*+* طمنوني الله يطمنكم والسبب فايروس mabezat *+*

[lonlystar]

السلام عليكم ورحمة الله وبركاته

أنا شبكت الهارديسك الخارجي حقي في لاب توب ولما رجعت أستخدمه بجهازي

برنامج الحمايه عندي صاد لي فيه فايروسات ومو نافع معاها الحذف ..

ولما دخلت على ملفاتي لقيت فيه ملفات غريبة وبكل ملف موجودة وهاذي صورة لها ..

وهاذي صورة برنامج الحماية وإسم للفايروس

طبعا كلما أضغط ديليت يرجع يصيده بمكان ثاني

المشكلة اني لما قريت عن هالفايروس عرفت إنه راح يتلف الملفات ..

وأنا الهارديسك محتفظة فيه بصور من تصويري وتعب سنين إن كانت عائلية أو فنية

شغلي بالتصوير والتصميم وخايفة كل شي يروح ... والله إني ما كتبت وسألت إلا ونفسيتي صفر

وودي لو أحد يطمنني ويقول لي إن ملفاتي ما راح تضيع وتتعبي ما راح يضيع ..

بانتظاركم .. ولكم الشكر مقدما ..​

 

[dollar989]

طيب اعملي بحث عن الملف %appdata%\tazebama\ واذا لقيتيه احذفيه وأعيدي التشغيل ثم اعملي بحث ثاني عنه وردي خبر

 

[lonlystar]

طيب نشوف​

 

[lonlystar]

3 مجلدات بحذفها واسوي ريستارت​

​

 

[LINEZERO]

باااااااااااااااااك

طيب هذا سكربت على السريع لمعرفة الملفات والمجلدات الموجوده في المسار الذي يتواجد به الفيروس
حمل الاداة التاليه

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

وشغلها بيطلع لك تقرير انسخه والصقه بردك القادم ..

:q:​

 

[LINEZERO]

لا تستعجل يادولاار حبه حبه

:d:

طيب الملفات ومسحتها اش يدريك انه ماراح ترجع ؟

:q:

 

[lonlystar]

تفضل أخوي التقرير

Volume in drive C has no label.
Volume Serial Number is 2827-6CA8
Directory of C:\Documents and Settings
06/06/2008 10:33 PM <DIR> .
06/06/2008 10:33 PM <DIR> ..
05/31/2008 09:44 PM <DIR> All Users
05/31/2008 10:00 PM <DIR> Default User
06/06/2008 06:57 PM <DIR> hook.dl_
05/31/2008 09:48 PM <DIR> LocalService
06/06/2008 08:44 PM <DIR> lonlystar noor
05/31/2008 09:47 PM <DIR> NetworkService
0 File(s) 0 bytes
8 Dir(s) 145,707,606,016 bytes free
Volume in drive C has no label.
Volume Serial Number is 2827-6CA8
Directory of C:\Documents and Settings\lonlystar noor\Application Data
06/05/2008 08:40 AM <DIR> .
06/05/2008 08:40 AM <DIR> ..
06/01/2008 06:37 PM <DIR> ACD Systems
06/05/2008 07:26 PM <DIR> Adobe
06/06/2008 10:35 PM <DIR> DMCache
06/01/2008 01:55 AM <DIR> Google
06/05/2008 08:40 AM <DIR> GRETECH
05/31/2008 09:52 PM <DIR> Identities
06/01/2008 01:53 AM <DIR> IDM
05/31/2008 10:19 PM <DIR> InstallShield
06/01/2008 12:33 AM <DIR> Macromedia
06/01/2008 02:19 AM <DIR> Microsoft
06/02/2008 09:39 AM <DIR> Real
06/02/2008 03:35 AM <DIR> Sun
05/31/2008 11:38 PM <DIR> URSoft
0 File(s) 0 bytes
15 Dir(s) 145,707,601,920 bytes free
Volume in drive C has no label.
Volume Serial Number is 2827-6CA8
Directory of C:\Documents and Settings\All Users\Application Data
06/01/2008 05:55 AM <DIR> .
06/01/2008 05:55 AM <DIR> ..
06/01/2008 05:14 AM <DIR> ACD Systems
06/02/2008 04:03 AM <DIR> Adobe
05/31/2008 11:13 PM <DIR> Ahead
05/31/2008 11:46 PM <DIR> ConeXware
06/01/2008 12:41 AM <DIR> ESET
06/01/2008 05:55 AM <DIR> FLEXnet
06/01/2008 01:55 AM <DIR> Google
06/01/2008 02:21 AM <DIR> Messenger Plus!
06/01/2008 03:34 AM <DIR> Microsoft
06/01/2008 09:28 AM <DIR> Microsoft Help
05/31/2008 11:11 PM <DIR> Nero
06/01/2008 02:22 AM <DIR> TEMP
05/31/2008 11:53 PM <DIR> Windows Genuine Advantage
06/01/2008 03:20 AM <DIR> WLInstaller
0 File(s) 0 bytes
16 Dir(s) 145,707,601,920 bytes free
​

 

[LINEZERO]

من الواضح في التقرير ان كل شي تمام

ماعدا هالمجلد انا ماعرفه
:b:
hook.dl

احد يعرفه ؟
:d:

 

[dollar989]

ما فائدة السكربت هذا يالمراقب

 

[lonlystar]

إنت الخبير والله .. وتسلم على اللي سويته بس هذا اللي قلت عنه قبل​

التقرير الان سليم​

حمل اداة الكاسبر من الرابط التالي​

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

اختر اخر ملف حسب الصورة التالية​

​

الان اعد تشغيل الجهاز الى الوضع الامن بعد تعطيل خاصية استعادة النظام​

(( الدخول الى الوضع الامن بالضغط المتكرر على مفتاح F8 عند بداية تشغيل الجهاز ثم اختيار Safe Mode ))​

ثم اعمل التالي
دبل كلك على الملف الي حملته وسيتم استخراج ملف الاداة الى مجلد بسطح المكتب لحظات وتبدأ الاداة بالعمل​

تابع الشرح لفحص الجهاز وتنظيفه وارفاق التقرير​

بياخذ شويه وقت واذا خلص عطنا التقرير بردك القادم​

(( لاتنسى تركب الفلاش والهارد الخارجي اذا عندك ))
​

أنا ما سويته للحين ؟؟ أسويه والا ؟؟​

 

[LINEZERO]

لااا

 

[LINEZERO]

ممكن نعرف اش الي جوا هالملجد

C:\Documents and Settings\hook.dll

اذا لم يكن موجود قم باظهار الملفات المخفيه

 

[lonlystar]

بشوف لحظااات​

 

[Juve GuardJuve Guard is verified member.]

نفزع ؟

 

[lonlystar]

موجود أخوي بس فاضي ؟؟ شو أحذفه ؟؟ وفي شي ثاني نسويه ؟؟

 

[LINEZERO]

ما فائدة السكربت هذا يالمراقب

اولا" معك

اخوكـ : بندر

الشي الثاني السكربت هذا زي ماهو واضح من التقرير يعلمك اش المجلدات الموجوده به المسارات

%SYSTEMDRIVE%\Documents and Settings\

%appdata%

%ALLUSERSPROFILE%\Application Data\

وهي المسارات المحتمله ان الفيروس ينسخ نفسه لها زي ماذكرنا بالمشاركه الاولى​

 

[LINEZERO]

عزام لاخلاا ولاعدم

مانستغني

عندك شي هاااته

 

[LINEZERO]

من خصائص الفيرووس انه يحذف القيم التاليه من مسجل النظام​

[FONT=Simplified Arabic Fixed]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer][/FONT]

[CENTER][FONT=Simplified Arabic Fixed]"NoDriveTypeAutoRun"[/FONT]

[FONT=Simplified Arabic Fixed][HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer][/FONT]

[/CENTER]

[CENTER][FONT=Simplified Arabic Fixed]"NoDriveTypeAutoRun"[/FONT]

ويضيف الاتي الى مسجل النظام​

[FONT=Simplified Arabic Fixed][HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced][/FONT]

[/CENTER]

[CENTER][FONT=Simplified Arabic Fixed]"Hidden" = 2[/FONT]

[FONT=Simplified Arabic Fixed][HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced][/FONT]

[/CENTER]

[CENTER][FONT=Simplified Arabic Fixed]"HideFileExt" = 1[/FONT]

[FONT=Simplified Arabic Fixed][HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced][/FONT]

[/CENTER]

[CENTER][FONT=Simplified Arabic Fixed]"ShowSuperHidden" = 0[/FONT]

طيب هذي وعرفيناها ..​

بس ليه ؟​

:hh:​

[/CENTER]

 

[dollar989]

من الواضح في التقرير ان كل شي تمام

ماعدا هالمجلد انا ماعرفه
:b:
hook.dl

احد يعرفه ؟
:d:​

بالنسبة للملف هذا تابع لنفس الفيروس وهو تقريبا تحديث له

 

[Juve GuardJuve Guard is verified member.]

جربتوا اداتي حبيبة قلبي كومبو فكس :b:
تراها تشفي الموجوع :q:

 

[lonlystar]

ما جربنا أخوي غير اللي انحط في الموضوع ..

تحت إيدكم اللي تقولوا عليه راح نسويه ..