با راست کلیک کردن روی پوشه های خاص Explorer بسته می شه (مشکل ویندوز یا ویروس )

Printable View

07-08-2011, 23:50
as13851365

با راست کلیک کردن روی پوشه های خاص Explorer بسته می شه (مشکل ویندوز یا ویروس ) {روتکیت}

از دیروز یه سری مشکلات تو سیستم رخ می ده که خودم توش موندم

1 ) از دیروز چراغ هاردم به صورت ثابت روشن مونده یعنی چشمک نمی زنه ثابت هستش :18:

2 ) وقتی هم که روی پوشه هایی با اسمهای که اعداد باشد و یا تک حرفی (1و2و3و4و5و... و A,b,s,...Z) راست کلیک می کنم Explorer.exe بسته می شه

پیغام زیر نمایش داده می شه :

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

وضعیت تسک منیجر هم عادی هستش :

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

3 ) یه لحظه هم که توی گوگل هم که می خواستم جستجو کنم این صفحه ظاهر شد
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

کسی از دوستان درباره این مشکلات اطلاعاتی اگه داره راهنمایی کنه ممنونش می شم :11:
08-08-2011, 01:10
MrGee

جالبه

ویندوزتون رو تازه نصب کردید؟
با نصب مجدد ویندوز مشکل حل نشده؟
برنامه خاصی نصب نکردید؟

یه لاگ از فایلی که تو این پست هست بزارید

کد:

http://forum.p30world.com/showpost.php?p=6076172&postcount=9

با این هم سیستم رو اسکن کنید

کد:

http://forum.p30world.com/redirector.php?url=http%3A%2F%2Fsupport.kaspersky.com%2Fdownloads%2Futils%2Ftdsskiller.zip
08-08-2011, 03:48
Dr Hannibal

احتمالا آلودگی شما از روت کیت TDL3 یا TDL4 باشه.

پس توی پست بعدیتون علاوه بر لاگ TDS killer و DDS

لاگ gmer رو هم بذارید.

کد:

http://www2.gmer.net/gmer.zip

اجراش کنید.اسکن کنید.

در آخر یه لیست بهتون میده شبیه این

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

لاگ رو کپی کنید و اینجا بذارید.

برای اسکن فقط کافیه درایو ویندوز رو اسکن کنید.

این اسکن باید بعد از TDS killer باشه.

نقل قول:

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] نکته

دانلود کنید اجرا کنید و موارد مشکوک رو پاک سازی کنید.

نکته: بعد از اسکن فایل های مشکوک رو با کلیک راست و انخاب گزینه cure و اگر امکان پذیر نبود گزینه delete پاک سازی کنید.

لطفا ترتیب مراحل هم رعایت کنید. ابتدا DDS سپس TDS در آخر gmer

موفق باشید
08-08-2011, 10:35
as13851365

لاک های مربوطه ابتدا DDS سپس TDS در آخر gmer

کد:

ویندوزتون رو تازه نصب کردید؟ با نصب مجدد ویندوز مشکل حل نشده؟ برنامه خاصی نصب نکردید؟

یه بار ویندوز نصب کردم اولین باری که پیغام خطای شماره 2 رو دیدم فکر کردم از خود ویندوز باید باشه ولی بعد از نصب ویندوز و کمی اجرای برنامه های کاربری که توی درایو دیگه داشتم این مشکل دوباره پیداش شد.

1 ) برنامه zonealarm رو نصب کرده بودم که بعد از حذفش چراغ هارد به حالت قبلی ( خاموش در صورت نیاز چشمک زنان ) برگشت حالا نمی دونم مشکل از zonealarm بود یا جای دیگه

3 ) دیگه این صفحه ظاهر نشد دو سه بار دیروز ظاهر شد ولی دیگه خبری ازش نیست ارسال و دریافت شبکه هم عادی هستش

همانطوری که گفته بودید :

1) D.D.S

کد:

http://www.upload.iran-forum.ir/uploads/1312849466.txt

2 ) TDSSKiller
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

3 ) gmer
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

2 ) هنوز این مشکل ( راست کلیک روی پوشه هایی که اسمشون اعداد {تک رقمی یا چند رقمی } و یا حروف تکی {A,B,...Z} هنوز ادامه داره پیغام خطا نمی دونم مربوط به چی هستش :11:
08-08-2011, 11:39
MrGee

شما sigverif.exe رو از ران اجرا کن و ببین فایل explorer دستکاری نشده باشه

سی دی ویندوز شما سالمه و قبلا هم با همین سی دی نصب می کردی؟

کد:

R0 ElbyVCD;ElbyVCD;c:\windows\system32\drivers\ElbyVCD.sys [2011-8-5 22016]

کد:

R1 WMDrive;WMDrive;c:\windows\system32\drivers\WMDrive.sys [2011-8-5 65856]

شما اگه برنامه های WinMount و VirtualCloneCD رو نصب نکردید با Malwarebytes’Anti-Malware + آپدیت سیستم رو اسکن کنید
این فایل رو هم حذف کنید
c:\windows\system32\kgen.dll
08-08-2011, 11:51
pcsoft

سلام دوستان.ببخشید این سوال رو اینجا پرسیدم.
یه پوشه ای هست توی سیستمم که 60 تا قسمت از یه سریال توش هست وقتی میرم توش Explorer stopped running میاد و explorer ریستارت میشه.
100% سیستمم ویروسی نیست. نمی دونم چرا این پوشه اینطوری شده.
ویندوز 7
08-08-2011, 12:26
jax2

نقل قول:

نوشته شده توسط pcsoft [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

سلام دوستان.ببخشید این سوال رو اینجا پرسیدم.
یه پوشه ای هست توی سیستمم که 60 تا قسمت از یه سریال توش هست وقتی میرم توش Explorer stopped running میاد و explorer ریستارت میشه.
100% سیستمم ویروسی نیست. نمی دونم چرا این پوشه اینطوری شده.
ویندوز 7

سلام
دوست عزیز جای سوال اینجا نیست
مشکل شما مربوط به کدک های تصویری نصب شده روی سیستم هست
نرم افزار klite mega codec pack رو نصب کنید مشکل حل میشه
08-08-2011, 13:04
pcsoft

نقل قول:

نوشته شده توسط jax2 [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

سلام
دوست عزیز جای سوال اینجا نیست
مشکل شما مربوط به کدک های تصویری نصب شده روی سیستم هست
نرم افزار klite mega codec pack رو نصب کنید مشکل حل میشه

بله جای سوالم اینجا نبود.
08-08-2011, 14:40
Dr Hannibal

این فایل رو هم پاک کنید

کد:

c:\windows\S66B60F98.tmp

سپس این فایل هایی که اینجا گذاشتم رو در اینجا آپلود کنید تا لینک اسکن به شما بدهد

کد:

http://www.virustotal.com/

به تفکیک لینک های اسکن را اینجا بذارید ببینیم.

کد:

c:\windows\system32\ff_vfw.dll c:\windows\system32\ac3acm.acm C:\procexp.exe c:\windows\system32\drivers\idmtdi.sys c:\windows\system32\xvidvfw.dll c:\windows\system32\xvidcore.dll c:\windows\system32\drivers\VBoxNetAdp.sys

پست بعدی رو لطفا در حالی بدید که java رو یک بار ریمو کرده باشید و java کاملا بروز رو یک بار دیگه نصب کرده باشید.

تمام نرم افزار های Adobe مخصوصا فلش پلیرها رو یک بار بروز کنید.

کش مرورگر ها رو یک بار پاک کنید.
08-08-2011, 15:43
as13851365

نقل قول:

شما sigverif.exe رو از ران اجرا کن و ببین فایل explorer دستکاری نشده باشه

اجرا کردم و کلیه Start رو زدم و نتیجه این شد :

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

نقل قول:

سی دی ویندوز شما سالمه و قبلا هم با همین سی دی نصب می کردی؟

دو سه ماهه از این CD ویندوز استفاده می کنم و روی چند تا سیستم نصبش کردم و مشکل خواصی نداشته تا حالا

نقل قول:

شما اگه برنامه های WinMount و VirtualCloneCD رو نصب نکردی

نه خودم این برنامه ها رو نصب کردم برای داشتن درایو مجازی

نقل قول:

این فایل رو هم حذف کنید
c:\windows\system32\kgen.dll

این فایل رو هم حذفش کردم

ولی باز همو پرید Explorer.exe وجود داره
از خود ویندوز نباشه ؟ اگه همچین مشکلی از بابت وجود ویروس نباشه من و احتمال زیاد از نسخه ویندوزم باشه ( که احتمالش کمه ) یه نسخه دیگش رو نصب می کنم

فقط می خوام مطمئن باشم که از ویروسی چیزی نباشه
08-08-2011, 16:24
as13851365

قبل از این که جواب دوست عزیز «drhaniball» رو تست کنم گفتم که این رو هم اضافه کنم

یکی دیگه از سیستم های شبکه که از ویندوز سون استفاده می کرد دچار این مشکل شده :18:

عکس از خطا :

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

متن موجود در صفحه دوم خطا :

کد:

Problem signature: Problem Event Name: APPCRASH Application Name: explorer.exe Application Version: 6.1.7600.16385 Application Timestamp: 4a5bc60d Fault Module Name: msvcrt.dll Fault Module Version: 7.0.7600.16385 Fault Module Timestamp: 4a5bda6f Exception Code: 40000015 Exception Offset: 00056202 OS Version: 6.1.7600.2.0.0.256.1 Locale ID: 1065 Additional Information 1: 7511 Additional Information 2: 7511679ffe7ea8631ee6f37f36044d38 Additional Information 3: f0af Additional Information 4: f0af7444c0883d780e7ef19aaf39924d Read our privacy statement online: http://go.microsoft.com/fwlink/?linkid=104288&clcid=0x0409 If the online privacy statement is not available, please read our privacy statement offline: C:\Windows\system32\en-US\erofflps.txt

لینک فایلی که در خطا نوشته شده هست :

کد:

http://www.upload.iran-forum.ir/uploads/1312814015.txt

این سیستم هم عین همین بلایی که سر سیستم من اومده بود اومده :41:
توی نت هم کلی سرچ کردم ولی هیچ چیزی در این باره نتونستم پیدا کنم ( نه ویروسی نه باکی نه چیزه دیگه ای ) تنها دلخوشیم راهنمایی شما دوستان هستش

در حال اجرای جواب «drhaniball» هستم :10:
08-08-2011, 16:42
Dr Hannibal

من احتمال زیاد میدم از آلودگی باشه. مخصوصا اون سرچ گوگل شما مثل روت کیت ها بوده.

هنوز زوده که بگیم به نتیجه نرسیدیم.

دقت کنید دوستان دیگه گفته بودند اسکن با MBAM ، این یک نکته ضروری حتما این رو هم انجام بدید دوست عزیز. حجم زیادی رو نمیبره برای اپدیت و دانلود ، در ضمن برای اسکن میتونید فقط کوئیک اسکن رو انتخاب کنید.

موفق باشید
08-08-2011, 17:02
as13851365

فایل : ff_vfw.dll.manifest
نتیجه : 0/ 43 (0.0%)
لینک :

کد:

http://www.virustotal.com/file-scan/report.html?id=97566ff14adff13570ba5f2c442c8fdb180b4ee37c290cac99da0851146041e8-1312808243

فایل : ac3acm.acm
نتیجه : 0/ 43 (0.0%)
لینک :

کد:

http://www.virustotal.com/file-scan/report.html?id=561879444b4c020be7cb7269adee2bd140e0389e64da475d605bb7abbae718f3-1312808551

فایل : idmtdi.sys
نتیجه : 0 /43 (0.0%)
لینک :

کد:

http://www.virustotal.com/file-scan/report.html?id=4750cf8465add1f85090d15666aa6489bab028985b8d7065228aa8f9232d0546-1312302976

فایل : xvidvfw.dll
نتیجه : 0/ 43 (0.0%)
لینک :

کد:

http://www.virustotal.com/file-scan/report.html?id=26fc979efb97fe3b1668ded77c37387d33cb86278f7208ad3228ef52425a2c7e-1312808956

فایل : xvidcore.dll
نتیجه : 0 /42 (0.0%)
لینک :

کد:

http://www.virustotal.com/file-scan/report.html?id=01af99a72b3caf2477c4a9f1fc0080d10910bf17d88d4dc585b53e06c38529de-1309615134

این فایلها رو آپلود کردم ولی چیزی نشون نداد

درباره فایل C:\procexp.exe هم که مورد خواصی نیستش
08-08-2011, 17:07
Dr Hannibal

فعلا به در بسته خوردیم ; )

با MBAM هم اسکن کنید ببینیم چی میشه ،احتمالا باید نوع برخورد رو عوض کرد.
08-08-2011, 18:23
MrGee

احتمال داره كرش explorer به خاطر فايل desktop.ini يا يه گزينه از منوي راست كليك كه توي رجستري هست باشه

نقل قول:

یکی دیگه از سیستم های شبکه که از ویندوز سون استفاده می کرد

مشكل سرچ گوگل هم مي تونه به خاطر IP مشترك و NAT باشه مخصوصا اگر يك بار اين اتفاق پيش اومده باشه
همچنين اگه سيستم شما به شبكه وصله مي تونه از بقيه كامپيتورها باشه

اون پوشه هايي كه باعث ارور دادن explorer مي شن محتواي خاصي ندارن؟
حتي با پوشه هاي تك حرفي خالي كه تازه ايجاد شدن هم مشكل داريد؟

اگه MBAM چيزي پيدا نكرد
شما بعد از نصب مجدد ويندوز بدون كار اضافه اي روي دستكتاپ يه پوشه تك حرفي بساز و روش راست كليك كن ببين با هم اون ارور مياد يا نه
08-08-2011, 21:42
Dr Hannibal

برای اینکه زودتر به نتیجه برسیم من ادامه فعالیت برای پاکسازی ( از لحاظ آلودگی ) رو میذارم. ایشون میتونند انتخاب کنند این مسیر رو ادامه بدن یا نه ، دست خودتونه.

چون نظر من وجود آلودگی از نوع روت کیته.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] عزیز ،

اگر اسکن با MBAM نتیجه نداد این مسیر راه حل مناسب برای این وضعیت و زمانه :

لطفا برای اجرا دقت کنید.

اگر چند سیستم دارید که این اتفاق براشون افتاده فقط یکیشون رو انتخاب کنید.

این مراحل رو در سیستمی انجام بدید که لاگ TDS , gmer رو من دیدم.

1_ از اطلاعات اون سیستم بک آپ بگیرید شاید بعدا با اتفاق خارج از برنامه بالا اومدن ویندوز سخت بشه.

2_ اجرای عملیان کمبوفیکس همانطور که در مرجع نوشتم:

نقل قول:

مرحله نهایی استفاده از ComboFix

یک روش قدیمی و قدرتمند اما نیاز به تجربه کافی ==> combo fix

یک آنالیزر حرفه ای همیشه در هنگام آلودگی ها از combo fix برای اطمینان از رفع آلودگی استفاده میکنه. برخی از ویژگی های combo fix

1_ میتونه پروسس های مخرب رو برای لحظاتی بلاک کنه.
2_ اطلاعات دقیقی از وضعیت سیستم به شما بده.
3_ آلودگی ها و اثرات ناشی از انها رو به تنهایی پاک سازی کنه.

نکاتی که باید در هنگام استفاده از combo fix رعایت کنید:

1_ کمبوفیکس را آخرین مراحل ضروری در نظر بگیرید.
2_ آنتی ویروس و دیگر نرم افزار های امنیتی کاملا غیر فعال باشد.
3_ هرگز نام فایل اجرایی رو تغییر ندهید.
4_ در هنگام فعالیت کمبوفیکس از ریانه کار نکشید حتی موس رو هم تکان ندهید.
5_کمبوفیکس را با نظر کارشناس اجرا کنید. نه سر خود.

از لیتک اول دانلود کنید

کد:

http://www.bleepingcomputer.com/download/anti-virus/combofix

لطفا این مراحل رو با آرامش و دقت کافی انجام بدید. غیر فعال بودن تمام آنتی ویروس ها نرم افزارهای امنیتی و فایروال ها رو جدی بگیرید.

کمبوفیکس رو در دسکتاپ اجرا کنید.

تمام نرم افزار های دیگه ، مرورگرها و .... رو ببندید این کار نیاز به cpu بالایی هست.

بعد از اجرای کمبوفیکس تمام در خواست ها رو تایید و اوکی کنید. بگذارید کار کمبوفیکس تمام شود.

به اینترنت متصل باشید.

در صورت امکان ارتباط این سیستم مورد آزمایش رو با سیستم های دیگه قطع کنید.

هرگز وسط کار کمبوفیکس رایانه را خاموش ریستارت و .... نکنید. ( خیلی مهم )

هرچقدر این زمان طول کشید بگذارید ادامه پیدا کند.

وقتی کار تمام شد لاگ رو در اختیار ما قرار بدید.

صبر کنید تا لاگ کاملا بررسی شود و نتیجه و باقی مراحل کمبوفیکس اعلام شود.

کمبوفیکس رو بعد از اتمام کار ( وقتی که از طرف ما اعلام شد ) از محیط نرم افزار آنیستال کنید و هرگز اقدام به حذف دستی نکنید.

بعد از انجام مراحل از رایانه کار نکشید تا به همان شکل که لاگ در اختیار ما قرار دادید باقی بمونه و تغییری حاصل نشه.

موفق باشید
09-08-2011, 01:41
as13851365

نقل قول:

دقت کنید دوستان دیگه گفته بودند اسکن با MBAM ، این یک نکته ضروری حتما این رو هم انجام بدید دوست عزیز. حجم زیادی رو نمیبره برای اپدیت و دانلود ، در ضمن برای اسکن میتونید فقط کوئیک اسکن رو انتخاب کنید.

تست می کنم نتیجه رو می گم

نقل قول:

اون پوشه هايي كه باعث ارور دادن explorer مي شن محتواي خاصي ندارن؟
حتي با پوشه هاي تك حرفي خالي كه تازه ايجاد شدن هم مشكل داريد؟

پوشه خالی باشد یا توش فایل باشه فرقی نمی کنه
نه امکان راست کلیک داره
نه امکان دیدن Properties ( کلید Alt+Enter )
نه امکان تغییر نام
نه امکان کپی و یا جابه جایی

نقل قول:

شما بعد از نصب مجدد ويندوز بدون كار اضافه اي روي دستكتاپ يه پوشه تك حرفي بساز و روش راست كليك كن ببين با هم اون ارور مياد يا نه

تست کردم هیچ مشکلی نیست فقط بعد از زمانی ( اجرای بعضی فایلها اجرایی { که دارم دونه دونه بررسیشون می کنم } ) این مشکل رخ می ده

به یه فایل مشکوک شدم ( فایل اجرایی ساخت کانکشن اکانت وی پی ان ) ولی چیزی نداشت
نام فایل : PS.exe
نتیجه : 0/ 43 (0.0%)
لینک :

کد:

http://www.virustotal.com/file-scan/report.html?id=651e65cea693610477e564935a240a5de6a76779cbe09310d3882a874b3f740e-1312839943

اگه قضیه همون روت کیت باشه ( اونجوری که از نت فهمیدم ) اطلاعات خودش رو رمزنگاری می کنه و به سختی قابل شناسایی هستش شبکه رو هم با برنامه ی X-NetStat Professional مرتب بررسی می کنم ولی مورد خواصی تا حالا درباره ارسال و دریافت اطلاعات ندیدم

اگه رمز نگاری رو مد نظر بگیرم من به فایل PS.exe مشکوک هستم حالا می خوام روی یه سیستم دیگه تست کنم ببینم بعد از اجرای اون آیا سیستم با مشکل مواجه می شه یا نه بعد روشی که در پست 16 توست دوست گرامی drhaniball معرفی شده رو اجرا می کنم و نتیجه رو اینجا قرار می دم
09-08-2011, 03:38
Dr Hannibal

کمبوفیکس یک نرم افزار بسیار حرفه ای برای شناسایی روت کیته.

اگر لاگ رو ببینیم میتونم بگم از آلودگی هست یا نه ، اگه توی لاگ چیزی نشون داده نشد که باز هم تکلیف روشن میشه. پس این لاگ رو با دقت بگیرید.

++++++++++

نه نه میتونید فایلی که بهش مشکوک هستید رو اینجا بذارید تست بشه ببینیم چه کارا میکنه ، روی سیستم واقعی اجرا نکنید اینجا بذارید تا آنالیز کنیم.

موفق باشید
09-08-2011, 12:45
as13851365

بابت پیگیری دوستان کمال تشکر رو دارم

این لاک مربوط به کمبوفیکس (خیلی طول کشید و ویندوز خیلی کند شده و بعضی مواقع بالا نمی آد)

کد:

http://www.upload.iran-forum.ir/uploads/1312946164.txt

این هم اون فایلی که بهش مشکوک هستم :
اندازه : 500 کیلوبایت
نام : PS.rar
پسورد : 1

کد:

http://www.upload.iran-forum.ir/uploads/1312897438.rar

چند روزه توی نت در این باره می گردم ولی جز کمک شما چیزه دیگه ای نتونستم پیدا کنم بابت کمکتون ممنون
09-08-2011, 13:24
charandestan

با اجازه استادان گرامی به احتمال زیاد شخصی در حال حمله sql از طریق سیستم شماست
09-08-2011, 13:24
Dr Hannibal

حدسم درست بود ،کاملا آلوده به روت کیت هستید.

اینا پاک شده فعلا اگر بتونیم خوب مسیر آلودگی رو پاک سازی کنیم تمام سرویس های روت کیت رو ببنیدیم سرعت سیستم به حالت نرمال برمیگرده.

راستی این ویندوز XP بود ؟

کد:

c:\documents and settings\Administrator\Application Data\Mikrotik c:\documents and settings\Administrator\Application Data\Mikrotik\Winbox\winbox.cfg c:\windows\isRS-000.tmp c:\windows\system\WINSPOOL.DRV

این پایینی آلوده مونده

کد:

c:\windows\system32\msgsvc.dll . . . is infected!!

که فعلا نباید بهش دست بزنید. صبر کنید تا بقیه موارد چک بشه.

یکی از ریجیستری هارو روت کیت قفل کرده باید آزاد بشه.

اول از همه این فایل رو اجرا کنید

کد:

http://www.jpshortstuff.247fixes.com/Defogger.exe

یک پنجره باز میشه شما Disable رو بزنید.

این فایل رو دانلود و اجرا کنید:

کد:

http://jpshortstuff.247fixes.com/SystemLook.exe

یک پنجره باز میشه داخلش این متن رو کپی کنید: ( اصلاح شد )

کد:

:filefind *userinit*

لاگی که بهتون میده تحت عنوان SystemLook.txt رو اینجا بذراید.

سپس این 5 فایل رو برام در ویروس توتال آپلود کنید لینک اسکن رو اینجا بذارید: فقط لینک اسکن کافیه.

کد:

c:\windows\system32\DRIVERS\VBoxNetFlt.sys c:\windows\system32\drivers\idmtdi.sys c:\windows\system32\drivers\ElbyVCD.sys c:\windows\system32\msgsvc.dll c:\windows\system32\drivers\tcpip.sys

پست بعدی رو درحالی بدین که تولبار ask رو از سیستم ریمو کرده باشید و بعد از آن روی درایو ویندوز کلیک راست کنید و با انتخاب پروپرتیس دیسک کیلین آپ کنید. با بهتره از نرم افزار ccleaner استفاده کنید. ( هم ریجستری و هم جانک فایل ها رو پاک سازی کنید ).

منتظرم.
09-08-2011, 15:15
MrGee

نقل قول:

این هم اون فایلی که بهش مشکوک هستم :
اندازه : 500 کیلوبایت
نام : PS.rar
پسورد : 1
کد:

کد:

http://www.upload.iran-forum.ir/uploads/1312897438.rar

چندان مشكوك به نظر نمي رسيد

نقل قول:

یک پنجره باز میشه داخلش این متن رو کپی کنید:

کد:
:fuserinit
*userinit*

با اين اشتباه نشده؟

کد:

:filefind *userinit*
09-08-2011, 17:44
Dr Hannibal

نقل قول:

نوشته شده توسط MR Cracker [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

با اين اشتباه نشده؟

کد:

:filefind *userinit*

بله درست تایپ نشده بود. ولی 45 دقیقه قبل از پست شما اصلاح شده بود :46:
09-08-2011, 18:04
MrGee

ولي من همچنان اون رو به شكل قبلي مي بينم : (

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
09-08-2011, 18:15
Dr Hannibal

اشباه از من بود ، در خواست SystemLook اصلاح شد. تشکر از [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
10-08-2011, 13:09
as13851365

نقل قول:

راستی این ویندوز XP بود ؟

بله Windows.XP.Pro.SP3.Integrated.March.2011

نقل قول:

پست بعدی رو درحالی بدین که تولبار ask رو از سیستم ریمو کرده باشید و بعد از آن روی درایو ویندوز کلیک راست کنید و با انتخاب پروپرتیس دیسک کیلین آپ کنید. با بهتره از نرم افزار ccleaner استفاده کنید. ( هم ریجستری و هم جانک فایل ها رو پاک سازی کنید ).

باشه :10:

نقل قول:

چندان مشكوك به نظر نمي رسيد

بابت تستی که کردی ممنون

نقل قول:

یک پنجره باز میشه داخلش این متن رو کپی کنید: ( اصلاح شد )
:filefind
*userinit*
لاگی که بهتون میده تحت عنوان SystemLook.txt رو اینجا بذراید.

کد:

SystemLook 30.07.11 by jpshortstuff Log created at 13:39 on 10/08/2011 by Administrator Administrator - Elevation successful ========== filefind ========== Searching for "*userinit*" C:\WINDOWS\Prefetch\USERINIT.EXE-30B18140.pf --a---- 13772 bytes [18:01 09/08/2011] [13:53 26/04/2011] 80302E154FAB7ABDEBEFC6AC72A5399F C:\WINDOWS\system32\userinit.exe --a---- 26112 bytes [18:02 09/08/2011] [16:30 31/12/2002] A93AEE1928A9D7CE3E16D24EC7380F89 -= EOF =-

توی این چند روزی که با این مشکل درگیر بودم یه چیزهای از این روتکیت دستگیرم شد (خداییش برنامه جالبی هستش:21:)

برای این که از شرش به طور کامل خلاص بشم برای هر دو سیستم ویندوز رو از اول نصب کردم و مابقی درایوهای هر دو سیستم رو قفل کردم تا اگر احیانا این روتکیته دیسک ریزیدنت هم بوده باشه کاربران نتونن اجراش کنند تا راه حل قطعی برای اونها هم پیدا نکردم درایوها قفل می مونه :41: ( در سیستم خودم نزدیک به 50 گیگ برنامه دارم ولی در سیستم دیگه برنامه های خواصی نیست

البته این ویندوزها رو هم برای این از اول نصب کردم چون اونطوری که فهمیدم هر کاریش کنی باز این روتکیته به طور کامل از سیستم پاک نمیشه و تا زمانی که دقیقا مشخص نشه که کجاها رو هدف قرار داده و چه فایلهایی آلوده هستش نمی شه کاریش کرد برا همین ویندوز رو از اول نصب کردم

حالا یه سری برنامه هایی چون UnHackMe v5.99 Build 380 رو دارم نصب می کنم ببینم داخل درایوهام چیزی پیدا می کنه یا نه

اگه دوستان برنامه ی خواصی سراغ دارن ممنون می شم راهنمایی کنند ( نمی خوام برنامه هام از دست بره )

از این که لطف کردید و تا حالا پیگیر این مشکل بودید کمال تشکر رو دارم
10-08-2011, 13:46
MrGee

خب....

لطفا به اين سوالها جواب بديد
1-الان همچنان هارد چراغ شما به طور دائم روشنه و چشمك نمي زنه؟
2-همچنان سرچ هاي گوگل اون جوري مي شن يا فقط يه بار بود؟

نقل قول:

تست کردم هیچ مشکلی نیست فقط بعد از زمانی ( اجرای بعضی فایلها اجرایی { که دارم دونه دونه بررسیشون می کنم } ) این مشکل رخ می ده

3- نتيجه چي شد؟

نقل قول:

دقت کنید دوستان دیگه گفته بودند اسکن با MBAM ، این یک نکته ضروری حتما این رو هم انجام بدید دوست عزیز. حجم زیادی رو نمیبره برای اپدیت و دانلود ، در ضمن برای اسکن میتونید فقط کوئیک اسکن رو انتخاب کنید.

نقل قول:

تست می کنم نتیجه رو می گم

4- نتيجه؟؟

نقل قول:

سپس این 5 فایل رو برام در ویروس توتال آپلود کنید لینک اسکن رو اینجا بذارید: فقط لینک اسکن کافیه.
کد:
c:\windows\system32\DRIVERS\VBoxNetFlt.sys
c:\windows\system32\drivers\idmtdi.sys
c:\windows\system32\drivers\ElbyVCD.sys
c:\windows\system32\msgsvc.dll
c:\windows\system32\drivers\tcpip.sys

منتظرم

همچنين شما اين برنامه رو دانلود كن و طبق عكس يه اسكن بگير و اون دوتا فايل رو اينجا بزار

کد:

http://www.itxassociates.com/OT-Tools/OTL.exe

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
10-08-2011, 15:48
as13851365

نقل قول:

1-الان همچنان هارد چراغ شما به طور دائم روشنه و چشمك نمي زنه؟

نه دیگه به حالت عالی برگشته ( در پست 4 این مورد رو گفتم )

نقل قول:

2-همچنان سرچ هاي گوگل اون جوري مي شن يا فقط يه بار بود؟

این مورد هم یک بار در همان روز اتفاق افتاد از اون روز به بعد همچین چیزی اتفاق نیافته است .

نقل قول:

تست کردم هیچ مشکلی نیست فقط بعد از زمانی ( اجرای بعضی فایلها اجرایی { که دارم دونه دونه بررسیشون می کنم } ) این مشکل رخ می ده
3- نتيجه چي شد؟

خوب برنامه های زیادی رو بررسی کردم ( مخصوصا اون برنامه هایی که در روزهای آخر نصب و یا اجرا کرده بودم و تنها فایلی که بهش مشکوک بودم همان PS.exe بود که شما گفتید مورد خاصی توش نیست

نقل قول:

سپس این 5 فایل رو برام در ویروس توتال آپلود کنید لینک اسکن رو اینجا بذارید: فقط لینک اسکن کافیه.

خوب همونطوری که گفتم ویندوز جدید نصب کردم و درایوهای دیگه رو قفل کردم ( کسی فایلهای موجود در اونها رو اجرا نکنه ) یعنی در کل فکر نکنم دیگه الان توی سیستم روتکیت یا ویروس دیگه ای باشه

نقل قول:

دقت کنید دوستان دیگه گفته بودند اسکن با MBAM ، این یک نکته ضروری حتما این رو هم انجام بدید دوست عزیز. حجم زیادی رو نمیبره برای اپدیت و دانلود ، در ضمن برای اسکن میتونید فقط کوئیک اسکن رو انتخاب کنید.

خوب این عکس از برنامه
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

این هم لاک مربوط به آن :

کد:

http://www.upload.iran-forum.ir/uploads/1313065327.txt

نقل قول:

همچنين شما اين برنامه رو دانلود كن و طبق عكس يه اسكن بگير و اون دوتا فايل رو اينجا بزار

فایل : Extras.Txt

کد:

http://www.upload.iran-forum.ir/uploads/1313015730.txt

فایل : OTL.Txt
اندازه : 61 کیلوبایت
اندازه خود فایل 1.18 مگابایت بود که زیپش کردم و اندازش 61 کیلوبایت هستش
لینک :

کد:

http://www.upload.iran-forum.ir/uploads/1313040171.rar

به کمک شما دوستان الان فکر کنم ویندوز سالم باشه و هیچ مشکلی نداشته باشه
فقط از این می ترسم که این روتکیته به فایلهای دیگه چسبیده باشه و با اجرای اونها دوباره اجرا بشه
10-08-2011, 15:58
Dr Hannibal

اون مسیری که ما دنبالش بودیم کمک کنیم که نشد ، الان نه دیگه با کمبوفیکس میشه کار کرد نه olt فایده داره نه چیزه دیگه ای.

ببینید بحث رفع آلودگی با آلوده نشدن جداست و کارایی که الان شما باید بکنید با قبل فرق میکنه.

ما یک سری سوئیت امنیتی داریم که میتونه تقریبا تا 100% براتون امنیت بیاره. من میخوام یکی از این سوئیت هارو توی سیستمی که الان پاکه نصب کنید. تنظیمات رو بدقت انجام بدید بعد از نصب و کانفیگ سوئیتی که پایین میذارم درایو هارو بدون نگرانی باز کنید.

تاپیک زیر رو باز کنید

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] ( [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] ... [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] )

کمودو اینترنت سکیوریتی رو نصب کنید. تنظیمات درست در پست دوم گفته شده. تنظیمات رو بدقت انجام بدید.
وقتی که کاملا کار با این سوئیت رو یاد گرفتید درایو هارو آزاد کنید و موارد مشکوک رو دستی پاک کنید.

هر مشکلی داشتید اگر در مورد کمودو بود در تاپیک خودش مطرح کنید معمولا جواب به سرعت داده میشه. یا اگه در مورد آلودگی بود همینجا مطرح کنید.

موفق باشید
10-08-2011, 16:43
MrGee

نقل قول:

به کمک شما دوستان الان فکر کنم ویندوز سالم باشه و هیچ مشکلی نداشته باشه
فقط از این می ترسم که این روتکیته به فایلهای دیگه چسبیده باشه و با اجرای اونها دوباره اجرا بشه

اگه الان سيستم شما سالمه و مشكل پوشه هاي تك حرفي رو نداره؟؟
اگه اين طوره پس احتياجي به لاگ نيست
شما يه بار هم با آخرين نسخه هاي كمودو, كسپر و نورتون كل هارد رو چك كن
و اگه بعدا دوباره اين مشكل پيش اومد لاگ OTL رو اينجا بزار
10-08-2011, 18:40
as13851365

اینجا جا داره از عزیزانی چون drhaniball و MR Cracker که با راهنمایی ها و پیگیریهای خودشون راهنمایی بزرگی رو در حقم کردن تشکر کنم .

تا حالا همچین چیزی ندیده بودم ( دورادور اسمش رو شنیده بودم ) و هیچ آشنایی باهاش نداشتم

نقل قول:

هر مشکلی داشتید اگر در مورد کمودو بود در تاپیک خودش مطرح کنید معمولا جواب به سرعت داده میشه. یا اگه در مورد آلودگی بود همینجا مطرح کنید.

حتما همین کار رو می کنم

نقل قول:

شما يه بار هم با آخرين نسخه هاي كمودو, كسپر و نورتون كل هارد رو چك كن

همچین فکری هم دارم

بابت راهنماییهاتون ممنون