تروجان wsaupdater.exe

یکی دو سال پیش با موضوعی برخورد کردم که در اون زمان نه به دنبال راه حلش گشتم  و نه زیاد برام مهم بود.
در اون زمان با چندین سیستم برخورد کردم که این مشکل رو داشتن و من علیرغم همه ی تلاشم نتونستم راه حلی رو براش پیدا کنم  !؟
و اما مشکل این بود که سیستم پس از لود شدن ویندوز اکس پی به طور خودکار logoff  میکرد و هر چقدر هم که log in میشدیم مرتبا این عمل تکرار میشد و بدتر از اون اینکه حتی در حالت ایمن – safe mode – هم این عمل تکرار میشد.
چند روز پیش به طور خیلی اتفاقی راه حل این مشکل رو در سایت مایکروسافت پیدا کردم !
و اما قبل از اینکه راه حل رو بگم بهتر بدونیم که دلیل این مشکل چی بوده !؟
دلیل اصلی این مشکل اینه که یه بدافزار به نام Blazefind توسط AntiSpyWare شناسایی میشه و پاک میشه اما از بخت بد ما این AntiSpyWare  نمیتونه مقادیر رجیستری رو که توسط این بد افزار ایجاد و یا تغییر داده شده رو پاک و یا تصحیح کنه.
این بدافزار یه فایل داره به نام wsaupdater.exe که مقدار کلید زیر در Registry  رو تغییر میده :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit

خوب مقداری که این بد افزار جایگزین میکنه اینه :

Value: Userinit
Data: %Windir%\System32\Wsaupdater.exe

که مقدار اصلی اون به شکل زیر هستش :

Value: Userinit
Data: %Windir%\System32\Userinit.exe,

توجه کنید که کاما در پایان مسیر الزامی هست.

و اما راه حل اینکه خیلی راحت سیستم رو با Recovery Console بالا بیارید ( الزامی به استفاده از Recovery Console نیست وشما میتونید با Bart`s PE یا Windows PE و یا یه دیسکت راه انداز داس و یا سی دی راه انداز ویندوز Me or 98  ویا یه دیسکت لینوکس ویا یکی از توزیع های زنده لینوکس و در صورتی که سیستم فایل NTFS باشه هم میتونید با NTFS Dos Pro این کار رو انجام بدید… شما حتی میتونید با  اتصال هارد به صورت Slave به یه سیستم دیگه این کار رو انجام بدید !! )
بعد از اینکه به Recovery Console دست پیدا کردید دستور زیر رو وارد میکند :

cd system32
copy userinit.exe wsaupdater.exe

این دستور در واقع اشاره داره که فایل userinit.exe رو به نام wsaupdater.exe در دایرکتوری System32 کپی کنه که این فایل جدید جایگزین بد افزار میشه. خوب حالا از Recovery Console  خارج بشید و سیستم رو مجدادا راه اندازی کنید ، اینبار دیگه مثل همیشه به ویندوز وارد میشید و تمام …

البته اگه میخواهید که فایل wsaupdater.exe رو هم پاک کنید ، قبل از پاک کردن باید مقدار رجیستری رو تغییر بدید ، برای اینکار به مسیر زیر در رجیستری برید :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

و مقدار Userinit رو از :

%Windir%\System32\Wsaupdater.exe

به :

%Windir%\System32\userinit.exe,

تغییر بدید ( کاما الزامی هست ، فراموش نکنید ). حالا به دایرکتوری System32 برید و فایل wsaupdater.exe رو حذف کنید .
از اینکه این نوشته این همه طولانی شد عذرخواهی میکنم .
منبع : مایکروسافت 

اولین پست

مدتها بود که میخواستم خانه ای داشته باشم تا بنویسم. اما حس نوشتن نبود.
حدود 24 ساعتی هست که به دنبال اسمی برای اینجا میگشتم . بعد از انتخاب بیش از ده نامی که قبلا گرفته شده بود تقریبا بی خیال وردپرس.کام شده بودم تا این که این اسم به ذهنم رسید.