فيروس بدو حل؟؟

غريب ان يمنعك من دخول الوضع الامن ... تأكد جيداً !

حاولت كثيير اخي المزمجر باين انو مبرمج الفيروس حابك القصة من كل الجهات مش ناسي شي

استخدم النسخة 7 للكاسبر.

لكن الغريب كيف يمنعك من دخول الوضع الامن

أقصد انك لا ترى خيارات الدخول اليه ام بمجرد الدخول يطفأ الجهاز ام ماذا

فحتى تزيله يجب

الوضع الامن

msconfig و تشوف برامج بدء التشغيل ومسار الفيروس في السيستم ثم تحذفه

انا قدرت اعرف مساره بس المشكلة هو في microsoft shared و system داخل common files وهذين المجلدين غير موجودين اصلا بالجهاز وهم مش مخفين انا اقدرت اجيب برنامج يظهر المخفي بس على الفاضي وكمان لما ادخل على safe mode بيعيد التشغيل بعد قراءت الاعدادات

حاول ان تستخدم احد النظم الموجودة على سيدي بحيث تقلع منها بغض النظر عن نظامك

ثم اظهر المخفي و احذف الفيروس

كل الشكر لمساعدتك وانا عم بحاول

الطريقة الأولى :

يمكنك تحميل برنامج WinXP Manager والذهاب إلى قسم Startup :

ثم لاحظ الشرح :

1 , لتحديث القائمة وذلك بعد إجراء التعديلات عليها

2 , إضافة برنامج للعمل عند بدء التشغيل

3 , مسح

4 , قائمة فيها المستخدمين وبعض الأماكن لتضييق البحث

5 , اسم البرنامج وهل هو مضبوط للعمل عند بدء التشغيل ام لا

6 , مسار الملف

7 , هل هو موجود أم لا

8 , المكان في الرجستري

9 , هل يعمل أم لا

10 , أهم خاصية (بالنسبة لك) وهي معرفة موقعه في الرجستري

الطريقة الثانية :

من خلال فتح Start Menu , ثم Run ثم اكتب regedit

ثم اذهب إلى المسار :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurentVersion\Run

وابحث عنه , واحذف القيمة الخاصة به من خلال الضغط عليها بالزر الأيمن للفأرة واختيار Delete

شكرا لك اخي الطريقة الثانية جربتها وما نفعت بيرجع لوحده بعد الحذ بس عملت شغلة ثانية وهي تغيير الباينري للمسار وهيك ما عاد يتعرف على طريقة رح اجرب طريقتك الاولى وكل الشكر للاهتمامك

هل من الممكن إرسال نسخة عن الـ virus لتجريبها

اخي صعب ارسل نسخة وعلى فكرة الفيروس عطلته بالطريقة الاولى ونجحت بس لما جيت اشغل الكاسبر رجع اشتغل وكمان حذفت الكاسبر ونزلته من جديد وكمان رجع الفيروس (فيروس مدروس بشكل ممتاز) بس على فكرة ما بيعمل شي كثيير الفيروس يعني تعطيل بعض البرامج

ممكن تضغطه وين رار وترسله

zi.kh@hotmail.com

الأخ الفاضل ...

يبدوا أن هذا الفيروس براقب Hook كل ما يمكن أن يتسبب فى توقف عمله، وأنه قام بإخفاء ملفات ومجلدات النظام.

جرب اتباع التالى، لعله يكون مفيد:

1. يُـفضل إجراء التالى فى وضع الأمان Safe Mode.
   
2. لا تقم بحذفه الملف من الـ Registry ولكن فقد قم بتغير المسار، بمعنى لو مسار الملف
   LEFT TO RIGHT
   C:\Program Files\Common Files\Microsoft Shared\qbbtqcy.exe
   قم بتغيره على سبيل المثال إلى
   LEFT TO RIGHT
   B:\Program Files\Common Files\Microsoft Shared\qbbtqcy.exe
   ، ونفس الوضع بالنسبة للملف الثانى لا تقم بحذفه من الـ Registry ولكن فقد قم بتغير المسار، بمعنى لو مسار الملف
   LEFT TO RIGHT
   C:\Program Files\Common Files\Microsoft Shared\hasybbc.exe
   قم بتغيره على سبيل المثال إلى
   LEFT TO RIGHT
   B:\Program Files\Common Files\Microsoft Shared\hasybbc.exe
   
   
3. إذا لم تفلح هذه الطريقة، وقام الفيروس بإعادة ظبط المسارات فى الـ Registry، فأتبع التالى:
   


1. قم بنسخ مسار الفيروس من الـ Rigistry للملف الأول وليكن: C:\Program Files\Common Files\Microsoft Shared
   
2. قم بتشغيل Command Prompt، ثم قم بإظهار ملف الفيروس المخفى
   CONSOLE
   C:\>Attrib -h -s -r +a "C:\Program Files\Common Files\Microsoft Shared\qbbtqcy.exe"
   
   
3. فى متصفح الملفات Windows Explorer وفى العنوان Adress قم بكتابة مسار الفيروس وأضغط Enter: المسار مثلاً C:\Program Files\Common Files\Microsoft Shared
   
4. قم بتغير أسم ملف الفيروس (لن تستطيع حذفه لأنه يعمل)، على سبيل المثال من qbbtqcy.exe إلى qbbtqcy.e_e
   
5. كرر نفس الخطوات مع ملف الفيروس الثانى hasybbc.exe إلى hasybbc.e_e، أو أى كانت الاسماء (واضح أنه يتم اختيار الاسماء عشوائياً).
   


6. ثم أعد تشغيل الجهاز Restart
   
7. فى حالة نجاح هذه الطريقة، ولم يعمل الفيروس، اتبع التالى:
   
   1. لا تفتح أى Drive من خلال النقر المزدوج، لعل يكون هناك ملفات Autorun.inf مخفية لإعادة تحميله الفيروس مرة أخرى، ولكن فى متصفح الملفات Windows Explorer وفى العنوان Adress قم بكتابة أسم المشغل Drive مثلاً \:C أو \:D أو ... الخ، ثم أضغط Enter.
      
   2. تأكد من إزالة أى قيود على الـ Explorer أو النظام من خلال حذف كل الإعدادات فى
      LEFT TO RIGHT
      HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
      HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer
      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system
      أو استخدام أداة إزالة القيود RRT من برمجة الأخ iSergiwa، راجع الموضوع: أدوات حماية تهمك
      
   3. تأكد أن CheckedValue من النوع REG_DWORD وليس REG_SZ فى التالى
      LEFT TO RIGHT
      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN
      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt
      وإذا كان بأى نوع غير REG_DWORD، فقم بحذفه وإنشاء واحد جديد بنفس الأسم ولكن نوعه REG_DWORD وخصص له القيمة (1).
      
   4. بعد ذلك، فى Explorer من قائمة Tools ثم Folder Options، تأكدمن أظهار جميع الملفات، وكذلك ملفات النظام Hidden and System Files
      
   5. إذهب الى المسار الذى يحتوى على الفيروس واحذف ملفات الفيروس.
      
   6. لا تنس حذف الفيروس من الـ Registry. (المسارات التى سبق تغيرها)
      
   7. قم بفتح كل مشغل Drive بالطريقة سابقة الذكر (عن طريق عنوان كتابة أسمه فى الـ Address)، وتأكد من حذف أى ملف Autorun.inf والملف المقترن بتشغيله (عن طريق فتحه بإستخدام محرر النصوص Notepad) والبحث عن أسم الملف المخصص للقيمة Open فى القطاع [Autorun]
      كود
      [Autorun]
      OPEN=RavMon.exe
      
   8. يُفضل إيقاف خاصية التشغيل التلقائى Autorun وذلك بالتأكد من أن قيمة المتغير AutoRun من النوع REG_DWORD تساوى (0) وليس (1)، فى المسار
      LEFT TO RIGHT
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom
      وإنشاء قيمة من النوع REG_BINARY بإسم NoDriveTypeAutoRun وتساوى ff 00 00 00، فى المسار
      LEFT TO RIGHT
      HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer