( تاریخ آخرین ویرایش این مقاله : 21- 03-87 )
 W32/Saldost يکي از ويروسهايي است که چند ماهي است در بسياري از مراکز کامپيوتري ايران شايع شده و از آنجايي که گويا از يک ويروس خارجي کپي برداري و سپس دستکاري شده است ، بسياري از نرم افزارهاي امنيتي معروف به سختي قادر به شناسايي آن و يا حذف کامل آن هستند و اخيرا نسخه هاي مشابهي از آن در اينترنت منتشر شده است.
اين ويروس در واقع نسخه خاصي از دو ويروس Malas و همچنين Sality ميباشد .
البته سالدوست را مي توان بدافزار ناميد .
اين ويروس اغلب اعمال زير را انجام مي دهد :

1.يک نوار زرد رنگ در بالاي صفحه رايانه و همراه با جملات فارسي به رنگ قرمز نمايش داده مي‌شود. جملاتي که بيشتر توسط اين ويروس نمايش مي يابد شعارها و جملاتي بر عليه جمهوري اسلامي ايران ، باورها و ارزشهاي جامعه ميباشد .

2. يك فايل HTM با نام Important يا Harf يا نامهايي ديگر بر روى Desktop كامپيوتر شما ظاهر مى شود که در آن نيز جملاتي برعليه ارزشها نوشته شده است .

3.اين ويروس گزينه Folder Options كامپيوتر شما را غير فعال ميكند.

4. همچنين اين ويروس دو فايل مخفي و سيستمي به نامهاي Autorun.exe يا autoply.exe و Autorun.inf را در کليه درايوهاي هارد ايجاد مي کند و موجب مي شود که با دابل کليک کردن روي درايوها ، فايل اجرايي اتوران اجرا شده و درايو مورد نظر در پنجره اي ديگر باز شود و يا در نسخه هايي اصلا درايو باز نشود .
کپي شدن فايل Autorun.inf موجب مي شود حتي اگر به صورت دستي يا توسط آنتي ويروس فايل اجرايي ديگر (Autorun.exe ياautoply.exe) حذف گردد ديگر درايوها با دابل کليک باز نمي شوند و حتي با کليک راست روي درايوها و انتخاب Open نير باز نمي شوند . ( تنها راه بازکردن درايوها نوشتن نام درايو به ههراه دونقطه (:) در پنجره RUN ميباشد .
(مثلا :c )
اين بدافزار اينترنتي پس از اجراي فايل ، بر روي سيستم كاربر، ابتدا خودش را بر روي سيستم كپي مي‌كند و سپس با تغيير دادن كليدهايي در رجيستري باعث بروز مشكلاتي از جمله باز نشدن
Folder Option و مخفي نگه داشتن فايل‌هاي مخفي و سيستمي مي‌شود.

روشهاي مقابله و حذف :

روشي که در زير گفته ايم ممکن است در نسخه هاي مختلف اين ويروس مقداري با هم متفاوت باشند اما اصول و پايه کار به همين صورت است و کمي تلاش و خلاقيت شما را نيز طلب مي کند .

قبل از هر چيز Task Manager را اجرا کنيد ( با زدن کليدهاي Alt , CTRL , Del به صورت همزمان ) و برنامه هاي مشکوکي مانند Systray.exe و Userinit.exe و Spoolsv.exe و Soundman.exe و Sounmax.exe را با زدن دکمه End Task ببنديد .
همچنین در بعضی از نسخه ها لازم است پروسس Svchost.exe  را نیز با کلیک راست کردن و انتخاب End Process Tree  ببینید . ( البته چندین Svchost.exe  وجود دارد که شما باید پروسسی که در ستون UserName نام کابر فعلی جلوی Svchost.exe  نوشته شده را ببندید )


سپس  بايد به صورت دستي فايلهاي Autorun.inf و Autorun.exe و Autoply.exe موجود در درايوهاي آلوده را حذف کنيد .
در کلیه مراحل حذف ویروس  درايوها را با دابل کليک باز نکنيد و فقط با روش استفاده از RUN و تايپ نام درايو به همراه :  درايوها را باز کنيد .

براي حذف اين دوفايل مي توانيد وارد پنجره RUN شده و دستور CMD را بنويسيد تا پنجره اجراي دستورات داس نمايان گردد ، سپس در اين پنجره دستورات زير را براي کليه درايوها انجام دهيد .
حذف AUTORUN.INF :
attrib -r -a -h -s Drive:\AUTORUN.INF
del Drive:\AUTORUN.INF
حذف Autorun.exe :
AUTORUN.INF
attrib -r -a -h -s Drive:\autorun.exe
del Drive:\autorun.exe

حذف Autoply.exe :
 attrib -r -a -h -s Drive:\autoply.exe
del Drive:\autoply.exe



(به جاي کلمه Drive نام درايو را قرار دهيد مثلا براي درايو C بايد بنويسيد) :
attrib -r -a -h -s C:\AUTORUN.INF

همچنين مي توانيد فايل زير را از صفحه دانلود فايل از همين سايت دريافت نموده و اجرا کنيد تا به صورت اتوماتيک اين فايلها از سيستم حذف شوند.

1.دانلود برنامه حذف اتوپلی و اتوران از درایوها که باعث باز نشدن درایوها می شود Download Link
AutoPaly.exe Remover

2.دانلود برنامه حذف اتوران اجرایی و اتوران از درایوها که باعث باز نشدن درایوها می شود Autorun.exe  Download Link

3.رفع عیوب رجیستری که توسط ویروس ایرانی سالدوست ایجاد شده ، برگرداندن فولدر آپشن   ّ  & Folder Options Restore  / Saldost Registry Repair



براي برگرداندن فولدرآپشنز به پنجره Run رفته و دستور Regedit را نوشته و اجرا کنيد تا وارد نرم افزار ويرايش رجيستري ويندوز شويد .

حال از منوي Edit گزينه Find را انتخاب کنيد و عبارت NoFolderOption را نوشته تا اين عبارت در رجيستري جستجو شود . هر بار که اين عبارت را يافتيد بايستي روي آن دابل کليک کرده و مقدار ارزش آن را از 1 به صفر تغيير دهيد . (نمايش فولدر آپشنز پس از اين عمل درصورت راه اندازي مجدد سيستم صورت ميگيرد یا می توانید باز وارد تسک منیجر شده و Explorer.exe را End Task کنید  مجددا New Task را زده و عبارت Explorer.exe را بنویسید و OK را بزنید .)

** درصورتيکه Taskmanager و يا Regedit نيز غير فعال شده اند به مقاله " فعال کردن رجيستري که توسط ويروس غير فعال شده است " و همچنين " فعال کردن تسک منيجر که توسط ويروس غير فعال شده است " مراجعه کنيد.

( نکته : براي فعال کردن حالت نمايش کليه فايلهاي سيستمي و مخفي وارد My Computer شده و سپس به منوهاي زير برويد :
Tools=>FolderOptions=>View
سپس گزينه Show Hidden Files And Filders را فعال کنيد .
همچنين گزينه Hide protected operating system files را غيرفعال نماييد .

توجه کنيد که درايوها را با دابل کليک باز نکنيد و فقط با روش گفته شده در بالا (استفاده از RUN و تايپ نام درايو به همراه : ) درايوها را باز کنيد .  ( مثلا  :C )

به درايوي که ويندوز در آن نصب شده برويد و در مسير Program files پوشه XpCode را حذف کنيد .
به درايوي که ويندوز در آن نصب شده برويد و وارد پوشه Documents and Settings شده و در آنجا وارد پوشه اي که به نام کاربر فعلي ميباشد شده و سپس در پوشه Local Settings فايل Startup.exe را حذف کنيد . ( توجه کنيد که Local Settings نيز پوشه اي مخفي و سيستمي است )
در همين پوشه وارد پوشه Temp شده و کليه فايلهاي موجود در آن (خصوصا Systray.exe) را حذف کنيد .
در پنجره Run عبارت MsConfig را نوشته و در بخش Startup کليه گزينه ها را از حالت انتخاب خارج کنيد ( هيچکدام تيکدار نباشند ) .

از پوشه Startup ( واقع در C:\Documents and Settings\ user\Start Menu\Programs\Startup ) برنامه هايي که کلمه Update را دارند حذف کنيد . ( مانند Office Update ويا Adobe Update )
حال سيستم را ري استارت کنيد .
پس از راه اندازي مجدد سيستم ، يکبار کل سيستم را با آنتي ويروس بروز شده اسکن کنيد و درصورت رفع مشکل باز در پنجره Run عبارت MsConfig را نوشته و در بخش Startup گزينه هايي را که غيرفعال کرده بوديد را به حالت قبل درآوريد .

نکته : در يکي از نسخه هاي اين ويروس در بخش Startup فايلي به نام Soundman.exe يا SoundMax.exe نيز وجود دارد که بايد غير فعال شود و اين فايل نيز از مسير \Sound Utility\Soundmax.exe حذف گردد.
همچنين از طريق رجيستري در مسير
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\SoundMax
بايد Soundmax يا Soundman.exe را حذف کنيد .

در یکی از نسخه ها هم که من جدیدا آن را مشاهده کردم ویروس فایلی را با نام Svchost.exe در مسیر
C:\Documents and Settings\Currentuser \Local Settings\Temp
ایجاد می کند که باید آن را نیز حذف کنید . همانطور که در بالا نیز گفتم  ابتدا باید پروسس Svchost.exe  را در تسک منیجر یافته و با کلیک راست کردن و انتخاب End Process Tree  ببندید و سپس آن را حذف کنید . ( البته چندین Svchost.exe  وجود دارد که شما باید پروسسی که در ستون UserName نام کابر فعلی جلوی Svchost.exe  نوشته شده را ببندید )
* منظور از Currentuser نام کابر فعلی است .  مثلا در سیستم من این مسیر به شکل زیر بود :
C:\Documents and Settings\Eliass\Local Settings\Temp

ونیز در مسیر \Windows\Web\ نیز توسط این ویروس فایلی با نامهایی مشابه Office , OfficeUpdate.exe و غیره ایجاد می کند که بایستی آنها را نیز حذف کنید .

 البته نرم افزار ويروس ياب جهت شناسايي کامل ويروس سالدوست توسط واحد فناوري اطلاعات مرکز تربيت معلم شهيد بهشتي مشهد در لينک زير قرار دارد که ميتوانيد آن را دانلود نموده و اجرا کنيد . ( البته ممکن است به خاطر تنوع اين ويروس بسياري از مراحل بالا را باز به طور دستي انجام دهيد و يا عمل پاکسازي توسط نرم افزار زير کاملا موفقيت آميز نباشد )
http://www.tarbiatmoallem.com/kav_help/repair_virus
این برنامه در بسیاری از موارد جدید ویروس بدرستی عمل نمی کند .


از آنتي ويروس Nod32 و همچين Kaspersky نيز ميتوانيد براي شناسايي و حذف اين ويروس استفاده کنيد . ( البته بايستي اين دو انتي ويروس آپديت شده باشند و ممکن است ويروس فوق با نامهاي Malas يا Sality و يا P2p.Worm.Generic شناسايي کنند)

اين ويروس در نسخه هاي جديد با نام W32/Nahkos توسط آنتي ويروس پاندا شناسايي مي شود .
ويروس کش مک آفي(McAfee) اين ويروس را با عنوان W32/Bindo.worm مي شناسد .
آنتي ويروس سوفوس با نام Troj/Yusufali-A و آنتي‌ويروس كوئيك‌هيل با نام‌هاي “Win32.Malas.c” و “Win32.Malas.A” و “Trojan.Win32.VB.zu” اين ويروس را شناسايي مي کند .

اما بهترین پیشنهاد من در حال حاضر استفاده از آنتی ویروس Avira Antivir میباشد .(این آنتی ویروس این ویروس را با نام Worm.Malas.C  می شناسد )
 آنتی ویروس را نصب کنید و سپس آن را از طریق اینترنت بروزرسانی نمایید سپس یکبار سیستم را ری استارت کنید و عمل اسکن را انجام دهید .


آنتي ويروس Avira AntiVir  را ميتوانيد از لينك زير دريافت كنيد .

همچنین من امروز (17 خرداد 87 ) که این مقاله را ویرایش نهایی کردم مجددا نسخه ای جدید از این ویروس را در Virustotal آپلود کردم و نتایج بررسی را در این لینک زیر خواهید دید .

خوشبختانه اکنون تقریبا تمامی آنتی ویروسها قادر به شناسایی آن هستند .
آخرین نکته اینکه : از انجا که ویروس فوق خود را در System Volume Information نیز ذخیره می کند و ممکن است با عمل  Restore  مجددا بازگردد لذا لازم است System Restore را نیز غیر فعال کنید .  (به Control Panel رفته و سپس System را دابل کلیک کنید و در تب System Restore گزینه Turn Off System Restore On All Drives را تیکدار نمایید ) در صورتیکه این تب وجود نداشت به مقاله " بازگرداندن گزینه System Restore در همین سایت مراجعه کنید .

نويسنده و مترجم : الياس ملکي معاف
گيلان – شاندرمن – جنب مسجد جامع – عصر کامپيوتر
کلمات کليدي :
ويروس سالدوست
Malas
P2p.Worm.Generic   ويروس اتوران ويروس ویروس اتو ران ايراني
نوار زرد رنگ توهين آميز فولدر اوپشن   باز نشدن درايو حذف شدن از کار افتادن فولدر آپش
 فایلهای مخفی سیستمی    شعارنویس شعار نویس پیامهای شعار کامپیوتر ورم ویروس سیاسی
 Imprtant.htm important.html harf.html harf.htm Systray.exe
   hide folder فولدر اپشن اپشنز آپشنز مخفي كردن چطور حذف ازبين بردن ويروس
option Autoplay.exe     غیر فعال شدن  فولدر آاپشن System Volume Information
System Restore    Startup.exe  day of judgment worm
 hidden سال دوست ويروس اوتوران درايوها باز نمي شود كليك راست روي درايوها مشكل      svchost.exe Autoply.exe Soundman.exe
SoundMax.exe Autoply.exe svchost.exe روش شیوه طریقه نابود کردن پاکسازی حذف ازبین بردن ایراد مشکل درایوها
ویروس  مقاله ازبين بردن از بين بردن حذف ويروسي كه شعارنويسي hide hidden Disable Foder Option
 W32/Saldost removal Autorun.inf Autorun.exe