مشکلات آلوده شدن سیستم به ویروس ها و اسپای ور ها ( ابتدا پست اول را ببینید )

Printable View

نمايش 40 تاپيکها در يک صفحه

05-03-2008, 07:31
shadli_m7

نقل قول:

نوشته شده توسط monster489 [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

لطفا به مسیر زیر بروید و فایل amov.exe رو پیداکنید :

C:\WINDOWS\system32

در صورتیکه این فایل رو پیدا نکردید و فایل بصورت هیدن بود بدونید که سیستمتون آلوده به تروجان شده
و مواردی رو که میگم انجام بدید : با توجه به اینکه شما ویندوزتون رو دوباره نصب کردید من احتمال میدم که این
تروجان از طریق مموری کارد موبایل و یا فلش مموری به سیستمتون منتقل گشته و گرنه بگردید منشا آلودگی رو پیدا کنید . آنتی ویروس نود را از سیستمتون پاک کنید و آنتی ویروس و یا اینترنت سکیوریتی کاسپر رو بر روی سیستمتون نصب کنید. اگر کاسپر این تروجان رو شناسایی کنه شما دیگه مشکلی ندارید و موقع اتصال موبایل و یا فلش مموری به سیستم اون رو پاک خواهد کرد البته اگر منشا آلودگی این دوتا مورد باشه .

من نتونستم این فایل رو پیدا کنم . برای همین طبق توصیه شما کاسپر نصب کردم و شش مورد رو پیدا کرد .
رو فلش مموری چیزی پیدا نشد . و مسنجر هنوز هم کار نمی کنه .چیکار باید کنم؟. موردهایی که پیدا کرده رو اینجا میذارم شاید بخواین بدونین چیه و تو لطفی که به من میکنین کمکتون کنه . ممنون

detected: riskware Hidden data sending (modification) Running process: C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
deleted: virus StartPage (modification) File: C:\WINDOWS\system32\ie4uinit.exe
deleted: virus StartPage (modification) File: C:\WINDOWS\system32\dllcache\ie4uinit.exe
deleted: Trojan program Trojan-Spy.Win32.Delf.du File: D:\INTERNET\PROGRAMING\DOWNLOAD\xpcspyp.exe//data0003//UPX
deleted: Trojan program Trojan-Spy.Win32.Delf.du File: D:\INTERNET\PROGRAMING\DOWNLOAD\xpcspyp.exe//data0006//UPX
deleted: Trojan program Trojan-Spy.Win32.Delf.du File: D:\INTERNET\PROGRAMING\DOWNLOAD\xpcspyp.exe//data0009
05-03-2008, 15:22
kasra2002

oo

نقل قول:

نوشته شده توسط kasra2002 [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

سلام
من تمام راهنمايي ها رو خوندم ولي متاسفانه مشكل من درون اونها نبود
سيستمم مشكلي پيدا كرده به اين شكل
سرعت مودم و اينترنت يه طرز زيادي پايين مياد بطوري كه خيلي از سايت ها و حتي ياهو مسنجر نميتونه باز شه
كارت صدا نيز داراي قعطي و خش ميشه
كه احتمال 99 درصد از يه ويروسه
آنتي وايرس من ناد 32
دو مساله ديگه:
وقتي ويندوز رو عوض ميكنم برا يه چند روزي خوبه ولي دوباره اينجوري ميشه
اينترنت دايل آپ دارم
ويندوز ويستا و ايكس پي هردو اينجوريند
در ضمن يه سيستم نو هم كه يك هفته هست بستم نيييييز با اين مشكل روبرو هتس(از سخت افزار نميتونه باشه و شك من به وايرس هست)
ممنون ميشم كمكم كنيد كه نابودم كرده

لطفاااااااا
05-03-2008, 15:49
shahedi

نقل قول:

نوشته شده توسط kasra2002 [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

لطفاااااااا

دوست من سلام
مواردی که گفتید حتما که نباید به ویروس مربوط بشه!شما یک ISP دیگر را امتحان کنید تنظیمات مودم را هم تغییر ندهید.
اگر مشکل حل نشد و همچنان مصرید که یک برنامه ی مخرب دارید ممکن است به یک spyware آلوده شده باشید هر چند مورادی که ذکر کردید حتما مربوط به ویروس نیست.یک antispyware روی سیستمتون نصب کنید مثل AVG.

ممکن هست از مخابرات هم باشه.ولی باز هم تاکید می کنم این دلایل بر وجود یک بد افزار دلالت نمی کند.
05-03-2008, 21:36
monster489

نقل قول:

نوشته شده توسط shadli_m7 [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

من نتونستم این فایل رو پیدا کنم . برای همین طبق توصیه شما کاسپر نصب کردم و شش مورد رو پیدا کرد .
رو فلش مموری چیزی پیدا نشد . و مسنجر هنوز هم کار نمی کنه .چیکار باید کنم؟. موردهایی که پیدا کرده رو اینجا میذارم شاید بخواین بدونین چیه و تو لطفی که به من میکنین کمکتون کنه . ممنون

detected: riskware Hidden data sending (modification) Running process: C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
deleted: virus StartPage (modification) File: C:\WINDOWS\system32\ie4uinit.exe
deleted: virus StartPage (modification) File: C:\WINDOWS\system32\dllcache\ie4uinit.exe
deleted: Trojan program Trojan-Spy.Win32.Delf.du File: D:\INTERNET\PROGRAMING\DOWNLOAD\xpcspyp.exe//data0003//UPX
deleted: Trojan program Trojan-Spy.Win32.Delf.du File: D:\INTERNET\PROGRAMING\DOWNLOAD\xpcspyp.exe//data0006//UPX

deleted: Trojan program Trojan-Spy.Win32.Delf.du File: D:\INTERNET\PROGRAMING\DOWNLOAD\xpcspyp.exe//data0009

با سلام

کاسپر نتونست اون فایل رو شناسایی کنه و بدتر اینکه خودش رو به عنوان یک فایل مخرب شناسایی کرده حالا من نمیدونم این مساله بخاطر اینه که شما تو تنظیمات کاسپر دست بردید و اونو از حالت دیفالت خارجش کردید و یا به علت اثرات مخرب این ویروس است که هنوز در سیستم شما نصب است چیز جالب دیگه اینه که کاسپر دو تا از فایلهای اینترنت اکسپلورر رو هم به عنوان فایل مخرب شناسایی کرده مورد دیگه فایل xpcspyp.exe که یک نرم افزار اسپای است و کاسپر هرگز اونو به این نام شناسایی نمیکنه ( بلکه به این نام شناسایی میکنه :detected: riskware not-a-virus:Monitor.Win32.XPCSpy.124 ) اگه میشه بگید حجم این فایل چقدر است و آیا برای نصبش set up داره و دیگه اینکه آیا رو سیستمتون در حال حاضر نصبه .
برای اینکه فعلا فایل amvo.exe رو از کار بندازید برنامه hijack this رو دوباره اجرا کنید وتیک کنار قسمتی رو که در زیر نشون دادم بزنید

کد:

O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe

سپس بر روی fix cheked کلیک کنید تا این فایل از حالت استارتاپ خارج بشه .
در ضمنباید بگم این فایل amvo.exe یک ویروس پلی مورفیک که به تازگی شایع شده و اکثر آنتی ویروسها شناساییش نمی کنندو پاک کردنش هم یکم مشکله.
06-03-2008, 00:18
Hsnti

سلام
آقا یکی جواب مشکل من رو نمیدونه ؟
06-03-2008, 19:08
shadli_m7

نقل قول:

نوشته شده توسط monster489 [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

با سلام

کاسپر نتونست اون فایل رو شناسایی کنه و بدتر اینکه خودش رو به عنوان یک فایل مخرب شناسایی کرده حالا من نمیدونم این مساله بخاطر اینه که شما تو تنظیمات کاسپر دست بردید و اونو از حالت دیفالت خارجش کردید و یا به علت اثرات مخرب این ویروس است که هنوز در سیستم شما نصب است چیز جالب دیگه اینه که کاسپر دو تا از فایلهای اینترنت اکسپلورر رو هم به عنوان فایل مخرب شناسایی کرده مورد دیگه فایل xpcspyp.exe که یک نرم افزار اسپای است و کاسپر هرگز اونو به این نام شناسایی نمیکنه ( بلکه به این نام شناسایی میکنه :detected: riskware not-a-virus:Monitor.Win32.XPCSpy.124 ) اگه میشه بگید حجم این فایل چقدر است و آیا برای نصبش set up داره و دیگه اینکه آیا رو سیستمتون در حال حاضر نصبه .
برای اینکه فعلا فایل amvo.exe رو از کار بندازید برنامه hijack this رو دوباره اجرا کنید وتیک کنار قسمتی رو که در زیر نشون دادم بزنید

کد:

O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe

سپس بر روی fix cheked کلیک کنید تا این فایل از حالت استارتاپ خارج بشه .
در ضمنباید بگم این فایل amvo.exe یک ویروس پلی مورفیک که به تازگی شایع شده و اکثر آنتی ویروسها شناساییش نمی کنندو پاک کردنش هم یکم مشکله.

ممنون از راهنماییتون .
من تو تنظیمات کاسپر دست نبردم . از اونجایی که دیدم کاری از دست کاسپر بر نمی آد رفتم سراغ سکیوریتی اسمارت نود و اونو نصب کردم .الان مشکلم حل شده . نود تو system32 فایلی به اسمه amvo0 پیدا کرد . که همونی بود که شما گفتین . منتها این اسمش کمی فرق میکرد . به هر حال نود از پسش بر اومد . از شما ممنونم.
06-03-2008, 21:19
هبوط

نقل قول:

نوشته شده توسط shahedi [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

سلام
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

ببخشيد كه دير شد
اما از راهنماييتون ممنون
06-03-2008, 23:36
symk

اساتید سلام
آلوده شدم به amvo.exe چیکار کنم . نورتون اورجینال دارم . هیچ کاری نکرد . فقط بلوکه میکنه ولی پاک نمیشه . تو فولدر آپشن که میرم فایلهای پنهان رو نمیتونه نمایان کنه . و ...

اینم گزارشم از برنامه hijackthis :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:33:54 ب.ظ, on 2008/03/06
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Common Files\Symantec Shared\AppCore\AppSvc32.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\Program Files\Analog Devices\Core\smax4pnp.exe
C:\Program Files\Analog Devices\SoundMAX\Smax4.exe
C:\Program Files\VDOTool\TBPanel.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
C:\PROGRA~1\FLOCK\FLOCK\FLOCK.EXE
C:\Program Files\Internet Download Manager\IEMonitor.exe
C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\Program Files\Internet Download Manager\IDMan.exe
C:\Documents and Settings\shirin\My Documents\Downloads\Programs\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyOverride = local
F2 - REG:system.ini: UserInit=userinit.exe
O2 - BHO: IDM Helper - {0055C089-8582-441B-A0BF-17B458C2A3A8} - C:\Program Files\Internet Download Manager\IDMIECC.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {1E8A6170-7264-4D0F-BEAE-D42A53123C75} - C:\Program Files\Common Files\Symantec Shared\coShared\Browser\1.0\NppBho.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O3 - Toolbar: Show Norton Toolbar - {90222687-F593-4738-B738-FBEE9C7B26DF} - C:\Program Files\Common Files\Symantec Shared\coShared\Browser\1.0\UIBHO.dll
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [Gainward] C:\Program Files\VDOTool\TBPanel.exe /A
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "C:\Program Files\Norton Internet Security\osCheck.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [Symantec PIF AlertEng] "C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /a /m "C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\AlertEng.dll"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe
O4 - HKCU\..\Run: [IDMan] C:\Program Files\Internet Download Manager\IDMan.exe /onboot
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Download all links with IDM - C:\Program Files\Internet Download Manager\IEGetAll.htm
O8 - Extra context menu item: Download FLV video content with IDM - C:\Program Files\Internet Download Manager\IEGetVL.htm
O8 - Extra context menu item: Download with IDM - C:\Program Files\Internet Download Manager\IEExt.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{36439F23-8C88-4237-AF2A-67A8B48007FC}: NameServer = 217.219.137.4 217.218.155.105
O23 - Service: Automatic LiveUpdate Scheduler - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\VAScanner\comHost.exe
O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
O23 - Service: Symantec IS Password Validation (ISPwdSvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\isPwdSvc.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: LiveUpdate Notice Service Ex (LiveUpdate Notice Ex) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: LiveUpdate Notice Service - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Nero\Lib\NMIndexingService.exe
O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: Symantec Core LC - Unknown owner - C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: Symantec AppCore Service (SymAppCore) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\AppCore\AppSvc32.exe

--
End of file - 7567 bytes
07-03-2008, 03:28
monster489

نقل قول:

نوشته شده توسط shadli_m7 [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

ممنون از راهنماییتون .
من تو تنظیمات کاسپر دست نبردم . از اونجایی که دیدم کاری از دست کاسپر بر نمی آد رفتم سراغ سکیوریتی اسمارت نود و اونو نصب کردم .الان مشکلم حل شده . نود تو system32 فایلی به اسمه amvo0 پیدا کرد . که همونی بود که شما گفتین . منتها این اسمش کمی فرق میکرد . به هر حال نود از پسش بر اومد . از شما ممنونم.

با سلام
خوشحال شدم مشکلتون حل شد. البته برای من جای تعجب داره که چرا هنوز کاسپر این ویروس رو تو دیتا بیسش اضافه نکرده و هنوز این ویروس رو شناسایی نمی کنه.

نقل قول:

نوشته شده توسط symk [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

اساتید سلام
آلوده شدم به amvo.exe چیکار کنم . نورتون اورجینال دارم . هیچ کاری نکرد . فقط بلوکه میکنه ولی پاک نمیشه . تو فولدر آپشن که میرم فایلهای پنهان رو نمیتونه نمایان کنه . و ...

اینم گزارشم از برنامه hijackthis :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:33:54 ب.ظ, on 2008/03/06
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Common Files\Symantec Shared\AppCore\AppSvc32.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\Program Files\Analog Devices\Core\smax4pnp.exe
C:\Program Files\Analog Devices\SoundMAX\Smax4.exe
C:\Program Files\VDOTool\TBPanel.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
C:\PROGRA~1\FLOCK\FLOCK\FLOCK.EXE
C:\Program Files\Internet Download Manager\IEMonitor.exe
C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\Program Files\Internet Download Manager\IDMan.exe
C:\Documents and Settings\shirin\My Documents\Downloads\Programs\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyOverride = local
F2 - REG:system.ini: UserInit=userinit.exe
O2 - BHO: IDM Helper - {0055C089-8582-441B-A0BF-17B458C2A3A8} - C:\Program Files\Internet Download Manager\IDMIECC.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {1E8A6170-7264-4D0F-BEAE-D42A53123C75} - C:\Program Files\Common Files\Symantec Shared\coShared\Browser\1.0\NppBho.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O3 - Toolbar: Show Norton Toolbar - {90222687-F593-4738-B738-FBEE9C7B26DF} - C:\Program Files\Common Files\Symantec Shared\coShared\Browser\1.0\UIBHO.dll
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [Gainward] C:\Program Files\VDOTool\TBPanel.exe /A
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "C:\Program Files\Norton Internet Security\osCheck.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [Symantec PIF AlertEng] "C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /a /m "C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\AlertEng.dll"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe
O4 - HKCU\..\Run: [IDMan] C:\Program Files\Internet Download Manager\IDMan.exe /onboot
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Download all links with IDM - C:\Program Files\Internet Download Manager\IEGetAll.htm
O8 - Extra context menu item: Download FLV video content with IDM - C:\Program Files\Internet Download Manager\IEGetVL.htm
O8 - Extra context menu item: Download with IDM - C:\Program Files\Internet Download Manager\IEExt.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{36439F23-8C88-4237-AF2A-67A8B48007FC}: NameServer = 217.219.137.4 217.218.155.105
O23 - Service: Automatic LiveUpdate Scheduler - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\VAScanner\comHost.exe
O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
O23 - Service: Symantec IS Password Validation (ISPwdSvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\isPwdSvc.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: LiveUpdate Notice Service Ex (LiveUpdate Notice Ex) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: LiveUpdate Notice Service - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Nero\Lib\NMIndexingService.exe
O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: Symantec Core LC - Unknown owner - C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: Symantec AppCore Service (SymAppCore) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\AppCore\AppSvc32.exe

--
End of file - 7567 bytes

دوست عزیز مثل اینکه فعلا فقط اینترنت سکیورتی نود از پس این ویروس بر میاد بهتره همین کاری رو که این دوستمون انجام دادن شما هم انجام بدید.

__
08-03-2008, 11:58
David.Jn

مخفی شدن فولدرها بعد از ویروس اسکن

چند وقت پیش کامپیوترم دچار یه ویروسی شد که اختلالاتی درون هاردم ایجاد می کرد مثلآ هنگام cut کردن اطلاعاتی در درون یک فولدر دیگر اطلاعاتی مشاهده نمی شد و تمامی فولدرها با پر شدن هر فولدر با هر حجم اطلاعاتی که داشت فقط 64k می شد.و باز با برگردامندن این اطلاعات سر جای قبلی خودشان دوباره نشان داده می شدند.
با آنتی ویروس mcafee 8.5 اسکن کردم با اسکن کردن هارد ویروسهایی با نامهای:
W32/Sality.ac, Generic Delphi پیدا شدند و اون مشکلم حل شد ولی مشکلی بدتر از اون رخ دارد.
تمامی فولدرهایی که در این زمان باز شده بودند دچار این ویروس ها شده بودند و تبدیل به exe شده بودند و آنتی ویروس به طور خودکار این فولدر ها را یکبار clean , بار دیگر delet کرد و تمامی فولدر هایی که ویروسی شده یودند پاک یا مخفی شدند.
اما تمامی فایلهای درون این فولدرها وجود دارند واز طریق آدرس دهی در address bar می توان به فایلها دسترسی پیدا کرد مثلآ به صورت زیر :d:\soti\JJ\AVSEQ2.MP3
در ضمن حتی با جستجو این فولدرها پیدا نمی شوند.
اما فولدرها به طور حتم حذف نشده اند چون با ساختن یک فولدر با نام یکی از فولدرهای حذف شده پیغامی مبنی بر اینکه این فولدر در این مسیر وجود دارد و شما نمی توانید بسازید و یا با کپی کردن فولدری با نام همان فولدری که هم اکنون مشاهده نمیشه پیغامی مبنب بر اینکه فولدری هم نام با ابن فولد و اطلاعات درون آن وجود دارد و می خواهید اطلاعات روی آنها نوشته شود.

نمايش 40 تاپيکها در يک صفحه