تشخیص عملکرد یه ویروس و نوشتن آنتی آن

[bobrus]

تازگیا یه ویروس ایرانی باحال زده به سیستم دوستم تمام کاراشو مختل کرده سرعت سیستم به شدت اومده پایین جالب اینه که هیچ آنتی ویروسی نمی شناسدش و این ویروس نازنین هم یه سری شعار قشنگ بالای صفحه دستکتاپ تویه نوار زرد می نویسه
گفتم شاید مرحمتی یکی از بچه های همین سایت باشه
اگرم نیست
لطفاً کسی که به این چیزا وارده یه توضیح بده چطوری میشه شناسایش کرد و براش آنتی خوب نوشت

[raravaice]

1 اسم پروسس رو از task list در بیار

2 مسیرشو پیدا کن

3 تو registry ویندوز سرچ کن ببین تو run هست "که 100% هست"

4 msconfig رو اجرا کن ببین اثری ازش پیدا میکنی؟
---------------------------------
اگر میخوای از طرز عملکردش مطلع بشی دیباگ بگیر.
اگر میخوای آنتی براش بنویسی decompile کن و امضا شو پیدا کن و یا PE هدرش رو یه باز بینی بکن ببین به چه صورته و با چه زبانی نوشته شده.

("دنبالش نباش وقتتو میگیره و مطمئن باش نمیتونه زیاد انتشار پیدا کنه که آنتی شما معروف بشه")

موفق باشی

[HjSoft]

ببین دوست عزیز اگه برنامه شما سخنان ضد اسلامی و ایران می گوید به ویروس w32 / saldos است و از مشخصات آن به وجود فایل important.htm میتوان اشاره نمود !! اگه همینه من قبلا یک انتی براش نوشتم اگه خواستید بگید سورسشو بذارم !! فقط مطمئن باشید که همینه !!!

[M8SPY_OK]

جناب bobrus اگه امکان داره این ویروس رو آپلود کنید ...

[ƒxmahdi]

اگه ویروسو آپ کنید بیشتر می تونیم کمک کنیم

[bobrus]

فکر کنم همونیه که آقای wolf-sky گفته
لامذهب خیلی مارمولکه

[HjSoft]

سورس رو میذارم انشاالله که استفاده بشه !!! البته بگم این آنتی باید یکم تغییر کنه چون سریع مینوشتم ! درایو رو به طور پیشفرض c است میدونید که میشه درایو رو از کاربر گرفت اما من وقتشو نداشتم !! باین اینم سورسش !
دانلود (http://article.orq.ir)

[bobrus]

آقا دستستون درد نکنه اما هنوز وقت نکردم برم پیش این رفیقم تست کنم
1-آقای WOLF-SKY اجراش که کردم نوشته بود رضاجان مواظب باش فقط رو سیتم خودت اجرا کنی چون فقط واسه تو نوشتم جریان این چیه نکنه اجرا کنم سیستم رو خدا بیامورز کنه.
2- نحوه عملکرد یه ویروس رو ازکجا می شه تشخیص داد و کلاً از کجا میشه فهمید که یه فایل ویروسه یا ویروسیه؟

[bobrus]

آقا کسی نبود سوالمو جواب بده؟

[HjSoft]

خوب جواب سوالاتون :
1 - من این برنامه رو برای دوستم امیرضا نوشته بودم و درایو سیستمش c:\ بود برای همین سورس گذاشتم که شما به اونیکه دوست دارین تغییر بدین البته میدونید که میشه درایو رو از کاربر گرفت -----
2.اونو که من نمیدونم فقط برنامه ی من میاد اون فایل ویروس رو در ادرس مورد نظر چک میکنه اگه بود ارورر میده
3- چرا شما بازدید کردی نظر ندادی
4- امیدوارم جواب سوالتون رو گرفته باشید

[shahab2025]

من این ویروس را که کلیه شبکه را از کار انداخته بود پاک کردم
ویروس فایل exe اصلی را مخفی کرده ، از کار انداخته و به نام آن lib اضافه میکنه سپس یک shortcut جای فایل اصلی میذاره و Folder Option را هم میگیره...

من از McAffe استفاده کردم با نسخه بروزرسانی 5226

در ضمن Nod32 بروزشده هم میتونه پاکش کنه
هر دوتاشون را میتونید از سایت رسمی آنها بگیرید و نصب کنید

هر دو، اسم ویروس را Malas معرفی میکنند

فقط مشکلی که وجود داره اینه که اگر سیستم را با ویندوز خودش پاکسازی کنید ویندوز دیگه بالا نمیاد. یعنی پس از یک بار reset دیگه نمیتونی logon کنی

باید حتما از سیستم دیگری برای پاک کردن این هارد استفاده کنید.

این تمام اطلاعات من بود . گفتم شاید مفید باشه.

[bobrus]

از کمک دوستان ممنون
ولی یه سوالم هنوز بی جوابه
- چطور میشه تشخیص داد که یه فایل ویروسه ویا فایلی ویروسی شده ؟

[M8SPY_OK]

bobrus جان من یک خواهشی از شما کردم . اصلاً توجه کردی ؟
دمت گرم داداش اگه میشه همین ویروسی رو که میگی رو آپلود کن . من یکسری تحقیقات روش انجام بدم D:

[ali virus]

جواب دوست عزیزمون آقای bobrus

برای اینکه بفهمید باید یه مدت آمار دقیقی از حجم فایلهاتون بگیرید . در صورتی که حجک فایلی زیاد شد میتونید احتمال 30 تا 40 درصد بدید که فایل ویروسی شده .
خواهش میکنم اگه دوستان اطلاعاتی در این مورد دارن دریغ نکن .

[ali virus]

سلام آقای pcm2008
من این کار رو کردم ولی nod اونم ورژن 2008 اصلا گیر نداد . عزیز nod به عنوان آنتی ویروس برتر سال 2007 شناخته شده . علکی نیست که بیاد و به یه برنامه که توش کلمه reg نوشته شده گیر بده . ولی من گفته شما رو در مورد این کلمه ((hide)) تایید می کنم که اگه توی برنامه ای این کلمه به کار بره nod اون رو به عنوان PE_NEWHEUR ویروس میشناسه .
اگه هم دوستان اطلاعاتی دارن دریغ نکنن .

[مهران رسا]

در صورتی که شما دقیقاً کدهایی که من بهشون اشاره کردم رو توی برنامتون بکار برده باشید مطمئناً NOD32 بهش گیر میده .

در ضمن به نظر من علاوه بر کیفیت محصول ، تنها عاملی که باعث میشه مثلاً آنتی ویروس NOD32 برترین آنتی ویروس سال شناخته بشه ، تبلیغات گسترده و پشتیبانی درست حسابی از محصول هست .

[ali virus]

آقای pcm2008
اگر موافقید به وبلاگ من بیایید و سورس برنامه آنتی ویروس رو من رو دانلود کنید . البته همه عزیزان میتونن با مراجعه به وبلاگ من سورس رو دانلود کنن . البته تا فردا بعد از ظهر . دوستان میدونم که شاید یرنامه من خیلی باگ داشته باشه . به همین دلیل میخام که باگ های برنامه من رو برطرف کنید و هم سورس و هم فایل اجرایی رو توی سایت خوب برنامه نویس و وبلاگاتون قرار بدید .
من و دوست عزیزم آقای pcm میخایم آنتیهای جدیدتری رو انشا الله با هم بسازیم .
به امید آن روز .