I just recently found out that a virus can actually make some changes on your registry so that the virus will run automatically whenever you execute a file. Tôi chỉ vừa mới phát hiện ra rằng một virus thực sự có thể làm cho một số thay đổi về đăng ký của bạn để virus sẽ tự động chạy bất cứ khi nào bạn thực hiện một tập tin. Imagine, the virus will be loaded each time you run an executable (EXE) or a batch (BAT) file. Hãy tưởng tượng, virus sẽ được nạp mỗi khi bạn chạy một (thực thi exe) hoặc một lô (BAT) tập tin. Just last week I was cleaning a computer that was infected by Brontok. Tuần trước tôi đã được làm sạch một máy tính đã bị nhiễm Brontok. After finished scanning, cleaning the virus and restoring the changes made by virus, the Symantec Antivirus Corporate Edition still pops up notification stating that Brontok virus is found and automatically deleted. Sau khi hoàn thành chức năng quét, làm sạch virus và khôi phục lại những thay đổi do vi rút, các Symantec Antivirus Corporate Edition vẫn bật lên thông báo nói rằng virus Brontok là hàng và tự động xóa. This happens EVERY TIME I run an executable file. Điều này xảy ra EVERY TIME tôi chạy một tập tin thực thi.

Now I found out how it works and also how to disable the virus from running automatically whenever I run any file. Bây giờ tôi phát hiện ra cách hoạt động và cũng có thể làm thế nào để vô hiệu hóa virus từ chạy tự động bất cứ khi nào tôi chạy bất kỳ tập tin.

This happens when a virus change one or more of the shell\open\command keys. Điều này xảy ra khi một vi-rút thay đổi một hoặc nhiều vỏ \ open \ phím lệnh. If these keys are changed, the worm or Trojan will run each time that you run certain files. Nếu các phím được thay đổi, sâu hoặc Trojan sẽ chạy mỗi khi bạn chạy các tập tin nhất định.

For example, if the \exefile\shell\open\command key is changed, the threat will run each time that you run any .exe file. Ví dụ, nếu exefile \ \ shell \ open \ phím lệnh được thay đổi, các mối đe dọa sẽ chạy mỗi khi bạn chạy bất kỳ. File exe. This may also stop you from running the Registry Editor to try to fix this. Điều này cũng có thể dừng bạn chạy Registry Editor để cố gắng sửa lỗi này. They may also change a registry value so that you cannot run the Registry Editor at all. Họ cũng có thể thay đổi một giá trị registry để bạn không thể chạy Registry Editor ở tất cả.

I've done a test by adding Notepad.exe path in \exefile\shell\open\command key. Tôi đã làm một bài kiểm tra bằng cách thêm vào đường dẫn ở Notepad.exe \ exefile \ shell \ open \ command. Then I tried running any EXE file, it will launch the EXE file with notepad! Sau đó, tôi đã cố gắng chạy bất kỳ file exe, nó sẽ khởi chạy file exe với notepad! For Brontok virus, it loads a backdoor file called “shell.exe”. Đối với Brontok virus, nó tải một backdoor tập tin gọi là "shell.exe". You won't even notice anything abnormal when you run an EXE file. Bạn không nhận bất cứ điều gì bất thường khi bạn chạy một file exe.

Thanks to Symantec Security Response for creating a script that is able to easily reset these registry values to their default settings. Nhờ Symantec Security Response cho việc tạo ra một kịch bản mà có thể dễ dàng đặt lại những giá trị registry để thiết lập mặc định của họ.

What is inside the script: Điều gì là bên trong các tập lệnh:

[Version] [Phiên bản]
Signature=”$Chicago$” Signature = "$ Chicago $"
Provider=Symantec Provider = Symantec

[DefaultInstall] [DefaultInstall]
AddReg=UnhookRegKey AddReg = UnhookRegKey

[UnhookRegKey] [UnhookRegKey]
HKLM, Software\CLASSES\batfile\shell\open\command,,,”"”%1″” %*” HKLM, Software \ CLASSES \ batfile \ shell \ open \ command ,,,"""% 1 ""% * "
HKLM, Software\CLASSES\comfile\shell\open\command,,,”"”%1″” %*” HKLM, Software \ CLASSES \ comfile \ shell \ open \ command ,,,"""% 1 ""% * "
HKLM, Software\CLASSES\exefile\shell\open\command,,,”"”%1″” %*” HKLM, Software \ CLASSES \ exefile \ shell \ open \ command ,,,"""% 1 ""% * "
HKLM, Software\CLASSES\piffile\shell\open\command,,,”"”%1″” %*” HKLM, Software \ CLASSES \ piffile \ shell \ open \ command ,,,"""% 1 ""% * "
HKLM, Software\CLASSES\regfile\shell\open\command,,,”regedit.exe “”%1″”" HKLM, Software \ CLASSES \ regfile \ shell \ open \ command,,, "regedit.exe" "% 1" ""
HKLM, Software\CLASSES\scrfile\shell\open\command,,,”"”%1″” %*” HKLM, Software \ CLASSES \ scrfile \ shell \ open \ command ,,,"""% 1 ""% * "
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System,DisableRegistryTools,0×00000020,0 HKLM, Software \ Microsoft \ Windows \ CurrentVersion \ Policies \ System, DisableRegistryTools, 0 × 00000020,0

Of all the shell\open\command keys, the exefile key is being used most frequently. Vỏ tất cả các \ open \ phím lệnh, phím exefile đang được sử dụng thường xuyên nhất. When your computer starts, it loads a lot of EXE files. Khi máy tính của bạn bắt đầu, nó tải nhiều file exe. When you start a program, it also loads EXE file. Khi bạn bắt đầu một chương trình, nó cũng tải file exe. The rest are seldom used unless you're a power user. Phần còn lại là hiếm khi được sử dụng, trừ khi bạn là một người sử dụng điện. To be on the safe side, it's better for Symantec to restore all of the shell\open\keys to default values. Để được về mặt an toàn, nó tốt hơn cho Symantec để khôi phục lại tất cả các vỏ \ open \ phím để mặc định giá trị.

Instructions to install the script: Hướng dẫn để cài đặt các kịch bản:
1. 1. Download the script at the end of this post by right-clicking on the link and save it to your desktop. Download tại ở cuối bài đăng này bằng cách kích chuột vào liên kết và lưu nó vào máy tính của bạn.
2. 2. Right-click on the file and select “ install ” Nhấp chuột phải vào file và chọn "cài đặt"

A great tool to carry around with me all the time to combat against nasty virus such as Brontok. Một công cụ tuyệt vời để mang theo với tôi tất cả thời gian để chiến đấu chống lại virus khó chịu như Brontok.

[ [ Download Symantec Reset Shell Open Command Script Download Symantec Reset Shell mở Command Script ] ]

Technorati Tags: Technorati Tags: virus vi rút , , trojan Trojan , , shell shell , , unhookexec unhookexec , , brontok brontok , , symantec symantec , , removal loại bỏ