ویروسی وارد سیستم من شده است که باعث پنهان شدن Folder Options شده است. چه باید بکنم؟

این یک ویروس بسیار حرفه ای است که اساس طراحی این ویروس با Visual Basic 6.0 می باشد. برای اولین بار کمپانی سازنده آنتی ویروس BitDefender پادزهر آن را ساخت اما چون روشی خاص برای نابودی این کرم وجود دارد ، نرم افزار آنتی ویروس نمی تواند این کار را انجام دهد و فقط ویروس را شناسایی می کند. دوستانی که سطح دانایی آن ها مبتدی است توصیه می شود که ویندوز خود را عوض کنند و تمام مطالبی که در زیر نوشته شده است را کنار بگذارند. البته توضیحات واضح است و ضرری ندارد اگر یکبار امتحان کنید اما کسانی که مدت زیادی است با کامپیوتر آشنایی دارند بهتر می توانند موفق شوند. در ابتدا خوب است کمی راجب هنرنمایی های این ویروس بدانیم:

کرمی که باعث ایجاد این ویروس می شود BronTok.A نام دارد. معروف شده است به پنهان کننده Folder Options. بهتر است بدانید که این تنها کار این کرم نیست. Registry Tools را قفل می کند ، Task Manager با Error مواجه می شود و اگر هم بر حسب اتفاق اجرا شود توانایی END کردن بسیاری از پروسه ها را ندارد ، محتویات My Documents را پس از اجرا شدن نمایش می دهد ، اگر از طریق منوی Start گزینه Run را فعال کنیم و هر یک از عبارات RegEdt32 ، Regedit ، msconfig و CMD را اجرا کنیم سیستم بلافاصه Restart می شود ، کلیک بر روی Log Off یا Turn Off باعث Restart می شود ، سرعت سیستم را کاهش داده و مانع اجرای بعضی نرم افزارها می شود. این کرم ، Icon یک پوشه معمولی را دارد و از طریق فایل inetinfo.exe در سیستم منتشر می شود. اکنون به آموزش روش حذف کامل و دقیق این مزاحم می پردازیم:



جهت حذف این ویروس لازم است شما چند کار اولیه را انجام دهید:

ابتدا اگر آنتی ویروسی بر روی سیستم خود دارید یا آن را موقتاً غیر فعال (Disable) کنید و یا اینکه کلاً Uninstall کنید.

سپس دو نرم افزار لازم است که دانلود کنید که خوشبختانه حجم های بسیار کمی دارند و در زیر قرار داده شده اند:

دانلود کنید BronTok.A Killer را با حجم 79 کیلوبایت.

دانلود کنید Process Master 1.1 را با حجم 781 کیلوبایت.

هر نرم افزار یا صفحه اینترنتی و یا هر چیز دیگری که باز دارید ببندید.


پس از خارج کردن از حالت فشرده (ZIP) ، نرم افزار Process Master را نصب کنید و Crack آن را طبق فایل راهنمای همراه آن انجام دهید. با BronTok.A Killer فعلاً کاری نداشته باشید ولی از حالت ZIP خارجش کنید (راست کلیک و Extract).

همانطور که می دانید اساس کار بعضی فایل ها پیشبُرد روند اجرایی سیستم است که از آن جمله winlogon.exe ، lsass.exe و services.exe را می توان نام برد. در حالت معمولی (ویروسی نبودن) این سه فایل همیشه در حال اجرا هستند و از طریق Task Manager قابل مشاهده هستند. مسیر آنها نشان می دهد از پوشه System32 در Windows اجرا شده اند. اما وقتی به این ویروس دچار هستید دیگر Task Manager هم کار نمی کند و برای همین است که گفته شد به نرم افزار Process Master نیاز دارید. اکنون این نرم افزار را اجرا کنید. می بینید سه فایلی که همیشه در حال اجرا هستند اینجا به صورت جفتی اقدام نموده اند. یعنی دوتا lsass.exe و دوتا winlogon.exe و دوتا services.exe در حال اجرا می باشند. البته همه آنها ممکن است جفتی نباشند. تشخیص اینکه کدام اصلی است و کدام نتیجه تأثیر ویروس ، بسیار ساده است. آن هایی که مسیر اجرا شدنشان به شکل Windows/System32/... است اصلی هستند و آن هایی که از .../Documents and Settings/... اجرا شده اند مسیر ویروس هستند و طول آدرس آنها طولانی تر است. بر روی آنهایی که مسیر .../Documents and Settings/... را دارند راست کلیک کرده و Kill Process را بزنید. اگر به غیر از این سه فایل ، فایل های دیگری نیز بودند که مسیر اجرایی مشابه ویروس داشتند آن ها را نیز Kill Process کنید. فقط به آن هایی که مسیر Windows/System32/... دارند دست نزنید.

پس از Kill Process کردن فایل ها ، برنامه را ببندید. حالا برنامه BronTok.A را اجرا کنید. این برنامه به نصب نیازی ندارد. برای بعضی از شما دوستان این برنامه به محض کلیک کردن اجرا شده و پنجره کوچک آن نمایان می شود. اما برای عده دیگر تنها صدای Error به گوش می رسد و پنجره ای باز نمی شود. برای کسانی که با این مشکل مواجه می شوند توصیه زیر را داریم:

بر روی نرم افزار راست کلیک کرده و به Properties بروید. در پنجره باز شده از منوهای بالا ، Compatibility را انتخاب کنید. اکنون دو گزینه Disable Visual Themes و ...Turn off Advanced Text را با تیک زدن فعال کنید و سپس Apply و OK را بزنید. مشکل شما نیز بر طرف می شود. برنامه را اجرا کنید و با فشردن دکمه Kill منتظر بمانید Wizard تا انتها رفته و پیام Thank You بدهد. اکنون می توانید برنامه را ببندید.

از منوی Start گزینه Search را کلیک کنید. در پنجره باز شده در میان گزینه های سمت چپ ، All files and Folders را برگزینید. در قسمت All or part of files name تایپ کنید: Empty.pif و سپس از روی کیبورد دکمه Enter را بزنید. هر آنچه پیدا شد پاک کنید. حالا در همان مکان ، قبلی را پاک کنید و این بار تایپ کنید: *.scr,*.exe

این بار هر کدام که آیکنش شبیه به آیکن پوشه زرد رنگ بود پاک کنید. تعداد فایل های پیدا شده زیاد است ، دقت کنید چیز دیگری را به اشتباه پاک نکنید. در مرحله بعد تایپ کنید: job.*

تمام فایل های پیدا شده را پاک کنید. در صورتی که پاک نمی شوند ، یکی یکی پاک کنید. از بالا به پائین. سرانجام عبارت Born را تایپ کنید و هر فایل یا پوشه ای در این زمینه یافت شد پاک کنید. کامپیوتر را یکبار Restart کنید و با خیال راحت با آن کار کنید.

توجه داشته باشید اگر ویندوز را دو یا چند User کردید باید همه مراحل فوق در سایر User ها نیز انجام گیرد.

روش حذف ویروس Jeefo چگونه است؟

ویروسی که شما نام بردید W32.Jeefo.A است. یک ویروس قدیمی و مربوط به اواسط سال 2006 است. جزء خطرناک ترین ویروس هایی است که در ایران به سرعت منتشر شد و شاید یکی از دلایل مهم آن باز شدن ایمیل های نا آشنا و همچنین سایت های آلوده توسط کاربران بود.

دلیل خطرناک بودن آن این است که بسیار بی سر و صدا و بدون جلب توجه کاربر ، شروع به آلوده نمودن فایل های EXE می کند و وقتی شما آنتی ویروسی بر روی سیستم نصب می کنید فایل های EXE شما که فایل های Setup یا اجرایی برنامه ها و بازی ها هستند را ویروس تلقی کرده و ناتوان در درمان آن هاست و در نتیجه آن ها را پاک می کند. وقتی هم فایل EXE یک برنامه یا بازی موجود نباشد اجرا شدن آن محال است.

بسیار پیش آمده است که Internet Explorer را نیز از کار انداخته است چرا که آن نیز مانند سایر نرم افزار ها برای اجرا به یک فایل EXE متوسل است.

علیرغم گذشت نزدیک به دو سال از تولد این ویروس هنوز شاهد آلوده شدن صد ها سیستم کامپیوتری در ایران هستیم که البته پادزهر آن نیز ساخته شده است. نرم افزاری کم حجم با قدرت بسیار خوب. این نرم افزار را می توانید از اینجا دانلود کنید. پس از دانلود آن را اجرا و سپس دکمه Accept را بزنید. با فشردن دکمه Start Scan جستجو برای یافتن این ویروس در سیستم شما آغاز خواهد شد.

توجه کنید حتماً از یک آنتی ویروس قوی برای جلوگیری از به وقوع پیوستن چنین خطرات احتمالی استفاده کنید.

وقتی می خواهم آلوده نبودن یک فایل را با Nod32 چک کنم در راست کلیک بر روی آن فایل ، گزینه Nod32 دیده نمی شود. چرا؟

معمولاً اگر هنگام نصب به Recommendation های نرم افزار توجه شود نباید چنین مشکلی ایجاد شود.

برای رفع این مشکل کافیست وارد تنظیمات برنامه شوید. این کار را پس از باز کردن برنامه ، با فشردن دکمه F5 انجام دهید. در پنجره باز شده ، از گزینه های سمت چپ ، مجموعه User Interface را پیدا نموده و زیر مجموعه Context Menu را انتخاب کنید. اکنون در سمت راست تیک مربوط به Integrate into the context menu را فعال کنید و پنجره را با OK ببندید.

اکنون با یکبار Restart نمودن کامپیوتر ، گزینه Scan with ESET Smart Security در راست کلیک شما روی فایل ها فعال خواهد شد.

نحوه از بین بردن ویروس کظم غیظ (Kazme_Gheyz) چگونه است؟

در ابتدا عرض کنم که اصلا انتظار نداشته باشید آنتی ویروس های رایج دنیا این ویروس را شناسایی کنند. چرا که این ویروس ویژه ایران است و هنوز گستردگی جهانی پیدا نکرده است و در صورتی که به سایت های سازنده نرم افزار های امنیتی گزارش شود در رده ویروس ها قرار خواهد گرفت و آنگاه آنتی ویروس ها خواهند شناخت. این ویروس در 21 اردیبهشت ماه سال 87 به طور ناگهانی در ایران انتشار یافت. خطر چندانی سیستم را تهدید نمی کند اما به طور کلی ایجاد مزاحمت هایی برای کاربران می کند. برای مثال:

1- وبلاگ کظم غیظ را Home Page می کند یعنی وقتی Internet Explorer را باز می کنید تا سایتی را وارد کنید بلافاصله وبلاگ کظم غیظ نمایش داده می شود.

2- غیر فعال شدن گزینه Run در Start Menu (در بعضی سیستم ها).

3- غیر فعال شدن گزینه Manage پس از راست کلیک بر روی My Computer.

4- Folder Options را نیز پنهان می نماید (در بعضی سیستم ها).

5- غیرفعال شدن پنجره Task Manager (در بعضی سیستم ها).

6- ارسال پیام گروهی ناخواسته در Yahoo! Messenger (در بعضی سیستم ها).



حذف این ویروس دو روش دارد. یک روش نرم افزاری و یک روش عملکرد دستی است. در زیر هر دو روش قرار داده شده است که در صورتی که از یکی از روش ها پاسخ مثبت نگرفتید از روش دوم استفاده کنید:



الف - روش نرم افزاری: ابتدا نرم افزار ایرانی که ویژه این ویروس ساخته شده است را از اینجا دریافت و سپس آن را اجرا و دکمه Remove Kazme_Gheyz را بفشارید و منتظر بمانید. پس از پایان عملیات سیستم را Restart نمائید و مشکلات پیشین را چک کنید و در صورتی که برطرف نشده بود از روش دوم استفاده نمائید.



ب - روش دستی: در بعضی کامپیوتر ها عملکرد این ویروس در بعضی قسمت ها هنوز به نتیجه نرسیده است ، مثلا نتوانسته گزینه Run را از کار بیندازد. اما در بعضی سیستم ها حتی شما توانایی باز کردن پنجره End Task را هم ندارید.

بنابراین ابتدا به شاخه C:\WINDOWS بروید و فایل Regedit و سپس به شاخه C:\WINDOWS\system32 رفته و فایل Taskmgr را تغییر نام دهید (به یک نام دلخواه).

1- فایل Taskmgr را که تغییر نام دادید اجرا کنید. در سربرگ Processes عنوان Kazme_Gheyz و یا عناوین مشابه را انتخاب و End Process کنید.

2- اکنون فایل Regedit که تغییر نام دادید اجرا کنید. در پنجره باز شده ، سمت چپ بر روی عبارت My Computer یکبار کلیک کنید تا فقط High Light شود. اکنون Ctrl+F را بزنید تا پنجره Find باز شود. عبارت Kazm را تایپ کنید و دکمه Find Next را بزنید. در صورتیکه موردی یافت شد آن را با دکمه Delete کیبورد حذف کنید. سپس F3 را بزنید تا در سایر نقاط سیستم ، این جستجو ادامه یابد و اگر باز هم موردی یافت شد آن را نیز حذف کنید. این کار را تا پایان جستجو انجام دهید.

3- اکنون گزینه Folder Options شما فعال شده است و می توانید از طریق My Computer و سربرگ Tools ، این گزینه را انتخاب تا پنجره مربوط به آن باز شود. سربرگ View را انتخاب کنید و گزینه Show hidden files and folder و دو گزینه زیرین آن که با Hide شروع می شوند را تیک بزنید. سپس Apply و OK کنید.

4- با استفاده از Search ویندوز ، دو عبارت Kazme_gheyz.exe و Autorun.info را جستجو کنید و یافته ها را پاک کنید. این کار را با جستجوی دستی نیز در Drive ها انجام دهید.

5- وارد C:\WINDOWS\system32 شده و Ctrl+F را بزنید تا پنجره جستجو باز شود. اکنون همان عبارات Kazme_gheyz.exe و Autorun.info را در این مکان نیز جستجو کنید و موارد یافته شده را Delete کنید. بهتر است Shift + Delete کنید که به کلی از بین بروند.

6- به Control Panel رفته و Internet Options را باز کنید. دکمه Use Blank را بزنید تا صفحه Homa Page خالی شود و سپس Apply و OK کنید.

7- اکنون فایل های Regedit و Teskmgr را که تغییر نام داده بودید به نام حقیقی خود بازگردانید و کامیپوتر خود را یکبار Restart کنید.



در صورتی که از دو روش فوق مشکل شما حل نشد ، ورژن شماره 2 از ویروس Kazme_Gheyz در سیستم شما است که از طریق نرم افزار کوچکی که سازنده این ویروس آن را ساخته است از بین می رود. آن را از اینجا می توانید دریافت کنید. پس از اجرای آن ، با یک صفحه تبلیغاتی مواجه می شوید که کافیست دکمه Enter Here را کلیک کنید. پس از پایان کار ، برای عملکرد بهتر برنامه ، سیستم خود را Restart کنید.


در انتها اضافه کنم که برخی کاربران موفقیت آنتی ویروس Avira را در نابود کردن این Trojan تأیید کردند.

ویروسی به نام fooool.exe وارد سیستم من شده که به صورت سیستمی ، پنهان شده است. چگونه می توانم آن را از بین ببرم؟

برای از بین بردن این ویروس باید وارد محیط Safe Mode شوید. بدین شکل که پس از Restart کردن سیستم خود ، پیش از بالا آمدن ویندوز ، دکمه F8 را کلیک کنید تا وارد این محیط شوید. وارد Run شده و در آن تایپ کنید CMD و OK کنید. با تایپ کردن :C و Enter زدن ، به ریشه اصلی این Drive وارد شوید. خط فرمان زیر را تایپ کنید و Enter را فشار دهید:

attrib Fooool.* -s -h -r -a

اکنون دستور مقابل را تایپ کنید و Enter را فشار دهید:

dir /s Fooool.exe

اگر فایلی یافت شد پس حضور این ویروس قطعی است و باید از طریق دستور زیر ، آن را حذف نمود:

del Fooool.exe

اعمال فوق را برای همه Drive ها انجام دهید تا از عدم حضور ویروس اطمینان حاصل کنید.

آیا راهی برای برداشتن فایل های Update آنتی ویروس Norton Internet Security 2010 و انتقال آن به کامپیوتر دیگر وجود دارد؟

بله ؛ این فایل ها در پوشه Definitions در مسیر پنهان زیر برای ورژن 2010 ذخیره می شود:



C:\Documents and Settings\All Users\Application Data\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\NIS_17.0.0.136\Definitions



توجه کنید بخش قرمز رنگ در مسیر بالا، ورژن (Build) آنتی ویروس شماست. در صورتی که ورژن بالاتری وجود دارد و از آن استفاده می کنید ، عدد مربوط به آن ورژن ، به جای این قسمت قرمز رنگ قرار خواهد گرفت.



برداشتن فایل ها کار دشواری نیست اما چگونگی انتقال کامل آنها به سیستم دیگر بدون مواجه شدن با Error کمی نیاز به اجرای برخی تکنیک ها دارد. ابتدا در سیستمی که می خواهید این فایل ها را به آن انتقال دهید برنامه Norton Internet Security را باز کرده و در همان قسمت بالا روی عبارت Settings کلیک کرده تا پنجره دوم باز شود.

در پائین پنجره دوم روی سربرگ Miscellaneous Settings کلیک کنید. اکنون گزینه Norton Product Tamper Protection را که فعال است (On) ، غیرفعال کنید (Off). حالا می توانید بدون مواجه شدن با Error فایل های Update را به همان آدرسی که در بالا نوشته شده است انتقال دهید. پس از این کار ، مجدداً Norton Product Tamper Protection را فعال کرده و برنامه را از طریق اینترنت در مدت بسیار کوتاهی به روز رسانی کنید.

آیا راهی برای برداشتن فایل های Update آنتی ویروس ESET Nod32 Smart Security و انتقال آن به کامپیوتر دیگر وجود دارد؟

 

بله. فایل های به روز رسان این نرم افزار در پوشه Updfiles در مسیر پنهان زیر است:

 

برای Windows XP در مسیر:

C:\Documents and Settings\All Users\Application Data\ESET\ESET Smart Security

و برای Windows Vista در مسیر:

C:\ProgramData\ESET\ESET Smart Security

 

توجه داشته باشید فایل های Update یک ورژن خاص ، برای ورژن دیگر مناسب نیست. در صورتی که می خواهید این فایل ها را از سیستمی به سیستم دیگر انتقال دهید ابتدا از یکسان بودن ورژن های نصب شده بر روی دو سیستم مطمئن شوید. برای انتقال کافیست ابتدا پنجره Task Manager را با Ctrl+Alt+Del باز کرده و گزینه EGUI.EXE را End Process کنید. پس از انتقال فایل ها ، برنامه را باز کنید و آن را با یک Username و Password زنده به روز رسانی کنید. این کار در لحظات کوتاهی پایان می پذیرد.