شاید برای شما هم پیش آمده باشد که سیستم آلوده به ویروس شده و آنتی ویروس قادر به حذف ویروس های موجود در کامپیوتر نباشد یا اینکه روال کار سیستم از حالت عادی خارج شده و به ویروسی بودن یا نبودن کامپیوتر با وجود نصب بودن آنتی ویروس شک کرده باشید.
.
اکثر اوقات با وجود منتشر شدن ویروس در سایر درایوها، با نصب مجدد ویندوز باز هم مشکل باقی می ماند و شاید ساده ترین راه ممکن فرمت کل هارد دیسک و از دست داده تمامی اطلاعات باشد!! کاری که برخی بهترین راه ممکن برای حل سریع مشکل می دانند!
در این آموزش بصورت تصویری و گام به گام راهکارهایی برای شناسایی ویروس ها و حذف آن ها در ویندوزی آلوده به ویروس ارائه خواهد شد.
مرحله اول،
شناسایی فایل(های) آلوده
.
1- استفاده از MSConfig:
در اولین مرحله با استفاده از MSConfig برنامه های Startup را بررسی کرده و موارد مشکوک را حذف نمایید. برای این کار از منوی Start برروی Run کلیک کنید.
عبارت msconfig را وارد کرده و برروی OK کلیک نمایید تا پنجره System Configuration شبیه شکل زیر باز شود. وارد بخش Startup شوید. در این بخش کلیه ی برنامه هایی که در هنگام به اصطلاح بالا آمدن ویندوز اجرا می شوند را مشاهده خواهید کرد.
در ستون Startup Item نام فایل، در ستون Manufacturer سازنده برنامه و در ستون Command آدرس فایل اجرایی برروی هارددیسک نشان داده می شود. در این مرحله باید با توجه به نرم افزارهایی که برروی سیستم نصب کرده اید نسبت به شناسایی موارد مشکوک و حذف آنها برای جلوگیری از اجرا در هنگام بالاآمدن ویندوز، اقدام کنید.
.یکی از ویژگی ها و وجه تمایز ویروس ها و تروجان ها با برنامه ها و فایل های سالم در این مرحله این است که زمانیکه آن ها را از لیست Startup حذف کرده و سیستم را Restart می کنید مجدداً به لیست برنامه های Startup اضافه می شوند.
.
در تصویر بالا تمامی موارد موجود، مواردی امن و شناخته شده از شرکت های معروف نرم افزاری هستند. اگر نتوانستید موارد مشکوک را پیدا کنید ولی همچنان به آلوده بودن سیستم مشکوک هستید، تمامی موارد Startup را غیرفعال کنید (با کلیک برروی Disable All) (به جز فایل های اجرایی آنتی ویروس که در تصویر بالا ESET Smart Security می باشد و فایل Ctfmon.exe در ویندوز XP)
توجه داشته باشید غیرفعال کردن تمامی فایل های اجرایی موجود در Startup، تاثیر مخربی در سیستم نداشته و هیچ مشکلی را برای اجرای ویندوز به وجود نمی آورد. پس از اینکه از سالم بودن یا آلوده بودن سیستم مطمئن شدید می توانید تمامی موارد موجود در Startup را با کلیک برروی Enable All فعال نمایید.
بعد از اینکه موارد مشکوک (یا همه برنامه های موجود در Startup) را غیرفعال کردید، برروی OK و در پیام نشان داده شده برروی Restart کلیک نمایید تا ویندوز مجدداً راه اندازی شود.
پس از بالا آمدن ویندوز، مجدداً با استفاده از Run وارد msconfig شوید و به بخش Startup بروید. اگر برنامه یا فایل مشکوکی را از لیست خارج کرده بودید و مجدداً به لیست برنامه های فعال اضافه شده، به احتمال زیاد سیستم شما آلوده به ویروس یا تروجان است. فایل های آلوده معمولاً دارای آدرس های خاصی هستند. مثلاً ادرس آنها C:\????.exe می باشد. گاهی اوقات این فایل ها در فولدر temp و یا Program Files نیز قرار می گیرند.
.
.
2- استفاده از Process Manager در یکی از محصولات Yamicsoft برای شناسایی فایل آلوده:
ابزار Process Manager یکی از مفیدترین ابزارها برای شناسایی موارد مشکوک و آلوده ی در حال اجرا می باشد.
.
ویروس ها و تروجان ها پس از ورود به سیستم شما، معمولاً در لیست برنامه های Startup قرار می گیرند تا با هر بار اجرای ویندوز، اجرا شده و در سیستم تا جای ممکن منتشر شوند. یکی از ویژگی های تروجان ها این است که در حین فعال بودن، در صورتی که به اینترنت متصل شوید می توانند چند صد نمونه از انواع تروجان را دانلود و روانه سیستم شما کنند. بدون آنکه شما متوجه شوید و فقط متوجه کند شدن سرعت اینترنت خواهید شد!
ابتدا یکی از نرم افزارهای شرکت Yamicsoft (یامیک سافت) را با توجه به ویندوز نصب شده برروی سیستم دانلود و نصب نمایید:
پس از نصب برنامه ی Windows Manager، آن را اجرا کرده و در بخش Information ابزار Process Manager را اجرا نمایید.
پس از اجرای برنامه مدیریت فرآیندها (Process Manager) لیستی از برنامه های در حال اجرا به همراه اطلاعاتی کامل از آنها نشان داده می شود:
همانطوری که در تصویر بالا مشاهده می کنید، برنامه های مشکوک با رنگ نارجی و قرمز Highlight (برجسته) شده هستند. شما باید تمامی موارد مشکوک و Highlight شده را بررسی کنید. تشخیص اینکه موارد مشخص شده واقعاً آلوده هستند ساده بوده و به عهده شما است!
.
مثلاً در تصویر بالا فایل IDMan.exe های لایت شده. با نگاه کردن به آدرس این فایل که C:\Program Files\Internet Download Manager است متوجه می شوید که این فایل مربوط به برنامه معروف مدیریت دانلود است که خود برروی سیستم نصب کرده اید. پس جای نگرانی نیست و به بررسی سایر موارد مشکوک بپردازید.
.
شاید این سئوال در ذهن شما پیش بیاید که چرا برنامه ای مانند IDM ، های لایت شده است؟! پاسخ ساده است، چون نگارش نصب شده و در حال اجرا، نگارش ک-رک شده ی این نرم افزار است! می توانید نگارش دمو را نصب کرده و با Process Manager ببینید که این بار فایل اجرایی چگونه Highlight می شود. برای اینکه وقت شما گرفته نشود ما این کار را انجام دادیم. نتیجه را در تصویر زیر ببینید. با توجه به اینکه از ک-ر-کی معتبر! برای IDM استفاده کرده ایم جای نگرانی وجود ندارد. شاید اینجا این مورد به ذهن شما برسد که استفاده از سریال برای رجیستر و فعال سازی برنامه ها نسبت به استفاده از p-a-t-c-h یا ک-ر-ک الویت خواهد داشت چون تغییری در فایل اجرایی برنامه ایجاد نمی شود.
از بحث اصلی دور نشویم. Process Manager کار را برای شما راحت تر کرده است. در MSConfig فقط نام فایل، آدرس و سازنده را مشاهده می کردید اما در اینجا علاوه بر موارد بالا، برنامه های مشکوک برای شما برجسته شده اند و امکان جلوگیری از اجرای مجدد آن ها را خواهید داشت.
اگر فایل آلوده، ویروس یا تروجانی در حال اجرا باشد براحتی با استفاده از دو روش بالا می توانید آن را شناسایی کنید.
نام و آدرس این فایل مشکوک را یادداشت کرده و ادامه ی آموزش را بخوانید تا با چگونگی حذف ویروس ها بصورت دستی آشنا شوید.
** غیرفعال نمودن موقتی فایل آلوده و خارج نمودن آن از برنامه های در حال اجرا **
اولین راهکار پیشنهادی بعد از شناسایی ویروس، غیرفعال نمودن موقتی فایل آلوده و خارج نمودن آن از برنامه های در حال اجرا می باشد. مادامی که ویروس یا فایل آلوده در حال اجرا باشد، مانع از اجرا شدن برنامه های حذف کننده خود خواهد شد. برخی ویروس ها Folder Options را حذف می کنند، برخی اجازه نمی دهند فایل های Hidden و مخفی شده را ببینید و برخی هم اجازه نمی دهند آنتی ویروس جدیدی را برای اسکن ویندوز، نصب کنید. برخی هم مانند ویروسی که سیستم مورد نظر ما به آن آلوده شده اجازه ی اجرای MSConfig و Task Manager را هم نمی هند!
در مراحل قبلی فایل آلوده را شناسایی کردید. حال باید آن را از لیست پروسه های در حال اجرا خارج کنید.
دو راه وجود دارد:
1- استفاده از Task Manager ویندوز
2- استفاده از Process Manager محصولات Yamicsoft
.
توضیحات Task Manager:
با استفاده از کلیدهای ترکیبی Crtl+Alt+Del برنامه مدیریت وظایف ویندوز را اجرا کنید. همچنین می توانید در نوار ابزار ویندوز (Taskbar) کلیک راست کرده و این برنامه را اجرا نمایید.
به بخش Process رفته، فایل آلوده را که قبلاً نام آن را یادداشت کردید، انتخاب کرده و با کلیک راست برروی آن، گزینه End Process Tree را کلیک نمایید. در پیام نشان داده شده مجدداً برروی End Process Tree کلیک کرده تا فایل آلوده از حالت اجرا خارج شود.
توضیحات Process Manager:
گاهی اوقات، Task Manager ویندوز توسط ویروس غیرفعال می شود. در این حالت می توانید با نصب یکی از محصولات Yamicsoft که در ابتدای متن لینک دانلود آن ها قرار داده شده و با کمک ابزار Process Manager فایل آلوده از حالت اجرا خارج کنید. برای این کار فایل آلوده در لیست را انتخاب کرده و در نوار ابزار برروی Kill Process و سپس Kill Process and Add to Black List کلیک نمایید. در پیام نشان داده شده برروی Yes کلیک نمایید.
به این ترتیب فایل آلوده بسته خواهد شد و با اضافه شدن آن به لیست سیاه، به هیچ وجه اجازه ی اجرای مجدد آن داده نمی شود.
در تصویر بالا، ویندوز آلوده به 2 نوع ویروس است که این ویروس ها مانع از اجرای MSConfig و Task Manager ویندوز می شوند و آنها را با استفاده از ابزار Process Manager غیرفعال می کنیم. پس از این کار، msconfig براحتی اجرا می شود. به بخش Startup در msconfig می رویم، نتیجه را در تصویر زیر ببینید:
این دو ویروس با قرار دادن میانبری در بخش Startup، همواره بعد از اجرای ویندوز اجرا شده و در سایر درایوهای سیستم نیز منتشر خواهند شد.
.
- توجه داشته باشید اگر ویروس، Task Manager را غیرفعال کرده، در اکثر اوقات با کمک برنامه RRT می توانید مجدداً آن را فعال نمایید.
- به منظور جلوگیری از اجرای مجدد ویروس، به هیچ وجه وارد محلی که فایل آلوده در آن قرار گرفته نشوید. ادامه آموزش را بخوانید تا با چگونگی حذف فایل آلوده آشنا شوید.
مرحله دوم،
حذف فایل(های) آلوده
تا به اینجای کار، فایل های آلوده را شناسایی کرده و از حالت اجرا خارج کرده اید تا بتوانید آن ها را حذف کنید.
می توان گفت به مهمترین بخش کار رسیده ایم. چگونه فایل یا فایل های آلوده را از سیستم حذف کنیم؟! در این بخش چندین راهکار ارائه می شود تا اگر با یکی از آنها به نتیجه نرسیدید، دیگری را تست نمایید.
.
سئوالی که در اینجا مطرح می شود این است که آیا با وجود آلوده بودن سیستم نیازی به فرمت درایو ویندوز و نصب مجدد ویندوز است یا خیر؟
پیشنهاد می کنم همواره نصب مجدد ویندوز را به عنوان آخرین راهکار در نظر بگیرید و تا جای ممکن سعی کنید مشکلات ویندوز فعلی را برطرف نمایید. مگر اینکه از ویندوز بک آپ (پشتیبان) داشته باشید و در چند دقیقه آن را به حالت قبل بازگردانید. اما توجه کنید در صورتیکه ویروس در سایر درایوهای هارد شما منتشر شده باشد، نصب مجدد ویندوز و یا Restore فایل بک آپ کمک خاصی به شما نخواهد کرد. معمولاً بلافاصله بعد از نصب ویندوز جدید و وارد شدن به درایوی به غیر از درایو ویندوز (درایوی که فرمت شده) مشکلات قبلی ظاهر شده و ویروس فعال می شود. پس اگر قصد نصب مجدد ویندوز یا بازگرداندن فایل پشتیبان را دارید، ابتدا باید فایل های آلوده را بصورت کامل از سیستم حذف نمایید. ادامه ی آموزش را بخوانید تا با نحوه ی حذف ویروس ها آشنا شوید.
.
حذف فایل آلوده بصورت دستی و بدون استفاده از آنتی ویروس:
اگر تعداد فایل های آلوده محدود هستند، بعد از بستن فایل آلوده و یا نصب مجدد ویندوز و قبل از ورود مجدد به درایوهای سیستم، می توانید بدون استفاده از آنتی ویروس، فایل(های) آلوده را حذف کنید. نکته ای که در اینجا باید رعایت شود این است که نباید از مرورگر فایل ویندوز برای Delete فایل(های) آلوده استفاده کنید. بعد از اینکه فایل آلوده را از حالت اجرا خارج کردید، به محض اینکه با استفاده از مرورگر فایل ویندوز (وارد شدن به My Computer و درایوها) به محل فایل آلوده مراجعه کنید، معمولاً ویروس مجدداً اجرا می شود. اما راه حل چیست؟
برنامه Nero را برروی ویندوز نصب کنید. اگر این برنامه از قبل برروی ویندوز نصب شده است که هیچ، در غیر اینصورت نگارش Lite یا Micro را از این لینک دانلود و نصب نمایید.
.
- توجه داشته باشید در تمامی مراحل دانلود و نصب برنامه ها، فایل ها را برروی Desktop ذخیره کنید و از ورود به درایوها تا زمانیکه از حذف کامل ویروس مطمئن شوید، خودداری نمایید. همچنین اگر برنامه های معرفی شده را برروی CD یا DVD دارید با قرار دادن CD یا DVD در داخل درایو، آن ها را نصب کنید. به هیچ وجه نباید وارد درایوهای هارددیسک شده و اقدام به نصب برنامه نمایید.
.
پس از نصب Nero، برنامه Nero Express را از منوی Start/All Programs/Nero اجرا نمایید. در پنجره Nero Express برروی Data و سپس Data CD کلیک کنید. برروی Add کلیک کنید تا برنامه مرورگر فایل های Nero باز شود. به محل قرار رفتن فایل(های) آلوده مراجعه کرده، برروی فایل آلوده راست کلیک کرده و با فشردن کلید Shift برروی صفحه کلید (کیبورد) برروی Delete و سپس Yes کلیک نمایید.
همانطوری که در تصویر بالا می بینید، ابتدای درایو C چندین فایل آلوده وجود دارد. با رایت کلیک برروی آنها و انتخاب Delete، فایل های آلوده حذف خواهند شد.به آدرسی که فایل های آلوده دیگر نیز در آن قرار دارد و با استفاده از Process Manager آنها را شناسایی کردیم (C:\Windows\System32) می رویم و همین کار را تکرار می کنیم.
مطمئناً ویروس در درایوهای دیگر سیستم هم منتشر شده است. به درایو D می رویم تا فایل های آلوده را از ابتدای این درایو هم حذف کنیم:
تا اینجای کار ویروس و فایل های آلوده را با استفاده از برنامه Nero Express و بدون فعال شدن مجدد ویروس از ابتدای درایوهای سیستم حذف کرده ایم. اما هنوز کار تمام نشده! ممکن است ویروس در سایر پوشه های موجود در هارد هم کپی شده باشد. بدون باز کردن درایوهای سیستم و بدون Restart ادامه مطلب را بخوانید تا با کمک آنتی ویروس از آلوده نبودن سایر فولدرهای موجود در هارددیسک مطمئن شوید. عدم توجه به این مورد باعث فعال شدن مجدد ویروس و آلوده شدن ویندوز می شود.
- اگر فایل آلوده Hidden (مخفی) شده است، از منوی Start وارد Control Panel و سپس Folder Options شوید و نمایش فایل های Hidden را در فعال کنید تا در مرورگر فایل Nero Express نمایش داده شوند.
- اگر آنتی ویروس فایل آلوده را شناسایی نمی کند، می توانید با Nero Express فولدرهای مشکوک را در هارددیسک بررسی کرده و در صورت وجود فایل آلوده آن ها را حذف کنید.
آخرین مرحله،
اسکن کامل سیستم با آنتی ویروس آپدیت شده:
هنوز کار تمام نشده است و نباید وارد درایوها شد!
بعد از اینکه فایل های آلوده از حالت اجرایی خارج شدند و با کمک Nero Express فایل های آلوده از ابتدای درایوها بصورت دستی حذف شدند، اگر برروی ویندوز آنتی ویروس نصب نکرده اید، یا آن را آپدیت نکرده اید، یکی از آنتی ویروس های NOD32 ، Kaspersky ، Norton ، McAfee ، Bitdefender یا Avast را دانلود، نصب و آپدیت نمایید و سپس سیستم را با آن اسکن کنید. بهتر است ابتدا آدرسی که فایل آلوده در آن قرار گرفته را اسکن کنید.
.
در آخرین مرحله وارد My Computer شوید. بدون وارد شدن به درایو ها، برروی آنها راست کلیک کرده و توسط آنتی ویروس نصب شده آنها را اسکن کنید. همچنین می توانید بدون وارد شدن به My Computer از محیط آنتی ویروس هم سیستم را بصورت کامل اسکن کنید (Full Scan)
در سیستم آلوده ی مورد آزمایش، آنتی ویروس ESET نصب و آپدیت شد. با نصب آنتی ویروس تعدادی ویروس در بررسی اتوماتیک آنتی ویروس شناسایی شدند.
.
ممکن است آنتی ویروس نصب و آپدیت شده قادر به شناسایی فایل آلوده نباشد. در اینصورت دو راه پیشنهاد می شود:
.
1- ابتدا پیشنهاد می شود که برنامه Malwarebytes’ Anti-Malware را دانلود و در کنار آنتی ویروس فعلی نصب نمایید. بعد از نصب آن، اگر به اینترنت دسترسی دارید آن را آپدیت کرده و سیستم را Quick Scan کنید. در صورتیکه به اینترنت دسترسی ندارید بدون آپدیت، سیستم را Quick Scan کنید. این برنامه بسیاری از بدافزارها و تروجان هایی را که آنتی ویروس ها قادر به شناسایی و حذف آن نیستند، شناسایی و حذف خواهد کرد. با مراجعه به لینک دانلود برنامه، با چگونگی کار با آن نیز آشنا خواهید شد.
2- آنتی ویروس نصب شده ی قبلی را حذف (Uninstall) کرده، یکی دیگر از آنتی ویروس های معرفی شده را دانلود، نصب و آپدیت کرده و سیستم (ابتدا محلی که فایل آلوده در آن قرار دارد) را اسکن کنید.
.
اسکن سیستم توسط آنتی ویروس های پُرتابل:
آنتی ویروس های پُرتابل، نیازی به نصب ندارند. کافی است آن ها را دانلود و در محیط ویندوز اجرا نمایید. به این ترتیب اگر آنتی ویروس فعلی که برروی ویندوز نصب شده قادر به شناسایی فایل آلوده نیست، بدون Uninstall آن می توانید با آنتی ویروس دیگری سیستم را اسکن کنید. نمونه ای از آنتی ویروس های پرتابل، NOD32 و Kaspersky می باشد.
.
اسکن سیستم توسط بوت دیسک:
با استفاده از آنتی ویروس بصورت بوت دیسک (دیسک نجات ناد 32، کسپرسکی و …) می توانید سیستم را اسکن کرده و در صورت آلوده بودن فایل های سیستمی، ویروس را حذف نمایید.
.
.
- اگر بعد از حذف ویروس همچنان برای ورود به درایوهای سیستم مشکل دارید و با دوبار کلیک برروی درایوها پنجره Open with باز می شود، این پست را مطالعه نمایید.
تصویر زیر نشان دهنده ی انواعی از ویروس ها می باشد که سیستم به آن ها آلوده بود و پس از انجام مراحل فوق و نصب و آپدیت آنتی ویروس، تمامی آنها حذف شدند.
حالا با خیال راحت می توانید فایل بک آپ ویندوز را بازگردانید یا ویندوز جدیدی نصب کنید هرچند تمامی ویروس ها و فایل های آلوده در ویندوز فعلی حذف شده اند و در صورتیکه کار با ویندوز را ادامه دهید هم مشکلی نخواهد بود. انتخاب با شما است …
سئوالات مطرح شده:
سئوال: چگونه میتوانیم از ویندوز یک بک آپ کامل تهیه کنیم ؟ با چه نرم افزاری ؟!
پاسخ: با استفاده از برنامه Acronis True Image می توانید از ویندوز بک آپ (پشتیبان) تهیه نمایید. راهنمای تصویری این نرم افزار در لینک http://backup.ghafari3.com موجود است.
.
سئوال: برنامه win7manager قسمت process manager که گفتید اونجا میشه ویروس ها رو دید و پاک کرد توی این قسمت اصلا گزینه Kill خاموشه روی هر برنامه ای هم میرم باز خاموشه و فعال نمیشه خودتون یه امتحانی کنید ویندوزم 7 هست.
پاسخ: باید برنامه ای که قصد دارید Kill شود را تیک بزنید تا این گزینه فعال شود. اگر فقط آن را select کنید، Kill Process فعال نمی شود.
.
سئوال: آیا زمانی که دوره آزمایشی استفاده از آنتی ویروس کسپرسکی به اتمام رسیده، ویروس ها را شناسایی می کند؟
پاسخ: خیر، زمانیکه دوره ی Trial آنتی ویروس به اتمام می رسد کاملاً غیر فعال می شود و باید سریعاً نسبت به فعال سازی آن اقدام نمایید.
