ویروس عجیب اتوران که اجازه اجرای Dos و ... رو نمیده

Printable View

11-09-2011, 08:54
befermatooo

ویروس عجیب اتوران که اجازه اجرای Dos و ... رو نمیده

سلام .

چند روزه پیش متوجه شده که نود32 پیغامی مبنی بر ویروس اتوران میده که نمیتونه حذفش کنه و جالب اینه که اصلا این هشدار حذف نمشه !

هشدار زیر :

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

خوب ، دوستان راهنمایی کردن و گفتن ازش لاگ بگیر و ... . منم خواستم این کار رو بکنم اما متوجه شدم این ویروس نمیزاره که فایل های لاگ گیری که با داس هستن اجرا بشن !

خواستم از System Restore استفاده کنم اما دیدم با اجراش سیستم ریست میشه !

تازه هم متوجه شدم که

پس تا اینجای کار :

1 - جلوگیری از اجرای Dos

2 - ریست شدن سیستم بعد از اجرای System Restore

3 - با اجرای Task Maneger سیستم ریست مشه !

4 - ناتوانی در اجرای جستجو در سیستم !

5 - محو شدن فولدر آپشن
11-09-2011, 09:06
Dr Hannibal

ویروس رو اینجا بذارید ، برای پیدا کردنش به این شکل عمل کنید

چطور ویروس autorun رو پیدا کنم ؟

برای کپی برداری از ویروس بهترین روش اینه که شما یک فلش مموری رو به ویندوز آلوده بزنید سپس فایل ویروس با پسوند اجرایی توی ریشه فلش کپی میشه و شما با نرم افزار winrar وارد فضای فلش میشید سپس ویروس مورد نظر رو پیدا کنید و روی آن کلیک راست کنید سپس add archive کنید و از گزینه brows مسیر ذخیره سازی رو مشخص و تایید کنید.
11-09-2011, 09:16
befermatooo

آهان . پیداش کردم :

کد:

http://www.pic.iran-forum.ir/images/l8970bcrndz5t1zcmtaq.rar

البته خود نود خواست حذفش کنه اما خوب نذاشتم ( من رو سیستم دیگه ای هستم )

فلش رو فرمت کردم و زدم به سیستم آلوده . ویروس هیدن بود با دستور attrib -h -r -s /s /d h:\*.* نمایان شد و بعد هم که اینجا گذاشتم

ویرایش :

عجبا ! تو سایت virustotal اسکن کردم ک همشون تشخیص دادن ویروسیه ! یعنی این ویروس مورد نظر ما نیست ؟
11-09-2011, 10:48
Dr Hannibal

یکم صبر کنید ،

هر وقت گفتم نرم افزار malware bytes رو نصب کنید ، اپدیت کنید ، سپس از سیف مد اسکن کنید.

تمامی مواردی که پیدا میکنه رو تیک بزنید و clean کنید. در خواست ریست هم تایید کنید.

موقع نصب پنجره اکتیو تریال رو کنسل کنید.

منتظر باشید.
11-09-2011, 11:05
befermatooo

نقل قول:

یکم صبر کنید ،

هر وقت گفتم نرم افزار malware bytes رو نصب کنید ، اپدیت کنید ، سپس از سیف مد اسکن کنید.

تمامی مواردی که پیدا میکنه رو تیک بزنید و clean کنید. در خواست ریست هم تایید کنید.

موقع نصب پنجره اکتیو تریال رو کنسل کنید.

منتظر باشید.

چشم . فقط 1 سوال ،

malware bytes رو نصب دارم و فول هست . دوباره حذف و نصب کنم ؟ ممنون داداش
11-09-2011, 11:11
Dr Hannibal

نقل قول:

نوشته شده توسط befermatooo [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

چشم . فقط 1 سوال ،

malware bytes رو نصب دارم و فول هست . دوباره حذف و نصب کنم ؟ ممنون داداش

نخیر احتیاجی نیست ، هر وقت لازم شد (میگم) آپدیت کنید بعد از سیف مد بالا بیایید و ادامه ماجرا.
11-09-2011, 11:17
farshid_vb

دوست عزیز فرمودن با Safe mode ولی اگه تروجان Safe mode را خراب کرده باشه .... چی ؟
پس من پیشنهاد میکنم به سایت من برین و

کد:

http://antitrojan.vcp.ir

با این راحت مشکلت حل میشه

اگه لطف هم کنین و نظر فراموشتون نشه

هیچ میدونید میشه ویروسی نوشت که هیچ آنتی ویروس آپدیتی نشناسه ؟!!!
پس آنتی ویروس به چه دردی میخوره ؟!!!
11-09-2011, 12:24
MrGee

نقل قول:

چند روزه پیش متوجه شده که نود32 پیغامی مبنی بر ویروس اتوران میده که نمیتونه حذفش کنه

تعجب مي كنم كه شما كه كافي نت داريد چه جوري از يه آنتي ويروس ضعيف بر روي سيستمهاتون استفاده مي كنيد
بهتره حداقل براي كامپيوتر مركزي از يه آنتي ويروس ديگه استفاده كنيد.

کد:

Detailed report of suspicious malware actions: Defined Autostart file added: C:\WINDOWS\autorun.inf Defined file type copied to Windows folder: C:\WINDOWS\system32\msmsgs.exe Defined registry AutoStart location added or modified: machine\software\microsoft\Windows\CurrentVersion\Run\Msmsgs = C:\WINDOWS\system32\Msmsgs.exe Defined registry AutoStart location added or modified: machine\software\microsoft\Windows\CurrentVersion\Run\SYS1 = C:\WINDOWS\system32\system.exe Defined registry AutoStart location added or modified: machine\software\microsoft\Windows\CurrentVersion\Run\SYS2 = C:\WINDOWS\system32\bad1.exe Defined registry AutoStart location added or modified: machine\software\microsoft\Windows\CurrentVersion\Run\SYS3 = C:\WINDOWS\system32\bad2.exe Defined registry AutoStart location added or modified: machine\software\microsoft\Windows\CurrentVersion\Run\SYS4 = C:\WINDOWS\system32\bad3.exe Defined registry AutoStart location added or modified: user\current\software\Microsoft\Internet Explorer\Toolbar\Explorer\ITBarLayout = 110000004C00000000000000340000001B000100560000000100000020070000A00F00000500000062050000260000000200000021070000A00F00000400000021010000A00F00000600000020050000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000[...] Defined registry AutoStart location added or modified: user\current\software\Microsoft\Internet Explorer\Toolbar\Locked = 01000000 Defined registry AutoStart location added or modified: user\current\software\Microsoft\Internet Explorer\Toolbar\ShellBrowser\{01E04581-4EEE-11D0-BFE9-00AA005B4383} = 8145E001EE4ED011BFE900AA005B4383100000000000000001E032F401000000 Defined registry AutoStart location added or modified: user\current\software\Microsoft\Internet Explorer\Toolbar\ShellBrowser\{EBE9E2B5-B526-48BC-AD46-687263EDCB0E} = B5E2E9EB26B5BC48AD46687263EDCB0E Disable registry tools: user\current\software\microsoft\windows\currentversion\policies\system\disableregistrytools = 01000000 Disable Task Manager: user\current\software\microsoft\windows\currentversion\policies\system\disabletaskmgr = 01000000 Hide file extension for known file types: user\current\software\microsoft\windows\currentversion\explorer\advanced\hidefileext = 01000000 Hide file from user: C:\WINDOWS\autorun.inf Hide file from user: C:\WINDOWS\system32\msmsgs.exe Show hidden files and folders: user\current\software\microsoft\windows\currentversion\explorer\advanced\hidden = 02000000 Risk evaluation result: High
11-09-2011, 12:44
befermatooo

نقل قول:

تعجب مي كنم كه شما كه كافي نت داريد چه جوري از يه آنتي ويروس ضعيف بر روي سيستمهاتون استفاده مي كنيد
بهتره حداقل براي كامپيوتر مركزي از يه آنتي ويروس ديگه استفاده كنيد.

سلام .

پیشنهاد شما چیه ؟ یک انتی قوی ؟

در ضمن فکر کنم اینایی که نوشتی با نوع آلودگی من بخونه !
11-09-2011, 12:56
MrGee

نقل قول:

پیشنهاد شما چیه ؟ یک انتی قوی ؟

اين رو جناب drhaniball بهتر مي دونن ولي به نظر من كسپر كمودو و نورتون از بقيه بهتر هستند
و براي كلاينتها هم از ديپ فريز استفاده كنيد كه سيستم ها هم كند نشن

نقل قول:

در ضمن فکر کنم اینایی که نوشتی با نوع آلودگی من بخونه !

اونها در واقع نتايج آناليز اون فايلي كه گذاشتيد هست كه اگه كسي لازم داشت مي تونه استفاده كنه ;)
11-09-2011, 13:04
befermatooo

باتشکر از drhaniball و MR Cracker عزیز .

نقل قول:

هر وقت گفتم نرم افزار malware bytes رو نصب کنید ، اپدیت کنید ، سپس از سیف مد اسکن کنید.

تمامی مواردی که پیدا میکنه رو تیک بزنید و clean کنید. در خواست ریست هم تایید کنید.

دمت گرم ، مشکلم حل شد .

حالا یکسوال ، واسه سیستمم چی رو پیشنهاد میکنی ؟
11-09-2011, 16:49
Dr Hannibal

من برای کافی نت همونطور که توی پ خ قبلا گفته بودم دیپ فیریز پیشنهاد میکنم ، و نیاز به انتی ویروس نیست ، هرچند که مخرب هایی هستند دیپ فیریز رو هم خراب کنند ولی احتمالش بسیار کمتر از ویروسی شدن با نود32 هست.

راستی از روی مسیرهای که دوستمون [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] گذاشته بود آلودگی رو پاک کردین یا با نرم افزار ؟
11-09-2011, 18:10
befermatooo

نقل قول:

نوشته شده توسط drhaniball [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

من برای کافی نت همونطور که توی پ خ قبلا گفته بودم دیپ فیریز پیشنهاد میکنم ، و نیاز به انتی ویروس نیست ، هرچند که مخرب هایی هستند دیپ فیریز رو هم خراب کنند ولی احتمالش بسیار کمتر از ویروسی شدن با نود32 هست.

راستی از روی مسیرهای که دوستمون [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] گذاشته بود آلودگی رو پاک کردین یا با نرم افزار ؟

چیزی که شما گفتید ، با مایلوار تو Safe mode اسکن کردم و 14 ویروس شناسایی شد و بعد از ریست ویروس از بین رفت .
11-09-2011, 18:36
Dr Hannibal

نقل قول:

نوشته شده توسط befermatooo [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

چیزی که شما گفتید ، با مایلوار تو Safe mode اسکن کردم و 14 ویروس شناسایی شد و بعد از ریست ویروس از بین رفت .

هنوز تمام تغییرات این ویروس ثبت نشده ، کمی صبر کنید هروقت ثبت شد ، (طی ساعات آینده) اعلام میکنم و شما یک بار دیگه آپدیت کنید و از همون محیط ویندوز (دیگه نیاز به سیف مد نیست) کامل درایو ویندوز رو اسکن کنید. (درایو های دیگه لازم نیست)

موفق باشید
11-09-2011, 18:54
befermatooo

نقل قول:

هنوز تمام تغییرات این ویروس ثبت نشده ، کمی صبر کنید هروقت ثبت شد ، (طی ساعات آینده) اعلام میکنم و شما یک بار دیگه آپدیت کنید و از همون محیط ویندوز (دیگه نیاز به سیف مد نیست) کامل درایو ویندوز رو اسکن کنید. (درایو های دیگه لازم نیست)

یعنی چی ؟

یکم در موردش توضیح میدی ؟ :20:
11-09-2011, 21:03
Dr Hannibal

نقل قول:

نوشته شده توسط befermatooo [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

یعنی چی ؟

یکم در موردش توضیح میدی ؟ :20:

ویروس رو برای MBAM ارسال کردم ، توی آپدیت بعدی قرار میگیره ، (وقتی توی آپدیت قرار بگیره تمام ایراداتی که فرض میگیریم هنوز روی سیستم شما باقی مانده رو رفع میکنه)

این ویروس چون بازنویسی شده بوده ، تغییراتی که ایجاد میکنه تقریبا یکسان با نسخه های قدیمیش بوده پس با اینکه MBAM فایل اصلی ستاپ ویروس جدید رو در حال حاظر تشخیص نمیده و ندده اما چون مزیت MBAM این هست که با ثبت یک ویروس اکثر خراب کاری های اون رو هم با آپدیت میفرسته تونسته از همون آپدیت نسخه قدیمی این ویروس رو پاک کنه ،

پس برای اینکه کاملا مطمئن بشیم تمام خراب کاری های این فایل ستاپ رفع شده باید صبر کرد تا آپدیتش ارسال بشه ،