ویروس Nod32

[arash n]

این ویروس اسمش NOD32-RAMGUARD.V.2009.EXE
توی کل اینترنت فقط توی سایت prevx اثری ازش هست

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

یه سایت فارسی هم اطلاعاتیدر موردش نوشته ولی در مورد پاک کردنش چیزی نیست

هنگامي که وارد درايو آلوده ميشويد ويروس فعال ميشود و Nod32krn.exe به تسک منيجر قسمت پروسس اضافه ميشود اگر آنتي ويروس nod32 بر روي سيستم شما نصب باشد ويروس به krn.exe مربوط به Nod32 چسبيده و آن را در تسک منيجر قسمت CPU 100% ميکند يعني CPU به صورت 100% مشود حال اگر NOD32 نصب نباشد اين ويروس بهCSRSS که يک فايل سيستمي ميباشد چسبيده و ان را 60 تا 90 درصد تغيير ميدهد - اين ويروس با نام nod32krn.exe در System32 و ديگري با نام csrss.exe در مسير c:/Documents and Settings/xxxxxx/Local Settings/Temp قرار ميگيرد. با نرم افزار Security taskmanager ميتوان آن دو را که در taskmanager مشغول فعاليت هستند در قرنطينه نگه داشت و از کارکرد آنها جلوگيري کرد در اين زمان cpu به حالت عادي بر ميگردد

اين تمام فعاليت ويروس است اما من با نرم افزار Security TaskManager به دقت هنگامي که درايو آلوده را باز ميکردم نگاه کردم و متوجه شدم اين ويروس در درايو آلوده در Recycler با نام Nod32-RAMGuard.v.2009.exe قرار دارد و پس از فعال شدن دو فايل Nod32krn.exe و CSRSS.exe را به وجود مياورد



اما هنگامي که به درايو آلوده مراجعه کردم تا ويروس اصلي را از بين ببرم اصلا چيزي در Recycler وجود نداشت حتي هنگامي که فايلهاي سيستمي و هيدن را باز کردم !!!!!

و هنگامي که ويروس فعال باشد اگر CD يا DVD يا حتي فلش مموري وارد سيستم باشد ويروس کارهايي بر روي آن انجام ميود چرا که چراغ فلش مموري خاموش و روشن ميشود( به معني انجام کاري ) و درايوهاي سي دي مشغول خواندن سي دي ميشوند !!

و حالا فقط نميدانم چگونه منشا ويروس را از بين ببرم البته اگر بر روي Nod32krn.exe يا CSRSS.exe کليک کنيد باز هم ويروس فعال ميشود اما اينها را ميتوان از بين برد اما منشا ويروس حتي ديده هم نميشود

اين تمام تحقيقات من در 4 روز آلوده شدن سيستمم به اين ويروس بود حال راه و چاره چيست ؟

من دو ويروس Nod32krn.exe و CSRSS.exe را در يک فايل زيپ براي شما فرستاده ام تا بر روي آن تحقيقاتي انجام دهيد فقط مراقب باشيد چون بلافاصله پس از Extract آن ويروس فعال ميشود

ويروس: [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

من خودم هم با کاسپرسکی اپدیت شده چکش می کنم چیزی پیدا نمی کنه. فقط توی قسمت control app اجازه فعالیت بهش نمی دم اما دوباره یکی دیگه درست می شه که پی در پی پیغام خطر که فایل های NOD32KRN.EXE و CSRSS.EXE رفتارشون مشکوک به worm.p2p.generic است رو میده که اگه لیمیتش کنی دوباره همین پیام میاد و اگه اجازه فعالیت بهش ندی یکی دیگه درست میشه

لطفا کمک کنید

[arash n]

لطفا یکی کمک کنه
تنها امیدم اینجاست

[آنتی]

به نام خدا
سلام دوست عزیز
من تقریبا با تمام آنتی ویروسها چک کردم پاک نکرد
من منتظرم دوستان برنامه نویس کمکت کنند وگرنه یه راه سخت هست که من کل ویروسهای جدید را به این روش پاک میکنم
اگر دوستان نتوانستند کمک کنند این روش را براتون میذارم
پس یه کم صبر کنید

[saeed774]

دوست عزيز نود 4 آپديت شده براحتي ويروس رو ميشناسه و خيلي راحت هم پاكش كرد . اينم عكسش :
NOD32KRN.EXE

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

CSRSS.EXE

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

اين دو ويروسو به سايت كسپر فرستادم شما فردا نزديكاي ظهر آپديتش كن حتما به ديتابيس اضاف ميكنن يا به نظر من همين نود 4 رو نصب كن كه واقعا عالي كار ميكنه البته آپديت شدش .

و اما دوستانيكه فايلو اكستركت كردن اگه آنتي ويروسشون ويروسو نشناخته باشه اينكارو بكنن :
اين ويروس به محض اكستركت شدن خودشو تو شاخه
x:\document and setting\xxx\local settings\temp
با نام TRTEMP-Nod32krn\Nod32krn.exe كپي ميكنه ، يه اين مسير برين و فايل مربوطه رو پاك كنين .

x : نام درايو ويندوز
xxx : User Name

[picher_s]

این ویروس اسمش NOD32-RAMGUARD.V.2009.EXE
توی کل اینترنت فقط توی سایت prevx اثری ازش هست

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

یه سایت فارسی هم اطلاعاتیدر موردش نوشته ولی در مورد پاک کردنش چیزی نیست

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

من خودم هم با کاسپرسکی اپدیت شده چکش می کنم چیزی پیدا نمی کنه. فقط توی قسمت control app اجازه فعالیت بهش نمی دم اما دوباره یکی دیگه درست می شه که پی در پی پیغام خطر که فایل های NOD32KRN.EXE و CSRSS.EXE رفتارشون مشکوک به worm.p2p.generic است رو میده که اگه لیمیتش کنی دوباره همین پیام میاد و اگه اجازه فعالیت بهش ندی یکی دیگه درست میشه
لطفا کمک کنید

سلام

کسپر يه removalTools براي اين کرم انتشار داده که شما در مسير زير ميتونيد اونو دون کنيد.

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

بعد از Extract فقط روي فايله klwk کليک کنيد تا پروسز هاشو ار حافظه بيرون ببره

صبر کنيد تا کارش تموم بشه.

الان تو Run اين فايل رو با پارامتر s/ اجرا کنيد مثال: f:\klwk.com /s تا کل هاردتون پاک سازي بشه.

اين برنامه utility کارهاي ديگه هم ميکنه که در فايل

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

نوشته شدن.

برگرفته از

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

موفق و پيروز باشيد.

[arash n]

از همه تون تشکر می کنمقبلا گفتم این ویروس یا کرم نمی زاره eset کار خودشو بکنهاما من ویندوزو دوباره نصب کردم و قبل از اینکه ویروس فعال بشه eset 3 رو نصب و آپدیت کردم که پاکش کرد(خودم هم چند روزه پیش اینو به kaspersky lab گزارش دادم)

[manya-atashin]

سلام
من در حالت معمولي كه ميزنم براي پاك سازي كل درايو ها
هنگ ميكنه
از طريق
safe mode
هم اقدام كردم ولي فقط
قسمت
system32
رو چك كرد و درايوهاي ديگه رو اسكن نكرد
ميشه بگين بايد چه كنم؟
ممنون

[manya-atashin]

سلام دوباره

مشكل اصلا حل نميشه!

اين برنامه klwk هم معلوم نيست چرا اينجوريه...

من اسكن كردم ولي اصلا ويروس nod32krn رو پاك نكرد!!!
ميخواستم عكس بفرستم ولي ديگه برنامه هاي كامپيوتر هم به سختي اجرا ميشه
اصلا هيچي شناسايي نكرده!!!
تو قسمت
C:\WINXPSP2\system32
هم فايل nod32krn وجود داره!
بعد از اسكن البته....

و پاك نشده

اگه بخوام كل درايو ها رو هم بزنم
اول درايو c رو اسكن ميكنه و هيچي شناسايي نميشه
بعد هم شروع به اسكن درايو d ميكنه و بعد از يه خورده اسكن فايل ها هنگ ميكنه سيستم...........

ديگه نميشه

خواهشا كمك كنيد چه كنم من؟؟؟

نميدونم چرا كسپراسكاي كه همش آپديت ميكنم نتونست اين ويروس رو پاك كنه!

انتي ويروس NOD32
رو هم نصب كردم
ولي وقتي ميخوام آپديت كنم يا اسكن كنم سيستم هنگ ميكنه
اون ويروس اجرا ميشه و فضاي cpu رو پر ميكنه

لطفا راهنمايي كنيد

ممنون

[saeed774]

اين نرم افزارو امتحان كن :

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

[amir_9317]

سلام
به مسیری که میگم توجه کن
start/run/cmd و بعد از باز کردن برنامه دستور \cd را اجرا کن بعد دستور attrib را اجرا کن ببین به غیر از فایلهای خود سیستم فایل مشکوک دیگری نیست اگر بود دستور attrib -s -h c:\namefilevirus.pasvandsh بعد تو این مسیر ویروس نمایان میشه و میتونید آن را خیلی راحت Shift+Delete کنید.