فيروس BT الجيد —— الظلال

يشير مفهوم فيروس الشبح
Ghostvirus إلى فيروس طفيلي على سجل التمهيد الرئيسي للقرص (MBR) ولا يمكن إزالته حتى في حالة تهيئة النظام وإعادة تثبيته. عند إعادة تشغيل النظام مرة أخرى، سيتم تحميل الفيروس قبل نواة نظام التشغيل. عندما يعمل الفيروس بنجاح، لا يمكن العثور على أي خلل في العملية أو الوظائف الإضافية لبدء تشغيل النظام، و"يطارد" الفيروس الكمبيوتر المصاب مثل "الشبح".
مقدمة عن مصدر فيروس الشبح
فيروس "Ghost" هو فيروس تقني نادر نسبيًا في السنوات الأخيرة. يتمتع مؤلف الفيروس بمهارات برمجة رائعة. نظرًا للقيود المفروضة على نظام WinXP، فإن الطرق العامة لإعادة كتابة MBR ستعتبر غير قانونية من قبل النظام. يعد هذا أيضًا عاملاً مهمًا في زوال فيروسات قطاع التمهيد. تنتشر تقنية تجاوز القيود الأمنية لـ WinXP وإعادة كتابة MBR بشكل مباشر في منتديات التكنولوجيا الأجنبية. قبل ظهور الفيروس "الشبح"، كانت هناك حالات قليلة تم فيها استخدام هذه التكنولوجيا فعليًا من قبل المتسللين على نطاق واسع. وقال مهندسو Kingsoft Security Lab إنه في الوقت الحالي، يستهدف الفيروس "الشبح" أنظمة WinXP فقط، ولا يمكن للفيروس بعد أن يلحق الضرر بأنظمة Vista وWindows 7. وفقًا للباحثين من Kingsoft Security Laboratory، من بين الشركات المصنعة الحالية للأمن الداخلي وخبراء مكافحة الفيروسات الخاصين، لا يستطيع سوى عدد قليل من الأشخاص تحليل الفيروس "الشبح" بشكل كامل. نظرًا لأن الفيروس طفيلي على سجل التمهيد الرئيسي (MBR) للقرص الصلب، فيمكن لبرنامج التشغيل الذي يصدره الفيروس تدمير معظم أدوات الأمان والأدوات المساعدة للنظام. إذا كان الفيروس مصابًا بالفعل، فمن الصعب استخدام الأدوات الموجودة لإزالة الفيروس. أطلقت Kingsoft أداة لقتل الأشباح. تمت ترقية Kingsoft Antivirus للكشف عن الملفات الأصلية التي تنشر الفيروس "الشبح" وقتلها لمنع المزيد من المستخدمين من التعرض للأذى بسبب الفيروس "الشبح". يحتاج المستخدمون فقط إلى الترقية عبر الإنترنت للحصول على القدرات الدفاعية المقابلة. أضاف Kingsoft Network Shield صفحات الويب الضارة التي تنشر الفيروس إلى قائمة الوصول المحظور لمنع المزيد من المستخدمين من تنزيل هذا الفيروس "الشبح" الغامض.
خصائص الفيروسات الشبحية
لا يلزم وجود مضيف. ينهي جميع برامج مكافحة الفيروسات.
بمجرد دخول هذا الفيروس إلى الكمبيوتر، فإنه يشبه الشيطان، ويختبئ خارج النظام. لا يحتوي على ملفات، ولا عناصر لبدء تشغيل النظام، ولا وحدات عملية. يقوم بإنهاء جميع برامج مكافحة الفيروسات قبل تشغيل النظام. يمكنه تنزيل برامج إنهاء AV وأحصنة طروادة لسرقة الحسابات وتعديلات الصفحة الرئيسية لـ IE والعديد من الفيروسات الأخرى.
تخريب التقليد ولا يمكن مسحه عن طريق إعادة تثبيت النظام.
فيروسات الكمبيوتر العامة هي تطبيقات ضمن نظام Windows ويتم تشغيلها بعد تحميل Windows. الكود الرئيسي لفيروس "الشبح" طفيلي على سجل التمهيد الرئيسي (MBR) للقرص الصلب. حتى إذا قام المستخدم بإعادة تثبيت النظام، فلا يزال من غير الممكن إزالته بالكامل. عند إعادة تشغيل النظام مرة أخرى، سيتم تحميل الفيروس قبل نواة نظام التشغيل. عندما يعمل الفيروس بنجاح، لا يمكن العثور على أي خلل في العملية أو الوظائف الإضافية لبدء تشغيل النظام، و"يطارد" الفيروس الكمبيوتر المصاب مثل "الشبح". يعد فيروس "الشبح" أول فيروس تنزيل في قطاع التمهيد في الصين. إنه يفسد خصائص العدوى بالفيروسات التقليدية والطريقة التي يتعامل بها المستخدمون مع مشكلات الفيروسات. فهو لا يحقق خصائص "اللاءات الثلاث" فقط - عدم وجود ملفات، ولا عناصر بدء تشغيل النظام، ولا وحدات المعالجة، ولكن حتى إذا قام المستخدم بإعادة تثبيت النظام، فسيظل الفيروس يدخل إلى نظام المستخدم الجديد مرة أخرى.
فشل برنامج الأمان وتباطؤ الكمبيوتر بشكل ملحوظ
بعد غزو الفيروس "الشبح"، سيقوم بتحرير برنامج التشغيل لإعادة كتابة MBR (سجل التمهيد الرئيسي) على القرص الصلب. سيقوم برنامج التشغيل بمهاجمة العديد من برامج مكافحة الفيروسات أثناء عملية التمهيد، مما يجعل برنامج مكافحة الفيروسات غير فعال، ثم يقوم بتنزيل برنامج تنزيل AV Terminator Trojan التقليدي. لا يزال الهدف النهائي هو نشر حصان طروادة الذي يسرق الحسابات وسرقة الملكية الافتراضية للمستخدم من أجل الربح. بعد التسمم، فإن الظاهرة الأكثر بديهية هي أن برنامج الأمان لا يمكن أن يعمل بشكل طبيعي، ويتباطأ الكمبيوتر بشكل كبير، ويتم تغيير الصفحة الرئيسية لـ IE.
الأعراض المحتملة بعد إصابة الكمبيوتر
1. الكمبيوتر عالق جدًا، وبرنامج التشغيل لديه إحساس واضح بالركود، ولا يمكن فتح برامج مكافحة الفيروسات الشائعة بشكل طبيعي. وفي الوقت نفسه، تبين أن المشكلة لا تزال غير قابلة للحل بعد إعادة تثبيت النظام بشكل متكرر. 2. بعد إصابة ملف النظام بواسطة برنامج مكافحة الفيروسات، فإنه يطالب بعدم العثور على ملف dll المقابل أو أن وظيفة النظام غير طبيعية. حاليا rpcss. دلل، ددراو. dll هو ملف dll للنظام الذي يتم تعديله غالبًا عن طريق أحصنة طروادة التي تسرق الحسابات. 3. تتم سرقة أرقام QQ ويمكن للمتسللين استخدامها لنشر الإعلانات وما إلى ذلك.تمت سرقة حسابات الألعاب مثل World of Warcraft وDNF وTian Long Ba Bu وFantasy Westward Journey وما إلى ذلك. 4.iexplor موجود في هذه العملية. عملية exe ويشير إلى موقع ويب غير طبيعي. 5. السمة المشتركة للأشباح الآن هي وجود علي في هذه العملية. إكس 6. يظهر اختصار "المشغل" المزعج على سطح مكتب الكمبيوتر ولا يمكن حذفه.
كيف تعمل الفيروسات الشبحية
تتنكر الفيروسات الشبحية في صورة برامج تجريبية وتخدع المستخدمين لتنزيلها وتثبيتها. بعد تشغيل الفيروس، سيتم إطلاق برنامجي تشغيل في كمبيوتر المستخدم وتحميلهما. سيقوم برنامج التشغيل بتعديل قطاع تمهيد النظام (mbr) وكتابة برنامج التشغيل b على القرص للتأكد من بدء تشغيل الفيروس قبل النظام وحفظ ملفات الفيروس خارج النظام. بعد الدخول إلى النظام بهذه الطريقة، يتم تحميل الفيروس إلى الذاكرة، ولكن لا يمكن العثور على عناصر بدء التشغيل أو ملفات الفيروسات أو وحدات العملية في العملية. بعد إعادة تشغيل النظام، ستقوم التعليمات البرمجية الضارة الموجودة في قطاع التمهيد بمراقبة عملية بدء تشغيل نظام Windows بالكامل. لقد وجد أنه عندما يقوم النظام بتحميل ملف ntldr، يتم إدخال تعليمات برمجية ضارة تؤدي إلى تحميل برنامج التشغيل b المكتوب في القطاع الخامس من قطاع التمهيد. بعد تحميل برنامج التشغيل b، سيقوم بمراقبة كافة وحدات العملية في النظام. إذا كانت هناك عملية برمجية أمنية، فسيتم إنهاؤها مباشرة. سيقوم برنامج التشغيل b بتنزيل av terminator على الكمبيوتر وتشغيله. سيقوم AV Terminator بتعديل ملفات النظام، وإضافة عدد كبير من عمليات اختطاف الصور إلى عمليات برامج الأمان، وتنزيل عدد كبير من أحصنة طروادة التي تسرق الحسابات. مزيد من سرقة الملكية الافتراضية للمستخدمين. يستهدف هذا الفيروس أنظمة Winxp فقط ولا يمكنه حتى الآن إتلاف أنظمة Vista وWin7.
طريقة معالجة فيروسات Ghost
أعد تثبيت النظام
قم بتهيئة محرك الأقراص C، وأدخل حالة dos، وقم بتشغيل الأمر fdisk/mbr لمسح رمز تمهيد الفيروس في منطقة التمهيد الرئيسية. في هذا الوقت، يمكنك إعادة تثبيت النظام، لكن هذا لن يكون فعالاً إلا بعد التثبيت الكامل. إذا كنت تستخدم GHOST لتثبيت النظام، فأنت بحاجة إلى القيام بالخطوات التالية: 1. أدخل أداة التقسيم PQ/PM من خلال قرص نظام GHOST، والذي يتم تضمينه بشكل عام مع قرص نظام GHOST. 2. انقر بزر الماوس الأيمن فوق محرك الأقراص c وحدد Advanced-Set as Function. سيؤدي هذا إلى إعادة كتابة طبقة تمهيد MBR، بحيث يتم التخلص من الفيروسات الموجودة في طبقة التمهيد بشكل طبيعي. 3. لا بأس من تثبيت النظام مباشرة باستخدام قرص نظام GHOST.
طريقة القتل اليدوية ضمن DOS
الخطوة الأولى: ابحث عن أداة قتل خاصة: يوصى باستخدام "GHOST بنقرة واحدة"، حيث يمكن للأداة الصغيرة DISKRW التي تأتي مع صندوق أدوات DOS أن تحل المشكلة بشكل مثالي. الخطوة 2: قتل فيروس MBR 1. امسح القطاعات المحجوزة على القرص الصلب بخلاف MBR. قم بتثبيت أو إنشاء "One-Click GHOST"، ثم قم بالتمهيد إلى One-Click GHOST. عندما تظهر الواجهة الحمراء أخيرًا، اضغط على مفتاح ESC للعودة إلى القائمة الرئيسية. اضغط على مفاتيح الأسهم لتحديد "DOS Toolbox" --> "DISKRW" --> "3.مسح" --> "مسح (2)" --> موافق. (ملاحظة، حاول استخدام إصدار 2010، لا نضمن أن الإصدارات السابقة تحتوي على هذه الوظيفة). 2. قم بإصلاح MBR (خطوة مهمة يجب القيام بها)، ثم في الخطوة التالية، حدد "4. إصلاح" --> "إصلاح (F)" --> موافق. الخطوة 3: إعادة تثبيت النظام أو استعادته. بعد الانتهاء من الخطوة الثانية، لا تقم بإعادة تشغيل الكمبيوتر والدخول إلى WINDOWS، وإلا فسيتم إصابته مرة أخرى. الطريقة الصحيحة هي وضع القرص المضغوط الخاص بتثبيت النظام في محرك الأقراص المضغوطة وإعادة تثبيت النظام. أو إذا كان لديك نسخة احتياطية محلية للنظام (بالطبع النسخة الاحتياطية التي قمت بها قبل الإصابة بالفيروس)، فيمكنك أيضًا استخدام وظيفة "استرداد النظام بنقرة واحدة" لاستعادتها. الخطوة 4: استكمال مكافحة الفيروسات. بعد العودة إلى WINDOWS، تحتاج إلى ترقية برنامج مكافحة الفيروسات الخاص بك إلى الإصدار الأحدث (أحدث قاعدة بيانات للفيروسات)، ثم إجراء "فحص كامل وإيقاف". يمكن أن يؤدي هذا إلى قتل ملفات مضيف الفيروس المتبقية في الأقراص غير التابعة للنظام (مثل محرك الأقراص D، ومحرك الأقراص E، ومحرك الأقراص F)، وذلك من أجل "القضاء على الجذور".
تحرير هذه الفقرة يتعاون MBRFix مع 360 Security Guard للقتل تحت Windows OK بعد إعادة التشغيل
أداة قتل خاصة للفيروس الشبح
إحدى خصائص الفيروس "الشبح" هي أن برنامج الأمان لا يمكن أن يعمل بشكل طبيعي. ويبلغ العدد التراكمي للإصابات بهذا الفيروس حوالي 300 ألف. إذا وجد مستخدمو الإنترنت أن برنامج الأمان المثبت على أجهزة الكمبيوتر الخاصة بهم لا يمكن أن يعمل بشكل طبيعي دون سبب واضح، وأن أدوات الإصلاح الشائعة لا يمكن أن تعمل بشكل طبيعي، فيرجى محاولة استخدام أداة قتل الفيروسات "الشبح" التي أصدرها Kingsoft Security Center للتحقق من الفيروس وإصلاحه. حاليًا، هذه الأداة مناسبة للفيروسات الشبحية التي لم تتحور بعد. بمجرد أن يتحور الفيروس، فإن القتل الخاص سيكون غير فعال. أود أن أذكر الجميع بضرورة الاهتمام بحماية الشبكة عند تصفح الإنترنت، وتشغيل عمليات فحص مكافحة البرامج بانتظام. حاليًا، تمكنت Kingsoft Antivirus من قتل جسد الأم الشبح. تحليل لاتساع نطاق انتشار الفيروس "الشبح". قام Kingsoft Cloud Security System بتحليل تكرار تنزيل البرامج الضارة، بالإضافة إلى تحليل حركة مرور موقع الويب التي تنشر الفيروس، وقدر أن حجم التنزيل اليومي للفيروس يتراوح تقريبًا بين 20.000 و30.000.