روش قطعی حذف ویروس New Folder در ویندوز

ویروس New Folder در واقع یک کرم رایانه‌ای (Worm) بسیار موذی است که با نام‌های فنی مانند New Folder.exe یا SCVHSOT.exe شناخته می‌شود. این بدافزار پس از ورود به سیستم، پوشه‌های واقعی کاربر را به حالت مخفی سیستمی (System Hidden) درمی‌آورد و سپس فایل‌های اجرایی مخرب با آیکون پوشه و دقیقاً با همان نام پوشه‌های قبلی ایجاد می‌کند تا کاربر با کلیک روی آن‌ها، ناخواسته ویروس را مجدداً اجرا و تکثیر کند.

از علائم بارز آلودگی به این ویروس می‌توان به کند شدن شدید سیستم به دلیل اشغال بالای پردازنده (CPU)، غیرفعال شدن ابزارهای حیاتی ویندوز مانند Task Manager و Registry Editor، ناپدید شدن گزینه Folder Options در ویندوزهای قدیمی، و همچنین تبدیل شدن پوشه‌های داخل فلش مموری به فایل‌های اجرایی با پسوند .exe اشاره کرد.

خوشبختانه این ویروس اطلاعات و فایل‌های اصلی شما را پاک نمی‌کند. مکانیسم اثر آن به این صورت است که پوشه‌های واقعی شما را کاملاً پنهان (Super Hidden) کرده و فایل‌های اجرایی خود را جایگزین آن‌ها جلوه می‌دهد. بنابراین پس از پاکسازی کامل ویروس، با تغییر تنظیمات نمایش فایل‌های مخفی سیستم، می‌توانید به تمامی اطلاعات خود بدون هیچ کم و کاستی دسترسی پیدا کنید.

پوشه‌های معمولی فاقد هرگونه پسوند اجرایی هستند و حجم آن‌ها بر اساس محتوای داخلشان متغیر است. در مقابل، ویروس New Folder یک فایل اجرایی با پسوند پنهان .exe است که حجمی ثابت (معمولاً حدود 1.4 مگابایت یا کمتر) دارد. همچنین اگر در بخش Properties نگاه کنید، نوع آن به جای Folder، گزینه Application درج شده است.

این ویروس با دستکاری رجیستری و غیرفعال کردن سرویس‌های امنیتی ویندوز، مانع از عملکرد صحیح و به‌روزرسانی آنتی‌ویروس‌های قدیمی می‌شود. همچنین به دلیل تغییر مداوم کدهای اجرایی در نسخه‌های جدیدتر این کرم، آنتی‌ویروس‌هایی که پایگاه داده (Database) آن‌ها به‌روز نیست، نمی‌توانند الگوی مخرب آن را به درستی شناسایی و قرنطینه کنند.

خیر، ویروس New Folder به طور اختصاصی برای سیستم‌عامل ویندوز (فرمت‌های اجرایی .exe) طراحی شده است. گوشی‌های هوشمند با سیستم‌عامل‌های اندروید یا iOS ساختار متفاوتی دارند و این فایل‌های مخرب ویندوزی قابلیت اجرا و تکثیر در محیط موبایل را ندارند؛ هرچند ممکن است گوشی شما به عنوان یک حافظه جانبی، ناقل ویروس به رایانه‌های دیگر باشد.

علت این پدیده آن است که هسته اصلی ویروس در حافظه موقت (RAM) سیستم در حال اجرا است و فرآیند پردازشی فعال دارد. تا زمانی که پروسه فعال ویروس (مانند SCVHSOT.exe) را در پس‌زمینه سیستم متوقف نکنید، هر چقدر هم که فایل‌های ظاهری را به صورت دستی دیلیت کنید، پروسه فعال مجدداً اقدام به ساختن فایل‌های مخرب جدید می‌کند.

هدف اصلی نسخه‌های اولیه این کرم رایانه‌ای، تکثیر خود و از کار انداختن ابزارهای سیستمی بود؛ اما برخی از نسخه‌های توسعه‌یافته و جدیدتر آن ممکن است حاوی کدهای جاسوسی (Spyware) یا کی‌لاگر (Keylogger) باشند که کلیدهای فشرده شده روی کیبورد را ثبت کرده و امنیت حساب‌های کاربری و اطلاعات حساس شما را به خطر بیندازند.

برای متوقف کردن پروسه فعال، ابتدا باید کلیدهای ترکیبی Ctrl+Shift+Esc را فشار دهید تا Task Manager باز شود. به تب Processes یا Details بروید و به دنبال نام‌های مشکوکی مانند SCVHSOT.exe، New Folder.exe یا svchost.exe (با املای غلط یا مسیر غیرسیستمی) بگردید. روی آن راست‌کلیک کرده و گزینه End Task را انتخاب کنید تا فعالیت مخرب آن در حافظه موقت متوقف شود.

ویروس معمولاً دسترسی به Task Manager را مسدود می‌کند. برای فعال‌سازی مجدد آن، پنجره Run را با کلیدهای Win+R باز کرده و عبارت gpedit.msc را تایپ کنید. به مسیر User Configuration > Administrative Templates > System > Ctrl+Alt+Del Options بروید. روی گزینه Remove Task Manager دوبار کلیک کرده و حالت آن را روی Not Configured یا Disabled قرار دهید تا ابزار مجدداً فعال شود.

ابتدا با فشردن Win+R و تایپ regedit وارد ویرایشگر رجیستری شوید. به مسیر HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run بروید. در پنل سمت راست، هرگونه کلید مشکوک مربوط به New Folder.exe یا SCVHSOT.exe را پیدا کرده و پاک کنید. این کار مانع از اجرای خودکار ویروس در هنگام بالا آمدن و استارت‌آپ بعدی ویندوز می‌شود.

ابتدا CMD را به صورت Administrator باز کنید. حرف درایو فلش خود را وارد کنید (مثلاً :F) و اینتر بزنید. سپس دستور attrib -h -r -s /s /d *.* را تایپ کرده و اجرا کنید تا تمام فایل‌های واقعی شما از حالت مخفی سیستمی خارج شوند. در نهایت با دستور del *.exe فایل‌های اجرایی مخرب و شبیه‌سازی شده ویروس را به طور کامل از روی فلش حذف نمایید.

پس از پاکسازی ویروس، برای بازگرداندن پوشه‌ها به حالت معمولی در ویندوز 10 یا 11، به File Explorer بروید، از تب View گزینه Options را انتخاب کنید. در تب View، گزینه Show hidden files, folders, and drives را فعال کرده و تیک گزینه Hide protected operating system files را بردارید. حالا می‌توانید پوشه‌های خود را مشاهده کرده و ویژگی Hidden آن‌ها را غیرفعال کنید.

ابتدا این ابزار رایگان و پرتابل را از سایت رسمی کسپرسکی دانلود کنید. از آنجا که نیاز به نصب ندارد، آن را اجرا کرده و روی گزینه Start scan کلیک کنید. این ابزار به طور خودکار تمام بخش‌های حساس سیستم از جمله حافظه رم و رجیستری را اسکن کرده و در صورت یافتن ویروس New Folder، آن را بدون آسیب به فایل‌های شما پاکسازی می‌کند.

در این حالت باید ویندوز را در وضعیت Safe Mode (حالت امن) راه‌اندازی کنید. برای این کار، هنگام روشن شدن سیستم کلید F8 را مکرراً فشار دهید (یا از طریق تنظیمات System Configuration اقدام کنید). در Safe Mode، هسته اصلی ویروس و درایورهای مخرب آن لود نمی‌شوند و شما به راحتی می‌توانید فایل‌های ویروس را به صورت دستی یا با آنتی‌ویروس پاک کنید.

برای پیشگیری، همواره از یک آنتی‌ویروس معتبر و به‌روز استفاده کنید. قابلیت AutoPlay یا اجرای خودکار فلش مموری‌ها را در ویندوز غیرفعال کنید. قبل از باز کردن هرگونه حافظه جانبی، آن را اسکن کنید و به جای دابل کلیک روی پوشه‌ها در فلش، از پنل سمت چپ File Explorer برای دسترسی به فایل‌ها استفاده کنید تا فایل‌های اجرایی ناخواسته فعال نشوند.

این ویروس کلیدهای متعددی را تغییر می‌دهد؛ از جمله کلیدهای مسیر HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon که مقدار Shell را به مسیر فایل مخرب تغییر می‌دهد. همچنین کلیدهای مربوط به عدم نمایش فایل‌های مخفی در مسیر Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced در رجیستری دستکاری می‌شوند که باید مقدار CheckedValue آن‌ها به عدد 1 تغییر یابد تا فایل‌های مخفی قابل رویت شوند.

شما می‌توانید یک فایل متنی با پسوند .bat بسازید و کدهای زیر را در آن قرار دهید: ابتدا دستور taskkill /f /im SCVHSOT.exe برای بستن پروسه ویروس، سپس دستورات attrib برای نمایان کردن فایل‌ها و در نهایت دستور del برای حذف فایل‌های مخرب. اجرای این اسکریپت با دسترسی Administrator به سرعت سیستم و درایوهای متصل را از لوث وجود این ویروس پاکسازی می‌کند.

در ویندوز 7 به دلیل ضعف‌های امنیتی بیشتر و ساختار قدیمی‌تر UAC، این ویروس به راحتی دسترسی سطح بالا (Administrator) پیدا کرده و رجیستری را قفل می‌کند. اما در ویندوز 10 و 11، ابزار امنیتی Windows Defender به طور پیش‌فرض رفتارهای مشکوک این کرم را شناسایی کرده و مانع از تغییرات گسترده در فایل‌های سیستمی و رجیستری بدون اجازه کاربر می‌شود.

این یک تکنیک متداول در مهندسی اجتماعی و بدافزارها است. پردازنده واقعی svchost.exe یک فرآیند حیاتی در ویندوز است. ویروس با نام‌گذاری مشابه مانند SCVHSOT.exe یا قرار دادن فایل خود در مسیرهایی غیر از System32 سعی می‌کند کاربر و حتی برخی آنتی‌ویروس‌های ساده را گمراه کند تا گمان کنند این یک فایل سیستمی و غیرقابل حذف است.

ابزار پیشرفته Process Explorer (از مجموعه Sysinternals مایکروسافت) به شما اجازه می‌دهد درخت پردازش‌ها را مشاهده کنید. با اجرای این ابزار، می‌توانید پردازش‌های مشکوکی که فاقد امضای دیجیتال معتبر (Verified Signer) هستند یا از دایرکتوری‌های موقت مانند Temp یا AppData اجرا می‌شوند را شناسایی کرده، مسیر دقیق فایل مخرب روی هارد را پیدا کرده و سپس آن را Kill کنید.

بله، برخی از نسخه‌های پیشرفته‌تر این کرم رایانه‌ای پس از تسلط بر سیستم، تنظیمات DNS کارت شبکه را تغییر می‌دهند تا ترافیک اینترنتی شما را از سرورهای واسط و مخرب عبور دهند. این کار می‌تواند منجر به نمایش تبلیغات ناخواسته، هدایت شما به سایت‌های فیشینگ و یا دانلود خودکار بدافزارهای مخرب‌تر روی سیستم آلوده شود.

با ورود به gpedit.msc و رفتن به مسیر Computer Configuration > Windows Settings > Security Settings > Software Restriction Policies، می‌توانید قوانین جدیدی تعریف کنید که مانع از اجرای هرگونه فایل با پسوند .exe از پوشه‌های موقت مانند Temp یا مسیرهای پیش‌فرض تکثیر ویروس شود. این روش فنی یکی از بهترین راه‌های پیشگیری در شبکه‌های سازمانی است.

فایل autorun.inf یک فایل پیکربندی است که به محض اتصال فلش مموری به سیستم، دستور اجرای خودکار فایل ویروس (مثلاً New Folder.exe) را صادر می‌کند. برای خنثی‌سازی این مکانیسم، باید قابلیت AutoPlay را در ویندوز غیرفعال کنید و همچنین با ایجاد یک پوشه خالی و غیرقابل حذف به نام autorun.inf در ریشه فلش مموری، مانع از ساخت مجدد این فایل توسط ویروس شوید.

خیر، خوشبختانه فرآیند پاکسازی این ویروس کاملاً رایگان و با استفاده از ابزارهای پیش‌فرض ویندوز (مانند CMD و Registry) یا نرم‌افزارهای رایگان امنیتی نظیر Malwarebytes و Kaspersky Virus Removal Tool قابل انجام است. با مطالعه راهنماهای معتبر و صرف کمی وقت، خودتان می‌توانید بدون پرداخت هیچ هزینه‌ای سیستم را به طور قطعی پاکسازی کنید.

قیمت لایسنس‌های اورجینال آنتی‌ویروس‌های معتبر مانند ESET یا Kaspersky بسته به نوع نسخه (یک‌ساله، تک‌کاربره یا چندکاربره) معمولاً بین 15 تا 40 دلار متغیر است. البته در بازار ایران نسخه‌های معتبر با قیمت‌های ریالی مناسب‌تر نیز یافت می‌شوند که خرید آن‌ها امنیت پایدار و آپدیت‌های مداوم را برای سیستم شما تضمین می‌کند.

اگر از ابزارهای معتبر و شناخته‌شده مانند Malwarebytes، AdwCleaner یا ابزارهای رسمی مایکروسافت استفاده کنید، هیچ هزینه پنهان یا خطری وجود ندارد. اما دانلود نرم‌افزارهای ناشناخته تحت عنوان «حذف‌کننده تخصصی ویروس نیو فولدر» از سایت‌های نامعتبر ممکن است خود حاوی بدافزارهای جاسوسی یا باج‌افزارها باشد که خسارات مالی سنگینی به همراه خواهد داشت.

اگر ویروس آسیب شدیدی به فایل‌های سیستمی وارد کرده باشد و مجبور به تعویض ویندوز شوید، در صورت مراجعه به مراکز خدماتی رایانه‌ای، هزینه‌ای در حدود 150 تا 300 هزار تومان (بسته به شهر و خدمات جانبی) از شما دریافت می‌شود. البته با داشتن یک فلش مموری بوتیبل، خودتان می‌توانید این کار را به صورت رایگان انجام دهید.

به هیچ وجه توصیه نمی‌شود. آنتی‌ویروس‌های کرک شده به دلیل دستکاری شدن فایل‌های اصلی‌شان، خود می‌توانند حاوی درهای پشتی (Backdoors) و بدافزارهای مخرب باشند. علاوه بر این، این نسخه‌ها معمولاً آپدیت‌های امنیتی روزانه را دریافت نمی‌کنند؛ بنابراین استفاده از یک آنتی‌ویروس کاملاً رایگان اما معتبر مانند Avast یا Windows Defender بسیار ایمن‌تر و بی‌هزینه‌تر است.

در محیط‌های اداری و شرکتی، آلودگی به این ویروس می‌تواند منجر به کندی شدید سیستم‌ها، عدم دسترسی به فایل‌های اشتراکی و توقف موقت فعالیت کارکنان شود. هزینه این توقف کارکرد (Downtime) بسته به ابعاد شرکت می‌تواند از چند میلیون تا ده‌ها میلیون تومان در روز برآورد شود، که نشان‌دهنده اهمیت سرمایه‌گذاری روی امنیت شبکه است.

خیر، ویروس New Folder فایل‌های شما را پاک یا رمزگذاری (مانند باج‌افزارها) نمی‌کند، بلکه فقط ویژگی نمایش آن‌ها را به مخفی سیستمی تغییر می‌دهد. بنابراین نیازی به خرید یا استفاده از نرم‌افزارهای ریکاوری گران‌قیمت نیست و تنها با چند دستور ساده در خط فرمان ویندوز (CMD) که کاملاً رایگان است، فایل‌ها به حالت اولیه بازمی‌گردند.

بیمه‌های سایبری معمولاً خسارت‌های ناشی از حملات هدفمند، باج‌افزارها (Ransomware) و نشت اطلاعات در مقیاس بزرگ را پوشش می‌دهند. آلودگی به کرم‌های ساده و قدیمی مانند New Folder به دلیل سهل‌انگاری کاربر در عدم استفاده از آنتی‌ویروس ساده، معمولاً تحت پوشش این بیمه‌ها قرار نمی‌گیرد و مسئولیت آن بر عهده خود کاربر یا بخش IT سازمان است.

بله، بر اساس قانون جرایم رایانه‌ای ایران (ماده 737 قانون مجازات اسلامی)، هرکس به طور غیرمجاز داده‌ها یا سیستم‌های رایانه‌ای دیگری را تخریب، مختل یا غیرقابل استفاده کند، مجرم شناخته شده و به حبس از شش ماه تا دو سال یا جزای نقدی محکوم خواهد شد. تولید و انتشار کرم نیو فولدر نیز مشمول این مجازات‌ها قرار می‌گیرد.

از نظر حقوقی و قوانین صیانت از داده‌های شخصی، مدیران شرکت و مسئولین بخش فناوری اطلاعات (IT) موظف به پیاده‌سازی استانداردهای امنیتی مناسب هستند. در صورتی که اثبات شود سهل‌انگاری در حفظ امنیت (مانند عدم نصب آنتی‌ویروس) منجر به نفوذ ویروس و نشت اطلاعات مشتریان شده، شرکت مسئول جبران خسارت‌های وارده خواهد بود.

بله، استفاده از نرم‌افزارهای کرک شده یا فعال‌سازهای غیرقانونی (KMS) نقض صریح قوانین کپی‌رایت بین‌المللی (Copyright) و موافقت‌نامه‌های کاربری (EULA) است. علاوه بر جنبه‌های قانونی در کشورهای خارجی، این کار ریسک‌های امنیتی شدیدی را به همراه دارد زیرا این ابزارها خود منبع اصلی انتشار انواع بدافزارها هستند.

از نظر قانونی، اگر بتوان اثبات کرد که خسارت یا آلودگی سیستم در اثر سهل‌انگاری مفرط یا عدم مهارت تعمیرکار رخ داده است، امکان طرح شکایت در اتحادیه صنف فناوران رایانه یا مراجع قضایی وجود دارد. تعمیرکاران موظف هستند قبل از اتصال هرگونه حافظه جانبی به سیستم مشتری، از سلامت و عدم آلودگی آن اطمینان حاصل کنند.

بسیاری از آنتی‌ویروس‌های رایگان معروف (مانند نسخه رایگان Avast یا AVG) در توافق‌نامه کاربری خود ذکر کرده‌اند که استفاده از آن‌ها صرفاً برای مصارف شخصی و خانگی مجاز است. استفاده از این نسخه‌ها در شرکت‌ها و سازمان‌های تجاری از نظر حقوقی نقض قوانین لایسنس محسوب می‌شود و سازمان‌ها باید نسخه‌های تجاری (Business) را تهیه کنند.

پلتفرم‌هایی مانند GitHub قوانین بسیار سختی علیه انتشار بدافزارهای فعال دارند. اگر کدهای منتشر شده صرفاً جنبه آموزشی و تحقیقاتی (Proof of Concept) داشته باشند، تحت شرایط خاصی مجاز هستند؛ اما اگر کدهای آماده برای سوءاستفاده و صدمه زدن به سیستم‌ها منتشر شوند، گیت‌هاب سریعاً مخزن (Repository) را مسدود کرده و اطلاعات کاربر را در اختیار مراجع قانونی قرار می‌دهد.

پلیس فتا با استفاده از ابزارهای پیشرفته تحلیل ترافیک شبکه، ردیابی آدرس‌های IP، بررسی کدهای منبع بدافزار و سرورهای فرماندهی و کنترل (C&C) که ویروس با آن‌ها ارتباط برقرار می‌کند، اقدام به شناسایی هویت واقعی و محل فیزیکی طراح یا منتشرکننده ویروس در فضای مجازی می‌نماید.

اگرچه از نظر اخلاقی و انضباطی کاربر موظف به مراقبت از تجهیزات خود است، اما از نظر حقوقی، سازمان‌ها و دانشگاه‌ها موظف به پیاده‌سازی سیستم‌های دفاعی قوی (مانند بستن پورت‌های USB یا نصب آنتی‌ویروس تحت شبکه) هستند. بنابراین مسئولیت اصلی امنیت شبکه بر عهده مدیریت فناوری اطلاعات آن مجموعه است، مگر اینکه سوء نیت کاربر اثبات شود.