نحوه از بین بردن ویروس BronTok.A

در زیر به برخی از ویژگی های این ویروس اشاره می کنیم :

1 . Folder Options را حذف می کند !
2 . Registry Tools را قفل می کند !
3 . Task Manager نمی تواند فایل های مربوط به این ویروس را End کند !
4 . پس از اجرا شدن ، محتویات My Documents را نمایش می دهد !
5 . اگر در کادر محاوره ای Run عبارت CMD ، Regedit ، msconfig ، Regedt32 را تایپ کنید ، سیستم بلافاصله Restart می شود !
6 . اگر روی گزینه ی Log Off یا Turn Off Computer کلیک کنید ، سیستم Restart می شود !
7 . آیکون این ویروس شبیه آیکون یه پوشه است !

همانطور که می دانید فایل های lsass.exe ، winlogon.exe و services.exe از فایل های سیستمی بوده و همیشه در حال اجرا هستند ...
اگر شما برنامه ی Process Master را اجرا کنید ، می بینید که این فایل ها در پوشه ی System32 قرار دارند .

اما اگر ویروس BronTok.A روی سیستم شما نصب باشد ، خواهید دید که سه تا فایل دیگر با همین نام ها در
حال اجرا هستند !!
یعنی دو تا winlogon.exe ، دو تا lsass.exe و دو تا services.exe !

اما به راحتی میشود فهمید که کدام ویروسند و کدام فایل اصلی ویندوز ...
آن سه تا فایلی که مربوط به ویروس میشوند ، در پوشه ای غیر از System32 قرار دارند .
مسیر دقیقشان میشود :
C:\Documents and Settings\User\Local Settings\Application Data
C نام همان درایویست که ویندوز در آن نصب گردیده و User نام کاربری است که ویروس در آن اجرا شده ...

بعد از اینکه با نرم افزار Process Master متوجه شدید که کدام ویروسند ، باید آن ها رو Kill process کنید .
اگر احیانا فایل های دیگری با نام های inetinfo.exe ، csrss.exe و smss.exe نیز در حال اجرا بودند آنها را هم Kill process کنید .البته به شرطی که مسیرشان غیر از System32 باشد ...

حالا وقت آن است که از نرم افزار Kill BronTok.A استفاده کنید .
پس از اینکه نرم افزار Kill BronTok.A کارش تمام شد ، آن را ببندید و به منوی Start برید و روی گزینه ی Search کلیک کنید .
در سمت چپ روی گزینه ی All files and folders کلیک کنید .
در فیلد All or part of the file name عبارت Empty.pif را تایپ کنید و از روی کیبرد کلید Enter را فشار دهید .اکنون تمام فایل های پیدا شده را پاک کنید .
دوباره در فیلد مذکور عبارت زیر را تایپ کنید و از روی کیبرد کلید Enter را فشار دهید .

scr،*.exe.*

اکنون از بین فایل های پیدا شده ، هر فایلی که آیکونش شبیه آیکون پوشه بود رو پاک کنید .
مجددا در فیلد All or part of the file name عبارت زیر را تایپ کنید و از روی کیبرد کلید Enter را فشار دهید .
job.*
تمام فایل های پیدا شده را پاک کنید .

باز هم در فیلد فوق الذکر عبارت Bron را تایپ کنید و از روی کیبرد کلید Enter را فشار دهید .

اکنون تمام فایل ها و پوشه های پیدا شده را پاک کنید .

اکنون با خیال راحت کامپیوترتان را Restart کنید .

نکته : اگر ویندوزتان بیشتر از یک کاربر دارد ، باید تمام عملیات فوق را در همه ی کاربرها انجام دهید

نحوه از بین بردن ويروس SVCHOST.EXE

بعلت وجود ويروسي مخرب به اسم Jeefo که با نام SVCHOST.EXE البته در شاخه ديگري غير از فايل اصلي ساکن مي شود و اقدام به خرابکاري تمام فايلهاي اجرايي exe مي کند .
اکثر انتي ويروس ها SVCHOST.EXE را به عنوان ويروس مي شناسند . در حالي که SVCHOST.EXE ويروس نيست بلکه ويروس فايل ديگري مي باشد که خود را به اين نام در اورده است .
اين ويروس باعث مي شود که برنامه ها درست اجرا نشوند . و طولاني بودن زمان الودگي سيستم باعث از کار افتادن سيستم عامل مي شود.


نحوه پاک کردن ويروس

ابتدا سعي کنيد System Restore را غير فعال کنيد .
براي اين کار ابتدا روي my computer راست کليک کنيد و سپس properties را بزنيد از پنجره باز شده به تب
System Restore رفته و تيک گزينه Turn off System Restore on all drives را بزنيد و بعد پنجره را ok کرده و به سوال پرسيده شده جواب مثبت دهيد .

حال ابتدا با زدن سه کليد ترکيبي ctrl + alt + delete وارد Task Manager شويد و به تب Processes رفته و از اوجا فايل SVCHOST.EXE در حال اجرا توي ويندوز را پاک مي کنيم .

البته در تب Processes شما حداقل 4 تا يا بيشتر SVCHOST.EXE در حال اجرا مي بينيد که بايد با برنامه هاي مديريت پروسه هاي Task Manager بتونيد اين فايل را تشخيص دهيد . زيرا اين برنامه ها مسير پروسه هاي اجرايي را در Task Manager نشان مي دهند . اين فايل بيشتر خود را با نام يوزر که در ان هستيد (Log On) اجرا مي کند .
حال به مسير C:\WINDOWS رفته و فايل SVCHOST.EXE را پاک مي کنيم .
البته شما نبايد فايل اصلي SVCHOST.EXE را که در مسير C:\WINDOWS\System32 قرار دارد را پاک کنيد .

بعد از اين کار سيستم را ريستارت کنيد .

سپس سيستم را در حالت safe mode راه اندازي کرده و انتي ويروس jeefogui را اجرا کنيد .
ممکن است بعد از اين عمليات بعضي از فايلهاي exe شما از کار بيفتند که شما بايد دوباره برنامه انها را نصب کنيد .

نحوه از بين بردن تروجان Win32/Agent.AEC

همون طور که مي دونيد اخيرا ويروسي به نام Soundmix.exe انتشار يافته و باعث الوده شدن بسياري از سيستم هاي خانگي و اداره ها شده است . قصد دارم در اين قسمت نحوه پاک کردن اين تروجان را اموزش دهم .

شايع ترين راه انتقال اين ويروس حافظه هاي فلش مي باشد. هرچند که باز کردن برخي سايت هاي آلوده نيز مي تواند اين ويروس را در سيستم مستقر سازد
اين ويروس با دستکاري رجيستري ، هر بار که ويندوز راه اندازي مي شود خود را اجرا مي کند. با اجراي هر فايل اجرايي در ويندوز نيز اين فايل اجرا خواهد شد و پس از اجرا Processes آن را به هيچ عنوان نمي توان خاتمه داد.

اين ويروس اجازه ديدن فايل هاي پنهان را به کاربر نمي دهد و فايل هايي که مخفي شوند ديگر قادر به مشاهده نخواهند بود. دسترسي به برخي سايت ها ممکن نمي باشد و اين ويروس با اجراي خود منجر به ايجاد سربار روي سيستم ، کندي دستگاه ، بسته شدن ناخواسته برخي برنامه ها و احيانا بوت شدن خود بخود کامپيوتر مي گردد.
همچنين با آلوده کردن حافظه هاي فلشي که به دستگاه متصل مي گردند ، سعي به انتشار خود مي کند.



راههاي شناخت اين تروجان

براي اين که متوجه شويد که ايا سيستم شما الوده به اين تروجان است يا نه از طريق فشرن همزمان سه کليد
Alt + Ctrl + Delete وارد Task Manager شويد و سپس به تب Processes رفته و در صورتي که فايل اجرايي Soundmix.exe در حال اجرا باشد سيستم شما به اين تروجان آلوده شده است.

راه ديگر شناسايي اين تروجان عدم نمايش پسوند فايلهاست

از طريق منوي Folder Option و فعال کردن گزينه Show Hidden files and folder و تاييد آن در صورتي که پسوند فايلها نمايش داده نشوند سيستم شما به اين تروجان الوده شده است.

اين تروجان در درايو ويندوز و در مسير زير قرار ميگيرد .
C:\WINDOWS\system32\soundmix.exe

فايل کتابخانه اي ان نيز در مسير زير قرار ميگيرد
C:\WINDOWS\system32\dllcachezipexr.dll

اين تروجان علاوه بر کاهش سرعت سيستم باعث عدم نمايش پسوند فايلها و جلوگيري از دسترسي شما به رجستري ويندوزتان مي شود و باعث دزديده شدن اطلاعات سيستم شما خواهد شد.

اين ويروس خودش را در system32 با نام soundmix.exe و به صورت يک فايل سيستمي قرار مي دهد .
يك كپي در dllcache با نام zipexr.dll نگه مي دارد و اگر شما اين فايل را پاك كنيد بعد از اين كه سيستم بالا مي ايد هيچ فايل exe رو اجرا نمي كند .

سه قسمت را در رجيستري دستکاري مي کند :

:كد

Software\Microsoft\Windows\CurrentVersion\Run
exefile\shell\open\command
SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer \Advanced\Folder\Hidden\SHOWALL

بعد از اتصال حافظه فلش خود به سيستم روي آيکون حافظه که ايجاد شده است کليک راست کنيد. در حالت عادي گزينه هاي زير بايستي نمايان گردد :
Open
Explore
Search
Autoplay
در غير اين صورت اگر نوشته هايي عجيب و غريب مشاهده گردد بيان گر وجود ويروس مي باشد


راه پاکسازي Soundmix.exe يا تروجان Win32/Agent.AEC

در حال حاضر انتي ويروسهايي که توانايي شناسايي اين ويروس را داردند آنتي ويروس NOD32 و کسپر اسکاي و بيديفندر مي باشند شايان ذکر است اين انتي ويروس ها نيز فقط در صورتي که به روز باشد توانايي پاکسازي Soundmix.exe را خواهد داشت .

نحوه از بین بردن ویروس services.exe

متاسفانه اکثر ویروسهایی که جدیدا به وجود می ایند همنام پروسه های مربوط به سیستم عامل می باشند به همین دلیل تشخیص انها هم برای کاربران و هم برای انتی ویروس ها نسبتا مشکل شده است .
و از کار انداختن انها نیز قدری سخت شده است .
و همین عامل می تواند یکی از نقاط ضعف سیستم عامل های ماکروسافت محسوب شود .


فعالیت های ویروس services.exe

اولین کاری که این ویروس انجام می دهد خودش را با نام فایلهایی که در یک فولدر است در می اورد و فایلهای فولدر را مخفی می کند و یک فایل با نام همان فولدر می سازد که دارای پسوند exe می باشد .
و به فولدر هایی که مخفی می کند علاوه بر خصلت hidden خصلت سیستمی هم می دهد .

سپس به وسیله windows policy برنامه های regedit و cmd و msconfig و taskmanager رو از کار می اندازد(گاهی اوقات هنگام استفاده از دستور cmd کامپیوتر را ریستارت هم میکند) در بعضی مواقع از قسمت folder option گزینه view رو مخفی میکند.
و اجازه دسترسی به بعضی از گزینه های مدیریتی رو بطور کامل از بین میبرد .

و حتی با تعویض ویندوز هم فایلها از حالت مخفی خارج نخواهند شد . به خاطر این که با تعویض ویندوز هنوز اثرات این ویروس در دیگر درایو ها وجود دارد و تنها با کلیک کردن روی یکی از انها ویروس فعال شده و دوباره همه جا را الوده می کند .


نحوه از بین بردن ویروس services.exe

برای از بین بردن این ویروس ابتدا کدهای زیر را داخل note pad کپی کرده و با نام و پسوند rescue.bat در مسیر در مسير c:\ ذخيره نماييد.

:كد

@echo off
:try
del c:\windows\services.exe
if exist c:\windows\services.exe goto try

حالا به منوي start رفته و روی گزینه run کلیک کنید و عبارتregedit را تايپ کرده و ok را بزنيد. تا وارد محیط رجیستری شوید .
حال به مسير زير برويد.

:كد

HKEY_LOCAL_MACHINE\system\currentcontrolset\services\eventlog

روي فايل image path دوبار کليک کرده و در اين پنجره به جاي %systemroot%\system32\services.exe عبارت c:\rescue.bat را تايپ کنيد.

ويندوز را restart کنيد.

دوباره به منوي start رفته و برنامه run را اجرا کرده و regedit را تايپ کرده و ok را بزنيد.
حال به مسير زير برويد.

:كد

HKEY_LOCAL_MACHINE\system\current control set\services\eventlog

روي فايل image path دوبار کليک کرده و در اين پنجره به جاي c:\rescue.bat عبارت %systemroot%\system32\services.exe را تايپ کنيد.
فايلهاي مسيرهای زير را پاک کنید .

:كد

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\serenta
و
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
و
"services.exe"="%windir%\services.exe"

حال تغييرات زير را انجام دهيد.

:كد

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\shell

shell را از مسير بالا باز کنيد.حال به جاي explorer.exe %windir%\services.exe عبارت explorer.exe را تايپ کنيد يعني به عبارت ساده ته اون را پاک کنيد.

:كد

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\userinit

userinit را از مسير بالا باز کرده و به جاي عبارت C:\WINDOWS\system32\userinit.exe,,%windir%\service s.exe
عبارت ,,%windir%\services.exe را حذف نماييد يعني مسير به صورت زير در مي آيد.
C:\WINDOWS\system32\userinit.exe
به پوشه temp رفته و در صورت وجود فایل Service.exe ان را پاک کنید .

حالا آنتي ويروس های kaspersky و nod32 را update نماييد و سیستم را به طور کامل در حالت safe mode ویروس یابی کنید .
ضمناً بهتر است بعد از update و ويروس يابي ويندوز خود را عوض کنيد.


anti spyware برای از بین بردن ویروس services.exe

این انتی spyware یکی از بهترین ها برای از بین بردن ویروس services.exe می باشد .

:كد

http://www.spywareremove.com/download/Free-SpyHunter-Scanner6p2s2.exe

نحوه از بين بردن ویروس Win32/PSW.Agent.NDP

این ویروس باعث غیرفعال شدن گزینه show hidden files and folders در folder option می شود و باعث عدم نمایش فایلهای مخفی می شود و اجازه نمی دهد کاربرها فایلهای مخفی را از حالت مخفی بیرون بیاورند .

این ویروس با دستکاری رجیستری ویندوز باعث می شد که شما نتونید تنظیمات hidden file and folder را تغییر دهید .
به محض تغییر دادن این قسمت و خارج شدن از ان تنظیمات به حالت پیش فرض خود برمیگردند .
البته این ویروس خرابکاریهای دیگری هم انجام می دهد اول اینکه داخل تمام درایوهای شما یه فایل autorun.inf می سازد که درایوهای هارد شما را autorun می کند .

دوم اینکه دوباره داخل تمام درایوها یک فایل به نام ntde1ect می سازد که شما به محض اینکه فلاپی وارد سیستم کنید یا فلش یا mp3 pleyer را به کامپیوتر متصل کنید یک کپی از خودش به صورت hidden وارد دستگاه شما یا فلاپی شما می کند که شما متوجه ان نمی شوید .

البته فایل ntde1ect خیلی شبیه فایل ntdetect هست که داخل درایو C وجود دارد و برای بالا امدن ویندوز ضروری می باشد .
مواظب باشید این دو فایل را اشتباه نگیرید .
سوم اینکه با اجرای فایل avpo.exe به شما اجازه نمیدهد که فلش یا mp3 pleyer یا هر چیز دیگه رو از پورت USB ، safe remove کنید .


نحوه پاک کردن ویروس Win32/PSW.Agent.NDP

در حالت safe mode وارد ویندوز شوید . ( با زدن دکمه F8 قبل از بالا آمدن ویندوز حالت safe mode را انتخاب کنید )

پنجره Task Manager را باز کنید (Ctrl-Alt-Delete) و برنامه های زیر را در صورت اجرا ببندید .
wscript.exe : اگر در حال اجرا بود آن را ببندید (End process)
avpo.exe : اگر در حال اجرا بود آن را ببندید (End process)

از قسمت start برنامه Run را اجرا کنید و در عبارت cmd را در آن تایپ کنید و enter را بزنید .
در این قسمت در خط فرمان برنامه ، دستور زیر زیر را تایپ کنید و enter را بزنید .

del c:\autorun.* /f /a /s /q
این دستور را برای درایوهای دیگر اجرا کنید . با این دستور تمام فایلهایautorun موجود delete می شود .

در این مرحله در خط فرمان c:\ دستور زیر را تایپ کنید تا وارد پوشه system32 شوید :

C:\cd windows\system32
C:\windows\system32

در ادامه دستور زیر را تایپ کنید و آنرا اجرا کنید .

*.*dir /a avp

در این قسمت هر فایلی به نامهای avp0.dll و avpo.exe و avp0.exe دیده شد آنرا پاک کنید .
attrib -r -s -h avpo.exe
del avpo.exe

بعد از این مراحل تمام پنجره ها رو ببندید و برنامه registry را اجرا کنید :

(Run \regedit)
مسیر زیر را دنبال کنید :

:كد

HKEY_CURRENT_USER \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Run

در این قسمت هر کلیدی که به نام avpo.exe بود را delete کنید .

در برنامه registry قسمت edit گزینه Findرا کلیک کنید و عبارت ntde1ect را جستجو کنید. تمام کلیدهای پیدا شده را delete کنید .
این کار را برای فایل avpo.exe نیز انجام دهید و تمام کلیدهای پیدا شده راdelete کنید .

در آخر کار سراغ کلید زیر بروید و مقدار CheckedValue را برابر 1 قرار دهید .

:كد

HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion

Explorer/Advanced/Folder/Hidden/SHOWALL