مشکلات آلوده شدن سیستم به ویروس ها و اسپای ور ها ( ابتدا پست اول را ببینید )

[zhina_gian]

سلام
اگه ممکنه راجع به این ویروسی که کارت صدا و مودم رو الوده میکنه
که حتی اسمشو هم ندارم اطلاع بدین
چکارش کنم
صدا خش دار و سرعت اینترنت ژایین میاد
ممنون

اگر تاثیرات اون ویروس رو میدونید چیه اونوقت شما فقط به یک برنامه HIPS احتیاج دارید. معمولا این گونه از برنامه ها
99 درصد ویروسها و تروجانها رو با توجه به اطلاعات شخصی کاربر میتونند تشخیص بدند. بطور مثال شما میدونید که
قسمت استارت آپ سیستمتون در داخل کدامیک از کلیدهای رجیستری قرار داره. پس در این صورت اگر شما برنامه
ای نصب کنید که در هنگام اضافه شدن چیزی به استارت آپ بهتون خبر بده اونوقت این شما هستنید که تعیین میکنید
اون برنامه مطمئن است یا نه؟ و آیا اجازه اضافه شدن به سرویس ویندوز و یا استارت آپ رو داره یا نه؟

در کل برنامه های HIPS تا جایی که ممکنه همه تغییرات سیستم رو زیر نظر میگیرند. بعضی از این برنامه ها حتی از
دیتابیس نیز برای تشخیص برنامه های معمولی و سرویس های خود ویندوز استفاده میکنند تا کاربران مجبور نباشند
برای دونه به دونه سرویس ها و برنامه ها دستور تعیین کنند. از برنامه هایی که سیستم محافظت خوبی دارند
میتونم اینها رو به شما معرفی کنم.

نصب فایروال Comodo به صورت Training Mode و همراه با فعال کردن +D
TreatFire Free محصول کمپانی PC Tools
Online Armor Firewall Free
PrevX 2 پولیه و کرکی هم براش وجود نداره. اما حتما باید به صورت Expert Mode نصب بشه.
Outpost Firewall Pro همراه با نصب بصورت Advanced و فعال کردن قسمت Leak
Kaspersky Internet Security هم سیستم PDM داره اما زیاد حرفه ای نیست ولی کار خودش رو خوب انجام میده.
Ghost Security هم یک برنامه حرفه ای است و برای استفاده از این برنامه باید سطح اطلاعات خوبی داشته
باشید.
و غیره ....

در کل اگر کسی یکی از برنامه های بالا رو در کنار آنتی ویروس و یا فایروال خودش استفاده بکنه حتی آنتی ویروس
هم قادر به تشخیص فایل آلوده نباشه خود طرف با توجه به پیغام برنامه میتونه بفهمه که اون فایل چه تغییراتی رو به وجود میاره و ممکنه چه زیان هایی رو به سیستم وارد بکنه. و توسط همین پیغامها میتونه جلوی این خرابکاری
ها رو بگیره.

برای آشنایی با پیغامها میتونید عکس زیر رو ببینید. اگر واقعا میتونید از عهده این کار بر بیاید و
مشکلی رو برای سیستم ایجاد نکنید اونوقت من پیشنهاد میکنم که حتما یکی از برنامه های
بالا رو که نام بردم در سیستم خودتون استفاده کنید.

[vtn54]

سلام.
من log گرفتم نتیجه این شد:

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

دوست عزیز مشکل شما چیست ؟ شما روی سیستمتان آنتی ویروس فعال ندارید. در صورت وجود مشکل اولین

قدم نصب یک آنتی ویروس و اسکن سیستم است نه گرفتن Log !

[alirezazzz]

دوست عزیز مشکل شما چیست ؟ شما روی سیستمتان آنتی ویروس فعال ندارید. در صورت وجود مشکل اولین

قدم نصب یک آنتی ویروس و اسکن سیستم است نه گرفتن Log !

آخه کامپیوترم بد جوری ویروسی شده.با Nod32 و Avast 4.7 هم وقتی اسکن می کنم همه فایل های exe رو به عنوان ویروس می شناسه ، از jetAudio و photoshop گرفته تا nero و clone cd .
ویندوزم رو هم عوض کردم ولی بازهم همون جوریه.

[zhina_gian]

آخه کامپیوترم بد جوری ویروسی شده.با Nod32 و Avast 4.7 هم وقتی اسکن می کنم همه فایل های exe رو به عنوان ویروس می شناسه ، از jetAudio و photoshop گرفته تا nero و clone cd .
ویندوزم رو هم عوض کردم ولی بازهم همون جوریه.

اسم ویروس و یا ویروسهایی رو که تا بحال ناد32 و یا آنتی ویروسهای دیگه بهت گزارش دادند رو اینجا بنویس. تا
دوستان بتونند بهتر کمکت کنند. اینطوری که نمیشه.

منز ماشینم خراب شده بهم بگیت چش شده؟

این یک نمونه اش شما باید اطلاعات دقیق تر و بهتری رو ارائه بدید تا جواب بهتری نیز دریافت کنید.

[alirezazzz]

آنتی ویروس NOD32 تمام برنامه هایی که به عنوان ویروس می شناسه Threat اون رو Win32/Sality.NAM virus تشخیص می ده.حتی فایل اجرایی خود NOD32 رو هم از همین نوع ویروس تشخیص میده و هنگ می کنه!!
عکس یکی از فایل هایی رو هم که به عنوان ویروس تشخیص داده در پایین می بینید.

در ضمن وقتی می خوام با Safe Mode ویندوز را اجرا کنم ، بعد از لود کردن حدود 20 فایل کامپیوتر را ریست می کنه.
لطفاً سریعتر جواب بدهید.ممنون.

[eimandaei]

آقا خواهشا يكي اين مشكل من رو حل كنه. يه ويروس افتاده به جون سيستمم كه مياد Folder Option رو از كار ميندازه. بعدشم فايلهاي مخفي رو نشون نميده. سه بار ويندوزم رو عوض كردم ولي هيچ بار حريفش نشدم. آنتي ويروسم مك كافي هست. فايل آپديتش رو كه اجرا ميكنم ديگه آنتي ويروس از كار ميافته. اينم از شيرين كاريهاي اين ويروسه. يكي راهنما ئيم كنه چيكار كنم اين لعنتي رو.

[eimandaei]

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 1257 AM, on 2/16/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE
C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe
C:\Program Files\Common Files\Network Associates\TalkBack\TBMon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\DOCUME~1\xantia\LOCALS~1\Temp\svchost.exe
C:\WINDOWS\system32\wpabaln.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\xantia\Desktop\HiJackThis.exe
C:\WINDOWS\system32\wuauclt.exe

O4 - HKLM\..\Run: [SoundMax] C:\Program Files\Sound Utility\Soundmax.exe
O4 - HKLM\..\Run: [ShStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Program Files\Common Files\Network Associates\TalkBack\TBMon.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Office Update.lnk = C:\WINDOWS\Web\OfficeUpdate.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{3785E9B1-56EF-4245-B3DC-4F2F2E0F827A}: NameServer = 217.218.155.104 217.218.155.105
O17 - HKLM\System\CS1\Services\Tcpip\..\{3785E9B1-56EF-4245-B3DC-4F2F2E0F827A}: NameServer = 217.218.155.104 217.218.155.105
O23 - Service: McAfee Framework Service (McAfeeFramework) - Network Associates, Inc. - C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\Mcshield.exe
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe

--
End of file - 3011 bytes

[zhina_gian]

آنتی ویروس NOD32 تمام برنامه هایی که به عنوان ویروس می شناسه Threat اون رو Win32/Sality.NAM virus تشخیص می ده.حتی فایل اجرایی خود NOD32 رو هم از همین نوع ویروس تشخیص میده و هنگ می کنه!!
عکس یکی از فایل هایی رو هم که به عنوان ویروس تشخیص داده در پایین می بینید.

در ضمن وقتی می خوام با Safe Mode ویندوز را اجرا کنم ، بعد از لود کردن حدود 20 فایل کامپیوتر را ریست می کنه.
لطفاً سریعتر جواب بدهید.ممنون.

دوست عزیز تا جایی که من متوجه شدم سیستم شما به همان کرم معروف New Folder آلوده شده. راه های پاک
کردن این کرم بارها و به دفعات توسط دوستان در صفحات قبل توضیح داده شده. البته اکثر آنتی ویروسها تا حالا این
کرم رو شناسایی میکنند و به احتمال زیاد شما بعد از مرگ سهراب به فکر نوش دارو افتادید و ناد32 رو نصب کردید.
چون زمانی که شما ناد32 رو بصورت فعال در سیستم بصورت آپدیت شده داشته باشید نه تنها به این کرم بلکه به
هیچ ویروس دیگه ای حتی اجازه تکون خوردن هم نمیده چه برسه به اینکه کدهای خودش رو در فایل های دیگه
تزریق بکنه.

در بعضی از راهکارهایی که برای پاک کردن این کرم گفته شده احتیاج به رفتن به حالت Safe Mode وجود داره اما با
توجه به اینکه شما میگید به حالت سیف مد نمیتونید برید و اگر برید سیستم خود به خود رستارت میشه من 2 راه
را به شما پیشنهاد میکنم.

1. نکاتی رو که قبلا برای پاکسازی این کرم گفته شده رو بدقت قدم به قدم انجام بدید. البته با توجه به اینکه حتما
حتما اول System Restore رو غیر فعال کرده باشید.

2. اگر با هیچکدام از روشهایی که دوستان گفتند به نتیجه نرسیدید اونوقت شما به آنتی ویروس و یا آنتی سپای
وری احتیاج پیدا خواهید کرد که قبل از بالا اومدن سیستم و در حالت بوت بتونه سیستم رو اسکن و آلودگی ها رو
پاک کنه. تا جایی که من خبر دارم تنها آنتی ویروسی که میتونه قبل از بالا آمدن سیستم و در حالت بوت سیستم
رو اسکن کنه آنتی ویروس Avast است. و تنها آنتی سپای وری هم که این کرم رو شناسایی میکنه و در حالت
بوت میتونه سیستم رو اسکن کنه Sunbelt CounterSpy 2 است.

من به شما پیشنهاد میکنم که آنتی ویروس Avast Professional 4.7 را دانلود کنید. شما از این آنتی ویروس به
مدت چند ماه آزمایشی میتونید استفاده کنید پس دنبال کرک و یا کیجن نباشید چون وقت این رو بعدا دارید.

قبل از اینکه این آنتی ویروس رو نصب کنید اول باید هر چی آنتی ویرس بر روی سیستم بصورت فعال دارید پاک
کنید و بعد از رستارت اقدام به نصب این آنتی ویروس بکنید. بعد از تمام شدن نصب حتما حتما آنتی ویروستون
رو چه از طریق دستی و چه اتوماتیک آپدیت کنید. و بعد در قسمت اسکنش تعیین کنید که عمل اسکن در حالت
بوت را بعد از رستارت سیستم انجام دهد.

البته یادتون باشه که در قسمت تنظیمات اسکن این آنتی ویروس تعیین کنید که بعد از پیدا کردن فایل آلوده اول
اون رو Clean کنه و در مرحله بعد اگر نتونست اون رو Delete کنه. بعد هم سیستمتون رو رستارت میکنید و
این آنتی ویروس قبل از بالا اومدن ویندوز شروع میکنه به اسکن کل درایو های شما و هر چی فایل آلوده پیدا
بکنه اگر قابل پاکسازی باشه که هیچی وگرنه اونها رو پاک میکنه.

بهر حال شما 2 حالت بیشتر ندارید یا روش دوستان رو امتحان بکنید یا از Avast استفاده بکنید.

موفق باشید.

در ضمن آنتی ویروسهایی که این کرم رو شناسایی میکنند اینها هستند...

AhnLab-V3 2007.7.14.0 2007.07.14 Win-Trojan/Brontok.106496
AntiVir 7.4.0.39 2007.07.13 W32/Sality.s
Authentium 4.93.8 2007.07.13 W32/Backdoor.ANGS
Avast 4.7.997.0 2007.07.13 Win32:Sality-AM
AVG 7.5.0.476 2007.07.13 Win32/Sality
BitDefender 7.2 2007.07.14 Trojan.Agent.VB.Q
CAT-QuickHeal 9.00 2007.07.14 W32.Sality.S
ClamAV devel-20070416 2007.07.14 W32.Sality
DrWeb 4.33 2007.07.14 Win32.Sector.28682
eSafe 7.0.15.0 2007.07.10 Suspicious Trojan/Worm
eTrust-Vet 30.8.3784 2007.07.14 Win32/Sality.S
Ewido 4.0 2007.07.14 Trojan.VB.aol
Fortinet 2.91.0.0 2007.07.14 W32/SALITY.AL
F-Prot 4.3.2.48 2007.07.13 W32/Sality.AI
Ikarus T3.1.1.8 2007.07.14 Virus.Win32.Sality.n
Kaspersky 4.0.2.24 2007.07.14 Virus.Win32.Sality.s
McAfee 5074 2007.07.13 W32/Sality.ac
Microsoft 1.2704 2007.07.14 Virus:Win32/Sality.T
NOD32v2 2398 2007.07.14 Win32/Sality.NAM
Norman 5.80.02 2007.07.13 W32/Sality.W
Panda 9.0.0.4 2007.07.13 W32/Sality.Y
Sophos 4.19.0 2007.07.06 W32/Sality-AD
Sunbelt 2.2.907.0 2007.07.14 VIPRE.Suspicious
Symantec 10 2007.07.14 W32.Redlofwen
TheHacker 6.1.6.146 2007.07.13 Trojan/generic
VBA32 3.12.0.2 2007.07.13 Win32.HLLP.Kuku.309
VirusBuster 4.3.23:9 2007.07.13 Win32.Sality.AA.Gen
Webwasher-Gateway 6.0.1 2007.07.14 Win32.Sality.s

اما همانطور که گفتم بهترین گزینه برای شما Avast Pro است چون Boot Scan داره.

Avast 4.7 Professional Edition

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

Edit : تنظیمات بوت اسکن.

چون من خودم فعلا Avast ندارم گشتم و تنظیمات قسمت اسکن از طریق بوت رو براتون گیر آوردم.

1. بعد از نصب . رستارت و آپدیت بر روی آیکون آنتی ویروس کلیک راست میکنید و Start Avast! Antivirus رو
کلیک میکنید.



2. آنتی ویروس شروع میکنه به یک اسکن مموری و صفحه زیر رو به شما نشون میده. این اسکن 60 تا 90 ثانیه
ممکنه طول بکشه.



3. اسکنش که تموم شد خود آنتی ویروس که مانند یک ضبط ماشین و یا مدیا پلیر میمونه براتون باز میشه. البته
نگران نباشید اگر بعدا از قیافه اش خوشتون نیومد میتونید قیافه شون عوض کنید. حالا بر روی اون کلیک راست
میکنید و قسمت Schedule Boot-Time Scan رو انتخاب میکنید.



4. حالا برای شما یک پنجره دیگه باز میشه. در این پنجره شما قسمت هایی رو که با موس نشون داده شده رو
تیک میزنید و حتما در قسمت Advanced گزینه های "Move infected file to Chest" و "Allow delete or move" را
به ترتیب انتخاب میکنید. و در آخر نیز دکمه Schedule را میزنید.



5. حالا یک پنجره مانند پنجره زیر بهتون نشون داده میشه. در این قسمت بهتون میگه که آنتی ویروس احتیاج به
رستارت کردن سیستم داره، آیا میخواهید رستارت انجام شود یا نه؟



شما حتما باید قسمت Yes را بزنید اما قبل از اینکه این کار انجام دهید دقت کنید کارهای نصفه نیمه ای رو که
انجام دادید ذخیره کنید چون بعد از زدن یس سیستم شما رستارت میشود و قبل از بالا آمدن سیستم شروع به
اسکن سیستمتون میکنه.

مدت زمان طول اسکن بستگی به حجم و فضای گرفته شده از هارد شما و همچنین مقدار سرعت سیستمتون
داره اما معمولا این اسکن برای یک هارد معمولی مابین 30 تا 45 دقیقه طول میکشه.

بعد از تمام شدن اسکن سیستم دوباره رستارت میشه و در حالت عادی بالا میاد.
اما توصیه میکنم بعد از تمام شدن اسکن حتما سیستمتون رو با یک آنتی سپای ور قوی مانند AVG Anti Spyware
و یا Super AntiSpyware نیز اسکن کنید.

[alirezazzz]

دوست عزیز تا جایی که من متوجه شدم سیستم شما به همان کرم معروف New Folder آلوده شده. راه های پاک
کردن این کرم بارها و به دفعات توسط دوستان در صفحات قبل توضیح داده شده. البته اکثر آنتی ویروسها تا حالا این
کرم رو شناسایی میکنند و به احتمال زیاد شما بعد از مرگ سهراب به فکر نوش دارو افتادید و ناد32 رو نصب کردید.

واقعا ممنون که جواب دادی ولی من قبلا(خیلی وقت پیش) هم ویروس new folder.exe رو گرفته بودم که پاکش کردم ودر این مورد یه کمی تجربه دارم و میدونم که این ویروسی که الان pc من گرفته هیچ شباهتی به ویروس new folder نداره. همونطور که گفتم این ویروس جوریه که تمام فایلهای exe رو آلوده میکنه و آنتی ویروس nod و avast هم وقتی اسکن میکنند تقریبا همه فایلهای اجرایی(exe) برنامه ها رو ویروس (از همون مدلی که عکسش رو گذاشته بودم) تشخیص میده.
از اساتید این بخش خواهش میکنم منو راهنمایی کنند.

[zhina_gian]

واقعا ممنون که جواب دادی ولی من قبلا(خیلی وقت پیش) هم ویروس new folder.exe رو گرفته بودم که پاکش کردم ودر این مورد یه کمی تجربه دارم و میدونم که این ویروسی که الان pc من گرفته هیچ شباهتی به ویروس new folder نداره. همونطور که گفتم این ویروس جوریه که تمام فایلهای exe رو آلوده میکنه و آنتی ویروس nod و avast هم وقتی اسکن میکنند تقریبا همه فایلهای اجرایی(exe) برنامه ها رو ویروس (از همون مدلی که عکسش رو گذاشته بودم) تشخیص میده.
از اساتید این بخش خواهش میکنم منو راهنمایی کنند.

اون ویروسی که شما قبلا سیستمتون بهش آلوده شده بوده احتمالا از نوع ضعیفتر این ویروس بوده که فقط برای
بعضی قسمت های سیستم مشکل ایجاد میکرد اما الان که سیستمتون آلوده شده از نوع کرمی اون است.

این Worm انواع مختلفی داره و فقط 1 دونه نیست. این نوعی که سیستم شما رو آلوده کرده کدهای آلوده خودش رو
به فایل های Exe تزریق میکنه و سرعت اینترنت رو کاهش میده و در ضمن باعث دانلود کردن تروجانهای دیگه نیز به
سیستم میشه.

کافیه شما اسم این کرم رو در گوگل جستجو کنید تا متوجه بشید که این همون New Folder است. اسم هایی رو
که آنتی ویروسهای مختلف اون رو میشناسند رو براتون نوشتم. شما کافیه که اسم Win32/Sality را در
گوگل جستجو کنید تا متوجه بشید که انواع مختلفی از این ویروس وجود داره.