آی.تی, سیستم عامل, سخت افزار, فناوری و گجت, آموزش و مقالات, بازی و سرگرمی, پادکست, راهنمای خرید و گزارش ها

طریقه ویروسی شدن کامپیوتر

طریقه ویروسی شدن کامپیوتر

طریق فهمیدن ویروسی شدن کامپیوتر

موقعی که شما وارد My Computer می شوید و روی درایو های ان راست کلیک می کنید و در این هنگام یک گزینه با یک زبان نامفهوم مطابق عکسی که قرار داده ام را می بینید .

یا اینکه وقتی روی درایوهایتان دوبار کلیک می کنید محتوای درایوهای شما در یک صفحه جدید باز می شود .
یا موقع دابل کلیک کردن روی درایو هایتان پنجره Open With باز می شود و به شما می گوید Choose the program you want to use to open this file

یا هنگام کلیک بر روی درایو هایتان error ی به شما داده می شود .
یعنی سیستم شما ویروسی شده است . این ویروس ، ویروس autorun.inf می باشد . نحوه پاک کردن این ویروس را در قسمت های بعد گفته شده است .
همچنین این ویروس باعث از بین رفتن و پاک شدن Folder Options خواهد شد
و اگر شما گزینه های Show hidden files and folders و Hide protected operating system files (Recommended) را مارک دار کنید با ok کردن پنجره این گزینه کار نخواهند کرد و دوباره به حالت اولیه باز خواهند گشت .
همچنین این ویروس باعث غیر فعال شدن Task Manageو Registry Editor خواهد شد .

اگر شما روی گزینه command prompt یا cmd نیز کلیک کنید یا باز نخواهد شد و پیغام زیر را خواهد داد یا اینکه به سرعت باز و بسته خواهد شد .the command prompt has been disabled by your administrator
راههای ورود این ویروس از طریق قطعاتی خواهد بود که از طریق usb با سیستم شما ارتباط دارند . قطعاتی مانند فلش مموری ها ( کولدیسک ) ، موبایل ها ، رم ریدر ها و …

نحوه از ببن بردن ویروس autorun.inf
مواقعی که شما وسایلی مانند USB, flash drive را به کامپیوتر وصل می کنید ویروس اتوران وارد سیستم شما می شود . به دلیل این که ویروس autorun.inf به صورت hidden و سیستمی می باشد به همین دلیل اکثر انتی ویروس ها قادر به شناسایی و از بین بردن این ویروس نیستند .
خوشبختانه نسخه های جدید انتی ویروس های NOD32 و کسپراسکای این ویروس را تشخیص داده و به راحتی ان را از بین می برند . کافی است شما یکی از این دو انتی ویروس را روی سیستم نصب کرده و ان را به طور کامل اپدیت کنید و سپس سیستم را به طور کامل ویروس یابی کنید .
پس شرط از بین بردن این ویروس توسط انتی ویروس ها اپدیت کردن کامل انهاست . از بین این دو انتی ویروس در حال حاضر NOD32 عمل کرد بهتری دارد .

روشهای دستی برای از بین بردن این ویروس

این روشها هم برای فلش مموری ها و هم برای درایوها صادق می باشد .

روش اول :
برای از بین بردن این ویروس شما نباید به هیچ عنوان روی درایو یا فولدری دابل کلیک کنید . چون این ویروس با دابل کلیک کردن روی درایو ها فعال می شود .
پس اولین کار این است که شما وقتی سیستم را روشن کردید به هیچ عنوان روی درایوی دابل کلیک نکنید .
قبل از انجام مراحل زیر شما باید حتما با یکی از انتی ویروسهای NOD32 یا کسپراسکای و Avast سیستم را به طور کامل ویروس یابی کرده باشید . تا ابتدا ویروسهای احتمالی از سیستم شما پاکسازی شود .
دلیل این که چرا باید قبل از پاکسازی ویروس اتوران به طور دستی باید از انتی ویروس های گفته شده استفاده کرد را در روش دوم توضیح داده شده است .
ابتدا فلش مموری را به کامپیوتر وصل کنید . و سپس منتظر بمانید تا درایو مربوط به ان در my computer ظاهر شود . بعد از ظاهر شدن درایو مربوط به فلش مموری دیگر روی هیچ یک از درایو های کامپیوتر و حتی فلش مموری دابل کلیک نکنید .
حالا مراحل زیر را ابتدا انجام دهید .
ابتدا وارد My Computer شوید .
بعد از مشاهده لیست درایوها از نوار بالا بروی گزینه Tools کلیک کرده سپس گزینه Folder Options را انتخاب کنید
راهنمایی : اگر Folder Options شما وجود ندارد و ممکن است پاک شده باشد در زیر برنامه هایی برای برگرداندن ان معرفی کرده ام .
در پنجره جدید باز شده گزینه View را انتخاب کنید و بروی گزینه Show hidden files and folders کلیک کنید تا دایره آن توپر شود .
کمی پایینتر تیک گزینه Hide Protected Operationg System Files را بر دارید . حالا ok کنید
از این به بعد تا پاک سازی کامل این ویروس از داخل درایو ها روی هیچ کدام از درایو ها نباید دابل کلیک کرد بلکه باید با راست کلیک روی درایو و زدن open وارد درایو شوید .
(حتما یادتون باشه با راست کلیک کردن و زدن open وارد درایو هایتان شوید اگر دوبار روی درایوی کلیک کنید باز هم ویروس فعال خواهد شد و دوباره همه چیز به حالت اول بر خواهد گشت . پس حتما با راست کلیک کردن و زدن open وارد درایوهایتان شوید)
ابتدا با راست کلیک روی درایو C و زدن OPEN وارد ان شوید و فایلی به نام autorun.inf را از داخل درایو هایتان پاک کنید . سپس با راست کلیک و زدن open وارد درایو های دیگر شوید و همچین فایلی را از داخل همه درایو ها پیدا کرده و پاک کنید .
بعد از این که شما همه فایلهای autorun.inf را از داخل همه درایو ها پاک کردید باید بلافاصله بدون انجام هیچ کار اضافی ( حتی نباید جایی کلیک کنید ) سیستم را Reset کنید .
حتما باید سیستم بلافاصله ریست شود .
فرض می کنیم فلش مموری یا RAM مربوط به موبایل شما نیز به این ویروس مبتلا شده باشد .
شما باید فلش مموری یا موبایل خودتون را به کامپیوتر متصل کنید و بعد از دیدن درایو مربوط به ان با راست کلیک و زدن open وارد ان شوید و فایلی به نام autorun.inf را از داخل ان پاک کنید و همین طور که فلش مموری یا موبایل شما به کامپیوتر متصل است سیستم را Reset کنید .
این اموزش مربوط به ویروس autorun.inf بود . اما همیشه این ویروس به تنهایی در درایو های شما قرار نمی گیرد بلکه ممکن است همراه خود چندین فایل exe نیز داشته باشد که اگر شما کامل مقاله را مطالعه فرمایید اسم انها گفته شده است که شما در حین پاک کردن ویروس autorun.inf باید انها را نیز همراه این ویروس از داخل درایو ها پاک کنید .

روش دوم :
برای این که متوجه شوید کامپیوتر شما به ویروس autorun.inf مبتلا شده است یا نه ، باید ابتدا فایلهای مخفی و سوپرهایدن را قابل روئیت کنید .
چون این ویروس به صورت مخفی و سیستمی می باشد .
برای این که فایلهای مخفی را بتوانید ببینید از روش اول برای از بین بردن autorun.inf استفاده کنید . اما گاهی اوقات به دلیل دچار شدن به یک ویروس دیگر شما قادر به دیدن فایلهای مخفی نیستید .
برای این کار کافی است مسیر زیر را دنبال کنید .

Start->Run->cmd.exe

سپس در محیط cmd به root درایو ها رفته ( برای رفتن به ریشه یک درایو باید از دستور cd\ استفاده کنید ) و عبارت dir /ah را تایپ کنید با این کار تمامی فایلهای و فایلهای مخفی درایو به شما نشان داده خواهد شد . که شما با این روش می تونید ببینید که ایا کامپیوتر شما به ویروس autorun.inf مبتلا شده است یا نه .
یک روش برای از بین بردن ویروس autorun.inf استفاده از همین محیط cmd می باشد . که شما باید با استفاده از دستورات داس به root درایو ها رفته و با استفاده از دستور del /a/f autorun.inf این ویروس را از تمامی درایو ها خود پاک کنید . توجه کنید که ابتدا باید درایو c را پاک کرده و بعد بقیه درایو ها را پاک کنید . بعد از این کار بلافاصله کامپیوتر را ریستارت کنید .
گاهی اوقات بعد از این که شما به طور دستی اقدام به پاکسازی ویروس اتوران می کنید بعد از چند ثانیه این ویروس دوباره سر جای خود برمی گردد .
این مشکل به این دلیل است که جدیدا ویروس اتوران پیشرفت زیادی کرده و به تنهایی فقط شامل یک فایل notpad به اسم autorun.inf نیست بلکه همراه این فایل چند فایل exe نیز وجود دارد که به این فایل ضمیمه شده اند که نشان از پشرفت این ویروس داشته است .
چند تا از فایلهای exe که اخیرا همراه این ویروس در درایو ها ایجاد می شود و مانع از پاکسازی ویروس اتوران به طور دستی می شود فایلهایی به اسم ۳o.exe و sxs.exe و semo2x.exe و system.exe و m88coaim.exe می باشد .
متاسفانه فایل های exe را نمی توان به طور دستی پاک کرد به خاطر این که بعد از پاک شدن سریعا در عرض چند ثاینه یک جایگزین برای خود درست می کنند .
پس برای این که بتوانید به راحتی و به طور دستی ویروس اتوران را پاک کنید باید ابتدا فایهای exe ضمیمه ان را از بین ببریم برای این کار من انتی ویروس Avast را پیشنهاد می کنم که قادر به از بین بردن برنامه های exe ضمیمه شده به ویروس اتوران است مخصوصا فایل ۳o.exe . بعد از ان شما به راحتی می توانید به طور دستی فایل autorun.inf را از درایوها پاک کنید .
پس شرط از بین بردن ویروس اتوران به طور دستی این است که شما قبل از ان با انتی ویروس Avast سیستم را به طور کامل ویروس یابی کنید تا برنامه های exe همراه ویروس اتوران از بین بروند .

روش سوم :
این روش شاید دیگر به این راحتی ها جواب ندهد به این دلیل که ویروس اتوران پیشرفت کرده و دیگر به تنهایی فقط شامل یه فایل notpad نیست بلکه همراه خود چندین فایل exe نیز دارد . اما گفتن این روش هم خالی از لطف نیست .
یک روش هم برای از بین بردن ویروس اتوران این است که برنامه notpad را باز کنید و دستور زیر را در ان کپی کنید و سپس با نام و پسوند autorun.inf ذخیره کنید .
کد:
کد:
کد:
[AutoRun]
open=explorer.exep
سپس به مسیر tools->folder options->view رفته و تیک گزینه hide extensions for known file types را بردارید تا پسوند فایلهای نیز نمایان شود .
سپس فایلهای مخفی و سوپرهایدن را قابل روئیت کنید و فایل autorun.inf خود را در همه درایو ها کپی کنید با این کار اگر فایل اتوارن دیگری در درایو شما باشد اخطاری مبنی بر جایگزین کردن فایل به شما داده خواهد شد که شما با زدن گزینه yes پیغام را تائید کنید .
این کار را برای تمام درایو ها انجام دهید . با این کار فایل اتوران شما جایگزین ویروس اتوران خواهد شد .
همان طور که گفتم شاید این روش دیگر جواب ندهد .

روش چهارم :
copy.exe تروجانی است که گاهی اوقات در تمامی درایو های شما قرار میگیره و با هر بار کلیک بر روی درایو ها فایل autorun.inf فایل این فایل را اجرا می کنه .
یکی از روشهای پاک کردن این ویروس این است که ابتدا شما باید پروسه های temp1.exe و temp2.exe رو از بین ببرید . برای این کار ابتدا باید سیستم را به صورت safe mode راه اندازی کنید .
شما نباید روی درایو ها یتان دابل کلیک کنید چون با این کار ویروس autorun.inf که در درایو هایتان قرار دارد باعث فعال شدن پروسه های temp1.exe و temp2.exe می شود .
بعد از راه اندازی سیستم به صورت safe mode شما باید با راست کلیک کردن و زدن گزینه open وارد درایو c ویندوز شده و به پوشه windows و بعد هم پوشه system32 رفته و دو فایل temp1.exe و temp2.exe را حذف کنید .
البته در بعضی از نسخه های ویروس copy.exe ویروس autorun.inf حتی درون پوشه %win% هم وجود داره بنابراین حتما حتما برای ورود به درایوها پوشه ها را با راست کلیک باز کنید .
نکته : قبل از اینکار باید ابتدا این پروسه ها را از Task Manager پاک کنید . برای این کار با زدن کلید های ترکیبی ctrl + alt + delete وارد Task Manager بشید و پروسه های temp1.exe و temp2.exe را از لیست processes با کلیک بر روی انها و زدن end process حذف کنید .
ویروس autorun.inf با هر بار فعال شدن موجب میشه که دو فایل xcopy.exe و host.exe درون همون درایو فعال بشن و دوباره دو فایل temp1.exe و temp2.exe رو بسازن.
شما نباید فایل های xcopy.exe را با فایل های خود windows که درون پوشه ی system32 هستند اشتباه بگیرید .
برای تشخیص ویروس xcopy.exe و فایل xcopy.exe که در پوشه system32 است باید از حجم انها این دو را شناسایی کرد اگر فایل xcopy.exe حجمی معادل ۳۲ کیلو بایت داشت مربوط به خود ویندوز می باشد در غیر این صورت ویروس خواهد بود .
حالا فایلهای سیستمی را مانند ورش اول از حالت هایدن خارج کنید و ویروس autorun.inf را پاک کنید و بعد هم به درایوهای خودتون نگاه کنید اگر فایلهایی با عنوان xcopy.exe و host.exe بودند با خیال راحت پاک کنید .
برای از بین بردن ویروس autorun.inf از برنامه ای که بدین منظور ایجاد شده است نیز می توانید استفاده کنید .
برنامه به صورت فشرده شده میباشد ابتدا ان را از حالت فشرده خارج سازید و برنامه را اجرا کنید و سپس گزینه scan را بزنید تا شروع به پاک سازی این ویروس از درایو ها شما کند .
اگر فلش مموری یا موبایل شما نیز دچار این ویروس شده است ان را به کامپیوتر متصل نمایید و سپس این برنامه را اجرا کنید تا این ویروس را از داخل usb درایوهای شما نیز پاک سازی نماید .

برنامه هایی برای از بین بردن ویروس اتوران
کد:

باز شدن درایوها با دابل کلیک در یک پنجره جدید یا باز شدن پنجره search

برای حل این مشکل ابتدا باید مطمئن شوید تیک گزینه Open Each Folder In Its Own Window زده شده است . برای این کار به مسیر زیر بروید .
Tools >> Folder Options و سپس تب General
حال اگر مشکل از این قسمت نبود از روشهای زیر استفاده کنید .

روش اول :

ابتدا به منوی start رفته و گزینه run را بزنید و سپس عبارت regsvr32 /i shell32.dll را در ان کپی کنید و سپس کلید اینتر را بزنید .

روش دوم : به منوی start رفته و گزینه Run را بزنید و سپس عبارت regedit را تایپ کنید تا وارد محیط رجیستری شوید .
به هر دو مسیر زیر بروید

HKEY_CLASSES_ROOT\Directory\shell
و
HKEY_CLASSES_ROOT\Drive\shell

در پنل سمت راست ، مقادیر پیش فرض عبارات بالا رو پید کنید. سپس روی انها دابل کلیک کرده و در قسمت Value data عبارت none را قرار دهید و سپس روی دکمه Ok رو کلیک کنید.

روش سوم :به منوی start رفته و روی run کلیک کنید و عبارت زیر را داخل ان کپی کرده و کلید اینتر را فشار دهید .

کد:
reg add hkcr\drive\shell /ve /d none /f

نحوه پاک کردن ویروس Copy.exe
اسامی دیگر این ویروس host.exe, xcopy.exe, temp1.exe, temp2.exe and svchost.exe,Salga-A worm
این ویروس یکی از خطرناک ترین ویروس ها هست که به عنوان یک پروسه در سیستم شروع به فعالیت و انتشار خودش می کنه و با توجه به اینکه بعضی از انتی ویروسها به صورت نامناسب این ویروس را پاک می کنند باعث نمایش یک پیغام در زمان دابل کلیک کردن روی درایو و یا فولدر در محیط ویندوز می شوند .

برای پاک کردن دستی این کرم شما باید ابتدا همه پروسه هایی که با نام های host.exe, xcopy.exe, temp1.exe, temp2.exe and svchost.exe,Salga-A worm هستند را پیدا کنید و انها را پاک کنید .

تذکر : مواظب باشید این فایلها را با فایلهای اساسی سیستم عامل اشتباه نگیرید .

مهم : یکی از دلایل اصلی به وجود امدن این مشکل ویروس Autorun.inf هست که شما باید طبق روش هایی که در اموزش گفته ام ان را پاک کنید . این کار را حتما انجام دهید . یعنی حتما باید ابتدا ویروس Autorun.inf را طبق اموزش باید از بین ببرید .

سپس به این ادرس در رجیستری رفته و اگر کلیدی به اسم Copy.exe در زیر منوی MountPoints2 وجود داشت ان را پاک کنید .

کد:
کد:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\MountPoints2
با استفاده از برنامه های زیر به طور کامل می توانید این ویروس را از بین ببرید .

برنامه زیر را در حالت safe mode اجرا کنید

Show Hidden Files
1- از Start Menu وارد Run بشید و در اونجا تایپ کنید : regedit
وقتی صفحه ی رجیستری باز شد ، از سمت چپ وارد این مسیر بشید :

کد:

کد:

HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced

در این قسمت ، در لیست متغیر هایی که سمت راست وجود دارند ، متغیر آبی رنگی ( DWORD Value ) رو به نام Hidden پیدا کنید و روی ان دابل کلیک کنید . اگر مقدارش ( Value data ) به ۰ تغییر کرده ، ان را به ۱ یا ۲ تغییر دهید و OK کنید . حالا رجیستری رو ببندید و ریستارت کنید .

۲- مسیر زیر رو دنبال کنید :

کد:

کد:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Advanced\Folder\Hidden

اکنون در سمت راست پنجره ی Regedit روی Type دو بار کلیک کرده و مقدار آن رو برابر با group قرار دهید ( یعنی در پنجره ای که باز میشه کلمه ی group رو تایپ کنید ).
با این کار تونستید Show Hidden Files از دست رفته را که دیده نمی شد برگردونید .

۳-مسیر زیر رو دنبال کنید :

کد:

کد:

HK LocalMachine\Software\Microsoft\Windows\CurrentVer sion\Explorer\Advanced\Folder\Hidden\SHOWALL

در سمت راست پنجره ی Regedit مقدار CheckedValue رو برابر با ۱ قرار بدید.

گرفتن و اجرا کردن این برنامه . وقتی برنامه را اجرا کردید به اخطار داده شده توجهی نکنید و روی ok کلیک کنید .

روشی برای از بین بردن ویروس New folder.exe
سایت انتی ویروس sophos بهترین و جامع ترین راه حل را برای این ویروس ارائه کرده است .
این ویروس با نام های W32/Floppy-E و WORM_GATECOLL.A و Troj_VB.BLA نیز شناخته می شود .

یکی از دلایلی که انتی ویروس ها قادر به از بین بردن یا شناسایی این ویروس نیستند این است که این ویروس با بالا امدن ویندوز به صورت دائمی شروع به فعالیت می کند . و همون طور که می دانید یه فایل در حال اجرا را نمی شود از روی ویندوز پاک کرد .

برای از بین بردن این ویروس شما باید ابتدا فایل ۱۳ مگابایتی زیر را دانلود کنید و پس از دانلود ویندوز را در حالت Safe mode راه اندازی کنید و فایلی را که دانلود کرده اید را در یکی از درایو هایتان و در درون فولدر SAV32CLI از حالت فشرده خارج کنید .

حالا باید command prompt را از منوی استارت اجرا کنید و سه دستور زیر را به ترتیب تایپ کنید .

کد:

کد:
X:

CD SAV32CLI
SAV32CLI -REMOVE -P=C:\LOGFILE.TXT

در این دستور x نام درایوی هست که شما فایل دانلود شده خودتون را توی اون درایو قرار داده اید .

بعد از تایپ خط آخر و اجرا شدن الگوی پاکسازی عملیات ویروس کشی آغاز میشه و بعد از چند بار دادن پاسخ بله به برنامه جهت تایید پاکسازی کرم W32/Floppy-E در عرض چند دقیقه از شر این کرم سمج و دردسر ساز راحت میشید.

معرفی برنامه هایی که توسط انها میتوانید قسمتهای حذف شده یا غیر فعال شده را به حالت او
مثل : folder option و رجیستری و Task Manager و Hidden F iles و پنجره Run و Windows Firewall و show desktop و show taskbar و حذف اتوران و Group policy و ….

برنامه isReset

حتما با ویروسهایی که فایلهای شما را به صورت سیستمی و پنهان در می آورند برخورد کرده اید. این ویروسها را با آنتی ویروس می توان از بین برد ولی برگرداندن فایلها به حالت عادی کار ساده ای نیست. با استفاده از این برنامه می توانید این فایلها را به حالت عادی برگردانید. برای این کار باید فایل یا فولدرهایی که به صورت سیستمی در آورده اند را به روی پنجره این برنامه کشیده و بر روی دکمه Reset کلیک کنید.

برنامه Linkfars Virus Remover

با استفاده از این برنامه می توانید ویروس جدیدی که اکثر کامپیوترها را آلوده کرده است را از بین ببرید. این ویروس را آنتی ویروس Symantec با نام W32.Linkfars و Kaspersky آن را با نام Malas نامگذاری کرده است.
در NOD32 هم از انواع Autorun شناخته می شود. از اثرات این ویروس این است که با کلیک بر روی یک درایو محتویات آن را در پنجره جدید باز می کند.
همچنین Folder Options پنهان می شود. در همه درایوها یک فایل Autorun.inf و Autoply.exe به صورت سیستمی و پنهان کپی می شود. یک سرویس svchost.exe با نام User شما درست می شود. یک گزینه برای اجرای فایل OfficeUpdate.exe در برنامه های Startup ساخته می شود.
یک میانبر با آیکون فولدر و نام New Folder در بعضی درایوها و به خصوص حافظه های فلش متصل شده به سیستم ایجاد می شود. در هنگام اتصال به اینترنت شعارهای ضد حکومت و دین در بالای صفحه ظاهر می شود و …. فایل را از حالت فشرده خارج کرده و فایلهای داخل آن را به ترتیب شماره های قرار داده شده اجرا کنید.

برنامه Ravmon Virus Removal Tool
بازگرداندن قسمت های مهم سیستم به حالت عادی

برنامه Restriction Removal Tool

برنامه symantec Removal Tools

پاک کردن برنامه ی مخربی که پوشه ها را مخفی ( Super Hidden ) می کند
نام دقیق این برنامه ی مخرب Trojan.Win32.Delf.aam است .

با زبان برنامه نویسی Borland Delphi نوشته شده .

آی…… این Malware * مانند کرم های New Folder.exe و BronTok.A شبیه آی…… یک پوشه است !
بنابراین به سرعت منتشر می شود .

این برنامه ی مخرب تمام پوشه های Open شده توسط قربانی را Super Hidden می کند و یک نسخه از خودش را با همان نام در همان مـسـیـر کـپـی می کـنـد کـه اگـر Victim * آن را اجرا کـنـد هم Malware اجرا می شـود و هم محـتـوی پوشـه ی Super Hidden نمایـش داده می شود !!

یعنی اگه Victim مبتدی باشه به زودی متوجه نمیشه که چه بلایی داره سر پوشه هاش میاد !

هــمــانــطـــور کـه می دانـیــد برای آشـکار کـردن فایـل ها و پوشـه های Super Hidden باید ابتدا در Folder Options\View روی گزینه ی Show hidden files and folders کلیک کنید و پس از آن تیک گزینه ی (Hide protected operating system files (Recommended را بردارید و به پیغام امنیتی پاسخ مثبت و شستی OK را فشار دهید .

این Malware به Victim اجازه ی آشکار کردن پوشه ها و فایل های Super Hidden را نمی دهد !

ضمنا Registry Tools ، Windows Task Manager و Folder Options را Disable نمی کند .

پر واضح است که این برنامه ی مخرب از آشکار کردن پسوند فایل ها هم جلوگیری می کنه !

ویروس MS32DLL.dll.vbs
گاهی اوقات داخل درایوها فایلی به اسم MS32DLL.dll.vbs نیز وجود دارد که به صورت مخفی می باشد .
در واقع عامل ایجاد این فایل نیز همین ویروس autorun.inf می باشد و در واقع ویروس اتوران یک master هست و فایل MS32DLL.dll.vbs یک worker .

یعنی این فایل برای اجرا شدن نیاز شدیدی به ویروس اتوران دارد و با از بین بردن ویروس اتوران این فایل که یک اسکریپت می باشد نیز ناتوان خواهد شد و به راحتی می توان ان را پاک کرد .

این ویروس باعث می شه یه فایل به اسم MS32DLL.dll.vbs نیز در مسیر c:\windows\MS32DLL.dll.vbs ساخته شود .

برای از بین بردن کامل این ویروس نیز شما نباید به هیچ وجه از دابل کلیک استفاده کنید بلکه باید از راست کلیک روی درایوها یا فولدرها و زدن open استفاده کنید . چون با دابل کلیک این ویروس فعال خواهد شد .

همچنین در بعضی مواقع باعث ایجاد متنی با عنوان Hacked By Godzilla ( ممکن است یک نام دیگر نیز باشد ) در بالای پنجره اینترنت اکسپلور می شود

برای از بین بردن این ویروس و این مشکل کارهای گفته شده را انجام دهید .
ابتدا با زدن کلید های ترکیبی ctrl + alt + delete وارد task manager شوید و در تب processes پروسه های زیر را بیندید .

کد:
کد:

۱٫ wscript.exe
2. mslogon.exe
3. systemnt.exe
4. wscript.exe
5. flashy.exe
6. sondmsg.exe

و سپس ویروس autorun.inf را مطابق اموزش از بین ببرید .
حال به مسیر c:\windows رفته و در صورت وجود فایل MS32DLL.dll.vbs را پاک کنید .
سپس به رجیستری رفته و قسمتهای گفته شده را پاک سازی نمایید .

کد:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run – MS32DLL

 

HKLM\Software\Microsoft\Windows\CurrentVersion\Run – flashy.exe

 

HKU\Software\Microsoft\InternetExplorer\Main – “window Title”

 

HKU\Software\Microsoft\Windows\CurrentVersion\Poli cies\system – disabletaskmgr

 

HKU\Software\Microsoft\Windows\CurrentVersion\Poli cies\system – disableregistrytools

 

HKU\Software\Microsoft\Windows\CurrentVersion\Poli cies\Explorer – NoFolderOptions

سپس کامپیوتر را ریستارت کنید .

استفاده از برنامه زیر برای از بین بردن این ویروس :

معرفی برنامه SmitFraudFix
SmitFraudFix ابزاری است برای از بین بردن ویروسهای مانند adware و malware و تروجان و پاکسازی رجیستری

ابتدا برنامه را از لینک زیر دانلود کنید . و ان را روی دسکتاپ قرار بدید .

کد:

کد:

http://siri.urz.free.fr/Fix/SmitfraudFix.exe

کامپیوتر را در حالت safe mode راه اندازی کنید
برای این کار سیستم را ریستارت کنید و قبل از بالا امدن ویندوز کلید F8 را چند مرتبه پشت سر هم بزنید .
از صفحه باز شده گزینه safe mode را انتخاب کنید . و سپس وارد یوزر خودتان شوید .
برنامه Smitfraudfix.exe را اجرا کنید . منتظر بمانید تا صفحه زیر ظاهر شود

سپس یکی از کلید های روی صفحه کلید را فشار دهید تا صفحه زیر ظاهر شود .

عدد ۲ را انتخاب کنید یعنی Clean (SafeMode Recommended)0 و سپس کلید اینتر را بزنید
با این کار اسکن کردن و clean کردن سیستم اغاز می شود .
بعد از انجام این مراحل ابزار Disk Cleanup tool اجرا می شود و فایلهای بی مصرف را از روی سیستم پاک می کند .

بعد از Disc Cleanup پنجره زیر نشان داده می شود .
Do you want to clean the registry ؟
ایا شما می خواهید پاکسازی کنید رجیستری را : کلید Y را فشار دهید تا رجیستری بازسازی شود .
Replace infected file ؟
ایا جایگزین کند فایلهای الوده را که شما کید Y را فشار می دهید .
در این هنگام سیستم احتیاج به یکبار راه اندازی دارد . که سیستم به طور اتوماتیک راه اندازی می شود .
اگر این اتفاق نیفتاد شما خودتان به صورت دستی این کار را انجام دهید .

این هنگام فایلی به نام rapport.txt در درایو c ایجاد می شود که گزارشاتی از کارهای انجام گرفته را به شما می دهد .

همچنین این ابزار فایل های wininet.dll را نیز چک میکند مبادا الوده باشند .

نحوه پاک کردن ویروس Virus Win32/Jeefo یا SVCHOST.EXE
بعلت وجود ویروسی مخرب به اسم Jeefo که با نام SVCHOST.EXE البته در شاخه دیگری غیر از فایل اصلی ساکن می شود و اقدام به خرابکاری تمام فایلهای اجرایی exe می کند .
اکثر انتی ویروس ها SVCHOST.EXE را به عنوان ویروس می شناسند . در حالی که SVCHOST.EXE ویروس نیست بلکه ویروس فایل دیگری می باشد که خود را به این نام در اورده است .
این ویروس باعث می شود که برنامه ها درست اجرا نشوند . و طولانی بودن زمان الودگی سیستم باعث از کار افتادن سیستم عامل می شود.

نحوه پاک کردن ویروس

ابتدا سعی کنید System Restore را غیر فعال کنید .
برای این کار ابتدا روی my computer راست کلیک کنید و سپس properties را بزنید از پنجره باز شده به تب
System Restore رفته و تیک گزینه Turn off System Restore on all drives را بزنید و بعد پنجره را ok کرده و به سوال پرسیده شده جواب مثبت دهید .

حال ابتدا با زدن سه کلید ترکیبی ctrl + alt + delete وارد Task Manager شوید و به تب Processes رفته و از اوجا فایل SVCHOST.EXE در حال اجرا توی ویندوز را پاک می کنیم .

البته در تب Processes شما حداقل ۴ تا یا بیشتر SVCHOST.EXE در حال اجرا می بینید که باید با برنامه های مدیریت پروسه های Task Manager بتونید این فایل را تشخیص دهید . زیرا این برنامه ها مسیر پروسه های اجرایی را در Task Manager نشان می دهند . این فایل بیشتر خود را با نام یوزر که در ان هستید (Log On) اجرا می کند .
حال به مسیر C:\WINDOWS رفته و فایل SVCHOST.EXE را پاک می کنیم .
البته شما نباید فایل اصلی SVCHOST.EXE را که در مسیر C:\WINDOWS\System32 قرار دارد را پاک کنید .

بعد از این کار سیستم را ریستارت کنید .

سپس سیستم را در حالت safe mode راه اندازی کرده و انتی ویروس jeefogui را اجرا کنید .
ممکن است بعد از این عملیات بعضی از فایلهای exe شما از کار بیفتند که شما باید دوباره برنامه انها را نصب کنید .

انتی ویروس jeefogui

پاک کردن ویروسی که از طریق یاهو مسنجر منتشر می شود
عملکرد این ویروس

۱- در ابتدا ویروس صفحه شخصی اینترنت اکسپلورر (Default IE Page) را به یک سایت تغییر می دهد. در این صورت به هیچ طریق امکان عوض کردن آن وجود نخواهد داشت. بعد از هر باز باز کردن یک صفحه وب جدید، ویروس مجددآ خود را در سیستم شما کپی می کند.

غیر فعال کردن Task Manager و رجیستری
ایجاد فایلهایی با نام های svhost.exe , svhost32.exe , internat.exe

نحوه از بین بردن این ویروس و مشکل

ابتدا با استفاده از روشهای گفته شده در بالا Task Manager و رجیستری را فعال کنید .
اتصال خود به اینترنت را قطع کنید .
حال برای برگرداندن صفحه نخست مروگر خود به حالت قبل وارد رجیستری شوید .
ابتدا وارد منوی استارت شوید و روی گزینه run کلیک کنید و عبارت regedit را نوشته تا وارد رجیستری شوید .

میسر های زیر را با دقت پیدا نموده و در آنها وارد شوید حال اسم سایت مورد نظر را که در home page شما قرار گرفته است را پاک کرده و اسم سایت خودتان را بنویسید مثلا

کد:

کد:

http://www.farsika.ir

سپس به internet option رفته و این کار را هم انجام دهید se current- use default -use blank

کد:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main

 

HKEY_ LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main

 

HKEY_USERS\Default\Software\Microsoft\Internet Explorer\Main

انتی ویروس Y.V.Remover

کد:
کد:

http://mahdi7610.parsaspace.com/Y.V.Remover.zip

رفع مشکل غیر فعال شدن Home Page اینترنت اکسپلورر
۱ . در کادر محاوره ای Run عبارت Regedit را تایپ کنید و از روی کیبرد کلید Enter را فشار دهید تا محیط ویرایش رجیستری ظاهر شود .
۲ . به مسیر زیر بروید و ۲ متغییر DWORD با نام های RunOnceComplete و RunOnceHasShown به ارزش ۱ بسازید .

کد:
کد:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main

محیط ویرایش رجیستری ر ببندید و مجددا در کادر محاوره ای Run عبارت inetcpl.cpl را تایپ کنید و شستی OK را فشار دهید تا کادری با عنوان Internet Properties ظاهر شود .

۴ . در قسمت Home Page آدرس مورد علاقه ی خود را تایپ کنید و شستی OK را فشار دهید تا تنظیمات دلخواه ذخیره شود .

۵ . اکنون Internet Explorer 7 را اجرا کنید و لذت ببرید .

کسانی که این مشکل را از راه اصولی حل کرده اند و اکنون دوست دارند روش فوق را تست کنند ، مراحل زیر را دنبال نمایید …

۱ . در کادر محاوره ای Run عبارت inetcpl.cpl ,6 تایپ کنید و شستی OK را فشار دهید تا کادری با عنوان Internet Properties ظاهر شود .

۲ . در زبانه ی Advanced دکمه ی Reset را فشار دهید تا کادر دیگری با عنوان Reset Internet Explorer Settings خودنمایی کند .

۳ . مجددا روی دکمه ی Reset کلیک کنید تا تمام تنظیمات IE به حالت پیش فرض بر گردد .

۴ . اکنون روش دوم را جهت تغییر Home Page تست کنید

نحوه از بین بردن ویروس services.exe
متاسفانه اکثر ویروسهایی که جدیدا به وجود می ایند همنام پروسه های مربوط به سیستم عامل می باشند به همین دلیل تشخیص انها هم برای کاربران و هم برای انتی ویروس ها نسبتا مشکل شده است .
و از کار انداختن انها نیز قدری سخت شده است .

و همین عامل می تواند یکی از نقاط ضعف سیستم عامل های ماکروسافت محسوب شود .

فعالیت های ویروس services.exe

اولین کاری که این ویروس انجام می دهد خودش را با نام فایلهایی که در یک فولدر است در می اورد و فایلهای فولدر را مخفی می کند و یک فایل با نام همان فولدر می سازد که دارای پسوند exe می باشد .

و به فولدر هایی که مخفی می کند علاوه بر خصلت hidden خصلت سیستمی هم می دهد .

سپس به وسیله windows policy برنامه های regedit و cmd و msconfig و taskmanager رو از کار می اندازد(گاهی اوقات هنگام استفاده از دستور cmd کامپیوتر را ریستارت هم میکند) در بعضی مواقع از قسمت folder option گزینه view رو مخفی میکند.

و اجازه دسترسی به بعضی از گزینه های مدیریتی رو بطور کامل از بین میبرد .

و حتی با تعویض ویندوز هم فایلها از حالت مخفی خارج نخواهند شد . به خاطر این که با تعویض ویندوز هنوز اثرات این ویروس در دیگر درایو ها وجود دارد و تنها با کلیک کردن روی یکی از انها ویروس فعال شده و دوباره همه جا را الوده می کند .

نحوه از بین بردن ویروس services.exe

برای از بین بردن این ویروس ابتدا کدهای زیر را داخل note pad کپی کرده و با نام و پسوند rescue.bat در مسیر در مسیر c:\ ذخیره نمایید.

کد:

کد:

@echo off
:try
del c:\windows\services.exe
if exist c:\windows\services.exe goto try

حالا به منوی start رفته و روی گزینه run کلیک کنید و عبارتregedit را تایپ کرده و ok را بزنید. تا وارد محیط رجیستری شوید .
حال به مسیر زیر بروید.

کد:

کد:

HKEY_LOCAL_MACHINE\system\currentcontrolset\servic es\eventlog

روی فایل image path دوبار کلیک کرده و در این پنجره به جای %systemroot%\system32\services.exe عبارت c:\rescue.bat را تایپ کنید.
ویندوز را restart کنید.
دوباره به منوی start رفته و برنامه run را اجرا کرده و regedit را تایپ کرده و ok را بزنید.
حال به مسیر زیر بروید.

کد:

کد:

HKEY_LOCAL_MACHINE\system\current control set\services\eventlog

روی فایل image path دوبار کلیک کرده و در این پنجره به جای c:\rescue.bat عبارت %systemroot%\system32\services.exe را تایپ کنید.

کد:

کد:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\userinit

userinit را از مسیر بالا باز کرده و به جای عبارت %windir%\services.exe عبارت C:\WINDOWS\system32\userinit.exe را وارد کنید

عبارت %windir%\services.exe را حذف نمایید یعنی مسیر به صورت زیر در می آید.

C:\WINDOWS\system32\userinit.exe

به پوشه temp رفته و در صورت وجود فایل Service.exe ان را پاک کنید .
حالا آنتی ویروس های kaspersky و nod32 را update نمایید و سیستم را به طور کامل در حالت safe mode ویروس یابی کنید .

ضمناً بهتر است بعد از update و ویروس یابی ویندوز خود را عوض کنید.

anti spyware برای از بین بردن ویروس services.exe

این انتی spyware یکی از بهترین ها برای از بین بردن ویروس services.exe می باشد .

فقط توجه داشته باشید که این anti spyware ویروس services.exe را پیدا می کند و برای از بین بردن انها حتما باید این برنامه کرک شده باشد .

کرم Wukill ) W32/Wukill.worm.gen )

طریقه گسترش کرم :

آلودگی با اجرای فایل کرم انجام می شود . که کرم با فلاپی و تمامی وسایل انتقال فایل منتقل می شود . چون خود ا در هر پوشه ای که باز کنید کپی می کند .

در کامپیوتر آلوده :

بعد از قرار دادن فلاپی ، کرم خود را در آن کپی می کند و یا اگر شخص سیدی رایت کند ، کرم را که به صورت مخفی است را نیز رایت خواهد کرد .

در کامپیوتر میزبان :

اگر شخص از ویندوز های ۹۸ , ۲۰۰۰ , ME و ویندوز هایی که از Customize Folder Wizard استفاده می کند ، داشته باشد با باز کردن پوشه یا فلاپی درایوی که کرم در آن وجود دارد آلوده خواهد شد . چون کرم از آین سرویس ویندوز استفاده کردن و جود را اجرا می کند .
در ویندوز xp چون این سرویس غیر فعال است و دیگر وجود ندارد آلودگی فقط با اجرای مستقیم کرم شروع می شود . در ویندوز های دیگر نیز با اجرای مستقیم کامپیوتر آلوده می شود . بعد از اجرای فایل اگر باز بخواهید فایل را اجرا کنید اختار زیر ظاهر می شود :

کرم خود را با نام های مختلف در یکی از پوشه های Windows ، Temp ، System ، Web ، Help کپی می کند .

و در تمامی پوشه هایی که وارد شوید یک فایل اجرایی با نام پوشه می سازد و در همان پوشه فایل desktop.ini یا Rundesktop.ini را تغییر می دهد و در آن کدهای زیر را اضافه می کند :

تا فایل دومی به نام comment.htt یا Runcomment.htt را بعد از هر بار ورود به پوشه یا درایور هارد اجرا کند . در این فایل هم کدهای زیر قرار دارد :
که فایل اجرایی موجود در پوشه را اجرا می کند .

همچنین کرم فایلی به نام WINFILE.EXE را در تمایم درایو های هارد و بعضی پوشه های می سازد . همچنین در درایو فلاپی . این فایل شبیه پوشه است .

علائم آلودگی :

۱) وجود فایل در درایو های هارد
۲) کپی شدن خود کار این فایل در فلاپی درایو
۳) اگر فایلهای مخفی را ظاهر کنید . دو باره بعد از مدتی مخفی می شوند .
۴) هنگام رفتتن به هر پوشه فایلی اجرای به شکل پوشه و با همان نام در آنجا ساخته می شود (البته مخفی ) .
۵) در ویندوز های ۹۸ تا ۲۰۰۰ ویندوز بعد از مدتی کند می شود .
۶) بعضی مواقع کپی و پست کار نمی کند . یعنی شما فایل را کپی می کنید . اما بعد از رفتن به مقصد گزینه پست غیر فعال شده است انگار کپی انجام نگرفته !

نکته ۱ :ویروس به زبان VB نوشته شده توسط مایکروسافت ویژوال استودیو .

نکته ۲ : احتمالا نام دیگر ویروس Xgtray
نکته ۳ : اگر هنگامی که فایل اصلی کرم در یکی از پوشه های Windows ، Temp ، System ، Web ، Help باشد و شما وارد پوشه ای شوید که کرم در آن است آن وقت کرم جای حود را عوض می کند و به پوشه ی دیگری می رود !

طریقه پاک کردن ویروس :

تمامی آنتی ویروس ها دیگر این ویروس را می شناسند .
اما پاک کردن دستی به این صورت است .
۱) ابتدا فایل اجرایی ویروس را از کار می اندازید . ( فایلی که در حافظه است ) با Taskmanenger
2) با سرچ ویندوز دنبال فایلهای اجرایی با حجم ۴۸ کیلو بایت می گردید . بعد آنهایی را که شکل پوشه هستند را پاک می کنید .
۳) دو باره باسرچ ویندوز دنبال فایلهایی با پسوند htt و با نام های comment و Runcomment میگردید . همه را پاک کنید .
اما بهترین کار استفاده از یک آنتی ویروس است . بهتر است از مکافی ورژن ۸ به بالا استفاده کنید
این ویرس ممکن است کارهای دیگری هم انجام دهد

آموزش پاک سازی ویروس Rundll.exe
این ویروس (که البته در دسته backdoor ها قرار می گیرد) باعث می شود که در هنگام باز کردن یک درایو یا اجرای یک نرم افزار یا مشاهده سایت ها در IE با ارور Can’t Find rundll.exe file یا Aplication not found مواجه شوید.
Rundll.exe از پروسه ها و فایل های اصلی سیستم بوده که برای اجرای صحیح برنامههای اصلی سیستم لازم است و نباید قطع شود.اما نسخه ویروس از این فایل ( Rundll.exe یا Rundll32.exe ) ساخته شده است که به عنوان backdoor شناخته می شود که به خاطر اهداف خاص حمله کننده بر روی سیستم شما نصب می شود.

روش پاک سازی با نرم افزار
ابتدا با یک آنتی ویروس قوی و آپدیت شده سیستمتان را اسکن کنید ترجیحا از آنتی ویروس True Sword که قبلا معرفی کرده بودم استفاده کنید.
سپس با استفاده از ابزار Rundll.exe Fix Wizard ارورها و مشکلات ایجدا شده را رفع کنید.

روش پاک سازی دستی:
۱٫سیستمتان را برای فایل Rundll.exe جستجو کرده و فایل ها را که احتمالا ۱۰ تا ۲۵ تا هستند پاک کنید.
۲٫تمام پروسه های با نام Rundll.exe و Rundll32.exe ر متوفق کنید.
۳٫تمام کلیدهای رجیستری مرتبط با rundll.exe را پیدا و پاک کنید.
۴٫از طریق repair یا سایر ترفندها ، فایل rundll.exe اصلی را به سیستم برگردانید.
۵٫در پایان سیستم را restart کنید.

توجه:
پاک سازی این ویروس به روش دستی چندان توصیه نمی شود!

رفع The specified module could not be found
این ارور که شما هر بار وقتی ویندوز بالا می آید مشاهده می کنید ناشی از مشکلی در فایل های
svchost.exe, regsvr.exe, spoolsv32.exe, taskmgr.exe, sys.exe, rundll.exe, explorasi.exe, csrss.exe,
winupdate.exe که از فایل ها و پروسه های مورد نیاز سیستم بوده می باشد که ممکن است توسط
ویروس آلوده شده باشند یا آنتی ویروس شما آن ها را پاک کرده باشد.

روش پاک سازی با نرم افزار
ابتدا با یک آنتی ویروس قوی و آپدیت شده سیستمتان را اسکن کنید ترجیحا از آنتی ویروس True Sword
که قبلا معرفی کرده بودم استفاده کنید.
سپس با استفاده از ابزار WindowsCannotFindFixWizard ارورها و مشکلات ایجدا شده را رفع کنید.

روش پاک سازی دستی:
۱٫ابتدا سیستم را در safe mode راه اندازی کرده و قابلیت نمایش فایل ها و فولدرهای مخفی را فعال کنید.
۲٫پروسه های زیر را قطع کنید

svchost.exe
regsvr.exe
spoolsv32.exe
taskmgr.exe
sys.exe
rundll.exe
explorasi.exe
csrss.exe
winupdate.exe
3.فایل های بالا را جستجو و پاک کنید (البته اگر در فولدر system32 نیستند.)
۴٫با استفاده از نرم افزار HijackThis مسیر رجیستری که مربوط به این فایل ها هستند را یافته و پاک کنید.
۵٫از طریق repair یا سایر ترفندها ، فایل های اصلی را به سیستم برگردانید.
۶٫سیستم را restart کنید.

VN:F [1.9.22_1171]
Rating: 0.0/10 (0 votes cast)
VN:F [1.9.22_1171]
Rating: 0 (from 0 votes)

No Comments

Trackbacks/Pingbacks

  1. best link builder - best link builder... GScraper is fastest and most accurate scraper on this planet, and GScraper can post to all anonymous reply …

Leave a Comment


پنج − 3 =

Advertisement
ثبت نام نویسنده