سبب كتابة هذا الموضوع هو المعاناة اللي سببها لي فيروس اسمه W32/Sality و لنشر الإستفادة في القضاء على هذا الفيروس الذي أصبح يهدد جميع الأجهزة مؤخراً .
هيا نتعرف أولا على هذا الفيروس
you can translate this part with google
translate in our blog thanks for visiting us
Greatings Ramy Darwish
و الفيروس له العديد و العديد من الأنواع و منها :-
Win32/Sality.nar وده أقوى نوع (و يعتبر من أقوى عشر فيروسات في العالم لعام 2008)
Win32/Sality.nau
Win32/Sality.naq
Win32/Sality.nao
Win32/Sality.a
W32/Sality.e
W32/Sality.g
W32/Sality.i
W32/Sality.j
W32/Sality.m
W32/Sality.n
W32/Sality.tt
W32/Sality.ah
W32.Sality.aa
W32/Sality.am
W32/Sality.y
W32/Sality.ae
W32/Sality.o
ينتقل الفيروس عن طريق الأنترنت و نقل الملفات المصابة و البريد الألكتروني , كما له خواص إنتشار واسعة جداً من خلال الفلاشات الUSB , حيث يصنع من نفسه ملفات Autorun تساعد على الدخول لجهاز الضحية .
و لن أخفي عليكم أن الفيروس أثاره التدميرية كبيرة جداً جداً .!!!!
فالفيروس يقوم بنسخ نفسه بسرعة كبيرة في ملفات ال exe فهو يدمر نظام تشغيلك و برامجك المثبته و الغير مثبتة , كما يدمر الألعاب و أيضاً يدمر أي برنامج أنتي فيروس تضعه على جهازك
كما أنه يبعث بشفرات الريجيستري حتى يضمن عدم الوصول له من خلال تعطيل خاصية ctrl+alt+del
و خاصية regedit
و خاصية safe mode
و يمنعك من تحميل أي برنامج أنتي فيروس من على الأنترنت و يقطع الإتصال
و عند الدخول الى ctrl+alt+del تظهر تلك الرسالة السخيفة
the task manger has disabled by your admnistroitor
و إذا ظهرت لك هذه الرسالة فتأكد من أن الفيروس قد نال منك و تسلل لملفات النظام .
و هنا لا مفر من تثبيت نسخة جديدة من الويندوز
إذا لم تظهر لديك تلك الرسالة فلا تسعد , فمن الممكن أن يكون الفيروس مختباً بأي مكان في الجهاز ينتظر وقت الإنقضاض عليك لذا يجب عمل فحص دوري شامل على جميع ملفات الجهاز بواسطة برنامج Nod32 مثبت به آخر التحديثات و ستتفادى هجمة الفيروس المميتة .
يجب أن تتحلي بالصبر لإزالة الفيروس فلا تتعجل
طريقة إزالة الفيروس
1- لاتحزن على ما قد دمر من ملفات و برامج و ألعاب فهي غير قابلة للإصلاح للأسف .
2- قم بإستخراج كل ما ترغب به من درايف C لأنك مقدم على تغيير نسخة الويندوز حيث أن الأثار التدميرية التي يخلفها الفيروس لا تسترجع حتى بعد القضاء عليه
3- قم بتجهيز نسخة لبرنامج Nod32 في أسطوانة أو فلاشة و يستحسن ألا تكون النسخة من جهازك , كما يجب التأكد من خلو الأسطوانة أو الفلاشة من أي فيروسات من خلال فحصها ببرنامج Nod32 كامل التحديث على أي جهاز أخر غير مصاب , كما يجب وضع تعريف كارت الشبكة لديك أو المودم أو تجهيز الاسطوانات الأصلية للتعريفات للدخول على الإنترنت بدون البحث عن تعريفه داخل جهازك.
4- قم بتغيير نسخة الويندوز من خلال الBoot و ليس من خلال النسخة التي تعمل بالفعل
5- قم بعمل فورمات لدرايف ال C
6- قم بتثبيت الويندوز
7- عقب إنتهاء تثبيت الويندوز لا تتهور و تفتح أي درايف آخر فالفيروس كامن في مخبأه في أي مكان أخر بالجهاز غير درايف الC في هذه المرحلة .
8- قم بتثبيت برنامج Nod32 الذي سبق لنا تجهيزه .
9- قم بتحديث البرنامج عن طريق الأنترنت , بعد تعريف كارت الشبكة أو المودم .
10- قم بعمل SCAN حسب الطريقة الآتية .
11- لا تتدخل طوال فترة الفحص , اترك البرنامج حتى ينهي عمله .
12- لا تتعجب من كمية الفيروسات التي عثر عليها البرنامج و قام بمسحها , لكن لا تسعد أيضا فالبرنامج لم يعثر على جميع الفيروسات , ففيروس W32/Sality ليس بتلك السذاجة .
13- سننتقل الآن لأهم خطوة و هي البحث عن الفيروس داخل المجلد System Volume Information و الذي يعتبر الحصن الأخير لهذا الفيروس .
14- و لكن كيف نجد هذا المجلد و ما هي وظيفته ؟ هذا المجلد هو المسئول الأول عن عملية System Restore و هو يحتفظ بالملفات التي تساعد على إعادة النظام و يختبئ الفيروس بداخل تلك الملفات , و يتواجد هذا المجلد في كافة الدريفرات و هو مخفي و لإظهاره إتبع الآتي .
15- لماذا لم يدخل الأنتي فيروس داخل هذا المجلد و يمسك الفيروس ؟ هذا المجلد لا يعطي تصريح للدخول إليه إلا للنظام فقط و لا يستطيع أي أنتي فيروس الدخول إليه , لكن الفيروس يختبئ بداخله حيث يعتقد النظام بأنه جزء من ملفات الجهاز العادية و يدخله بنفسه إلى عقر داره .
16- كيف أسمح لبرنامج الأنتي فيروس بالدخول لهذه المنطقة المحظورة ؟ يجب أخذ صلاحية Permission للدخول لهذا المجلد .
17- لأخذ الصلاحية يجب الدخول إلى نظام Safe mode و الدخول بحساب Administartor ... ألخ , لكن دعك من كل هذا هنا يأتي دور البرنامج الرائع الصغير في حجمه و القوي في نتيجته XP Home Permissions Manager و البرنامج يسمح لك بأخذ صلاحية لحسابك للدخول علي أي ملف ترغبه في الكمبيوتر .
حمل البرنامج من هنا
(أضغط على الصورة)
18- الآن قف على جميع المجلدات System Volume Information في كافة درايفرات جهازك (C , D , E ...الخ ) و قم بإختيار Properities لهذا المجلد ثم Easy Security و أتبع الآتي :-
19- الآن يمكنك عمل سكان لهذه المجلدات قم بعمل بفحص جهازك من جديد بنفس الطريقة السابقة , و ستجد ما يسرك .
20- مبروك لقد قضيت على الفيروس الملعون .
ملحوظة : يمكن لك إستخدام أي أنتي فيروس تراه مناسباً فأنا لست متحيز لنوع معين لكن من خلال التجربة وجدت أن Nod32 هو العدو اللدود لفيروس W32/Sality
و لا أضمن النتائج مع أي أنتي فيروس آخر , و تلك الطريقة لا تعمل إلا مع ويندوز أكس بي أماالفيستا فيصعب أخذ صلاحية على جميع ملفات المجلد System Volume Information لأسباب امنية سخيفة من وجهة نظر مايكروسوفت تحميك من نفسك و لا تحميك من الفيروسات , و أسف على الشرح التفصيلي الطويل .
تحميل من موقع
(أضغط على الصورة)
تحميل من موقع
(أضغط على الصورة)
نسخة أخرى من البرنامج بداخلها الكراك
(أضغط على الصورة)
2- في حالة عدم ظهور ملفات الHidden حتى بعد تشغيلها ادخل على الريجيستري من خلال تشغيل Run ثم أكتب regedit ثم أبحث عن المسار التالي HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
CurrentVersion\Explorer\Advanced\Folder\Hidden\SHO WALLو بعد ذلك ابحث عن مفتاح أسمه CheckedValue و شغله و غير القيمة من 0 إلى 1
رجاء خاص
شكراً للأخ الفوزان.com
شكرا للأخ asd 3
شكرا للأخ a_m222
translate in our blog thanks for visiting us
Greatings Ramy Darwish
و الفيروس له العديد و العديد من الأنواع و منها :-
Win32/Sality.nar وده أقوى نوع (و يعتبر من أقوى عشر فيروسات في العالم لعام 2008)
Win32/Sality.nau
Win32/Sality.naq
Win32/Sality.nao
Win32/Sality.a
W32/Sality.e
W32/Sality.g
W32/Sality.i
W32/Sality.j
W32/Sality.m
W32/Sality.n
W32/Sality.tt
W32/Sality.ah
W32.Sality.aa
W32/Sality.am
W32/Sality.y
W32/Sality.ae
W32/Sality.o
ينتقل الفيروس عن طريق الأنترنت و نقل الملفات المصابة و البريد الألكتروني , كما له خواص إنتشار واسعة جداً من خلال الفلاشات الUSB , حيث يصنع من نفسه ملفات Autorun تساعد على الدخول لجهاز الضحية .
و لن أخفي عليكم أن الفيروس أثاره التدميرية كبيرة جداً جداً .!!!!
فالفيروس يقوم بنسخ نفسه بسرعة كبيرة في ملفات ال exe فهو يدمر نظام تشغيلك و برامجك المثبته و الغير مثبتة , كما يدمر الألعاب و أيضاً يدمر أي برنامج أنتي فيروس تضعه على جهازك
كما أنه يبعث بشفرات الريجيستري حتى يضمن عدم الوصول له من خلال تعطيل خاصية ctrl+alt+del
و خاصية regedit
و خاصية safe mode
و يمنعك من تحميل أي برنامج أنتي فيروس من على الأنترنت و يقطع الإتصال
و عند الدخول الى ctrl+alt+del تظهر تلك الرسالة السخيفة
the task manger has disabled by your admnistroitor
و إذا ظهرت لك هذه الرسالة فتأكد من أن الفيروس قد نال منك و تسلل لملفات النظام .
و هنا لا مفر من تثبيت نسخة جديدة من الويندوز
إذا لم تظهر لديك تلك الرسالة فلا تسعد , فمن الممكن أن يكون الفيروس مختباً بأي مكان في الجهاز ينتظر وقت الإنقضاض عليك لذا يجب عمل فحص دوري شامل على جميع ملفات الجهاز بواسطة برنامج Nod32 مثبت به آخر التحديثات و ستتفادى هجمة الفيروس المميتة .
يجب أن تتحلي بالصبر لإزالة الفيروس فلا تتعجل
طريقة إزالة الفيروس
1- لاتحزن على ما قد دمر من ملفات و برامج و ألعاب فهي غير قابلة للإصلاح للأسف .
2- قم بإستخراج كل ما ترغب به من درايف C لأنك مقدم على تغيير نسخة الويندوز حيث أن الأثار التدميرية التي يخلفها الفيروس لا تسترجع حتى بعد القضاء عليه
3- قم بتجهيز نسخة لبرنامج Nod32 في أسطوانة أو فلاشة و يستحسن ألا تكون النسخة من جهازك , كما يجب التأكد من خلو الأسطوانة أو الفلاشة من أي فيروسات من خلال فحصها ببرنامج Nod32 كامل التحديث على أي جهاز أخر غير مصاب , كما يجب وضع تعريف كارت الشبكة لديك أو المودم أو تجهيز الاسطوانات الأصلية للتعريفات للدخول على الإنترنت بدون البحث عن تعريفه داخل جهازك.
4- قم بتغيير نسخة الويندوز من خلال الBoot و ليس من خلال النسخة التي تعمل بالفعل
5- قم بعمل فورمات لدرايف ال C
6- قم بتثبيت الويندوز
7- عقب إنتهاء تثبيت الويندوز لا تتهور و تفتح أي درايف آخر فالفيروس كامن في مخبأه في أي مكان أخر بالجهاز غير درايف الC في هذه المرحلة .
8- قم بتثبيت برنامج Nod32 الذي سبق لنا تجهيزه .
9- قم بتحديث البرنامج عن طريق الأنترنت , بعد تعريف كارت الشبكة أو المودم .
10- قم بعمل SCAN حسب الطريقة الآتية .
11- لا تتدخل طوال فترة الفحص , اترك البرنامج حتى ينهي عمله .
12- لا تتعجب من كمية الفيروسات التي عثر عليها البرنامج و قام بمسحها , لكن لا تسعد أيضا فالبرنامج لم يعثر على جميع الفيروسات , ففيروس W32/Sality ليس بتلك السذاجة .
13- سننتقل الآن لأهم خطوة و هي البحث عن الفيروس داخل المجلد System Volume Information و الذي يعتبر الحصن الأخير لهذا الفيروس .
14- و لكن كيف نجد هذا المجلد و ما هي وظيفته ؟ هذا المجلد هو المسئول الأول عن عملية System Restore و هو يحتفظ بالملفات التي تساعد على إعادة النظام و يختبئ الفيروس بداخل تلك الملفات , و يتواجد هذا المجلد في كافة الدريفرات و هو مخفي و لإظهاره إتبع الآتي .
15- لماذا لم يدخل الأنتي فيروس داخل هذا المجلد و يمسك الفيروس ؟ هذا المجلد لا يعطي تصريح للدخول إليه إلا للنظام فقط و لا يستطيع أي أنتي فيروس الدخول إليه , لكن الفيروس يختبئ بداخله حيث يعتقد النظام بأنه جزء من ملفات الجهاز العادية و يدخله بنفسه إلى عقر داره .
16- كيف أسمح لبرنامج الأنتي فيروس بالدخول لهذه المنطقة المحظورة ؟ يجب أخذ صلاحية Permission للدخول لهذا المجلد .
17- لأخذ الصلاحية يجب الدخول إلى نظام Safe mode و الدخول بحساب Administartor ... ألخ , لكن دعك من كل هذا هنا يأتي دور البرنامج الرائع الصغير في حجمه و القوي في نتيجته XP Home Permissions Manager و البرنامج يسمح لك بأخذ صلاحية لحسابك للدخول علي أي ملف ترغبه في الكمبيوتر .
حمل البرنامج من هنا
(أضغط على الصورة)
18- الآن قف على جميع المجلدات System Volume Information في كافة درايفرات جهازك (C , D , E ...الخ ) و قم بإختيار Properities لهذا المجلد ثم Easy Security و أتبع الآتي :-
19- الآن يمكنك عمل سكان لهذه المجلدات قم بعمل بفحص جهازك من جديد بنفس الطريقة السابقة , و ستجد ما يسرك .
20- مبروك لقد قضيت على الفيروس الملعون .
ملحوظة : يمكن لك إستخدام أي أنتي فيروس تراه مناسباً فأنا لست متحيز لنوع معين لكن من خلال التجربة وجدت أن Nod32 هو العدو اللدود لفيروس W32/Sality
و لا أضمن النتائج مع أي أنتي فيروس آخر , و تلك الطريقة لا تعمل إلا مع ويندوز أكس بي أماالفيستا فيصعب أخذ صلاحية على جميع ملفات المجلد System Volume Information لأسباب امنية سخيفة من وجهة نظر مايكروسوفت تحميك من نفسك و لا تحميك من الفيروسات , و أسف على الشرح التفصيلي الطويل .
لتحميل نسخة Nod32 Smart Security Business edition تعمل لمدة 24800 يوم و تقبل التحديث من الموقع الأم و بدون أية كراكات
تحميل من موقع
(أضغط على الصورة)
تحميل من موقع
(أضغط على الصورة)
نسخة أخرى من البرنامج بداخلها الكراك
(أضغط على الصورة)
بعض الملاحظات المفيدة
1- لإعادة تشغيل الregedit شغل Run و أنسخ السطر التالي
كود:
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableRegistryTools /t REG_DWORD /d 0 /f
CurrentVersion\Explorer\Advanced\Folder\Hidden\SHO WALLو بعد ذلك ابحث عن مفتاح أسمه CheckedValue و شغله و غير القيمة من 0 إلى 1
رجاء خاص
هذا الموضوع أخذ مني الكثير من الجهد و التجارب للوصول لتلك النتيجة , و عند بحثي عن مواضيع مشابهه عن طريق Google و جدت الكثير من قام بنسخ الموضوع في منتديات أخرى ناسبين الموضوع لأنفسهم , لا أرفض نشر الموضوع بل هذا هو هدفي , فقط أرجو ذكر أسم منتدى المشاغب و أسم صاحب الموضوع .
شكراً للأخ الفوزان.com
اقتباس:
المشاركة الأصلية كتبت بواسطة الفوزان.com  جزاك الله خير اخي لقد عثرت ايضا على اداة تساعد على مسح هذا النوع من الفايروسات http://www.jsoftj.com/Download-3937-....html?sdi=7251 من شركة AVG اتمنى تعليقك عليه دمت |
اقتباس:
المشاركة الأصلية كتبت بواسطة asd 3 جزاك الله خيرا أخي بدل كل هذا التعب حمل أداة الكاسبر الدورية وهي كفيلة بالقضاء عليه وععن تجربة شخصية فالفيروس أثبت فشله في تعطيل الأداة ولله الحمد وتمت تجربتها وإزالته حيث نسخ نفسه في جهازي بحوال 4000 فايروس ولكن بفضل الله ثم بفضل هذه الأداة الرائعة تم القضاء عليه .. حملوا الأداة من هنا أخر تحديث 25/12/2008 http://devbuilds.kaspersky-labs.com/...2008_19-34.exe هذا الموقع احفضوه بالمفضلة لديكم http://avptool.virusinfo.info/en/ |
اقتباس:
المشاركة الأصلية كتبت بواسطة a_m222 انا من اشد المتضررين من هذا الفيرس ولكنى وجدت طريقه اخرى بدون تغيير الويندوز وهى عمل فحص للجهاز بالكامل من الدوس عن طريق اسطوانه مخصصه لذلك من شركة افيرا هذا الفحص يتعرف من خلاله الانتى فيرس على الفيرس ويوقف عمله فى جميع الدرايفات ثم بعد الانتهاء من الفحص ادخل للويندوز واقوم بعمل فحص اخر ببرنامج النود لانه البرنامج الوحيد الذى يقضى على هذا الفيرس وبذلك تنتهى مشكلة الفايرس نهائيا هذه الطريقه مجربه منى واستخدمها باستمرار فطبيعة عملى تجعلنى اتعامل مع الشبكات واواجه هذا الفيروس بشكل كبير جدا ولم استطع التغلب عليه الا بهذه الطريقه |
0 blogger-facebook:
إرسال تعليق