делает с файлами — это важно, потому что заражённые .exe лечением реестра не восстанавливаются.

Собрал себе свежую рабочую лошадку работу работать. По характеристикам не самый сахар, но вроде сойдет. Поставил свежую винду семерку запускаю со своей рабочей флешки (которая только для рабочих нужд используется) DriverPack Solution последний и тут начинается интересное :-)

Начинают ставиться дрова, но при попытке открыть любую другую программу вылетает предложение открыть этот файлик (.exe) с помощью чего-либо. Ну быстрый гуглеж (благо со мной всегда мой верный персональный пони Asus K52J с Ubuntu 14.04 LTS на борту) показал, что это вирус и указал даже название - Win32.Neshta. С википедии:

Win32.Neshta — белорусский вирус 2005-го года. Название вируса происходит от белорусского слова “нешта”, означающего “нечто”. Программа является приложением Windows (exe-файл). Написана на Delphi. Размер оригинального вредоносного файла — 41 472 байта. Это файловый вирус — тот тип вируса, который уже не популярен в настоящее время.

В базах антивирусных программ Neshta определяется так:

• Virus.Win32.Neshta — Антивирус Касперского
• Win32.HLLP.Neshta — Dr. Web
• Win32.Neshta — NOD32
• Win32.Neshuta — Symantec

Что именно он делает#

Суть работы вируса была в следующем: Вирус просто удаляет строку которая отвечает за совместимость фалов *.inc и *.exe! По этому если у вас на компьютере 2 браузера то проблема решена! Так как вы нажимаете на один пытаясь его открыть,и вам выходит окошко открыть с помощью и выбираете другой браузер!

Если разбирать чуть подробнее, происходит вот что. Вирус кладёт себя в C:\Windows\svchost.com и перехватывает ассоциацию .exe в реестре так, чтобы при запуске любой программы сначала стартовал он, а уже потом настоящий файл. Расширение .com выбрано не случайно: в путях Windows оно имеет приоритет над .exe, поэтому подмена работает незаметно.

И вот главное, чего в исходной заметке не было. Neshta — файловый вирус, он дописывает себя внутрь .exe-файлов на диске. Заражённые исполняемые файлы становятся больше примерно на 41 КБ и остаются заражёнными даже после того, как ты починил реестр и удалил svchost.com. То есть починка ассоциации возвращает систему в рабочее состояние, но не лечит уже поражённые программы — при их запуске всё начнётся заново.

Поэтому порядок действий такой: сначала чиним ассоциацию, чтобы вообще иметь возможность что-то запустить, потом обязательно прогоняем полноценный сканер, который вычистит заражённые файлы.

Чиним ассоциацию .exe#

Примерно таким способом его можно вылечить:

1. Открываем Regedit от имени Администратора (желательно из безопасного режима);
2. Ищем вот эти пути:

[HKEY_CLASSES_ROOT\exefile\shell\open\command]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command]

и пишем значения по умолчанию в обоих ключах:

"%1" %*

После чего идем в директорию C:\Windows\ и удаляем нахрен волшебно появившийся файлик svchost.com. Главное не очкуем. Он там один такой и ничего лишнего вы не удалите. Только не перепутай его с легитимным C:\Windows\System32\svchost.exe — тот трогать нельзя ни в коем случае, это системный процесс. Вирусный файл лежит именно в C:\Windows\ и именно с расширением .com.

Если regedit не запускается#

Засада в том, что ассоциация .exe сломана, а regedit.exe — это тоже .exe. Из этого замкнутого круга есть несколько выходов.

Проще всего подсунуть системе готовый .reg-файл: такие файлы открываются не через ассоциацию .exe, а через собственный обработчик. Создай в блокноте файл fix.reg со следующим содержимым и запусти двойным щелчком:

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\exefile\shell\open\command]
@="\"%1\" %*"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command]
@="\"%1\" %*"

Обрати внимание на экранирование: внутри .reg-файла кавычки внутри значения записываются как \", поэтому строка выглядит именно так. Итоговое значение в реестре при этом будет "%1" %*.

Второй путь — командная строка. cmd.exe в такой ситуации обычно ещё запускается, и из неё можно поправить всё напрямую:

reg add "HKCR\exefile\shell\open\command" /ve /t REG_SZ /d "\"%1\" %*" /f

Третий, самый надёжный, — загрузиться в безопасном режиме (Shift + перезагрузка в Windows 10/11) и делать всё оттуда.

Проверяем систему#

После чего можно проверить (из безопасного же режима) систему каким-нибудь Dr.Web CureIt или AVZ, тут кому что больше нравится. Оба живы и в 2026 году, оба бесплатны для разового лечения. Встроенный Microsoft Defender тоже умеет это чинить: Защита от вирусов и угроз → Параметры сканирования → Проверка автономным модулем Microsoft Defender. Автономная проверка загружается до старта Windows, поэтому вирус ей помешать не может.

Скачивать сканер придётся с другой машины и переносить на флешке — на заражённой системе браузер тоже может не запускаться.

После смело грузимся в нормальном режиме и радуемся тому, как мы самостоятельно удалили целый вирус десятилетней давности.

ЗЫЖ Обязательно пользуйтесь нормальным антивирусом и фаерволом если вы виндузятник :-) Из той же папки историй с фронта: спам и шифрование, очередной шифровальщик и простая защита от дурака через Shadow Defender.