Printable View
سلامنقل قول:
با این روشی هم که شما میگید نمیشه چون دقیقا همون کارایی رو میکنه که تو پست اول گفتم، یعنی اول پروسسش رو میبنده (که در اینصورت دوباره اجرا میشه) و بعد هم از حالت سیستمی و هیدن درمیاره و در آخر هم میخواد فایل رو پاک کنه که اگه فایل رو هم پاک کنه هومنطور که گفتم دوباره ساخته میشه و اجرا!
با اینکه میدونستم نمیشه ولی امتحان کردم نشد...
با سلام
من منظور شما را بد متوجه شدم.
چنین مخرب های چندین روش برای برگشت دارند :
1- با استفاده از System Restore (یعنی System Restore را به گونه ای config می کنند که در دوره های زمانی ثابت این مخرب را Restore کند)
2- یک مخرب دیگر که یا از Resource و یا از sfx استفاده کرده در حال اجراست و در دوره های زمانی ثابت چک می کند اگر مخرب وجود نداشته باشد ان را ایجاد می کند (یا ب عبارت دیگر extract می کند)
*
در این مواقه بهترین راه استفاده از AV Portable و Rescue Disk است اما چون شما نمی خواهید از AV استفاده کنید کار های زیر را می توانید انجام دهید انجام دهید.
1- با نرم افزار Disk Mon باید مکان ایجاد مخرب را زیر نظر بگیرید و متوجه بشید که ایا مخرب دیگری ان را ایجاد می کند یا از طریق System Restore این کار انجام می شود.
2- سپس با استفاده از دستورات زیر در cmd لیست تمام process ها را می گیریم و بررسی می کنیم که کدام یک مخرب است.(یکی از روش ها به این صورت است که process های که به ان ها مشکوک هستیم در virus total تست کنیم):3- بعد از شناسایی مخرب دیگر (که احتمال وجودش بیش از 90% است) با استفاده از روشی که در پست قبل گفتم این مخرب را پاک کرده و با استفاده از روش زیر System Restore را غیر فعال می کنیم :کد:tasklist /V > d:\proc.txt
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
و سپس از همان روش که در پست قبل توضیح داده بودم فایل مخرب در پوشه temp را حذف می کنیم.
--------------
البته خیلی بهتر است که موارد بالا را به غیر از لیست process ها با یک script مانند bat انجام دهید که سریع عمل کند.(برای غیر فعال کردن System Restore هم از Registry استفاده کنید).
--------------
اگر نتوانستید process مخرب را تشخیص دهید در پ.خ اعلام کنید تا از طریق تلفن یا Team Viewer یا ... به شما کمک کنم.
اگر هم script را نتوانستید بنویسید در همین تاپیک اعلام کنید (البته با جزئیاتی که لازمه) تا برای شما این script را بنویسم.
***در ضمن اگر امکان دارد این مخرب را فشرده کنید و اپلود کنید و در پ.خ برای من بفرستید(پیشاپیش متشکرم).
با تشکر
سلامنقل قول:
پروسس دیگه ای نداره فقط و فقط یه پروسس ایجاد میکنه!
صفحه قبل هم به صورت فشرده گذاشتمش...
با سلام
بله دوست عزیز حق با شماست.
اما من میدونم که باید یک process دیگر هم وجود داشته باشد.
با اجازه شما من این مخرب را انالیز کردم و متوجه شدم که process ای را با نام notepad.exe ایجاد می کند یا به عبارت دیگر :
این مخرب فایل notepad.exe که در مسیر c:\windows\system32 قرار دارد را الوده کرده است.
همچنین این مخرب یک فایل با نام sample.exe در ادرس c:\test ایجاد می کند که باز هم مخرب است.
این مخرب نیز خود را در سیستم به عنوان برنامه خود اجرا معرفی کرده و همچنین به همراه process مخصوص ویندوز یعنی winlogon نیز اجرا می کند.
حال کار های که باید انجام شود.
1- تمام process های مشکوک (Persistant.exe, nNotepad.exe) باید end process بشوند و فایل مخربی که در بالا بام برده شده است نیز باید حذف گردد(البته این مراحل باید سریع و پشت سر هم انجام شود تا مخرب نتواند دوباره خود را اجرا کند).
2- کافیگ خود اجرای مخرب نیز باید حذف شود.
3- بعد از این کار ها حتما سیستم خود را با یک ضدویروس قدرتمند اسکن کنید تا فایل های اسیب دیده (فایل های میزبان ویروس) نیز شناسایی شوند. مثلا یکی از فایل ها notepad.exe است که نباید اجرا شود و شما میتونید این فایل را از داخل دی وی دی سیستم عامل و یا یکی از دوستانتان که دقیقا سیستم عامل مشابه دارد جایگذین کنید و یا این که وینروز خود را repair کنید(البته قبلش فایل notepad.exe را حذف کنید).
-----
برای این کار های که گفتم ابتدا یک فایل با نام removal.reg بسازید و ان را edit کنید و دستورات زیر را در ان کپی کنید :سپس یک فایل با نام removal.bat بسازید و ان را edit کنید و دستورات زیر را در ان کپی کنید :کد:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"Persistence"=-
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\Windows\system32\userinit.exe,"
سپی این دو فایل را در یکی از درایوهاتون (به غیر از درایو c) کپی کنید و بر روی فایل removal.bat راست کلیک کنید و گذینه run as admin را انتخاب کنید.کد:
echo Soft7.ir
echo ------------------
echo.
echo Programing By : Mohammad Hashemi
echo Download From : forum.p30world.com
echo.
echo.
echo please wait ...
::Pre Process
c:
cd %temp%
::End Process
taskkill /f /im Persistence.exe
taskkill /f /im notepad.exe
::Remove Malware
attrib -a -r -h -s Persistence.exe
del Persistence.exe
cd ..
cd ..
if exist dclogs goto clo
goto ca
:clo
cd dclogs
attrib -a -r -h -s /s /d
del *.*
:ca
cd \
if exist TEST goto est
goto end
est:
cd TEST
attrib -a -r -h -s /s /d
del *.*
:end
regedit /s removal.reg
echo.
echo.
echo Process Done
pause
چون notepad شما الوده است گفتم شاید درست نباشد که خودتان این کد ها را ایجاد کنید :کلمه عبور :کد:http://uplod.ir/hu6kgt92bke2/Removal.zip.htm
-----کد:
تا این جای کار می توان دستی عمل کرد اما به هر حال ما به یک database قدرتمند نیاز داریم که از پاک سازی سیستم اطمینان داشته باشیم. به شما توصیه می کنم یک سوئیت امنیتی قدرتمند (hips, cloud, hirestic, ...) استفاده کنید و بعد از بروز رسانی سیستم را اسکن کنید. همچنین به نظرم بهتر است خود اجرای کل سیستم را نیز غیر فعال کنید.
-----
توجه :
1- این کد ها با فرض این که ویندوز شما در درایو c نصب شده است نوشته شدند. در صورتی که ویندوز شما در درایوی دیگر نصب باشد با اجرای این فایل ها سیستم شما ممکن است اجرا نشود. در نتیجه اگر ویندوز را در درایوی دیگر نصب کردید بگید تا کد ها را برایتان تغییر دهم.
2- اگر باز هم مخرب اجرا شد بعد از اجرای فایل سریع system restore را غیر فعال کنید و سیستم را restart کنید.
3- نتایج ویروس توتال : [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
امیدارم تونسته باشم کمکتون کنم.
با تشکر