چرا task manager حذف شده و رجيستري باز نميشود؟

[anti_girl]

سلام...
اساتيد عزيز به دادم برسين نميدونم چش شده اين كامپيوتر اين دفعه سومه كه مجبور ميشم ويندوزم رو عوض كنم وقتي ويندوز رو نصب ميكنم task manager باز ميشه و به داخل رجيستري هم ميره اما بعد از گذشت يه روز وكمتر ديگه نه به داخل رجيستري ميره نه task manager رو باز ميكنه......
نميدونم واقعا ويروسه يا مشكل از جاي ديگه است لطفا راهنماييم كنين.....!
در ضمن وقتي ميخوام رجيستري رو باز كنم يه eror مياد ....
registery editing has been disibeled by your administrator
براي task manager هم همين ارور مياد
اينم بگم كه وقتي ويندوز رو نصب ميكنم اولش همه اينها كار ميكنه.....و admin جديدي رو نميسازم....

[MichaelQwerty]

سلام بدون شک رو سیستمت ویروس ودر تمام درایوهات پخشه وقتی ویندوز رو نصب می کنی چون ویندوز جدید هست و ویروس از درایو c پاک شده ویندوز به درستی کار می کنه ولی وقتی درایو های دیگه رو باز می کنی ویروس فعال میشه
اولین راه: تمام درایوها رو فرمت کنی====> ولی شاید در درایو های دیگه اطلاعات مهمی داشته باشی
دومین راه: از یک آنتی ویروس قوی استفاده کنی مثلا Avira
سومین راه: اگر اطلاعتی در باره فایل های inf و فایل های مخفی (hidden) و folder option داری می تونیم با هم به روش دستی بگیریمش(از Dos هم یکم بلد باشی خوبه فقط در حد باز کردنش (Run==>Cmd)

[anti_girl]

ميشه راجب راه سوم برام توضيح بدين.....!
nod32 اين ويروس رو ميشناسه؟

[MichaelQwerty]

من هنوز اسم این ویروسو نمی دونم و هنوز هم اطلاعاتی از اون ندارم
اول بگو آنتی ویروسی رو سیستمت هست یا نه و اگه هست بگو هشداری داده یا نه؟

حالا وارد CMD شو و با دستور:
cd\
که باعث میشه بری به درایو C از همین cmd (نکته: بهتر دستورات رو تو cmd کپی بزنی)
حالا دستور :
dir /a
که باعث میشه تمام فایل های مخفی در درایو C نشون بده
خوب نگاه کن ببین فایلی به این نام هست
autorun.inf
???
من همین دستورات رو رو سیستمم اجرا کردم ببین:
Microsoft Windows XP [Version 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.

C:\Documents and Settings\michael>cd\

C:\>dir /a
Volume in drive C has no label.
Volume Serial Number is 9CC2-3ABA

Directory of C:\

07/01/2007 12:58 PM 0 AUTOEXEC.BAT
01/22/2009 01:19 PM 255 autorun.inf
11/13/2008 06:14 PM 211 boot.ini
07/01/2007 12:58 PM 0 CONFIG.SYS
01/05/2003 05:12 PM <DIR> Documents and Settings
01/21/2009 09:06 PM <DIR> downloads
01/22/2009 05:28 PM 536,399,872 hiberfil.sys
07/01/2007 12:58 PM 0 IO.SYS
07/01/2007 12:58 PM 0 MSDOS.SYS
08/04/2004 04:37 AM 47,564 NTDETECT.COM
01/01/2003 12:19 AM 250,048 ntldr
01/22/2009 07:26 AM <DIR> OutputFolder
01/22/2009 05:28 PM 805,306,368 pagefile.sys
11/13/2008 05:45 PM <DIR> profiles
01/21/2009 09:17 PM <DIR> Program Files
11/13/2008 05:55 PM <DIR> RECYCLER
01/22/2009 01:19 PM <DIR> resycled
01/01/2003 01:01 AM <DIR> spoolerlogs
07/01/2007 01:03 PM <DIR> System Volume Information
01/01/2003 01:18 AM 48 ttLog.txt
01/22/2009 07:26 AM <DIR> WINDOWS
01/03/2003 12:45 PM 146 YServer.txt
12 File(s) 1,342,004,512 bytes
10 Dir(s) 4,204,437,504 bytes free

اگه خوب نگاه کنی رو سیستمم همچین فایلی هست
01/22/2009 01:19 PM 255 autorun.inf
یعنی سیستمم ویروسی
نکته:برو به folder option و از تب view
تیک این دو گذینه رو بردار:
hide extensions...
hide protect...
و همچنین
show hidden file and...
تنظیم کن
و پنجره رو ok کن و بار دیگه برو به folder option به ببین این کارایی که انجام دادی تغییر کردن یا نه؟
چون ویروس ها برای این که دیده نشن تنظیمات رو روی
...do not show
تنظیم میکنن حتی اگر کاربر روی Show تنظیم کرده باشه
چیزی که مهم فایل autorun.inf ببین هست یا نه؟

[anti_girl]

نه متاسفانه انتي ويروس ندارم.......
اره دوست عزيز اين فايل روي سيستم منم هست بايد چه كارش كنم؟

[MichaelQwerty]

حالا این دستور انجام بده:
type autorun.inf
تا محتویات فایل رو نمایش بده
ببین من این کارو انجام دادم و این نتیجه رو گرفتم
Microsoft Windows XP [Version 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.

C:\Documents and Settings\michael>cd\

C:\>type autorun.inf
[autorun]
;bwtyiinhbuvtfjacijpvhradqkluqrmomltfmakkzhxswichk tyljchhalbifizbgxcnrvorkxnsad
wkohzxriqzdqpnmk
shellexecute="resycled\ntldr.com c:"
;dyvrnthbdqumwtgwpgvlbwxtekpgmjyjvopowozktgoakxrnh jpfmsbamiy
shell\Open\command="resycled\ntldr.com c:"
;j
C:\>

شما هم مثل من یه کپی بگیر و اینجا بزار تا ببینم چه ویروسی
نکته: برای کپی گرفتن رو cmd کلیک راست کن و mark انتخاب و تمام نوشته ها رو بگیر و بعد بازم کلیک راست کن که عمل کپی انجام میشه
نگفتی فولدر آپشن چه وضعیتی داره؟

[anti_girl]

Microsoft Windows XP [Version 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.
C:\Documents and Settings\tooraj>cd\
C:\>dir /a
Volume in drive C has no label.
Volume Serial Number is 103E-2170
Directory of C:\
01/21/2009 12:45 AM 0 AUTOEXEC.BAT
01/23/2009 12:08 AM 352 autorun.inf
01/21/2009 12:39 AM 211 boot.ini
01/21/2009 12:45 AM 0 CONFIG.SYS
01/21/2009 11:38 PM <DIR> Documents and Settings
01/21/2009 12:45 AM 0 IO.SYS
01/22/2009 07:32 PM <DIR> kav
01/21/2009 12:45 AM 0 MSDOS.SYS
08/04/2004 04:38 AM 47,564 NTDETECT.COM
08/04/2004 04:59 AM 250,032 ntldr
01/22/2009 11:42 PM 2,145,386,496 pagefile.sys
01/22/2009 07:32 PM <DIR> Program Files
01/21/2009 11:40 PM <DIR> RECYCLER
01/21/2009 12:48 AM <DIR> System Volume Information
01/21/2009 11:36 PM <DIR> WINDOWS
9 File(s) 2,145,684,655 bytes
6 Dir(s) 44,807,884,800 bytes free
C:\>

تيك اون دوتا گزينه رو هم برداشتم.....
و اين فايل نمايان شد و ديدم كه تو همه درايور هام هست...

C:\>type autorun.inf
[autorun]
;Please Do Not Change This Line.
Open=RECYCLER\..\RECYCLER\autoplay.exe
;Please Do Not Change This Line.
shell\open\Command=RECYCLER\autoplay.exe -open
;Please Do Not Change This Line.
shell\open\Default=1
;Please Do Not Change This Line.
shell\explore\Command=RECYCLER\autoplay.exe -explore
;Please Do Not Change This Line.
[)]

[MichaelQwerty]

شانس آوردی ویروس ضعیفی هست در غیر این صورت اجازه نمی داد فایلشو ببینی
این فایل ویروس نیست این فایل باعث میشه که ویروس اجرا بشه( autorun.inf میگم )
فایل ویروس اسمش autoplay.exe هست (ببین حجمش 192 kb ) ؟
و ظاهرا در این پوشه باید باشه RECYCLER در تمام درایوها
و حتما جای دیگه ای هم فایل مادر که فرمان میده ویروس در تمام درایو ها پخش بشه هست (احتمالا C:\windows\system32 )
نکته: شما میتونی دیگه ادامه ندی و ویندوز رو پاک کنی و دوباره نصب کنی و بدون این که وارد درایو ها بشی بری به folder option تنظیمات رو به حالتی که بالا گفتم تنظیم کنی (تا فایلهای مخفی نمایش داده بشن)
و به این صورت که میگم وارد درایو ها بشی مثلا برای درایو D از Run بنویس :
D:
چون اگه دابل کلیک رو درایو ها کنی ویروس اجرا میشه بازم همون آش و همون کوزه
و سپس تمام فایل های autorun.inf و autoplay.exe در تمام درایو ها پاک کنی و تمام
ولی اگه مایلی بحث ادامه بدیم پرسشهای بالا رو جواب بده و همچنین این پایینی
شما یه کاری کن فایل Autorun.inf رو پاک کن و یه ریفرش(Refresh) کن ببین بازم ساخته میشه؟

[anti_girl]

حجمش 296kb هست..ميخوام ادامه بدم تا پاكش كنم....اين فايل رو پاك كردم ولي دوباره ساخته شد بعد از Refresh

[MichaelQwerty]

سلام
حالا برای این که بفهمیم اسم ویروس اصلی چیه باید registry ویندوز بررسی کنیم از اونجایی که Regedit باز نمیشه
از Dos یا همون Cmd استفاده می کنیم
این دستور بزن تا بری به درایو C
cd\
و بعد این دستور تا یه فایلی رو استخراج کنیم
reg export hklm\software\microsoft\windows\currentversion\run ViewRun.txt
با این کار یه فایل متنی در درایو C ساخته میشه با این اسم
ViewRun.txt
این فایل رو باز کن تو این تمام برنامه هایی که در زمان بالا آمدن ویندوز اجرا میشن رو میبینی محتویاتشو بزار اینجا
احتمالا ویروس هم بین اینهاست اگه خوش شانس باشی چون جاهای دیگه هم هست که ویروس میتونه اجرا بشه
حالا بریم ببینیم تو windows task manager چه خبره از اونجایی که پاک شده از این دستور استفاده می کنیم که کار task manager انجام میده شایدم بهتر از اون
تو Cmd تایپ کن
tasklist
لیستی از پروسه های در حال اجرا رو نشون میده(یعنی همون برنامه های در حال اجرا)
اونم کپی بزن اینجا تا ببینیم چه خبره؟
اگه لطفا کنی ویروس آپلود کنی و لینکشو بزاری اینجا ممنون میشم(همون autoplay.exe که حجمش 296kb هست )