WELLCOM TO MY WEBLOG

www.easynet.persianblog.ir

 

 
 

 

سایتهای درآمد زا

لینک عضویت

5euromails.com
 

5euromails.com FlameMails.com

 

 

 

نحوه پاک کردن ویروس W32/Saldost

این بدافزار اینترنتی پس از اجرای فایل آن بر روی سیستم کاربر، ابتدا خودش را بر روی سیستم کپی می‌کند و سپس با تغییر دادن کلیدهایی در رجیستری باعث بروز مشکلاتی از جمله باز نشدن ‪ Folder Option‬و مخفی نگه داشتن فایل‌های مخفی می‌شود.

از جمله کارهای دیگر این ویروس این است که خودش را در ریشه همه درایوها با نام ‪ autoply.exe‬کپی کرده و در کنار آن فایلی با نام ‪ Autorun.inf‬ایجاد می‌کند.

این عمل باعث می‌شود که هر گاه کاربر بخواهد به هر شکلی وارد هر درایوی شود، فایل مربوط به کرم اجرا گردد.
نوع ‪ Autorun‬ایجاد شده به گونه‌ای است که اگر فایل ‪ autoply.exe‬که خود کرم است از روی سیستم پاک شده ولی فایل ‪ Autorun.inf‬باقی بماند، با دوبار کلیک کردن بر روی نام درایو پنجره ‪ Open with‬نمایش داده می‌شود و کاربر نمی‌تواند وارد درایو شود. در این حالت با کلیک راست نمودن بر روی نام درایو و انتخاب گزینه “‪”open‬ نیز نمی‌توان وارد درایو شد


این کرم اینترنتی ایرانی بوده که توسط ضدویروس ایمن شناسایی و پاکسازی می شود و پس از اجرای فایل ﺁن بر روی سیستم کاربر، ابتدا خودش را به صورت زیر بر روی سیستم کپی می نماید:

کد:
%TEMP%\svchost.exe
 
%PROGRAMFILES%\Sound Utility\Soundmax.exe
 
%PROGRAMFILES%\Common Files\Microsoft Shared\MSshare.exe
 
%WINDIR%\Web\OfficeUpdate.exe

سپس فایل خود با نام svchost.exe در مسیر %TEMP% را اجرا کرده و برای این که با هر بار راه اندازی سیستم ﺁلوده به طور خود کار اجرا گردد، خود را به شکل زیر در رجیستری ثبت می نماید:

کد:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVe rsion\Run
SoundMax = %PROGRAMFILES%\Sound Utility\Soundmax.exe

سپس کلیدهای در رجیستری را به شکل زیر تغییر می دهد:

کد:
HKCU\Software\Microsoft\Windows\Curr entVersion\Explorer\Advanced
Hidden = ۲
HideFileExt = ۲
ShowSuperHidde n = ۲
 
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
Nof olderoptions = ۲
 
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer
Nofolderoptions = ۱
 
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\ SystemRestore
DisableConfig = ۱
DisableSR = ۱

تغییرات فوق باعث بروز مشکلاتی از جمله باز نشدن FolderOption و مخفی نگه داشتن فایلهای مخفی می گردد که برای برطرف کردن این مشکلات می توانید برنامه زیر را از سایت ایمن دانلود کرده و ر جیستری خود را پاکسازی نمایید:

کد:
http://www.imenantivirus.com/RegRepair.zip

همچنین کلید IsShortCut را از مسیرهای زیر در رجیستری پاک می کند:

کد:
HKEY_CLASSES_ROOT\lnkfile
 
HKEY_CLASSES_ROOT\piffile
 
HKEY_CLASSES_ROOT\InternetShortcut
 
و کلیدی با نام Wintek در مسیر زیر ایجاد می کند: 
HKEY_CURRENT_USER\Software \
و کلید زیر را در ﺁن ایجاد می نماید:
Install = b۲ed۳ (Dword - Value i s in hex)

بعد از انجام کارهای فوق تمام برنامه های موجود در زمانبند ویندوز (دستور at) را پا ک کرده و با استفاده از زمانبند ویندوز فایل خود را که با نام OfficeUpdate.exe در مسیر WINDIR%\Web% وجود دارد هر روز در ساعات ۱۱:۳۰ و ۲۰:۳۰ اجرا می نماید.
یکی دیگر از کارهای این کرم این است که خود را در مسیرهای زیر با نام های فریبنده کپی می کند و از ﺁنجایی که برخی از این مسیرها مخصوص برنامه ها ی شبکه های اشتراک گذاری فایل (یا P۲P) هستند، با این کار امکان انتشار ﺁن در سراسر دنیا از طریق اینگونه برنامه ها فراهم می گردد:

کد:
%PROGRAMFILES%\Kazaa Lite \My Shared Folder\
%PROGRAMFILES%\Kazaa\My Shared Folder\
%PROGRAMFILES%\I cq\Shared Files\
%PROGRAMFILES%\emule\incoming\
%PROGRAMFILES%\Gnucleus\Do wnloads\Incoming\
%PROGRAMFILES%\KMD\My Shared Folder\
%PROGRAMFILES%\Lime wire\Shared\
%PROGRAMFILES%\XPCode\
C:\Inetpub\ftproot\

به علاوه در مسیرهایی که در ﺁنها فایل های از نوع MP۳ ، JPG یا EXE وجود داشته باشد، خود را با نام zfile.exe کپی می کند. همچنین خود را با نام setup.exe و setlib.exe در مسیرهای زیر کپی می کند:

کد:
\WINDOWS\system۳۲\config\systemprofile\My Documents\
 
\WINDOWS\system۳۲\config\systemprofile\Start Menu\Programs\
 
\WINDOWS\system۳۲\config\systemprofile\Start Menu\Programs\Accessories\
 
\WINDOWS\system۳۲\ config\systemprofile\Start Menu\Programs\Accessories\Entertainment\
 
WINDOWS\system۳۲\config\systemprofile\Start Menu\Programs\Startup\…
 
\WINDOWS\system۳۲\drivers\
 
\WINDOWS\system۳۲\spool\drivers\
 
\WINDOWS\system۳۲\spool\drivers\w۳۲×۸۶\۳\

این کرم برای اینکه بتواند خود را درون شبکه تکثیر کند، کامپیوترهای موجود در آن را جستجو کرده و با استفاده از درایوهای به اشتراک گذاشته شده، سعی می‌کند خودش را به شکل زیر بر روی آن سیستم‌ها کپی کند:

کد:
C$\Documents and Settings\All Users\Start Menu\Programs\Startup\AdobeUpdate.exe

این کار باعث می‌شود که پس از راه‌اندازی آن سیستم‌ها، ویروس به طور خودکار اجرا شده و عملیات تکثیری خود را بر روی آنها انجام دهد.
از جمله کارهای جالب این ویروس این است که خودش را در ریشه همه درایوها با نام autoply.exe کپی کرده و در کنار آن فایلی با نام Autorun.inf ایجاد می‌کند.
این عمل باعث می‌شود که هر گاه کاربر بخواهد به هر شکلی وارد هر درایوی شود، فایل مربوط به کرم اجرا گردد.
نوع Autorun ایجاد شده به گونه‌ایست که اگر فایل autoply.exe که خود کرم است از روی سیستم پاک شده ولی فایل Autorun.inf باقی بماند، با دوبار کلیک کردن بر روی نام درایو پنجره Open with نمایش داده می‌شود و کاربر نمی‌تواند وارد درایو شود. در این حالت با کلیک راست نمودن بر روی نام درایو و انتخاب گزینه Open نیز نمی‌توان وارد درایو شد. برای برطرف نمودن این مشکل بایستی فایل زیر را از روی سایت ایمن دانلود نموده و آن را بر روی سیستم خود اجرا نمایید:

کد:
http://www.imenantivirus.com/NoAutorun.zip

این کرم فایلی با نام Important.htm را در مسیرهای زیر بر روی سیستم کاربر کپی می‌نماید که حاوی جملاتی به زبان فارسی است:

کد:
%USERPROFILE%\Desktop\
%USERPROFILE%\My Documents\

یکی از نشانه‌های ویروس به نمایش درآوردن نواری زرد رنگ در بالای صفحه همراه با جملاتی فارسی با رنگ قرمز است

 

 

 

 

 

معرفی برنامه SmitFraudFix


SmitFraudFix ابزاری است برای از بین بردن ویروسهای مانند adware و malware و تروجان و پاکسازی رجیستری

ابتدا برنامه را از لینک زیر دانلود کنید . و ان را روی دسکتاپ قرار بدید .

http://siri.urz.free.fr/Fix/SmitfraudFix.exe


کامپیوتر را در حالت safe mode راه اندازی کنید
برای این کار سیستم را ریستارت کنید و قبل از بالا امدن ویندوز کلید F8 را چند مرتبه پشت سر هم بزنید .
از صفحه باز شده گزینه safe mode را انتخاب کنید . و سپس وارد یوزر خودتان شوید .
برنامه Smitfraudfix.exe را اجرا کنید . منتظر بمانید تا صفحه زیر ظاهر شود




سپس یکی از کلید های روی صفحه کلید را فشار دهید تا صفحه زیر ظاهر شود .




عدد 2 را انتخاب کنید یعنی Clean (SafeMode Recommended)0 و سپس کلید اینتر را بزنید
با این کار اسکن کردن و clean کردن سیستم اغاز می شود .
بعد از انجام این مراحل ابزار Disk Cleanup tool اجرا می شود و فایلهای بی مصرف را از روی سیستم پاک می کند .




بعد از Disc Cleanup پنجره زیر نشان داده می شود .
Do you want to clean the registry ؟
ایا شما می خواهید پاکسازی کنید رجیستری را : کلید Y را فشار دهید تا رجیستری بازسازی شود .
Replace infected file ؟
ایا جایگزین کند فایلهای الوده را که شما کید Y را فشار می دهید .
در این هنگام سیستم احتیاج به یکبار راه اندازی دارد . که سیستم به طور اتوماتیک راه اندازی می شود .
اگر این اتفاق نیفتاد شما خودتان به صورت دستی این کار را انجام دهید .




در این هنگام فایلی به نام rapport.txt در درایو c ایجاد می شود که گزارشاتی از کارهای انجام گرفته را به شما می دهد .

همچنین این ابزار فایل های wininet.dll را نیز چک میکند مبادا الوده باشند .
  

نظر شما


 

منوي وبلاگ

HOME

music



 
لينك وبلاگ  

 




power by irancrack