آنالـیز و پاکسازی سیستم های آلوده(ابتدا پست اول را ببینید و فایل گزارش را آماده کنید)

[A M ! N]

سلــامـــ... دوست عزیزم ارادتمندم.

آنتی ویروست ورژنش پایینه بهتره به روزش کنی، اخرین ورژن ناد 32
هنگامی که لیست پروسس هارو نیگاه میکنی ، گزینه ی

Show process from all users رو بزن تا تموم پروسس ها نشون داده بشه.

اگه باز هم اون پروسس رو پیدا نکردی که پردازنده رو درگیر کرده، بدون شک

کار یک ویروس هست که توی تسک خودشون مخفی بار کرده.

احتمال اینکه یک تروجان داشته باشی خیلی زیاده.


برنامه رو مجدد اجرا کن خطوط پایین رو تیک بزن و بعدش هم دکمه ی Fix checked رو بزن.

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

برنامه ی SuperAntispyware رو نصب کن + آپدیتش کن + اسکن quick انجام بده.
این برنامه ی پایین رو هم بگیر و نصب کن ( اولی رو )
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

سیستم رو کامل اسکن کن حتما.

بعد از پایان اینکارها یک لوگ دیگه بهم بده.

موفق باشی.

[14708]

سلام خسته نباشید
ویندوز 7 64 بیتی داشتم آپدیت شده همراه با آنتی ویروس مایکروسافت آپدیت شده ، داشتم فیلم میدیدم یهو صفحه آبی اومد و دیگه سیستم بالا نیومد بعدش ویندوز 7 میخواستم بریزم گاهی ارور بوت منیجر میداد و پاهی ارور ntdlr miising و گاهی بعد از انتخاب درایو برای ویندوز هنگام ک
ی فایل مینوشت که سی دی 1 ویندوز رو بندازید در حالی که همون دی وی دی ویندوز بود با این حال یکی دیگه تهیه کردم ولی همون ارور رو داد
درایو سی رو با یه نرم افزار بوت پاک کردم و دوباره ساختمش ولی مشکل حل نشد ، فق ویندوز اکس پی به صورت دست و پا شکسته نصب مبشه اون هم فایلهایی رو کهexe هستن رو معمولا باز نمیکنه یا وسط نصب ارورر nsis میده سایت اینترنتی هم فق گوگل رو باز میکنه
خلاصه الان سه روزه علافم و از خوابم میزنم تا درستش کنم ولی نمی شه و چون اطلاعات مهمی تو سیستمم دارم نمی تونم اون رو به کس دیگه ای بدم تا نگاهی کنه
الان با نرم افزار پست اول یه اسکن کردم این هم نتیجه اش ، ممنون میشم راهنمایی بفرمایید [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
در ضمن کارت گرافیکیم نصب نمی شه ای تی ای 5770 هس

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 11:01:09 PM, on 7/24/2012
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 SP3 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\ESET\ESET Smart Security\egui.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
C:\Program Files\VIA\VIAudioi\HDADeck\HDeck.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\ESET\ESET Smart Security\ekrn.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\msiexec.exe
C:\Program Files\Trend Micro\HiJackThis\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET Smart Security\egui.exe" /hide /waitservice
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [HDAudDeck] C:\Program Files\VIA\VIAudioi\HDADeck\HDeck.exe 1
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ESET Service (ekrn) - ESET - C:\Program Files\ESET\ESET Smart Security\ekrn.exe

--
End of file - 2826 bytes

[godfather_mk]

سلــامـــ... دوست عزیزم ارادتمندم.

آنتی ویروست ورژنش پایینه بهتره به روزش کنی، اخرین ورژن ناد 32
هنگامی که لیست پروسس هارو نیگاه میکنی ، گزینه ی

Show process from all users رو بزن تا تموم پروسس ها نشون داده بشه.

اگه باز هم اون پروسس رو پیدا نکردی که پردازنده رو درگیر کرده، بدون شک

کار یک ویروس هست که توی تسک خودشون مخفی بار کرده.

احتمال اینکه یک تروجان داشته باشی خیلی زیاده.


برنامه رو مجدد اجرا کن خطوط پایین رو تیک بزن و بعدش هم دکمه ی Fix checked رو بزن.

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

برنامه ی SuperAntispyware رو نصب کن + آپدیتش کن + اسکن quick انجام بده.
این برنامه ی پایین رو هم بگیر و نصب کن ( اولی رو )
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

سیستم رو کامل اسکن کن حتما.

بعد از پایان اینکارها یک لوگ دیگه بهم بده.

موفق باشی.

ممنون از توجهتون
اون گزینه هایی رو که گفته بودین چک مارک زدم و fixed check رو انجام دادم
نرم افزار SuperAntispyware رو نصب، آپدیت و quick scan رو انجام دادم که یکسری ترد اعلام کرد که عکسش رو میذارم. (همه ترد ها رو با خود نرم افزار از بین بردم).
نرم افزار کسپری رو هم که گفته بودین دانلود و فول اسکن رو انجام دادم (خیلی هم زمان برد) فقط یک ترد پیدا کرد که اون هم مربوط به دیکشنری مک میلان نسخه ارجینالش بود که فکر نمیکنم مشکل از اون باشه.
100% کارکردن سی پی یو بعد از این تغییرات دیگه اتفاق نیافتاده!
مجدد با اون نرم افزار که گفتین یه لاگ واستون میذارم.
فکر میکنین ویروس یا تروجانی که بوده، از بین رفته؟
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

[14708]

لظفا پتسخ بنده رو هم بدید منتظرم واقعا کلافه ام کرده

[maminsafari]

سلام خسته نباشید
ویندوز 7 64 بیتی داشتم آپدیت شده همراه با آنتی ویروس مایکروسافت آپدیت شده ، داشتم فیلم میدیدم یهو صفحه آبی اومد و دیگه سیستم بالا نیومد بعدش ویندوز 7 میخواستم بریزم گاهی ارور بوت منیجر میداد و پاهی ارور ntdlr miising و گاهی بعد از انتخاب درایو برای ویندوز هنگام ک
ی فایل مینوشت که سی دی 1 ویندوز رو بندازید در حالی که همون دی وی دی ویندوز بود با این حال یکی دیگه تهیه کردم ولی همون ارور رو داد
درایو سی رو با یه نرم افزار بوت پاک کردم و دوباره ساختمش ولی مشکل حل نشد ، فق ویندوز اکس پی به صورت دست و پا شکسته نصب مبشه اون هم فایلهایی رو کهexe هستن رو معمولا باز نمیکنه یا وسط نصب ارورر nsis میده سایت اینترنتی هم فق گوگل رو باز میکنه
خلاصه الان سه روزه علافم و از خوابم میزنم تا درستش کنم ولی نمی شه و چون اطلاعات مهمی تو سیستمم دارم نمی تونم اون رو به کس دیگه ای بدم تا نگاهی کنه
الان با نرم افزار پست اول یه اسکن کردم این هم نتیجه اش ، ممنون میشم راهنمایی بفرمایید [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
در ضمن کارت گرافیکیم نصب نمی شه ای تی ای 5770 هس

ظاهرا سیستم شمامشکل سخت افزاری داره یا پاورش خرابه و یا مادربردش . قبلش بگم باید درایورهای اصلی را از روی سی دی مادربوردتون نصب کنید و در صورتی که با ویندوز 7 سازگاری نداره از سایت کمپانیش بگیرید و بعد از نصب و بروز رسانی ویندوز کامل میشه . 32 64 بیتش هم دقت کنید . ولی قبل از هر کاری شما گفتید درایو سی را فرمت و ویندوز را دوباره ریختید ولی مشکلتون حل نشده و این یه احتمال داره . سیدی ویندوزتون سالمه؟

اگه هیچ کدوم از اینا نیست پس
کاری نداره . برید تو لینک یه ریپورت بگیرید و ارسال کنید . اینجا هم آپلود کنید .

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

اگه دوست دارید یه اسکن آنلاین هم با این ابزار انجام بدید .

دانلود میکنید و به صورت آنلاین اسکن می کنید حجمش هم زیاد نیست 26 مگه کلا . یه ای دی هم میده اونا بفرستید اینجا تا پیگیری بشه . قبلش هم بهتره انتی ویروستون هم وردارید ولی اگه نخواستید اشکال نداره.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

بگم که باید قبل از هر کاری سیستم ریستور را ببندید و یه بار هم درایو ویندوزتون را کلین آپ کنید . ولی اگه نشد اشکال نداره .

اینم یه راهشه . [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

[14708]

ظاهرا سیستم شمامشکل سخت افزاری داره یا پاورش خرابه و یا مادربردش . قبلش بگم باید درایورهای اصلی را از روی سی دی مادربوردتون نصب کنید و در صورتی که با ویندوز 7 سازگاری نداره از سایت کمپانیش بگیرید و بعد از نصب و بروز رسانی ویندوز کامل میشه . 32 64 بیتش هم دقت کنید . ولی قبل از هر کاری شما گفتید درایو سی را فرمت و ویندوز را دوباره ریختید ولی مشکلتون حل نشده و این یه احتمال داره . سیدی ویندوزتون سالمه؟

اگه هیچ کدوم از اینا نیست پس
کاری نداره . برید تو لینک یه ریپورت بگیرید و ارسال کنید . اینجا هم آپلود کنید .

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

اگه دوست دارید یه اسکن آنلاین هم با این ابزار انجام بدید .

دانلود میکنید و به صورت آنلاین اسکن می کنید حجمش هم زیاد نیست 26 مگه کلا . یه ای دی هم میده اونا بفرستید اینجا تا پیگیری بشه . قبلش هم بهتره انتی ویروستون هم وردارید ولی اگه نخواستید اشکال نداره.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

بگم که باید قبل از هر کاری سیستم ریستور را ببندید و یه بار هم درایو ویندوزتون را کلین آپ کنید . ولی اگه نشد اشکال نداره .

اینم یه راهشه . [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

ممنون تو فروم های خارجی سرچکردم هر کسی که این مشکل رو داشت کاری کرده بود یه نفر یکی از رم هاش رو جدا کرده بود سیستمش درست شده بود من هم 2*2 هست رمم یکیش رو در آوردم درست شد
الان یکی از رم ها رو میزمه ، آیا دوباره بندازم یا باز هم مشکل ایجاد میکنه ؟ جاش رو عوض کنم ؟

[A M ! N]

ممنون از توجهتون
اون گزینه هایی رو که گفته بودین چک مارک زدم و fixed check رو انجام دادم
نرم افزار SuperAntispyware رو نصب، آپدیت و quick scan رو انجام دادم که یکسری ترد اعلام کرد که عکسش رو میذارم. (همه ترد ها رو با خود نرم افزار از بین بردم).
نرم افزار کسپری رو هم که گفته بودین دانلود و فول اسکن رو انجام دادم (خیلی هم زمان برد) فقط یک ترد پیدا کرد که اون هم مربوط به دیکشنری مک میلان نسخه ارجینالش بود که فکر نمیکنم مشکل از اون باشه.
100% کارکردن سی پی یو بعد از این تغییرات دیگه اتفاق نیافتاده!
مجدد با اون نرم افزار که گفتین یه لاگ واستون میذارم.
فکر میکنین ویروس یا تروجانی که بوده، از بین رفته؟
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

سلام.

شرمنده که دیر جواب میدم.

نتیجه بهتر شده.

فقط این دوتا فایل رو پاک کن حتما حتما :

O10 - Unknown file in Winsock LSP: c:\program files (x86)\common files\microsoft shared\windows live\wlidnsp.dll
O10 - Unknown file in Winsock LSP: c:\program files (x86)\common files\microsoft shared\windows live\wlidnsp.dll

به این مسیر برو :

C:\WINDOWS\system32\drivers\etc

داخل این پوشه فایل Hosts رو برای من آپلود کن.

برنامه ی CCleaner رو بگیر و به بخش Registry cleaner برو و رجیستری رو Clean up کن حتما چون یه سری کلید رجیستری

داری که مسیرهاشون شکسته شده.

[A M ! N]

ممنون تو فروم های خارجی سرچکردم هر کسی که این مشکل رو داشت کاری کرده بود یه نفر یکی از رم هاش رو جدا کرده بود سیستمش درست شده بود من هم 2*2 هست رمم یکیش رو در آوردم درست شد
الان یکی از رم ها رو میزمه ، آیا دوباره بندازم یا باز هم مشکل ایجاد میکنه ؟ جاش رو عوض کنم ؟

سلام ازونجایی که Dumprep داشتین توصیه میکنم داخل تاپیک پایین برین و سوالتون رو یکبار اونجا بپرسین:

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]


برای باقی مشکلات هم ، یکبار کل سیستم رو با برنامه ی SuperAntiSpyware آپدیت شده اسکن بنمایید.

با توجه به خطای NSIS هم به نظر میاد ویروت داشته باشین.

[godfather_mk]

سلام.

شرمنده که دیر جواب میدم.

نتیجه بهتر شده.

فقط این دوتا فایل رو پاک کن حتما حتما :

O10 - Unknown file in Winsock LSP: c:\program files (x86)\common files\microsoft shared\windows live\wlidnsp.dll
O10 - Unknown file in Winsock LSP: c:\program files (x86)\common files\microsoft shared\windows live\wlidnsp.dll

به این مسیر برو :

C:\WINDOWS\system32\drivers\etc

داخل این پوشه فایل Hosts رو برای من آپلود کن.

برنامه ی CCleaner رو بگیر و به بخش Registry cleaner برو و رجیستری رو Clean up کن حتما چون یه سری کلید رجیستری

داری که مسیرهاشون شکسته شده.

ممنون از زحمات شما دوست عزیز
اون دو تا فایلی که گفته بودین همنام بودن در نتیجه یکی شون رو از حالت سیف مد پاک کردم.
با برنامه سی سی کلینر هم رجیستری رو کلین کردم.
تمام محتویات شاخه etc رو هم واستون آپلود میکنم.
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
باز هم ممنون از راهنمایی تون.

[A M ! N]

ممنون از زحمات شما دوست عزیز
اون دو تا فایلی که گفته بودین همنام بودن در نتیجه یکی شون رو از حالت سیف مد پاک کردم.
با برنامه سی سی کلینر هم رجیستری رو کلین کردم.
تمام محتویات شاخه etc رو هم واستون آپلود میکنم.
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
باز هم ممنون از راهنمایی تون.

خواهش میکنم.

خوبه. فایل Hosts شما مخفیه سیستمی و ویرایش شده بود نمیدونم کار تروجان ها بوده شاید.

الان این فایل که ضمیمه کردم اینجا رو بگیرین و داخل پوشه ی etc کپی کنید(replace کنید ) ، فایلهای دیگه (به جز این که میدم)

که به نام hosts هستن رو پاک کنید، مثلا hosts.txt و hosts.new



[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]


فایل Hosts هیچ پسوندی نباید داشته باشه. اگه ضمیمه رو نتونستین Copy کنید اونجا، از safe mode انجام بدین.


از folder options تیک گزینه ی show hidden files and folder رو بزن

تیک گزینه ی hide protected system files and folders رو بردار.

تیک Hide extension for know file type رو بردار

حالا به پوشه ی etc برو ، اونجا باید کلا 5 تا فایل ( نه بیشتر ) باشه :

hosts

lmhosts.sam

protocol

services

networks