Цифровой сад

Уничтожение Dr. Web ES Agent через (WinRE)

время чтения ~2 мин.

Почему Dr.Web ES Agent отказывается удаляться

Dr.Web ES Agent - это не обычная программа, а часть корпоративной системы безопасности.
Когда компьютер подключён (или когда-то был подключён) к серверу централизованной защиты, администратор может включить строгие правила:

  • Запрет на удаление антивируса
  • Запрет на изменение компонентов
  • Запрет на отключение самозащиты
  • Блокировка настроек в интерфейсе
  • Пароль администратора Dr.Web
  • Защита на уровне драйверов ядра

Именно поэтому в окне появляется сообщение:

Даже если сервер давно недоступен, политики продолжают работать локально.
Фактически антивирус становится объектом корпоративной защиты, и обычный пользователь не имеет полномочий его удалить.

Шаг 1 заходим в WinRE (среду восстановления)

  • Зажимаем Shift → Перезагрузка → Диагностика → Дополнительные параметры → Командная строка

Шаг 2 удаляем всё, что относится к Dr.Web

  1. Удаляем папку с конфигами и политикой
rmdir /S /Q "C:\ProgramData\Doctor Web"
  1. Удаляем папку установки
rmdir /S /Q "C:\Program Files\DrWeb"
  1. Удаляем драйверы
del /F /Q C:\Windows\System32\drivers\dw*.sys
del /F /Q C:\Windows\System32\drivers\drw*.sys
  1. Удаляем службы из реестра
reg load HKLM\zzz C:\Windows\System32\Config\SYSTEM
reg delete "HKLM\zzz\ControlSet001\Services\dwprot" /f
reg delete "HKLM\zzz\ControlSet001\Services\drwebnet" /f
reg delete "HKLM\zzz\ControlSet001\Services\drwagnt" /f
reg delete "HKLM\zzz\ControlSet001\Services\drwupgrade" /f
reg delete "HKLM\zzz\ControlSet001\Services\drwebspider" /f
reg unload HKLM\zzz
  1. Чистим автозагрузку
reg load HKLM\zzz C:\Windows\System32\Config\SOFTWARE
reg delete "HKLM\zzz\Microsoft\Windows\CurrentVersion\Run" /v DrWeb /f
reg unload HKLM\zzz

Перезагружаемся в обычный режим. Можно пройтись drw_remover, что бы убить остатки.

Вид графа