مشکلات آلوده شدن سیستم به ویروس ها و اسپای ور ها ( ابتدا پست اول را ببینید )

[Farahmand Farshidy]

سلام دوست عزیز

فایل زیر راداونلود کن و آن را اجرا کن.( البته اگر ویروس مزبور اجازه اجرای آن را بدهد ) در صفحه اول گزینه

Do a system scan and save a logfile را انتخاب کن و گزارش اسکن را به طور کامل اینجا Copy&Past کن:

سلام دوست من!!
ممنون از رهنمایی خوبت!
من برنامه ویا فایلی که لینکش را برایم گزاشته بودی، دانلود نمودم و اینهم گزارشش:

Logfile of HijackThis v1.99.1
Scan saved at 0318 ب.ظ, on 2007/04/02
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\Explorer.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Symantec AntiVirus\DefWatch.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Symantec AntiVirus\Rtvscan.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\RVHOST.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\stsystra.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\PROGRA~1\SYMANT~1\VPTray.exe
C:\Program Files\Common Files\InstallShield\UpdateService\issch.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\RVHOST.exe
C:\WINDOWS\BricoPacks\Vista Inspirat\ObjectDock\ObjectDock.exe
C:\WINDOWS\BricoPacks\Vista Inspirat\YzToolbar\YzToolBar.exe
C:\Program Files\Yahoo!\Messenger\YPager.exe
C:\Program Files\Corel\Corel Photo Album 6\MediaDetect.exe
C:\WINDOWS\system32\wuauclt.exe
E:\New AVG\HijackThis.exe
F2 - REG:system.ini: Shell=Explorer.exe RVHOST.exe
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [SigmatelSysTrayApp] stsystra.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\VPTray.exe
O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Program Files\Common Files\InstallShield\UpdateService\ISUSPM.exe" -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Program Files\Common Files\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [Corel Photo Downloader] C:\Program Files\Corel\Corel Photo Album 6\MediaDetect.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Yahoo! Pager] "C:\Program Files\Yahoo!\Messenger\ypager.exe" -quiet
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Yahoo Messengger] C:\WINDOWS\system32\RVHOST.exe
O4 - Startup: Stardock ObjectDock.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat\ObjectDock\ObjectDock.exe
O4 - Startup: Y'z ToolBar.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat\YzToolbar\YzToolBar.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System, DisableRegedit=1
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{3C3F10AE-B653-4335-9655-728165231CF0}: NameServer = 66.178.2.16,58.147.128.7
O17 - HKLM\System\CS1\Services\Tcpip\..\{3C3F10AE-B653-4335-9655-728165231CF0}: NameServer = 66.178.2.16,58.147.128.7
O17 - HKLM\System\CS2\Services\Tcpip\..\{3C3F10AE-B653-4335-9655-728165231CF0}: NameServer = 66.178.2.16,58.147.128.7
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\system32\NavLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - C:\Program Files\Symantec AntiVirus\DefWatch.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: SAVRoam (SavRoam) - symantec - C:\Program Files\Symantec AntiVirus\SavRoam.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec AntiVirus - Symantec Corporation - C:\Program Files\Symantec AntiVirus\Rtvscan.exe

[Farahmand Farshidy]

سلام دوست عزیز!!
منتظر رهنمایی هر چه عاجلت هستم.
خیلی مزاحمم شده.لطفاً شرشو از سرم کم کن.
بااحترام
فرهمند

[vtn54]

سلام دوست عزیز!!
منتظر رهنمایی هر چه عاجلت هستم.
خیلی مزاحمم شده.لطفاً شرشو از سرم کم کن.
بااحترام
فرهمند

سلام دوست عزیز

سیستم شما مورد حمله یک کرم قرار گرفته است که نامهای مختلفی دارد :

* Trojan.Agent.ahe (Rising)

* W32/SillyFDC-G (Sophos)

* W32/SillyFDC.G (Fortinet)

* W32/Sohanat.BD.worm (Panda)

* Win32.HLLW.Cung (Doctor web)

* Win32/Nuqel.A (Ca vet)

* Win32:Hakaglan [Wrm] (Alwil)

* Worm.Hakaglan.B (Virusbuster)

* Worm.Win32.AutoIt.e (Kaspersky)

* Worm/Hakaglan.A.2 (H+BEDV)

خوب دوست عزیز اولین و بهترین کار این است که از خود نورتون که روی سیستمت نصب است کمک بگیری برای

اینکار به ترتیب کارهایی را که می گویم انجام بده :

1.سرویس System Restore ویندوز را غیر فعال کن و نورتون را کاملا آپدیت کن و سیستمت را ریستارت کن.

2.برنامه کم حجم [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] را داونلود و

نصب کن .پس از نصب آن ریستارت کن و به Safe Mode برو و سپس به پوشه سیستم 32 وافع در پوشه ویندوز ( روی

درایو C ) برو و فایل RVHOST.exe را پیدا کن ( البته قبلا باید در Folder Option فایلها را از حالت Hidden در آورده

باشی ) بعد روی آن کلیک کن و از منوی باز شده گزینه Unlocker را انتخاب کن در پنجره ای که باز می شود گزینه Delete

را انتخاب کن و OK را بزن :



اگر برنامه توانست فایل مزبور را پاک کندکه چه بهتر ولی اگر نتوانست پنجره زیر پدیدار می شود که فقط Yes را بزن و

ریستارت کن :



3.حالا سیستمت را با نورتون به طور کامل اسکن کن اگر نورتون چیزی پیدا نکرد کاسپرسکی و یا دکتر وب و یا پاندا را

نصب و آپدیت کن و سیستمت را با آنها اسکن کن و هر آلودگی را که پیدا کردند به طور کامل پاک کن .

4.اگر توانستی مراحل فوق را با موفقیت طی کنی باید کلیدهای رجیستری را هم به طور دستی پاک کنی ک

پنجره Registry Editor را باز کن و کلیدهای زیر را پیدا کن :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Shell Folders

و در هر کدام از آنها گزینه های مربوط به ویروس یا همان RVHOST.exe ( که خودش را با نام یاهو مسنجر هم معرفی

می کند ) پیدا و Delete کن ( البته فقط گزینه مربوط به ویروس را نه بقیه گزینه ها را ) برای احتیاط بیشتر بهتر است

قبل از دستکاری رجیستری از آن بک آپ بگیری.

حالا دوباره برنامه HijackThis را اجرا کن ببین نشانه های آلودگی با ویروس که موارد زیر هستند پاک شده اند یا نه :

C:\WINDOWS\system32\RVHOST.exe
F2 - REG:system.ini: Shell=Explorer.exe RVHOST.exe
O4 - HKCU\..\Run: [Yahoo Messengger] C:\WINDOWS\system32\RVHOST.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System, DisableRegedit=1

اگر در انجام هر کدام از مراحل بالا مشکل داشتی بگو تا کمکت کنیم.

[peyman_nn]

p-derakhshani جان حتما یه جوری همون Service.exe که vtn گفت آپلود کن تا ما با آنتی ویروسهای مختلف تستش کنیم. نگران من هم نباش.میدونم از دست دادن اطلاعات مهم چقدر ناراحت کننده ست.خودم 2 بار تجربه کردم.
من از قبل برای هرگونه حمله احتمالی آماده شدم.

سلام و خیلی ممنون
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
این هم فولدر services که از document\localsitting\temp\services اوردم و به صورت exe در امده
وقتی تو کافی نت داشتم اپلود می کردم nod در قسمت threat نوشته بود win32/delf.yh trojan
و گزینه dell هم داشت ولی nod اپدیت شده من اینگونه نبود و اصلا تشخیص ان همانی بود که قبلا گفتم و
اصلا گزینه dell نداشت.
قابل توجه دوستانی که فولدر های بزرگ آنها مخفی شده ، من با

McAfee Virus-Scan Plus 2007

اونا رو آوردم و دیگه مخفی نشد ولی همچنان ویروسی بود و حجم آن را همان 37.5 نشان میداد
ممنون

[*Batman*]

سلام.
اینکه حجمی نداره. مطمئنی درست آپلود شده؟

[vtn54]

سلام و خیلی ممنون
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
این هم فولدر services که از document\localsitting\temp\services اوردم و به صورت exe در امده
وقتی تو کافی نت داشتم اپلود می کردم nod در قسمت threat نوشته بود win32/delf.yh trojan
و گزینه dell هم داشت ولی nod اپدیت شده من اینگونه نبود و اصلا تشخیص ان همانی بود که قبلا گفتم و
اصلا گزینه dell نداشت.
قابل توجه دوستانی که فولدر های بزرگ آنها مخفی شده ، من با

McAfee Virus-Scan Plus 2007

اونا رو آوردم و دیگه مخفی نشد ولی همچنان ویروسی بود و حجم آن را همان 37.5 نشان میداد
ممنون

سلام دوست عزیز

فایل را درست آپلود نکرده ای حجم فایل آپلود شده صفر است .ویروسی که از آن نام برده ای با آنکه در پستهای قبلی به

آن اشاره کرده ای متفاوت است win32/delf.yh فایلهایی با پسوند jpg و zip را از روی هارد پاک می کند ( مخفی نمی

کند. ) مک آفی ویروس را با چه نامی می شناسد ؟

[*Necromancer]

cancellation

[peyman_nn]

McAfee has detected a potentially unauthorized change to your computer.

Details
SystemGuard Name: Winlogon Shell
Change: Registry Modified

More Info
SystemGuard Description: The Winlogon Shell is automatically loaded when a user logs on to Windows. The Shell is the main User Interface (UI) used to manage Windows and is usually Windows Explorer (explorer.exe). However, the Windows Shell can be easily changed to point to another program. If this occurs, a program other than the Windows Shell is launched every time a user logs on.

Process: F:\game save.exe
Affected Items: C:\WINDOWS\explorer.exe, HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\shell

If you did not expect this change, McAfee recommends that you block it. If you expected this change, allow it.

این پیغامیه که وقتی وارد درایو f و فولدر game save شدم داد و دو گزینه allow change و block change
را داد .
در ضمن این تروجان فایلهای jpg و zip را پاک میکنه ولی فایلهای بزرگ زیپ رو پاک نمی کنه
همچنین فولدرهای بزرگ رو وقتی واردش میشی و میای بیرون ، اونا رو هم مخفی می کنه.
در ضمن مک آفی اونو نمیشناسه
اون فولدر services را هم نمیذاره کپی بگیرم و آپلود کنم
nod32 وقتی run میشه میگه این فایل services.exe را باید پاک کنی و بعد میگه باید سیستم reboot بشه
ولی بعد از رستارت باز همان آش و ...
من قبل از این ویروس بودم ولی الان سه هفته است که شدم

[peyman_nn]

McAfee has detected a potentially unauthorized change to your computer.

Details
SystemGuard Name: Winlogon Shell
Change: Registry Modified

More Info
SystemGuard Description: The Winlogon Shell is automatically loaded when a user logs on to Windows. The Shell is the main User Interface (UI) used to manage Windows and is usually Windows Explorer (explorer.exe). However, the Windows Shell can be easily changed to point to another program. If this occurs, a program other than the Windows Shell is launched every time a user logs on.

Process: F:\game save.exe
Affected Items: C:\WINDOWS\explorer.exe, HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\shell

If you did not expect this change, McAfee recommends that you block it. If you expected this change, allow it.

این پیغامیه که وقتی وارد درایو f و فولدر game save شدم داد و دو گزینه allow change و block change
را داد .
در ضمن این تروجان فایلهای jpg و zip را پاک میکنه ولی فایلهای بزرگ زیپ رو پاک نمی کنه
همچنین فولدرهای بزرگ رو وقتی واردش میشی و میای بیرون ، اونا رو هم مخفی می کنه.
در ضمن مک آفی اونو نمیشناسه
اون فولدر services را هم نمیذاره کپی بگیرم و آپلود کنم
nod32 وقتی run میشه میگه این فایل services.exe را باید پاک کنی و بعد میگه باید سیستم reboot بشه
ولی بعد از رستارت باز همان آش و ...
من قبل از این ویروس بودم ولی الان سه هفته است که شدم

[vtn54]

McAfee has detected a potentially unauthorized change to your computer.

Details
SystemGuard Name: Winlogon Shell
Change: Registry Modified

More Info
SystemGuard Description: The Winlogon Shell is automatically loaded when a user logs on to Windows. The Shell is the main User Interface (UI) used to manage Windows and is usually Windows Explorer (explorer.exe). However, the Windows Shell can be easily changed to point to another program. If this occurs, a program other than the Windows Shell is launched every time a user logs on.

Process: F:\game save.exe
Affected Items: C:\WINDOWS\explorer.exe, HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\shell

If you did not expect this change, McAfee recommends that you block it. If you expected this change, allow it.

این پیغامیه که وقتی وارد درایو f و فولدر game save شدم داد و دو گزینه allow change و block change
را داد .
در ضمن این تروجان فایلهای jpg و zip را پاک میکنه ولی فایلهای بزرگ زیپ رو پاک نمی کنه
همچنین فولدرهای بزرگ رو وقتی واردش میشی و میای بیرون ، اونا رو هم مخفی می کنه.
در ضمن مک آفی اونو نمیشناسه
اون فولدر services را هم نمیذاره کپی بگیرم و آپلود کنم
nod32 وقتی run میشه میگه این فایل services.exe را باید پاک کنی و بعد میگه باید سیستم reboot بشه
ولی بعد از رستارت باز همان آش و ...
من قبل از این ویروس بودم ولی الان سه هفته است که شدم

سلام دوست عزیز

خوشبختانه مک آفی کمک بیشتری کرده است اولا اگر قبلا System Restore را غیر فعال نکرده ای آن را غیر فعال

کن بعد اگر دوستی داری که کاسپرسکی نسخه 6 روی کامپیوترش نصب است از او کمک بگیر : دو کار می توانی

بکنی هاردت را به مادربورد او وصل کنی و با استفاده از کاسپرسکی آپدیت شده هاردت را اسکن کنی و یا در صورت

امکان پذیر نبودن این امر با استفاده از کاسپرسکی موجود روی سیستم او یک Rescue CD درست کن و بعد

سیستمت را با آن بوت کن و بگذار سیستمت را به طور کامل اسکن کند و هرچه را پیدا کرد حتی اگر فایلی ضروری

بود پاک کن .بعد چند کار دیگر هم باید بکنی که اگر این کارها را کردی بگو تا آنها را هم بگویم.

درضمن برای آپلود این فایل لازم نیست آن را کپی کنی از آن یک فایل فشرده درست کن و بعد آپلود کن .