ویروس Nod32

Printable View

23-04-2009, 16:14
arash n

ویروس Nod32

این ویروس اسمش NOD32-RAMGUARD.V.2009.EXE
توی کل اینترنت فقط توی سایت prevx اثری ازش هست

کد:

http://www.prevx.com/filenames/X3837560108624255189-X1/NOD32KRN.EXE.html

یه سایت فارسی هم اطلاعاتیدر موردش نوشته ولی در مورد پاک کردنش چیزی نیست

نقل قول:

هنگامي که وارد درايو آلوده ميشويد ويروس فعال ميشود و Nod32krn.exe به تسک منيجر قسمت پروسس اضافه ميشود اگر آنتي ويروس nod32 بر روي سيستم شما نصب باشد ويروس به krn.exe مربوط به Nod32 چسبيده و آن را در تسک منيجر قسمت CPU 100% ميکند يعني CPU به صورت 100% مشود حال اگر NOD32 نصب نباشد اين ويروس بهCSRSS که يک فايل سيستمي ميباشد چسبيده و ان را 60 تا 90 درصد تغيير ميدهد - اين ويروس با نام nod32krn.exe در System32 و ديگري با نام csrss.exe در مسير c:/Documents and Settings/xxxxxx/Local Settings/Temp قرار ميگيرد. با نرم افزار Security taskmanager ميتوان آن دو را که در taskmanager مشغول فعاليت هستند در قرنطينه نگه داشت و از کارکرد آنها جلوگيري کرد در اين زمان cpu به حالت عادي بر ميگردد

اين تمام فعاليت ويروس است اما من با نرم افزار Security TaskManager به دقت هنگامي که درايو آلوده را باز ميکردم نگاه کردم و متوجه شدم اين ويروس در درايو آلوده در Recycler با نام Nod32-RAMGuard.v.2009.exe قرار دارد و پس از فعال شدن دو فايل Nod32krn.exe و CSRSS.exe را به وجود مياورد

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

اما هنگامي که به درايو آلوده مراجعه کردم تا ويروس اصلي را از بين ببرم اصلا چيزي در Recycler وجود نداشت حتي هنگامي که فايلهاي سيستمي و هيدن را باز کردم !!!!!

و هنگامي که ويروس فعال باشد اگر CD يا DVD يا حتي فلش مموري وارد سيستم باشد ويروس کارهايي بر روي آن انجام ميود چرا که چراغ فلش مموري خاموش و روشن ميشود( به معني انجام کاري ) و درايوهاي سي دي مشغول خواندن سي دي ميشوند !!

و حالا فقط نميدانم چگونه منشا ويروس را از بين ببرم البته اگر بر روي Nod32krn.exe يا CSRSS.exe کليک کنيد باز هم ويروس فعال ميشود اما اينها را ميتوان از بين برد اما منشا ويروس حتي ديده هم نميشود

اين تمام تحقيقات من در 4 روز آلوده شدن سيستمم به اين ويروس بود حال راه و چاره چيست ؟

من دو ويروس Nod32krn.exe و CSRSS.exe را در يک فايل زيپ براي شما فرستاده ام تا بر روي آن تحقيقاتي انجام دهيد فقط مراقب باشيد چون بلافاصله پس از Extract آن ويروس فعال ميشود

ويروس: [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

کد:

http://forum.-------/showthread.php?t=1454

من خودم هم با کاسپرسکی اپدیت شده چکش می کنم چیزی پیدا نمی کنه. فقط توی قسمت control app اجازه فعالیت بهش نمی دم اما دوباره یکی دیگه درست می شه که پی در پی پیغام خطر که فایل های NOD32KRN.EXE و CSRSS.EXE رفتارشون مشکوک به worm.p2p.generic است رو میده که اگه لیمیتش کنی دوباره همین پیام میاد و اگه اجازه فعالیت بهش ندی یکی دیگه درست میشه

لطفا کمک کنید
24-04-2009, 16:17
arash n

لطفا یکی کمک کنه
تنها امیدم اینجاست
24-04-2009, 19:34
آنتی

به نام خدا
سلام دوست عزیز
من تقریبا با تمام آنتی ویروسها چک کردم پاک نکرد
من منتظرم دوستان برنامه نویس کمکت کنند وگرنه یه راه سخت هست که من کل ویروسهای جدید را به این روش پاک میکنم
اگر دوستان نتوانستند کمک کنند این روش را براتون میذارم
پس یه کم صبر کنید
24-04-2009, 23:39
saeed774

دوست عزيز نود 4 آپديت شده براحتي ويروس رو ميشناسه و خيلي راحت هم پاكش كرد . اينم عكسش :
NOD32KRN.EXE

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

CSRSS.EXE

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

اين دو ويروسو به سايت كسپر فرستادم شما فردا نزديكاي ظهر آپديتش كن حتما به ديتابيس اضاف ميكنن يا به نظر من همين نود 4 رو نصب كن كه واقعا عالي كار ميكنه البته آپديت شدش .

و اما دوستانيكه فايلو اكستركت كردن اگه آنتي ويروسشون ويروسو نشناخته باشه اينكارو بكنن :
اين ويروس به محض اكستركت شدن خودشو تو شاخه
x:\document and setting\xxx\local settings\temp
با نام TRTEMP-Nod32krn\Nod32krn.exe كپي ميكنه ، يه اين مسير برين و فايل مربوطه رو پاك كنين .

x : نام درايو ويندوز
xxx : User Name
25-04-2009, 08:01
picher_s

klwk.com

نقل قول:

نوشته شده توسط arash n [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

این ویروس اسمش NOD32-RAMGUARD.V.2009.EXE
توی کل اینترنت فقط توی سایت prevx اثری ازش هست

کد:

http://www.prevx.com/filenames/X3837560108624255189-X1/NOD32KRN.EXE.html

یه سایت فارسی هم اطلاعاتیدر موردش نوشته ولی در مورد پاک کردنش چیزی نیست

کد:

http://forum.-------/showthread.php?t=1454

من خودم هم با کاسپرسکی اپدیت شده چکش می کنم چیزی پیدا نمی کنه. فقط توی قسمت control app اجازه فعالیت بهش نمی دم اما دوباره یکی دیگه درست می شه که پی در پی پیغام خطر که فایل های NOD32KRN.EXE و CSRSS.EXE رفتارشون مشکوک به worm.p2p.generic است رو میده که اگه لیمیتش کنی دوباره همین پیام میاد و اگه اجازه فعالیت بهش ندی یکی دیگه درست میشه
لطفا کمک کنید

سلام

کسپر يه removalTools براي اين کرم انتشار داده که شما در مسير زير ميتونيد اونو دون کنيد.

کد:

http://support.kaspersky.com/downloads/utils/klwk.zip

بعد از Extract فقط روي فايله klwk کليک کنيد تا پروسز هاشو ار حافظه بيرون ببره

صبر کنيد تا کارش تموم بشه.

الان تو Run اين فايل رو با پارامتر s/ اجرا کنيد مثال: f:\klwk.com /s تا کل هاردتون پاک سازي بشه.

اين برنامه utility کارهاي ديگه هم ميکنه که در فايل

کد:

http://support.kaspersky.com/downloads/utils/readme.txt

نوشته شدن.

برگرفته از

کد:

http://support.kaspersky.com/faq/?qid=193238496

موفق و پيروز باشيد.
25-04-2009, 12:37
arash n

از همه تون تشکر می کنمقبلا گفتم این ویروس یا کرم نمی زاره eset کار خودشو بکنهاما من ویندوزو دوباره نصب کردم و قبل از اینکه ویروس فعال بشه eset 3 رو نصب و آپدیت کردم که پاکش کرد(خودم هم چند روزه پیش اینو به kaspersky lab گزارش دادم)
06-05-2009, 11:29
manya-atashin

سلام
من در حالت معمولي كه ميزنم براي پاك سازي كل درايو ها
هنگ ميكنه
از طريق
safe mode
هم اقدام كردم ولي فقط
قسمت
system32
رو چك كرد و درايوهاي ديگه رو اسكن نكرد
ميشه بگين بايد چه كنم؟
ممنون
06-05-2009, 20:42
manya-atashin

سلام دوباره

مشكل اصلا حل نميشه!

اين برنامه klwk هم معلوم نيست چرا اينجوريه...

من اسكن كردم ولي اصلا ويروس nod32krn رو پاك نكرد!!!
ميخواستم عكس بفرستم ولي ديگه برنامه هاي كامپيوتر هم به سختي اجرا ميشه
اصلا هيچي شناسايي نكرده!!!
تو قسمت
C:\WINXPSP2\system32
هم فايل nod32krn وجود داره!
بعد از اسكن البته....

و پاك نشده

اگه بخوام كل درايو ها رو هم بزنم
اول درايو c رو اسكن ميكنه و هيچي شناسايي نميشه
بعد هم شروع به اسكن درايو d ميكنه و بعد از يه خورده اسكن فايل ها هنگ ميكنه سيستم...........

ديگه نميشه

خواهشا كمك كنيد چه كنم من؟؟؟

نميدونم چرا كسپراسكاي كه همش آپديت ميكنم نتونست اين ويروس رو پاك كنه!

انتي ويروس NOD32
رو هم نصب كردم
ولي وقتي ميخوام آپديت كنم يا اسكن كنم سيستم هنگ ميكنه
اون ويروس اجرا ميشه و فضاي cpu رو پر ميكنه

لطفا راهنمايي كنيد

ممنون
07-05-2009, 14:47
saeed774

اين نرم افزارو امتحان كن :

کد:

http://forum.p30world.com/showpost.php?p=3757919&postcount=4
07-05-2009, 15:26
amir_9317

سلام
به مسیری که میگم توجه کن
start/run/cmd و بعد از باز کردن برنامه دستور \cd را اجرا کن بعد دستور attrib را اجرا کن ببین به غیر از فایلهای خود سیستم فایل مشکوک دیگری نیست اگر بود دستور attrib -s -h c:\namefilevirus.pasvandsh بعد تو این مسیر ویروس نمایان میشه و میتونید آن را خیلی راحت Shift+Delete کنید.
08-05-2009, 20:55
picher_s

سلام

فکرش رو هم نکن حل میشه.
حالا میخواهیم بریم سراغه کشتن دستی این ویروس:
1- برنامه زیر رو دون کن و دکمه List Process And tsk رو بزن و متن log رو اینجا paste کن.

کد:

http://www.uplod.ir/download.php?file=469208

2- برنامه rootkit unhookerرو دون کن و عکس قسمته process هاش رو بزرا.
3- unlocker رو بنصب.

با برنامه معرفی شده در 2 پروسز ویروس رو پیدا کن و دکمه Force kill+File Erase رو بزن.
اگه پاک نشد با unlocker به مسیره ویروس برو پیداش کن و پاکش کن.
در اخر اگر پاک نشد با یه سیستم عامل لایو بالا بیا و سیستم فایل رو پاک کن.
موفق باشید.
09-05-2009, 13:55
manya-atashin

ممنون بابت راهنمايي
الان اون كاراي ديگه رو هم انجام ميدم
خدا كنه پاك شه...اعصاب خورد كنه!

نقل قول:

-- PID ---------- List All task ----Visible---------------------------------
3276 -> Kill LSASS-SMSS-KGH & Any Process Ver1.6 Writed By Mahdi Sharifi
3276 -> Kill LSASS-SMSS-KGH and any process ver 1.6 Create By Mahdi Sharifi
2384 -> ويروس Nod32 - Page 2 - P30World Forums - Microsoft Internet Explorer - [Working Offline]
2384 -> ويروس Nod32 - P30World Forums - Microsoft Internet Explorer
3052 -> Facebook | - Microsoft Internet Explorer
204 -> Program Manager
-- PID ---------- List All task ----Hidden-------------------------------------
204 -> Start Menu
204 -> CiceroUIWndFrame
2384 -> SysFader
2384 -> SysFader
3052 -> SysFader
904 -> PCSuite Preferences
904 -> PCSuite Tray
2384 -> MCI command handling window
2384 -> DDE Server Window
3052 -> MCI command handling window
3052 -> DDE Server Window
904 -> Nokia PC Suite
1948 -> USB Media Module
1948 -> SerLa
204 -> MCI command handling window
204 -> Connections Tray
960 -> NVSVCPMMWindowClass
204 -> Power Meter
204 -> MS_WebcheckMonitor
936 -> ymsgr-tray-wnd
804 -> Notification Wnd for RNAdmin
780 -> MediaCenter
704 -> Hidden Main Window
-- PID -------------- List All Process ----------------------------
0 -> System Idle Process
4 -> System
1040 -> \SystemRoot\System32\smss.exe
1144 -> csrss.exe
1168 -> \??\C:\WINXPSP2\system32\winlogon.exe
1220 -> C:\WINXPSP2\system32\services.exe
1232 -> C:\WINXPSP2\system32\lsass.exe
1392 -> C:\WINXPSP2\system32\svchost.exe
1456 -> svchost.exe
1688 -> C:\WINXPSP2\System32\svchost.exe
1728 -> C:\WINXPSP2\system32\svchost.exe
2020 -> svchost.exe
204 -> C:\WINXPSP2\Explorer.EXE
496 -> C:\WINXPSP2\system32\spoolsv.exe
704 -> C:\WINXPSP2\system32\RunDll32.exe
780 -> C:\WINXPSP2\system32\RUNDLL32.EXE
804 -> C:\Program Files\Common Files\Real\Update_OB\realsched.exe
916 -> C:\WINXPSP2\system32\mfnsvc.exe
936 -> C:\Program Files\Yahoo!\Messenger\ymsgr_tray.exe
960 -> C:\WINXPSP2\system32\nvsvc32.exe
188 -> C:\WINXPSP2\system32\svchost.exe
1412 -> C:\WINXPSP2\system32\wscntfy.exe
2456 -> alg.exe
904 -> E:\nokia 5700\Nokia PC Suite 6\LaunchApplication.exe
1948 -> C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
3052 -> C:\Program Files\Internet Explorer\iexplore.exe
2384 -> C:\Program Files\Internet Explorer\IEXPLORE.EXE
3276 -> C:\Documents and Settings\manya\Desktop\JKill.exe
;
--- Startup ->-- HKLM\Software\..\Run --------------------
Cmaudio=RunDll32 cmicnfg.cpl,CMICtrlWnd
NvCplDaemon=RUNDLL32.EXE C:\WINXPSP2\system32\NvCpl.dll,NvStartup
nwiz=nwiz.exe /install
NvMediaCenter=RUNDLL32.EXE C:\WINXPSP2\system32\NvMcTray.dll,NvTaskbarInit
AVP="C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe"
NeroFilterCheck=C:\WINXPSP2\system32\NeroCheck.exe
TkBellExe="C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
;
--- Startup ->--HKCU\Software\..\Run --------------------
Yahoo! Pager="C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe" -quiet
09-05-2009, 14:10
manya-atashin

ويروس نبود تو عكس هم نيست فرستادم!
شايد چون اجرا نكردم رو سيستم ويروس نيست؟؟؟
الان دوباره امتحان ميكنم
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
09-05-2009, 14:31
manya-atashin

سلام مجدد
روي يكي از درايوها كليك كردم و ويروس فعال شد
و رفت به قسمت process برنامه
گزينه Force kill+File Erase رو زدم ولي فايده اي نداشت و دوباره ساخته ميشد!
رفتم تو قسمتي كه ويروس بود يعني system32
كليك راست كردم روش و گزينه unlocker رو زدم
ارور داد

لطفا اگه نميشه توضيحي در مورد

نقل قول:

در اخر اگر پاک نشد با يه سيستم عامل لايو بالا بيا و سيستم فايل رو پاک کن.

بدين كه متوجه نشدم
ممنون

error:
cannot connect to Eset NOD32 update website.you must update NOD32 to active its protect.
09-05-2009, 21:45
saeed774

سيستم لايو يا زنده يه نوع ويندوزه كه از رو سيدي بوت ميشه و به همين خاطر به راحتي ميتونين فايلاهاي ويروس رو به علت عدم اجرا شدن توسط ويندوز خودتون ،پاك كنين .
يكي از ويندوز هاي زنده درون Hiren Boot Cd موجود هست ميتونين از پست زير دان كنين :

کد:

http://forum.p30world.com/showpost.php?p=3587574&postcount=49
11-05-2009, 12:56
manya-atashin

مرسي استاد ولي حجمش رو هم ديدين؟
من دسترسي به اينترنت پر سرعت ندارم
واسه يه ويروس مزخرف 200 كيلوبايتي بايد چه كارايي كه بكنم !!!
الان بعضي برنامه هاي ويندوز هم اصلا اجرا نميشه
هنگ هم ميكنه همش
خواهشا يه كمكي بكنين
نميتونم اين ويندوز رو دانلود كنم
ححجمش زياده
ممنون
11-05-2009, 14:15
saeed774

تو جهنم یعنی یه کافی نت پیدا نمیشه ؟!! بری دان کنی .
12-05-2009, 11:26
manya-atashin

سلام الان با نرم افزار unlocker از تمام درايوها ويروس رو پاك كردم چيكار كنم ديگه؟ :20:
ممنون
12-05-2009, 19:01
manya-atashin

پاك كردم
ولي همچنان ويروس هست!!!

چه ويروسيه اين؟
ويندوز لايو هم پس نتيجه اي نخواهد داشت؟؟؟
12-05-2009, 19:33
picher_s

نقل قول:

نوشته شده توسط manya-atashin [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

سلام الان با نرم افزار unlocker از تمام درايوها ويروس رو پاك كردم چيكار كنم ديگه؟ :20:
ممنون

سلام رفیق.

شما باید همون فایله اصلی که الان در حاله اجرا هست رو پاک کنید، نه بقیه فایلهای که توسط ویروس انتشار داده میشن.

نقل قول:

چه ويروسيه اين؟
ويندوز لايو هم پس نتيجه اي نخواهد داشت؟؟؟

چرا دوباره با Rootkit unhooker تلاش نمیکنی؟!
رفیق سمج تر از باگل ندیدم که همش از هوک استفاده کرده بود!! اما با ویندوز لایو راخپحت برطرف شد.

یه پیشتنهاده دیگه ERD commander داری؟!
اصولا Empror تو بوت cdهاش قرارش می داد.
16-05-2009, 13:36
manya-atashin

سلام
راستش ويروس رو پاك كرده بودم كه متاسفانه دوباره اومد !!!
و باز هم مث اون روز با unlocker پاك نميشه و ارور ميده ...

smss
هم گرفته
ويروسه نه؟
چون همش يه پنجره باز ميشه
اعصابم خورد شد

ويندوز لايو هم تونستم بخرم
اگه ميشه آموزش اونو بدين
خب من اين كارارو كردم و باز دوباره ويروس اومد تكليف چيه؟؟؟

خسته شدم!

ممنون
17-05-2009, 16:16
آنتی

سلام بهترین راه برای شما اینه که nod 4 نصب کنی و فایل آپدیت را که در حد 20مگ هستدانلود کنی وسپس nod را از طریق فایل آپدیت کنی
موفق باشید
18-05-2009, 02:14
saeed774

آنتي جان عزيز مرسي ، اما نسخه جديد يعني 4.0.424 آپديتش در حدود 3.5 مگابايت هست . واما شما دوست عزيز Manya برنامه اي كه گفته بودم رو يعني Prevx به همراه كرك ، بهت پيغام خصوصي زدم و مطمئنم كه مشكلت رو حل خواهد كرد .
15-06-2009, 08:17
پري آريا

سلام. خوبين؟ من ويزوس SysFader دارم. چط.ري بايد بكشمش؟
15-06-2009, 13:02
آنتی

نقل قول:

نوشته شده توسط پري آريا [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

سلام. خوبين؟ من ويزوس SysFader دارم. چط.ري بايد بكشمش؟

سلام دوست عزیز
عضویت شما را در سایت تبریک عرض میکنم
شما بهتر است در همان صفحه اصلی اورژانس سیستم های آلوده گزینه ارسال مطلب جدید را انتخاب کنید
ودر تاپیک جدید اطلااتی از سیستمتان بدهید
مثلا آنتی ویروستون چیه؟
از کجا دونستید ویروس دارید ؟
سیستمتان چه مشکلاتی دارد
موفق باشید
15-06-2009, 14:15
saeed774

نقل قول:

نوشته شده توسط پري آريا [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

سلام. خوبين؟ من ويزوس SysFader دارم. چط.ري بايد بكشمش؟

sysfader.exe ويروس نيست و از فايلهاي سيستمي هست كه وظيفه مربوط به Fade in , fade Out منوها و پنجره هاي ويندوز رو بر عهده داره و زماني كه رم سيستم شما بيش از حد اشغال بشه و به اصطلاح ويندوز در حال نزديك به هنگ قرار بگيره اين فايل ارور خواهد به خاطر اينكه منابع لازم جهت اجرا رو از دست ميده .
اولين كاري من بعد نصب ويندوز انجام ميدم غير فعال كردن خاصيت هاي نمايشي ويندوز هست تا با اين مشكلات روبرو نشم . شما هم براي رفع اين مشكل و ارور ميتونين مسير زير رو دنبال كنين .
1- روي my computer راست كليك كنين و Properties رو انتخاب كنين يا ميتونين رو كيبورد دكمه هاي win+pause Break رو همزمان فشار بدين .
2- به تب Advance برين و در بخش Performance توش settings رو بزنين .
3- در همون تب اول در بخش كادر از بالا به پايين تيك چهار گزينه اول رو بردارين و همه پنجره هاي باز رو ok كنين .

اگر مشكل شما حل نشد طبق گفته دوستمون آنتي عزيز ، تاپيك جداگانه بازكنين و حتما سيستم رو با يك آنتي ويروس آپديت شده اسكن كنين .
06-09-2009, 16:24
More_Security

دانلود آنتي ويروس NOD32-RAMGuard.v.2009

سلام شما مي تونيد اين ويروس رو با آنتي ويروس Nod32-RAMGuard.v.2009 Remover از روي سيستم خودتون از بين ببريد

فقط كافيه كه به وبلاگ Parsecity.blogfa.com مراجعه كنيد و اين آنتي ويروس رو دانلود كنيد !!!

ممنون.:5:
10-09-2009, 02:35
More_Security

دانلود آنتي ويروس NOD32-RAMGuard.v.2009

:31:

براي دانلود آنتي ويروس NOD32-RAMGuard.v.2009.exe به وبلاگ Parsecity.blogfa.com مراجعه كنيد!!!

:31:
07-06-2010, 22:47
amin6600000

salam .man amin hastam .man to in adress [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

ya ante viroos ghave dedam an ra ba shoma peshnahad mekonam