trojan.win32.hider.i ویروسی که تمام پوشه ها را مخفی می کند
در اين اواخر تعدادي از مشتريان در تماس با من اظهار ميدارند كه كامپيوتر آنها به ويروسي آلوده شده كه كليه فايلهاي داخلي پوشه ها را حذف مي كند و از من در مورد ريكاوري اين فايلها سوال مي كنند غافل از اينكه اين ويروس فايلها را حذف نكرده است .
بلكه كليه پوشه ها را مخفي و سيستمي كرده و از ديد كاربر پنهان نموده است و براي رد گم كني فايلهايي با آيكاني شبيه پوشه و با نام پوشه هاي مخفي شده ايجاد مي كند كه كاربر با وارد شده به آن با پوشه اي خالي مواجه مي شود !!
عمکرد این ویروس
مخفی و سیستمی کردن کلیه پوشه ها
کپی خود در تمام پوشه هایی که کاربر وارد آنها می شود یا آنها را مرور می کند .
تنظیم عدم نمایش فایلهای مخفی سیستمی و پسوند فایلها
تغییرات در رجیستری
اين ويروس از طريق مراجعه و ويزيت سايتهاي آلوده و همچنين دانلود كركها و فايلهاي مشكوك به سيستم كاربران وارد مي شود .
این ویروس با ترفند بسیار جالبی ابتدا با استفاده از تنظیم خصوصیات سیستمی ، تمام پوشه هایی که کاربر بر روی آن کلیک می کند را ، بصورت سیستمی مخفی می کند و سپس خودش را با اسامی همنام آن پوشه ها ایجاد می کند که آیکن آنها به شکل پوشه است و هنگامی که کاربر روی آنها دابل کلیک می کند با پوشه خالی مواجه می شود و گمان می کند پوشه های وی حذف شده است .
درواقع بسياري از كابران به محض آلوده سدن به اين ويروس اظهار ميدارند كه ويروس تمام محتويات پوشه هاي آنها را حذف كرده است و بسياري نيز به فكر ريكاوري سيستم خود مي افتند !
این ویروس همچنین خاصیت نمایش پسوند فایلها را غیرفعال می کند تا كپي هايي كه از خود ايجاد كرده و پسوند exe دارند قابل شناسايي نباشد و از آنجا كه با دستكاري رجيستري آيكان فايلهاي كاربردي و exe را به شكل فولدر تغيير مي دهد ، خود را همانند پوشه خالي نمايش مي دهد .
طريقه حذف و پاكسازي ويروس هايدر :
1. ابتدا system restore را غيرفعال كنيد .
2. سپس بايستي سيستم را در حالت safe mode بوت كنيد .
3. در صورتي كه در تسك منيجر ، پراسسي به نام isass.exe مشاهده مي كنيد آن را انتخاب كرده و روي آن كليك راست نموده و end task tree را كليك كنيد .
4. سپس با اجراي برنامه ي ويرايش رجيستري ويندوز
( نوشتن عبارت regedit.exe در پنجره run و كليك ok )
كليدهاي زير در رجيستري را حذف كنيد :
( اين مسير موجب اجراي ويروس در هرباري اجراي ويندوز مي شود )
کد:
hkey_local_machine\system\currentcontrolset\
services\csnetmanagerxp
imagepath = "%system%\isass.exe"
نكته : منظور از %system% پوشه سيستمي ويندوز است . اين پوشه در windows 2000 با مسير c:\winnt\system32 و در windows xp و server 2003 با مسير c:\windows\system32 ميباشد .
5. كليدهاي زير در رجيستري را اصلاح كنيد :
براي اصلاح نمايش پسوند فايلها مقدار متغير hidefileext را ز 1 به مقدار صفر تغيير دهيد (در مسير زير : )
کد:
hkey_local_machine>software>microsoft>
windows>currentversion>explorer>advanced>folder>hidefileext
مقدار متغير superhidden را نيز از مسير
کد:
hkey_local_machine>software>microsoft>
windows>currentversion>explorer>advanced>folder>superhidden
از مقدار فعلي صفر به مقدار يك تغيير دهيد .
براي اصلاح و برگرداندن آيكان فايلهاي اجرايي exe در رجيستري اديتور به مسير
کد:
hkey_local_machine>software>classes>exefile
رفته و مقدار متغير default را از مقدار "file folder" به " application " تغيير دهيد .
در پايان به مسير
کد:
hkey_current_user> software>microsoft>windows>
currentversion>explorer>advanced
رفته و مقدار دو متغير hidefileext و showsuperhidden را به صورت زير اصلاح كنيد :
Hidefileext از مقدار فعلي 1 به مقدار صفر
showsuperhidden از مقدار فعلي صفر به مقدار يك
6. از برنامه ويرايش رجيستري خارج شويد و سيستم را ري استارت نماييد .
پس از بالا آمدن سيستم بايستي كليه فايلهاي آلوده اي كه همنام با "پوشه هاي مخفي سيستمي شده" ميباشند و داراي پسوند exe هستند را به صورت دستي پاك كنيد .
