آشنایی با ویروس ها (2)- ویروس Autorun

(حذف و پاک کردن ویروس Autorun )

معرفی:

Autorun نام ویروس جدیدی است که توسط ویروس نویسان چینی نوشته شده است این ویروس با کپی شدن از طریق پست الکترونیک و انواع لوح های فشرده و انواع حافظه های همراه مانند فلش کارتها و حتی فلاپی تکثیر می شوداین ویروس بعد از آلوده کردن سیستم شما در پوشه system 32 کپی شده و 1 فایل اجرایی با نام xcopy.exe می سازد. طرز کار این ویروس خیلی جالبه این ویروس با ایجاد یک فایل autorun.inf در داخل درایوها با محتوای autorun Shellexecute=copy.exe کلید تکثیر خودشو فعال می کنه به این صورت که با هربار کلیک کردن شما بر روی درایو مربوطه دو فایل ویروسی copy.exe , host.exe ایجاد میکنه و تکثیر میشه این ویروس میتونه باعت ایجاد اختلال در سرورهای محلی و خانگی بشه و با تکثیر خودش روی سیستم و اجرای دائم فایلهاش باعث کاهش سرعت سیستمهای خانگی بشه یکی از قطعات سخت افزاری که از این یروس آسیب می بینه فلاپی درایو سیستم هست چون این ویروس هر 30 ثانیه یکبار برای تکثیر خودش فلاپی درایو رو چک می کند.

راه حل :

اولین راه حل استفاده از ویروس کش های Bitdefender ، Kaspersky یا nod32 هست.
این ویروس از دو طریق خود را فعال می کند.
1- از طریق پروسه هایی که به صورت استارت آپ بالا میان که از دو فایل temp1.exe و temp2.exe در پوشه ی % win%system32 سر چشمه می گیرند .
2- با دابل کلیک بر روی هر کدام از درایو های قابل نوشتن از جمله درایو های هارد دیسک + درایو های فلش و…
برای رهایی از شر این ویروس ابتدا باید پروسه های temp1.exe و temp2.exe رو از بین برد. برای این کار لازم هست که windows به صورت safe mode بالا بیاید و ذکر این نکته هم ضروریست که نباید روی درایو ها دابل کلیک کرد چون فایل autorun.inf روی هر کدام از درایو ها قرار دارد که با این کار دوباره پروسه های temp1.exe و temp2.exe رو فعال می کند.
خوب حالا که win بصورت safe mode راه اندازی شده می توانید با کلیک راست و انتخاب open به هر کدام از درایو ها وارد بشین { البته من در برخی از نسخه های این ویروس دیدم که حتی درون پوشه ی % win % هم فایل autorun.inf وجود داره – بنابراین توصیه اکید میکنم که تمام درایوها و پوشه ها رو با راست کلیک باز کنید .} حالا به پوشه ی system32 درون % win % میرویم و دو فایل temp1.exe و temp2.exe رو حذف میکنیم.
{ البته قبل از آن باید پروسه های آنها را از لیست TaskMgr حذف کرد. برای این کار Windows Task Manager را فعال و پروسه های temp1.exe و temp2.exe را از لیست processes با کلیک بر روی end process حذف کرد.}
حال میمونه فایل autorun.inf و فایل های وابسته.
خدمت شما عرض کنم که این فایل autorun.inf با هر بار فعال شدن موجب میشه که دو فایل copy.exe [xcopy.exe ] و host.exe درون همون درایو فعال بشن و دوباره دو فایل temp1.exe و temp2.exe رو بسازن.
{ البته باید بگم که این فایل های copy.exe[xcopy.exe ] رو نباید با فایل های خود windows که درون پوشه ی system32 هستند اشتباه گرفت. این فایل های ویروسی دقیقا درون پوشه ی root درایو هستند.}
حالا کافیه فایل autorun.inf رو حذف کنید.
{ تا اینجا دیگه شما از شر ویروس خلاص شدین و فقط همون دو فایل copy.exe [xcopy.exe ] و host.exe وجود داره که اونها هم نمی تونن خودشونو فعال کنند.}
بعدش به سراغ دو فایل copy.exe [xcopy.exe ] و host.exe میریم که باید ابتدا از Folder Option فایل های سیستمی و مخفی رو پدیدار کنیم. حالا با خیال راحت این دو فایل رو حذف میکنیم . برای تمامی درایو ها همین کار رو میکنید.
خوب شما ویروس رو حذف کردید ولی در مقابل اون مصون نیستید یعنی اگه یه cd یا Flash Memory رو روی سیستم به صورت autorun اجرا کنید و اونها این ویروس رو داشته باشند دوباره همون آش و همون کاسه…
و اما تجربه شخصی موقعی که روش های بالا کار آمد نبودن چاره ای جز فورمت هادرت نداری !
هارد رو خالی کن و بعد شروع کن به فورمت کردن یا اینکه ویندوزت رو عوض کن !
بعد یکی از درایوهات رو خالی کن بعد با اوپن برو تو درایوت و تمام فایلهات رو کپی کن تو درایو خالی و این درایوت رو هم فرمت کن !
با این روش سومی دیگه از بین میره.
ادامه دارد ......