🔄 بدافزار رو حذف کردی، سیستم رو ری‌استارت کردی، ولی دوباره برگشت! چرا؟

فرض کن یک فایل مخرب رو شناسایی می‌کنی و با آنتی‌ویروس حذفش می‌کنی. سیستم رو خاموش و روشن می‌کنی، اما چند ساعت بعد دوباره همون رفتار مشکوک رو می‌بینی!

🤔 یعنی بدافزار خودش رو تکثیر کرده؟ نه لزوماً!

یکی از احتمال‌ها اینه که بدافزار برای خودش ماندگاری (Persistence) ایجاد کرده؛ یعنی راهی پیدا کرده که بعد از ری‌استارت سیستم، دوباره اجرا بشه.

🔍 بدافزار چطور بعد از ری‌استارت برمی‌گرده؟

🗝️ ۱. کلیدهای Run در رجیستری

ویندوز بعضی برنامه‌ها رو از طریق کلیدهایی مثل مسیرهای زیر هنگام ورود کاربر اجرا می‌کنه:

"HKCU\Software\Microsoft\Windows\CurrentVersion\Run"

"HKLM\Software\Microsoft\Windows\CurrentVersion\Run"

اگر یک ورودی مشکوک به این مسیرها اضافه بشه، ممکنه برنامه با هر بار ورود کاربر دوباره اجرا بشه.

⏰ ۲. تسک‌های زمان‌بندی‌شده (Scheduled Tasks)

یک برنامه می‌تونه تسکی ایجاد کنه که در زمان مشخص، هنگام ورود کاربر یا بعد از راه‌اندازی سیستم اجرا بشه.

🔧 ۳. سرویس‌های ویندوز (Windows Services)

بعضی بدافزارها تلاش می‌کنن خودشون رو به شکل سرویس ثبت کنن تا با راه‌اندازی ویندوز یا تحت شرایط مشخص اجرا بشن.

📂 ۴. فایل یا اسکریپت باقی‌مانده

ممکنه فایل اصلی حذف شده باشه، اما اسکریپت یا مؤلفه دیگری باقی مونده باشه که دوباره فایل رو ایجاد یا اجرا کنه.

🛡️ اگر با چنین وضعیتی مواجه شدیم، چه کنیم؟

✅ ابتدا هشدار آنتی‌ویروس و زمان وقوع رفتار مشکوک رو ثبت کن.

✅ مسیرهای رجیستری، تسک‌های زمان‌بندی‌شده و سرویس‌های مرتبط رو بررسی کن.

✅ مسیر فایل اجرایی، امضای دیجیتال، زمان ایجاد و فرایند والد رو بررسی کن.

✅ قبل از حذف ورودی‌های مشکوک، شواهد لازم رو ثبت کن؛ اگر آلودگی فعاله، مهار تهدید رو طبق رویه امنیتی در اولویت قرار بده.

⚠️ نکته مهم: وجود یک ورودی در Run، یک تسک زمان‌بندی‌شده یا یک سرویس به‌تنهایی نشانه آلودگی نیست. برنامه‌های قانونی هم از همین قابلیت‌ها استفاده می‌کنن؛ چیزی که اهمیت داره، ارتباط اون‌ها با رفتار مشکوک و شواهد دیگه است.

💡 جمع‌بندی: حذف فایل مخرب همیشه به معنی حذف کامل آلودگی نیست. یک تحلیل‌گر باید علاوه بر خود فایل، روش‌هایی رو هم بررسی کنه که ممکنه باعث اجرای مجدد اون بشن.

📌 تیم بایتوتِک @Bytotech_Official
🌐 سایت: bytotech.ir
✍️ نویسنده: آریا دوانقی

#بایتوتک #امنیت_سایبری #بدافزار #Windows #Persistence #SOC #MalwareAnalysis