אנטי וויראלי - המדריך להסרת ווירוסים עקשנים: אוקטובר 2008

אנטי וויראלי - איך מורידים ווירוס עקשן כשהאנטי ווירוס לא מצליח?

אנטי וויראלי - המדריך להסרת ווירוסים - אלו שתוכנות האנטי ווירוס לא מצליחות להוריד

אנטי-ווירוס הינו כלי נהדר המשרת את מטרתו ברוב המקרים - אבל מה לעשות? אין אנטי ווירוס שניתן לסמוך עליו בכל מאת האחוזים.

מטרתינו היא למלא את אותו מרווח בו האנטי-ווירוס שלכם אינו יכול לספק את התוצאות המבוקשות, על ידי פיתוח התקנים (Patch) שונים לאיתור חיסול והסרת ווירוסים וסוסים טרויאנים אשר אינם מזוהים, או אינם ניתנים לתיקון והסרה על ידי תוכנות האנטי ווירוס השונות.

בנוסף, במקרים רבים בהם האנטי-ווירוס מסוגל לזהות ולהסיר ווירוסים וסוסים טרויאנים מן המערכת - אין ביכולתו לבצע שחזור של הנזק שנגרם על ידים במהלך פעולתם. ההתקנים שתמצאו כאן בנויים בצורה כזו שהם מסוגלים לשחזר את הנזקים השונים הנגרמים למערכת על ידי הווירוסים והסוסים הטרויאנים באופן חלקי או מלא.

נזקים נפוצים הנגרמים על ידי ווירוסים וטרויאנים שונים ושאינם מתוקנים על ידי האנטי-ווירוס:

היעלמות של תפריטים שונים במערכת (הפעלה, חיפוש, אפשרויות תיקייה...)
הגבלת היכולת להריץ תוכנה מסויימת (regedit, task manager, cmd...)
הגבלת הגישה אל משאבי מערכת שונים (רשת, מדפסות, יציאות USB, אינטרנט...)

זיכרו, העובדה כי תוכנות האנטי-ווירוס השונות אינן חינמיות (כלומר עולות כסף) אינה הופכת אותן לטובות או מוצלחות יותר. בהבה מקרים, אלו הכלים החינמיים שעושים את העבודה טוב יותר :-)

התקן להסרת cradle_of_filth.vbe

מידע על הווירוס

ווירוס מוזר משהו שמונע ומגביל את פעילותן של תוכנות שונות במערכת ואת הגישה לתפריטים. הווירוס מופץ דרך מדיה ניידת. הווירוס יוצר קבצי הפעלה על המדיה הניידת ומשחזר אותם אוטומאטית במקרה של מחיקה.

קבצים

הווירוס יחדיר את הקבצים הבאים התיקיה הראשית במדיה הניידת:

autorun.inf
cradle_of_filth.vbe

הווירוס ישתיל את הקובץ הבא בתיקיית המערכת:

\cradle_of_filth.vbe

Registry

הווירוס יוצר את הערכים הבאים:

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoChangeStartMenu
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoClose
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoComputersNearMe
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDesktop
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrive
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveAutoRun
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFileMenu
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoHardwareTab
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRecentDocsHistory
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRecentDocsMenu
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoResolveSearch
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoShellSearchButton
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt\UncheckedValue
HKLM\Software\Microsoft\Command Processor\AutoRun
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore\DisableSR

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Userinit
C:\Windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe cradle_of_filth.vbe
Must be
C:\Windows\userinit.exe,

אזהרה

הווירוס מריץ את הקוד הזדוני בכל פעם שאתם ניגשים לכונן במחשב, לכן מומלץ להוריד את ההתקן ולשמור אותו על שולחן העבודה, להפעיל מחדש את המחשב במצב Safe Mode ולהריץ את ההתקן במצב Safe Mode בלבד.

התקן להסרת cradle_of_filth.vbe
להורדת ההתקן להסרת הווירוס על פי ההנחיות בעמוד זה - לחצו
על קישור ההורדה המתאים

התקן להסרת הווירוס cftmonn.exe

מידע על הווירוס

קבצים

הווירוס יחדיר את הקבצים הבאים אל המערכת:

\cftmonn.exe
autorun.inf
ctfmonn.exe

Registry

הווירוס יוצר את הערכים הבאים:

HKLM\Software\Microsoft\Windows\Current\Version\Run

cftmonn= \cftmonn.exe

אזהרה

הווירוס מריץ את הקוד הזדוני בכל פעם שאתם ניגשים לכונן במחשב, לכן מומלץ להוריד את ההתקן ולשמור אותו על שולחן העבודה, להפעיל מחדש את המחשב במצב Safe Mode ולהריץ את ההתקן במצב Safe Mode בלבד.

התקן להסרת cftmonn.exe
להורדת ההתקן להסרת הווירוס על פי ההנחיות בעמוד זה - לחצו
על קישור ההורדה המתאים

התקן להסרת softhomepage.com (sbsm.exe, sbsm.dll)

מידע על הווירוס

מוריד קבצים באופן אוטומאטי מהאינטרנט
יוצר ערך ב-register שטוען אותו באופן אוטומאטי
משתלב בתוך פעילות הדפדפן IE
רץ קשירות מערכת
קובע את softhomepage.com כדף הבית בדפדפן ומתחבר אליו דרך פורט 80

קבצים

הווירוס יחדיר את הקבצים הבאים אל המערכת:

\sbmdl.dll
\sbsm.dll

Registry

הווירוס יוצר את הערכים הבאים:

Keys created :

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7C109800-A5D5-438F-9640-18D17E168B88}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7C109800-A5D5-438F-9640-18D17E168B88}\InprocServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{9034A523-D068-4BE8-A284-9DF278BE776E}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{7C109800-A5D5-438F-9640-18D17E168B88}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Search
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{DAED9266-8C28-4C1C-8B58-5C66EFF1D302}

Values created :

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7C109800-A5D5-438F-9640-18D17E168B88}\InprocServer32]

(Default) = "%System%\sbmdl.dll"
ThreadingModel = "Apartment"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7C109800-A5D5-438F-9640-18D17E168B88}]

xxx = "xxx"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{9034A523-D068-4BE8-A284-9DF278BE776E}]

MenuText = "IE Anti-Spyware"
Exec = "http://www.gateietool.com/redirect.php"
CLSID = "{1FBA04EE-3024-11d2-8F1F-0000F87ABD16}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{7C109800-A5D5-438F-9640-18D17E168B88}]

(Default) = ""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run]

start = "nom crée aléatoirement "

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Extensions\CmdMapping]

{9034A523-D068-4BE8-A284-9DF278BE776E} = 0x00002001

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{DAED9266-8C28-4C1C-8B58-5C66EFF1D302}]

DisplayName = "Search"
URL = "http://www.searchagate.com/index.php?b=1&t=0&q={searchTerms}"

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]

DefaultScope = "{DAED9266-8C28-4C1C-8B58-5C66EFF1D302}"

Values created

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Extensions\CmdMapping]

NextId = 0x00002002

אזהרה

גם בהסרה של הווירוס דרך תוכנת האנטי ווירוס, פעילות הדפדפן לא תתוקן והגדרותיו לא ישוחזרו, לשם כך מומלץ להשתמש בהתקן המסופק

התקן להסרת Softhomepage.com
להורדת ההתקן להסרת הווירוס על פי ההנחיות בעמוד זה - לחצו
על קישור ההורדה המתאים

אנטי וויראלי - המדריך להסרת ווירוסים עקשנים

יום שלישי, 7 באוקטובר 2008

אנטי וויראלי - איך מורידים ווירוס עקשן כשהאנטי ווירוס לא מצליח?

התקן להסרת cradle_of_filth.vbe

התקן להסרת הווירוס cftmonn.exe

התקן להסרת softhomepage.com (sbsm.exe, sbsm.dll)

תוכן העניינים

שותפים