حمله یه خروار ویروس به سیستم من!

سلام دوستان. آقا بنده از ویندوز زیبای 7 استفاده میکنم و دلم هم نمیخواد تا اومدن ویندوز 8 عوضش کنم. ولی سیستمم کلی ویروس گرفته از صدقه سر ESET Smart Security که قبلا نصب بود و بود و نبودش هم گویا برای ویروسها دیگه فرقی نمیکنه. الان هم Norton Internet Security نصب دارم رو سیستم. ولی همش سیستم هنگ میکنه. مثلا یه مرورگر باز میکنم چهارتا صفحه میزنم 2 گیگ رم پر میشه هنگ میکنه. کلا سرعت سیستم اومده پایین بعضی وقتهام کارای عجیب قریبی میکنه. یوزر الکی ساخته میشه و کلی پروسه svchost.exe باز میشه و ... ولی مشکلی اصلی فقط هنگ کردنه. امروز یه تعداد فایل عجیب قریب درایو سی رو پر کرده که تو یه فایل زیپ آپلود کردم. خواهشا دوستان ببینید اینا چه ویروس یا ویروسایین که اینقد تولید مثل کردن. یه راهی پیش پام بزارین نجات پیدا کنم : [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

سلام.

این چند مرحله رو دقت کن.

نورتون این تروجان رو میشناسه ، ssvchost.exe و bootsvchost.exe منتها به نظر میاد باید حالت heuristic بالاتری داشته باشه.

فعلا نورتون رو پاک کن و ریستارت کن.

این رو نصب کن :

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

یکم آپدیت داره آپدیت رو انجام بده و به تنظیمات برنامه دست نزن. درهنگام استفاده دسترسی اینترنت حتما براش مهیا کن. یعنی اینترنت وصل باشه.

بعد یک Quick اسکن باهاش انجام بده ( در تب Virus scan گزینه ی Quick scan ) اگه چیزی پیدا نکرد full scan رو انتخاب کن.

بعد از ویروس یابی سیستم رو ریستارت کن.

سیستمت چون بهینه نیست ، سبب ساز هنگ و کرش و ... میشه.. برنامه ی Tuneup utilities رو نصب کن آخرین ورژن خودش
بهت توصیه میکنه که چیکار کن و شما فقط هرکاری رو میگه انجام بده.. و کامل سیستم رو بهینه کن. در برنامه ی Tuneup utilities
اون قسمت One-click maintenance رو حتما یکبار انجام بده... Registry cleaner رو انجام بده ، Registry defrag رو انجام بده..

سلام. شرمنده من سرم شلوغ بود. تمام کارهایی که گفتی رو انجام دادم. این آنتی ویروس هر از چند گاهی یه سری ویروس پیدا میکنه اما نمیتونه هسته اصلی رو پیدا کنه و فقط به جاهایی تو درایو سی که ویروس قصد کپی کردن خودشو داره گیر میده.
تونی آپ هم نصب و همه چیزاش رو اجرا کردم. اما چیز زیادی تغییر نکرد و همچنان همه چیز هنگ میکنه. حتی ویروس یه فایل بت رو به استارت آپ اضافه میکنه و هر بار با سرعت زیادی اجرا میشه که اصلا نمیشه فهمید چیه. هرچی هم حذف کنی باز میاد.
گویا ویروس خودش رو به پروسه ssvchost.exe چسبونده و باید یه جوری از کارش انداخت. هرچی هم میگردم چیزی پیدا نمیکنم. چیکار کنم از دست این ویروس.

یک ابزار دیگه ازت میخوام نصب کنی :

mbam

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

این رو هم آپدیت کن... و به حالت Safe mode and network بالا بیا...( سیستم ریست و کلید F8 انتخاب Safe mode )

اونجا برو به منوی استارت و این رو داخل سرچ بزن %TMP% و بزن تا پنجره ی فولدر Temp باز بشه ، هرچی اونجا هست انتخاب کن و Delete کن.

دوباره Run رو باز کن ( منوی استارت و بخش Accessories و انتخاب Run ) و داخلش بنویس Prefetch ، داخل اون هم هرچی بود پاک کن.

سپس با MBAM یک Quick Scan انجام بده ( قبلش آپدیت شده باشه حتما ) بدون شک تموم ویروسهارو از بین میبره.

فایل Ssvchost.exe یک فایل سیستمی نیست ، اصل فایل سیستمی Svchost.exe هست، که به دلیل شباهت اسمی ممکنه فکر کنید فایل سیستمیه.

برنامه ی Tuneup رو هم روی سیستم داشته باشین.

شما جون بخواه دوست عزیز. خیلی ممنون که پیگیری میکنی. کلیه کارهایی که گفتین انجام شد. پوشه تمپ و پرفچ رو خالی کردم و با آنتی ملور هم کویک اسکن کردم. اینم لاکش :

کد:

---

Malwarebytes Anti-Malware (Trial) 1.62.0.1300
www.malwarebytes.org

Database version: v2012.09.01.03

Windows 7 Service Pack 1 x86 NTFS (Safe Mode/Networking)
Internet Explorer 9.0.8112.16421
Jamal :: JAMAL-PC [administrator]

Protection: Disabled

2012/09/01 10:15:24 ب.ظ
mbam-log-2012-09-01 (22-15-24).txt

Scan type: Quick scan
Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM
Scan options disabled: P2P
Objects scanned: 167794
Time elapsed: 3 minute(s), 43 second(s)

Memory Processes Detected: 0
(No malicious items detected)

Memory Modules Detected: 0
(No malicious items detected)

Registry Keys Detected: 2
HKLM\SYSTEM\CurrentControlSet\Services\Abcdef Hijklmno Qrs (Spyware.OnlineGames) -> Quarantined and deleted successfully.
HKLM\SYSTEM\CurrentControlSet\Services\netsvcs_0x0 (Spyware.OnLineGames) -> Quarantined and deleted successfully.

Registry Values Detected: 0
(No malicious items detected)

Registry Data Items Detected: 1
HKLM\SYSTEM\CurrentControlSet\Services\RemoteAccess\RouterManagers\Ip|DLLPath (Hijack.Iprouter) -> Bad: (C:\1741800.dll) Good: (%SystemRoot%\System32\iprtrmgr.dll) -> Quarantined and repaired successfully.

Folders Detected: 0
(No malicious items detected)

Files Detected: 1
C:\Windows\AutoKMS.exe (RiskWare.Tool.CK) -> Quarantined and deleted successfully.

(end)

---

بعد از اسکن آنتی ملور در همون سیف مد با Kingsoft Antivirus و نورتون که هردو آپدیت بودن هم اسکن کردم. متاسفانه فایل اصلی اصلا پیدا نمیشه توسط هیچ کدوم از آنتی ویروسها.

این یک تصویر از پروسه های تسک منیجر در سیف مد هست : [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

این هم تصویر درایو سی بعد از رستارت که ویروس هایی رو که تو سیف مد حذف و از استارت آپ پاکشون کرده بودم دوباره یه چند تا دستور آپدیت برا خودشون گذاشتن :
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

و این هم محتویات فایلها. معلوم نیست این ویروسه کیلاگره چیه : [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

دیگه حسابی کلافه شدم. تا حالا با یه همچین ویروس سمجی مواجه نشده بودم که هرکاری میخواد واسه خودش بکنه، آنتی ویروسم انگار که نه انگار. نورتون هم هی قاطی میکنه! گویا ویروس به موتورش حمله میکنه.

سلام.. در تسک منیجر حالت سیف مود که هیچ فایل مشکوکی نداری..

اما محتویات اون فایل که داخلش IP نوشته شده ، اون IP مربوط به یک هاست خطرناک هست ، که تنها سابقه ای که داره حمله های DOS هستش!!

رکوردهاش هم خیلی جدیده. یعنی مربوط به همین دیروز آخرین موردش بوده و مربوط به چینی هاست.

MBAM معمولا اینطور مورد ها از زیر دستش در نمیره. اما مورد شما خیلی وخیمه :دی اون فایلهای داخل درایو C رو MBAM یا کینگسافت نمیشناسن هیچکدوم ؟

داخل سایت پایین آپلود کن یا اینکه با برنامه ی Hitman pro که چندموتوره هست تست کن.

ازینجا اولی رو دانلود کن ( اگه 32 بیت هستی ، اگه 64 که پایینیش )

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

درایو سی با این آنتی ویروس چندموتوره اسکن کن.. ببین موارد مشکوک رو کلا پاک کن بره.

یا اینکه فایلهای مشکوک رو در سایت پایین بفرست ببین چند مورد شناسایی میکنن

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

استارت آپهارو کاملا خالی کن توسط Tuneup utilities و همچنین Msconfig تب Startup ، استارت آپ رو باید از Safe mode خالی کنی و به حالت عادی بیای بالا.

اینکار رو هم برای بررسی و تشخیص فایلهای قلابی انجام بده :

به منوی استارت برو و در بخش Accessories روی Command prompt راست کلیک کن و گزینه ی Run as admin رو انتخاب کن و داخلش این رو دقیقا تایپ یا کپی کن :

SFC /SCANNOW

صبر میکنی تا کاملا اسکن تموم بشه.