حذف ویروس Kazme__gheyz بدون نیاز به آنتی ویروس

          pcpc 
            بازدید : 462
          
           نظرات (0)
        

همانطور که میدانید ویروسهای رایانه ای بسیار زیادی تا به امروز ساخته شده و لحظه به لحظه در حال انتشار هستند یکی از این ویروسها کظم غیظ بوده که در دو نسخه منتشر شده که در این مطلب روش حذف نسخه اولی این ویروس آموزش داده میشود آیکن های این دو نسخه با هم متفاوت هستند و همین تفاوت راهی بسیار ساده برای تشخیص نسخه ی آنها هست

گرچه این ویروس مدت زیادی هست که ساخته شده و تقریبا تمامی آنتی ویروسهای بروز قادر به شناسایی و حذف آن هستند ولی ممکن است در زمان آلوده شدن کامپیوتر شما به این ویروس ، آنتی ویروس بر روی کامپیوتر شما نصب نباشد و با اختلالاتی که این ویروس در کامپیوتر شما بوجود آورده قادر به نصب آنتی ویروس نباشید با توجه به اینکه این ویروس فایلهای شما رو آلوده نمیکنه تصمیم گرفتم روش حذف این ویروس رو بصورت دستی به شما آموزش دهم تا شما خودتون بتونید این ویروس رو بصورت دستی و بدون از دست رفتن اطلاعات و اسناد حذف کنید .

تغییر دادن صفحه خانگی مرورگر Internet Explorer .
جلوگیری از اجرا شدن Registry editor , Command Prompt , Task Manager , mmc.msc .
ایجاد فایل های kazme_gheyz.exe و Autorun.inf در ریشه تمامی درایوها
انتقال از طریق حافظه های فلش مموری بوسیله ی فایلهای kazme_gheyz.exe و Autorun.inf در ریشه ی درایو فلش مموری .
و ...

قبل از هر چیز لازم میدونم به شما بگم که بدلیل اینکه این ویروس فایلهای خود رو مخفی میکنه لازم هست که در Folder Options رفته و در تب View علاوه بر فعال کردن Show hidden files , folders and drives گزینه Hide protected operating system files رو غیر فعال کنید همچنین با غیرفعال کردن گزینه Hide extensions for known file types میتوانید پسوند فایلها را در ویندوز مشاهده کنید . همچنین در طول مراحل انجام کار هرگز بر روی درایوها دابل کلیک نکنید . برای باز کردن درایوها از ترکیب کلیدهای Windows + E استفاده کرده و از ساختار درختی در سمت چپ برای باز کردن درایوها استفاده کنید . دقت داشته باشید که در طول مراحل حذف اگر حتی یکبار هم روی درایوی دابل کلیک کنید باید مراحل را از اول شروع کنید. ( دابل کلیک کردن روی فولدرها مانعی ندارد )
در ابتدا این ویروس خود را در مسیر پوشه WindowsSystem32 بصورت یک فایل مخفی کپی کرده و بصورت یک پروسه در حال اجرا در می آید به همین دلیل تا زمان بستن این پروسه شما نمیتونید این فایل رو حذف کنید برای بستن این پروسه شما باید وارد Task manager شوید ولی ویروس اجازه اجرای Task manager را به شما نمیدهد !!! به همین دلیل برای دور زدن این محدودیت شما فایل taskmgr.exe را از مسیر WindowsSystem32 بر روی دسکتاپ خود کپی کنید و نام آن را به یک نام دلخواه تغییر دهید ، با انجام این کار شما میتوانید از طریق اجرای همین فایل به Task manager خود دست پیدا کنید ، بعد از اجرای Task manager در تب Processes رفته و بر روی پروسه ای با نام kazme_gheyz.exe راست کلیک کرده و End process رو بزنید .
نکته مهم : بدلیل اینکه در نام kazme_gheyz.exe بین kazm و gheyz دو بار از کاراکتر "_" ( آندرلاین ) استفاده شده در صورتی که من نام فایل را بدرستی وارد میکردم در ویرایشگر سایت اختلالاتی بوجود می آمد لذا من در این نام از یک کاراکتر آندرلاین "_" استفاده کردم . به همین خاطر تاکید دارم که در زمان استفاده از این نام به وجود دو کاراکتر آندرلاین "_" درکنار هم اطمینان پیدا کنید. در حقیقت نام اصلی فایل این ویروس به شکل زیر است:

1	`kazme__gheyz.exe`

بعد به مسیر WindowsSystem32 رفته و فایلی با نام kazme_gheyz.exe رو حذف کنید . سپس در ریشه تمامی درایوها فایلهایی با نام kazme_gheyz.exe و Autorun.inf که البته مخفی هم هستند رو حذف کنید . همچنین در صورتی که فلش مموری شما آلوده به این ویروس هست اون رو متصل کرده بدون دابل کلیک کردن روی درایو فلش موری ( با روشی که در بالا گفته شد ) باز کرده و فایلهای kazme_gheyz.exe و Autorun.inf رو حذف کنید
تا اینجا پروسه ویروس و انتقال آن بسته شده و فایلهای آن هم حذف شده اند ولی هنوز شما قادر به اجرای cmd , task manager و .. با استفاده از روشهای معمول نیستید همچنین باید تغییراتی که این ویروس در رجیستری ویندوز شما انجام داده رو به حالت اول برگردونید . به همین منظور فایلی با نام regedit موجود در پوشه Windows رو بر روی دسکتاپ خود کپی کرده و تغییر نام دهید سپس فایل را اجرا کنید در این ساختار درختی به مسیر زیر رفته و مقداری با نام Shell رو باز کنید و در آن عبارت explorer.exe را جایگزین عبارت قبل کنید

1	`HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon`

سپس در بالای این ساختار درختی در سمپ چپ بر روی My computer کلیک کرده و با استفاده از ابزار جست و جو (ترکیب کلیدهای Ctrl+F) عبارت kazme_gheyz رو جست و جو کرده و در نتایج یافت شده مقادیر پیدا شده را بطور کامل حذف کنید . اگر با ساختار رجیستری مشکل دارید و روش کار با آن را نمیدانید به مقاله ای تحت عنوان معرفی و شناخت ساختار Registry مراجعه کنید
و در نهایت هم برای تغییر صفحه خانگی Internet explorer هم خودتان اقدام کرده و آن را به حالت اولیه خود برگردانید .
کار تمام هست و این ویروس از کامپیوتر شما حذف شده . برای اطمینان از حذف این ویروس میتوانید بررسی کنید که فایلهایی که در مراحل قبل حذف کرده اید همچنان حذف شده باقی ماندند و فایل جدید جایگزین آنها نشده باشد . در مقاله بعد روش حذف نسخه دوم این ویروس به شما آموزش داده میشه.
شاد و پیروز باشید

همانطور که میدانید ویروسهای رایانه ای بسیار زیادی تا به امروز ساخته شده و لحظه به لحظه در حال انتشار هستند یکی از این ویروسها کظم غیظ بوده که در دو نسخه منتشر شده در مقاله قبل آموزش حذف نسخه اول این ویروس به شما عزیزان ارائه شد و در این مطلب روش حذف نسخه دوم این ویروس با استفاده از دو روش آموزش داده میشود . یکی بصورت کاملا دستی و روش دیگر با استفاده از فایلهای دسته ای ( Batch File ) . آیکن های این دو نسخه با هم متفاوت هستند و همین تفاوت راهی بسیار ساده برای تشخیص نسخه ی آنها هست .

تغییر دادن صفحه خانگی مرورگر Internet Explorer .
جلوگیری از اجرا شدن Task Manager و برخی نرم افزارهایی که پروسه های در حال اجرا را نمایش میدهند .
ایجاد فایل های kazme_gheyz.exe و Autorun.inf در ریشه تمامی درایوها
انتقال از طریق حافظه های فلش مموری بوسیله ی فایلهای kazme_gheyz.exe و Autorun.inf در ریشه ی درایو فلش مموری .
و ...

روش حذف ویروس بصورت دستی
قبل از هر چیز لازم میدونم به شما بگم که بدلیل اینکه این ویروس فایلهای خود رو مخفی میکنه لازم هست که در Folder Options رفته و در تب View علاوه بر فعال کردن Show hidden files , folders and drives گزینه Hide protected operating system files رو غیر فعال کنید همچنین با غیرفعال کردن گزینه Hide extensions for known file types میتوانید پسوند فایلها را در ویندوز مشاهده کنید . در طول مراحل انجام کار هرگز بر روی درایوها دابل کلیک نکنید . برای باز کردن درایوها از ترکیب کلیدهای Windows + E استفاده کرده و از ساختار درختی در سمت چپ برای باز کردن درایوها استفاده کنید . دقت داشته باشید که در طول مراحل حذف اگر حتی یکبار هم روی درایوی دابل کلیک کنید باید مراحل را از اول شروع کنید. ( دابل کلیک کردن روی فولدرها مانعی ندارد )
در ابتدا فایلی با نام Service.exe را در مسیر WindowsSystem32 به یک نام دلخواه تغییر نام دهید مثلا با نام Service1.exe . سپس فایل virus.exe در مسیر پوشه Windows و فایل FSP32.exe در مسیر WindowsSystem32 را حذف کنید و سیستم را ریستارت کنید . بعد از ریستارت در ریشه تمامی درایوها فایلهایی با نام kazme_gheyz.exe و Autorun.inf که البته مخفی هم هستند رو حذف کنید ( دقت داشته باشید که برای باز کردن درایوها ، روی آنها دابل کلیک نکنید !!! ) . فایل Service.exe را که در مراحل قبل تغییر نام داده بودید را پیدا کرده و حذف کنید . همچنین در صورتی که فلش مموری شما آلوده به این ویروس هست اون رو متصل کرده بدون دابل کلیک کردن روی درایو فلش موری ( با روشی که در بالا گفته شد ) باز کرده و فایلهای kazme_gheyz.exe و Autorun.inf رو در ریشه اون حذف کنید
نکته مهم : بدلیل اینکه در نام kazme_gheyz.exe بین kazm و gheyz دو بار از کاراکتر "_" ( آندرلاین ) استفاده شده در صورتی که من نام فایل را بدرستی وارد میکردم در ویرایشگر سایت اختلالاتی بوجود می آمد لذا من در این نام از یک کاراکتر آندرلاین "_" استفاده کردم . به همین خاطر تاکید دارم که در زمان استفاده از این نام به وجود دو کاراکتر آندرلاین "_" درکنار هم اطمینان پیدا کنید. در واقع نام اصلی فایل این ویروس به شکل زیر است:

1	`kazme__gheyz.exe`

پس از آن در Run عبارت regedit را وارد کنید . در این ساختار درختی به مسیر زیر رفته و مقداری با نام Shell رو باز کنید و در آن عبارت explorer.exe را جایگزین عبارت قبل کنید

1	`HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon`

سپس در بالای این ساختار درختی در سمپ چپ بر روی My computer کلیک کرده و با استفاده از ابزار جست و جو (ترکیب کلیدهای Ctrl+F) عبارت FSP32.exe رو جست و جو کرده و در نتایج یافت شده مقادیر پیدا شده را بطور کامل حذف کنید . اگر با ساختار رجیستری مشکل دارید و روش کار با آن را نمیدانید به مقاله ای تحت عنوان معرفی و شناخت ساختار Registry مراجعه کنید
و در نهایت هم برای تغییر صفحه خانگی Internet explorer هم خودتان اقدام کرده و آن را به حالت اولیه خود برگردانید .
کار تمام هست و این ویروس از کامپیوتر شما حذف شده . برای اطمینان از حذف این ویروس میتوانید بررسی کنید که فایلهایی که در مراحل قبل حذف کرده اید همچنان حذف شده باقی ماندند و فایل جدید جایگزین آنها نشده باشد .

حذف با استفاده از فایل های دسته ای ( Batch File )
این روش بسیار ساده تر از روش قبل هست ، من تمام روندی که در بالا گفتم رو در قالب یک فایل Bat درست کردم شما میتونید متن زیر رو کپی کرده و در برنامه نوت پد Paste کنید و اون رو با یک نام دلخواه با پسوند Bat ذخیره کنید ( FileName.BAT ) و اون رو اجرا کنید بعد از اجرا سیستم شما یکبار ریستارت میشه . با استفاده از این روش خیلی سریعتر میتونید به تنیجه برسید ولی اگر در وسط راه به مشکل برخوردید و ویروس حذف نشد . با استفاده از روش اول راحتتر میتونید رفع اشکال کنید .

100

101

102

103

104

105

106

107

108

109

@echo off
set kazm=
<span
 id="pl0hf1bh6w_12" class="pl0hf1bh6w">REG</span> add 
"HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun" /v "Anti" /t REG_SZ
 /d "%windir%tempAntikazm.bat" /f
echo @echo off>"%windir%tempAntikazm.bat"
echo title WWW.ITPro.IR>>"%windir%tempAntikazm.bat"
echo <span id="pl0hf1bh6w_10" class="pl0hf1bh6w">color</span> b>>"%windir%tempAntikazm.bat"
echo set kazm=>>"%windir%tempAntikazm.bat"
echo
 REG add "HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogon" /v
 "Shell" /t REG_SZ /d Explorer.exe 
/f>>"%windir%tempAntikazm.bat"
echo
 REG add "HKCUSoftwareMicrosoftInternet ExplorerMain" /v "start 
page" /t REG_SZ /d about:blank /f>>"%windir%tempAntikazm.bat"
echo REG delete "HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun" /v "Anti" /f>>"%windir%tempAntikazm.bat"
echo del "c:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "d:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "e:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "f:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "g:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "h:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "i:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "j:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "k:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "l:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "m:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "n:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "o:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "p:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "q:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "r:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "s:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "t:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "u:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "v:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "w:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "x:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "y:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "z:kazme__gheyz.exe" /a:rsh>>"%windir%tempAntikazm.bat"
echo cls>>"%windir%tempAntikazm.bat"
echo del "c:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "d:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "e:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "f:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "g:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "h:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "i:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "j:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "k:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "l:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "m:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "n:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "o:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "p:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "q:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "r:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "s:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "t:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "u:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "v:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "w:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "x:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "y:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo del "z:autorun.inf" /a:rsh>>"%windir%tempAntikazm.bat"
echo cls>>"%windir%tempAntikazm.bat"
echo del "%systemroot%system32saee.tmp">>"%windir%tempAntikazm.bat"
echo del "%systemroot%system32servicetmp.exe">>"%windir%tempAntikazm.bat"
echo del "%windir%<span id="pl0hf1bh6w_8" class="pl0hf1bh6w">virus</span>.exe">>"%windir%tempAntikazm.bat"
echo del "%windir%system32FSP32.exe">>"%windir%tempAntikazm.bat"
echo if exist c:autorun.inf set kazm=yes>>"%windir%tempAntikazm.bat"
echo if exist d:autorun.inf set kazm=yes>>"%windir%tempAntikazm.bat"
echo if exist e:autorun.inf set kazm=yes>>"%windir%tempAntikazm.bat"
echo if exist f:autorun.inf set kazm=yes>>"%windir%tempAntikazm.bat"
echo if exist g:autorun.inf set kazm=yes>>"%windir%tempAntikazm.bat"
echo if exist h:autorun.inf set kazm=yes>>"%windir%tempAntikazm.bat"
echo if exist i:autorun.inf set kazm=yes>>"%windir%tempAntikazm.bat"
echo if exist j:autorun.inf set kazm=yes>>"%windir%tempAntikazm.bat"
echo if exist k:autorun.inf set kazm=yes>>"%windir%tempAntikazm.bat"
echo if exist l:autorun.inf set kazm=yes>>"%windir%tempAntikazm.bat"
echo taskkill /f /im explorer.exe>>"%windir%tempAntikazm.bat"
echo cls>>"%windir%tempAntikazm.bat"
echo if "%kazm%"=="yes" goto soryy>>"%windir%tempAntikazm.bat"
echo goto yess>>"%windir%tempAntikazm.bat"
echo :soryy>>"%windir%tempAntikazm.bat"
<span id="pl0hf1bh6w_6" class="pl0hf1bh6w">echo echo</span>.>>"%windir%tempAntikazm.bat"
echo echo.>>"%windir%tempAntikazm.bat"
echo echo.>>"%windir%tempAntikazm.bat"
echo echo Ba salam khedmate shoma>>"%windir%tempAntikazm.bat"
echo echo Moteasefane virus pak nashod !!!>>"%windir%tempAntikazm.bat"
echo echo lotfan az raveshe avval estefadeh konid .>>"%windir%tempAntikazm.bat"
echo echo Im sorry>>"%windir%tempAntikazm.bat"
echo goto no>>"%windir%tempAntikazm.bat"
echo :yess>>"%windir%tempAntikazm.bat"
echo echo.>>"%windir%tempAntikazm.bat"
echo echo.>>"%windir%tempAntikazm.bat"
echo echo.>>"%windir%tempAntikazm.bat"
echo echo.>>"%windir%tempAntikazm.bat"
echo echo Ba salam khedmate Shoma>>"%windir%tempAntikazm.bat"
echo echo Virus pak shod ...>>"%windir%tempAntikazm.bat"
echo echo.>>"%windir%tempAntikazm.bat"
echo :no>>"%windir%tempAntikazm.bat"
echo echo.>>"%windir%tempAntikazm.bat"
echo echo.>>"%windir%tempAntikazm.bat"
echo echo.>>"%windir%tempAntikazm.bat"
echo echo http://itpro.ir/>>"%windir%tempAntikazm.bat"
echo echo Saeed.Shams>>"%windir%tempAntikazm.bat"
echo echo.>>"%windir%tempAntikazm.bat"
echo pause>>nul>>"%windir%tempAntikazm.bat"
echo start explorer>>"%windir%tempAntikazm.bat"
echo del "%windir%tempAntikazm.bat">>"%windir%tempAntikazm.bat"
rename "%systemroot%system32service.EXE" "servicetmp.exe"
del "%windir%virus.exe"
del "%windir%system32FSP32.exe"
shutdown /s /t 03

در مقاله قبل به آموزش حذف نسخه اول این ویروس پرداختیم و در این آموزش حذف نسخه دوم این ویروس به شما عزیزان ارائه گردید امیدوارم که مفید واقع شده باشه . شاد و پیروز باشید

نویسنده : سعید شمس آبادی
منبع : انجمن تخصصی فناوری اطلاعات ایران ITPro.ir
هرگونه نشر و کپی برداری بدون ذکر منبع و نام نویسنده دارای اشکال اخلاقی می باشد.

عنوان	پاسخ	بازدید	توسط
روابط دختر وپسر	11	1732	mehrdad_tehran
البوم غریبه فریدون برای دانلود	3	614	karikweb
دره ستاره ها قشم	0	425	ankara
ویژگی همسر خوب چیست؟	0	450	ankara
آیا سایت های پرزرق و برق فلش بر روی ربات های موتور جستجو تاثیر دارد ؟	0	301	bitaazimi68
چگونگی ساخت سایت بر رتبه بندی وب سایت در سئو تاثیر می گذارد	0	357	bitaazimi68
بهینه سازی موتورهای جستجوگر وب سایت علم عجیبی نیست	0	365	bitaazimi68
چگونه درکمترین زمان رتبه بندی وب سایت افزایش پیدا می کند	0	347	bitaazimi68
نقش فیس بوک در بازاریابی شبکه های اجتماعی و کسب و کار اینترنتی	0	418	bitaazimi68
4 مزیت اصلی بهینه سازی در طراحی وب سایت	0	368	bitaazimi68
مقدمه ای بر طراحی سایت	0	335	bitaazimi68
عوارض و مضرات پوشیدن لباس های تنگ برای خانم ها	0	493	raha
زندگی با همسری که علاقه ای به او ندارم	0	414	raha
فواید غسل جنابت بعد از رابطه زناشویی	0	609	raha
متشکرم	0	334	raha
کوتاه کننده متن readlesstext	0	369	raha
جوملا 3.4.1 منتشر شد	0	336	raha
داستان بادکنک من	0	485	homa
خصوصیت های زنان که مردان از آن متنفرند	0	378	homa
چرا آب میوه‌ها مضر هستند؟	0	385	homa
بيماري اگزما چيست؟	0	355	homa