Printable View
سلام
اول یه توضیح کوچولو درباره Persistence بدم بعد بگم سوالم چیه...
همونطور که میدونید برنامه هایی (یا ویروس) که Persistence هستند رو اگه از تو تسک منیجر پروسسش رو ببندیم دوباره اجرا میشه یا اگه از تو استارت آپ غیرفعالش کنیم بعد از ریست دوباره فعال میشه و یا حتی اگه یکم سریع عمل کنیم و بعد از اینکه از داخل تسک منیجر بستیمش فایلش رو سریع از تو هارد پاک کنیم باز هم فایلش ساخته میشه و ادامه ماجرا!
حالا میخواستم ببینم راهی برای پاک کردن یا از کار انداختنش به غیر از سیف مد وجود داره یا نه؟
مرسی
همین الان یک مورد این چنین رو با کسپر اسکای ویروس ریموال تول پاک کردم
سیف مود هم لازم نداشت
فقط memory و hidden ها و... همه رو تیک بزنید اسکن کنه
ممنون:11:نقل قول:
ولی حواسم نبود که بگم دنبال یه راه دستی میگردم نه با آنتی ویروس...
راه دستی نمیشه
با Comodo RKill تست کردم میبندی و پاک میکنی پروسس رو ولی نمیشه
با Comodo cleaning هم تست کردم نتونست پاکش کنه
کسپر ولی کار کرد
راه دستی داره ، من یکبار با لینوکس Portable تونستم یکی از اینا رو پاک کنم
معمولا فایل اصلی این نوع ویروس ها تو شاخه Windows\System32 میشینه
قبل از restart کردن ویندوز و رفتن داخل لینوکس از داخل msconfig و شاخه startup تیک لود شدنش رو بردارید ، داخل رجیستری رو هم به نام همین ویروس رو سرچ کنید و تمام کلیدهایی که مربوط بهش هستن رو پاک کنید ، بلافاصله سیستم رو restart کنید و وارد لینوکس بشید ، برید به مسیر اصلی ویروس و فایل ریشه رو پاک کنید
هر سیستم مجازی که بتونی اجرا کنی میشه روش ویروس ها رو پاک کرد
مثلا win mini و .....
هر سیستم مجازی که یه مقدار حافظه از روی هارد بر می داره و به عنوان رم استفاده می کنه و از روی اون حافظه بالا می یاد که البته raed only هم هست
هر سیستم مجازی که بتونی اجرا کنی میشه روش ویروس ها رو پاک کرد
مثلا win mini و .....
هر سیستم مجازی که یه مقدار حافظه از روی هارد بر می داره و به عنوان رم استفاده می کنه و از روی اون حافظه بالا می یاد که البته raed only هم هست
تو بعضی هاشون هم رم رو مثل یک درایو نشون میده و داخلش قابل تغییره
دوست عزیز نرم افزار autoruns میتونه کمک کنه بهت
در شمن وقتی شما پاک میکنی فایل و و بعد ریستارت میبینی دوباره سر جاشه یعنی حتما ویروس یه کپی از خودش تو محل دیگه ای داشته
شما با همین autoruns میتونی پاکش کنی
نمونه این ویروسی که میگم (البته این فایل سرور یه تروجانه...)
پسورد:123
این ویروس بعد از اجرا میره داخل Temp و هر دفعه از همونجا اجرا میشه، حالا من یه راهی برای پاک کردنش به جز رفتن با سیف مد و یا استفاده از برنامه های جانبی میخوام(یه راه دستی البته اگه بشه)کد:http://s3.picofile.com/file/7411285806/Persistence.rar.html
با سلام
دوست عزیز راه های زیادی هست که به صورت دستی می توان مخرب را حذف کرد.
در این مورد چون شما میدونید به چه اسمی و در کجا ذخیره شده و چه Process Name داره می توانید از روش زیر عمل کنید.
1- برنامه Notepad را باز کنید.
2- کد های زیر را در ان کپی کنید :3- سپس بر روی دکمه save کلیک کنید . این فایل را با هر نامی که دوست دارید اما فقط با پسوند bat یا cmd ذخیره کنید.کد:@echo off
cd %temp%
taskkill /f /im Persistence.exe
attrib -h -a -s -r Persistence.exe
del Persistence.exe
4- در نهایت بر روی ان راست کلیک کرده و Run as admin را انتخاب کنید.
----------
البته این راه تا زمانی درست کار می کند که هم اطلاعات شما درست باشد و هم فایل taskkill.exe و cmd.exe الوده نشده باشند.
من دارم روی یک toolkit کار می کنم که تا چند وقت دیگه برای دانلود می گذارم. این toolkit توانایی های زیادی به کاربر می دهد که هم بتواند دستی مخرب را شناسایی و پاک کند و هم از طریق ضد ویروس.
از جمله ویژگی های این toolkit :
1- گزارش گیری کامل از سیستم و شناسایی برخی از مخرب های فعال.
2- مصون کردن درایوهای سیستم از ویروس های خود اجرا و ini
3- غیر فعال و فعال کردن سیستم خود اجرای ویندوز
4- برگرداندن تمام خراب کاری های مخرب (از جمله فعال کردن registry و system restore و safe mode و ...)
5- شناسایی مخرب های در flash و توانایی اسکن کامل ان و حذف مخرب های ان.
6- ترمیم فایل های اصلی سیستم مانند explorer.exe و winlogon.exe و ... بدون نیاز به دی وی دی ویندوز.
7- قابلیت به روز رسانی سیستم
8- و ...
این toolkit می تواند در کنار هر ضد ویروسی نصب شود.
با تشکر