آموزش کامل حذف ویروس Hidden فلش مموری

ویروس مخفی‌ساز که در میان کاربران به ویروس Shortcut نیز معروف است، در واقع نوعی کرم رایانه‌ای (Worm) یا اسکریپت مخرب است که غالباً با زبان VBScript نوشته می‌شود. این بدافزار پس از ورود به فلش مموری، ویژگی یا Attribute فایل‌ها و پوشه‌های شما را به حالت «سیستمی» و «مخفی» تغییر می‌دهد تا از دید کاربر پنهان شوند. سپس با ایجاد میانبرهایی با همان نام، کاربر را فریب می‌دهد تا روی آن‌ها کلیک کند. با کلیک بر روی این میانبرها، کد مخرب در حافظه رم سیستم اجرا شده و فرآیند آلوده‌سازی سیستم میزبان و سایر حافظه‌های متصل آغاز می‌گردد.

خیر، در اکثر موارد این ویروس اطلاعات شما را پاک نمی‌کند، بلکه فقط آن‌ها را از دیدرس خارج می‌سازد. بدافزار با استفاده از دستورات سیستمی، فایل‌های اصلی را به پوشه‌های مخفی با نام‌های نامتعارف منتقل کرده یا ویژگی Hidden و System آن‌ها را فعال می‌کند. با این حال، نسخه‌های پیشرفته‌تر و مخرب‌تر ممکن است فایل‌های اصلی را با کدهای مخرب جایگزین کنند یا به عنوان درگاهی برای ورود باج‌افزارها عمل کنند که در آن صورت خطر حذف یا رمزگذاری دائمی اطلاعات وجود دارد. بنابراین سرعت عمل در پاکسازی بسیار حیاتی است.

اصلی‌ترین نشانه، مشاهده فایل‌هایی با آیکون میانبر (Shortcut) است که حجم بسیار کمی (معمولاً ۱ یا ۲ کیلوبایت) دارند در حالی که نام آن‌ها مشابه پوشه‌های قبلی شماست. همچنین اگر متوجه شدید که فضای فلش مموری اشغال شده اما هیچ فایلی در آن دیده نمی‌شود، یا با پوشه‌هایی با نام‌های عجیب مثل 'Drive' یا 'Recycler' مواجه شدید، فلش شما قطعاً آلوده است. در موارد شدیدتر، آنتی‌ویروس سیستم مدام هشدارهای شناسایی فایل‌های .vbs یا .inf را نمایش می‌دهد که نشان‌دهنده فعالیت فعال بدافزار در پس‌زمینه است.

دلیل اصلی این است که بسیاری از این ویروس‌ها از اسکریپت‌های ساده ویندوزی (مثل VBScript) استفاده می‌کنند که رفتار آن‌ها شباهت زیادی به فعالیت‌های عادی سیستم دارد. همچنین، این بدافزارها مدام تغییر کد می‌دهند (Polymorphism) تا امضای دیجیتال آن‌ها توسط پایگاه داده آنتی‌ویروس‌ها شناسایی نشود. علاوه بر این، اگر آنتی‌ویروس شما آپدیت نباشد یا دیتابیس آن شامل الگوهای رفتاری جدید بدافزارهای سال ۲۰۲۴ نباشد، ممکن است تغییرات در Attribute فایل‌ها را به عنوان یک فعالیت مخرب تشخیص ندهد و صرفاً به عنوان یک تغییر سیستمی از کنار آن بگذرد.

سیستم‌عامل‌های تلویزیون‌های هوشمند، ضبط ماشین یا دستگاه‌های پخش معمولاً مبتنی بر لینوکس یا اندروید هستند و نمی‌توانند کدهای مخرب ویندوزی (مثل فایل‌های .exe یا .vbs مخصوص ویندوز) را اجرا کنند. بنابراین خطر آلودگی برای خودِ دستگاه پخش وجود ندارد. اما مشکل اینجاست که این دستگاه‌ها نمی‌توانند فایل‌های مخفی شده توسط ویروس را بخوانند و شما احتمالاً با پیام 'Empty Drive' مواجه می‌شوید. همچنین، اتصال مجدد آن فلش به یک کامپیوتر دیگر بدون پاکسازی، باعث گسترش ویروس در شبکه و سیستم‌های ویندوزی دیگر خواهد شد.

در واقع این دو اصطلاح به دو مرحله از عملکرد یک بدافزار واحد اشاره دارند. 'Hidden' توصیف‌کننده وضعیتی است که فایل‌های واقعی کاربر در آن قرار می‌گیرند (مخفی شدن با ویژگی‌های سیستمی)، و 'Shortcut' توصیف‌کننده ابزاری است که ویروس برای فریب کاربر و اجرای مجدد خود به کار می‌برد. در سال‌های اخیر، نسخه‌های جدیدتر این ویروس‌ها به جای ایجاد میانبر، از روش‌های پیچیده‌تری مثل تزریق کد به پروسه‌های قانونی ویندوز (Process Injection) استفاده می‌کنند تا حتی بدون کلیک کاربر بر روی میانبر، به محض باز کردن درایو در Explorer، بدافزار اجرا شود.

ساختار فایل‌سیستم و نحوه اجرای برنامه‌ها در اندروید کاملاً با ویندوز متفاوت است، لذا ویروس‌های مخفی‌ساز ویندوزی نمی‌توانند روی گوشی‌های اندرویدی اجرا شوند. اما اگر گوشی خود را در حالت 'Mass Storage' به کامپیوتر آلوده وصل کنید، ویروس می‌تواند خود را در حافظه گوشی کپی کند. در این حالت گوشی شما به عنوان یک 'ناقل' عمل می‌کند؛ یعنی خودش آسیبی نمی‌بیند اما به محض اینکه آن را به کامپیوتر دیگری وصل کنید، ویروس از حافظه گوشی به آن کامپیوتر منتقل شده و عملیات مخفی‌سازی فایل‌ها را در آنجا تکرار می‌کند.

بهترین راه پیشگیری، غیرفعال کردن قابلیت Autorun و Autoplay در ویندوز است تا بدافزار نتواند به محض اتصال فلش، خود را اجرا کند. همچنین پیشنهاد می‌شود همیشه از آنتی‌ویروس‌های معتبر و آپدیت شده استفاده کنید. یک ترفند حرفه‌ای دیگر، ایجاد یک پوشه با نام 'autorun.inf' (به صورت پوشه، نه فایل) در ریشه فلش مموری و تغییر دسترسی‌های آن به Read-only است؛ این کار باعث می‌شود ویروس نتواند فایل مخرب خود را با همین نام جایگزین کند. همچنین از اتصال فلش به سیستم‌های عمومی مثل کافی‌نت‌ها و مراکز چاپ بدون اطمینان از امنیت آن‌ها خودداری کنید.

اولین و مهم‌ترین قدم این است که به هیچ عنوان روی هیچ‌کدام از میانبرها (Shortcuts) کلیک نکنید. کلیک کردن باعث اجرای کد مخرب در حافظه رم سیستم شما می‌شود. بلافاصله فلش را از طریق درختی (Navigation Pane) در سمت چپ Windows Explorer باز کنید و از باز کردن مستقیم درایو خودداری کنید. سپس قابلیت نمایش فایل‌های مخفی و سیستمی را از تنظیمات Folder Options فعال کنید تا بتوانید فایل‌های اصلی خود را ببینید. در نهایت، با استفاده از محیط CMD یا آنتی‌ویروس‌های تخصصی، فرآیند پاکسازی را بدون درگیر کردن سیستم میزبان آغاز نمایید.

برای این کار ابتدا کلیدهای Win+R را زده و عبارت cmd را تایپ کنید. در محیط مشکی رنگ، ابتدا حرف درایو فلش خود را (مثلاً :G) تایپ کرده و اینتر بزنید. سپس دستور دقیق `attrib -h -r -s /s /d *.*` را وارد کرده و منتظر بمانید تا عملیات تمام شود. این دستور ویژگی‌های مخفی (h)، فقط‌خواندنی (r) و سیستمی (s) را از تمام فایل‌ها و پوشه‌ها (/s /d) حذف می‌کند. پس از اجرای این دستور، پوشه‌های اصلی شما ظاهر می‌شوند. توجه داشته باشید که حتماً CMD را در حالت Run as Administrator اجرا کنید تا با خطای عدم دسترسی (Access Denied) مواجه نشوید.

بسیاری از این ویروس‌ها خود را در استارت‌آپ ویندوز قرار می‌دهند. برای حذف آن‌ها، عبارت regedit را در منوی استارت جستجو و باز کنید. به مسیر `HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run` بروید. در اینجا به دنبال کلیدهای مشکوکی بگردید که به فایل‌های .vbs، .js یا .wsh در پوشه Temp یا AppData اشاره دارند. این کلیدها را حذف کنید. همچنین مسیر مشابه را در HKEY_LOCAL_MACHINE نیز بررسی کنید. پاکسازی رجیستری بسیار حساس است و قبل از هر تغییری حتماً یک بک‌آپ از آن تهیه کنید تا در صورت بروز مشکل، سیستم دچار اختلال نشود.

پس از اینکه با دستور attrib فایل‌ها را از حالت مخفی خارج کردید، در ریشه فلش مموری به دنبال فایل‌هایی با پسوند .vbs، .vbe، .inf یا .lnk بگردید که شما آن‌ها را نساخته‌اید. فایل‌هایی مثل autorun.inf در اکثر موارد مخرب هستند. برای حذف ایمن، ابتدا پروسه مربوط به آن‌ها را در Task Manager (معمولاً تحت نام WScript.exe یا CScript.exe) متوقف کنید. سپس این فایل‌ها را با کلیدهای Shift+Delete به طور کامل حذف کنید. دقت کنید که فایل‌های سیستمی واقعی ویندوز را به اشتباه حذف نکنید؛ فایل‌های ویروس معمولاً نام‌های بی‌معنی یا آیکون‌های فریبنده دارند.

در ویندوز ۱۰ یا ۱۱، به Control Panel بروید و File Explorer Options را انتخاب کنید. در تب View، ابتدا گزینه 'Show hidden files, folders, and drives' را فعال کنید. سپس کمی پایین‌تر، تیک گزینه 'Hide protected operating system files (Recommended)' را بردارید. ویندوز هشداری به شما می‌دهد که آن را تایید کنید. با این کار، فایل‌هایی که ویروس با ویژگی 'سیستمی' مخفی کرده بود، به صورت کمرنگ در فلش مموری ظاهر می‌شوند. حالا می‌توانید اطلاعات خود را کپی کرده و در جای امنی قرار دهید تا پس از فرمت کردن فلش، دوباره از آن‌ها استفاده کنید.

فرمت کردن (Format) قطعی‌ترین راه برای پاکسازی فلش مموری است، اما به شرطی که ابتدا مطمئن شوید سیستم میزبان شما آلوده نیست. اگر سیستم آلوده باشد، به محض اتمام فرمت، ویروس دوباره خود را در فلش کپی می‌کند. همچنین فرمت کردن باعث پاک شدن تمام اطلاعات شما می‌شود. پیشنهاد می‌شود ابتدا با دستورات CMD فایل‌ها را بازیابی و به جای امنی منتقل کنید، سپس برای اطمینان از حذف کامل کدهای مخرب در سکتورهای حافظه، فلش را به صورت 'Full Format' (نه Quick Format) با سیستم‌فایل FAT32 یا NTFS فرمت نمایید.

نرم‌افزارهای کوچکی مانند 'Shortcut Virus Remover' یا 'UsbFix' برای ساده‌سازی فرآیند پاکسازی طراحی شده‌اند. پس از دانلود و اجرای این ابزارها (که غالباً پرتابل هستند)، کافیست حرف درایو فلش خود را انتخاب کرده و دکمه Clean یا Fix را بزنید. این ابزارها به صورت خودکار دستورات attrib را اجرا کرده، پروسه‌های مخرب در رم را می‌بندند و کلیدهای رجیستری آلوده را پاک می‌کنند. استفاده از این ابزارها برای کاربرانی که با محیط خط فرمان CMD آشنایی ندارند، روشی بسیار امن‌تر و سریع‌تر برای بازیابی اطلاعات و حذف بدافزار محسوب می‌شود.

بازگشت مجدد ویروس نشانه قطعی آلوده بودن سیستم کامپیوتری شماست. در این حالت، ویروس در حافظه موقت (RAM) یا در پوشه‌های استارت‌آپ ویندوز مقیم شده است. برای حل این مشکل، باید سیستم را در حالت Safe Mode بالا بیاورید و با یک آنتی‌ویروس قدرتمند (مثل Kaspersky یا ESET) کل سیستم را اسکن کنید. همچنین پوشه `%AppData%` و `%Temp%` را به صورت دستی بررسی کرده و فایل‌های اسکریپتی مشکوک را حذف کنید. تا زمانی که منبع اصلی آلودگی در ویندوز از بین نرود، هر فلش سالمی که به دستگاه وصل کنید بلافاصله آلوده خواهد شد.

در دستور `attrib -h -r -s /s /d *.*` هر سوئیچ وظیفه خاصی دارد. سوئیچ `/s` به سیستم فرمان می‌دهد که دستور را نه فقط برای فایل‌های ریشه، بلکه برای تمام فایل‌های موجود در زیرپوشه‌ها (Subdirectories) نیز اعمال کند. سوئیچ `/d` بسیار حیاتی است زیرا به دستور اجازه می‌دهد که ویژگی‌ها را روی خودِ «پوشه‌ها» نیز اعمال کند. بدون `/d` ممکن است فایل‌های داخل پوشه‌ها از حالت مخفی خارج شوند اما خودِ پوشه اصلی همچنان مخفی بماند. ترکیب این دو سوئیچ تضمین می‌کند که تمام ساختار درختی حافظه فلش به حالت عادی و قابل مشاهده برمی‌گردد.

سوئیچ `/l` در دستور attrib برای کار با 'Symbolic Links' یا پیوندهای نمادین طراحی شده است. در نسخه‌های قدیمی‌تر ویندوز، برخی تصور می‌کردند این سوئیچ به شناسایی بهتر میانبرها کمک می‌کند، اما در واقعیت، ویروس‌های مخفی‌ساز فلش مموری از میانبرهای استاندارد (.lnk) استفاده می‌کنند نه Symbolic Linkها. استفاده از `/l` در اکثر موارد بی‌اثر است و در برخی نسخه‌های خاص ویندوز ممکن است باعث بروز خطا در پردازش فایل‌های واقعی شود. استانداردهای امنیت سایبری ۲۰۲۴ تاکید دارند که برای پاکسازی این نوع بدافزار، همان چهار سوئیچ اصلی (-h -r -s /s /d) کاملاً کافی و بهینه هستند.

فایل `autorun.inf` یک فایل متنی ساده است که به ویندوز دستور می‌دهد هنگام اتصال فلش، چه برنامه‌ای را به صورت خودکار اجرا کند. ویروس‌های مخفی‌ساز با ساختن یک فایل autorun.inf مخرب، مسیر اجرای خود را در آن قرار می‌دهند. به محض اتصال فلش، ویندوز (اگر قابلیت Autoplay فعال باشد) فایل اسکریپت ویروس را اجرا می‌کند. در نسخه‌های جدید ویندوز (۱۰ و ۱۱)، امنیت این بخش بسیار تقویت شده و ویندوز دیگر به راحتی دستورات اجرایی را از autorun.inf قبول نمی‌کند، اما بدافزارها همچنان از این فایل برای فریب دادن کاربر در منوی راست‌کلیک درایو استفاده می‌کنند.

بدافزارها معمولاً برای ماندگاری در سیستم، آدرس خود را در کلیدهای 'Run' یا 'RunOnce' رجیستری ثبت می‌کنند. با رفتن به مسیر `HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run` می‌توانید لیست برنامه‌هایی که با ویندوز بالا می‌آیند را ببینید. اگر مقداری (Value) مشاهده کردید که به فایلی با پسوند .vbs یا .tmp در مسیر `C:\Users\[User]\AppData\Roaming` اشاره دارد، این احتمالاً همان ویروس است. با یادداشت کردن این مسیر، می‌توانید ابتدا پروسه را در Task Manager ببندید و سپس فایل فیزیکی را از آن آدرس حذف کنید تا از اجرای مجدد بدافزار پس از ری‌استارت جلوگیری شود.

فایل‌سیستم FAT32 که در اکثر فلش مموری‌ها استفاده می‌شود، فاقد قابلیت‌های پیشرفته امنیتی و تعیین سطح دسترسی (Permissions) است، لذا ویروس به راحتی می‌تواند ویژگی‌های هر فایلی را تغییر دهد. اما در NTFS، می‌توان دسترسی‌ها را محدود کرد. ویروس‌های پیشرفته در درایوهای NTFS سعی می‌کنند مالکیت (Ownership) فایل‌ها را تغییر دهند تا کاربر حتی با دستور attrib هم نتواند آن‌ها را برگرداند. در چنین مواردی، ابتدا باید از طریق تب Security در Properties درایو، مالکیت فایل‌ها را به کاربر فعلی (Administrator) برگردانید و سپس اقدام به حذف ویژگی‌های مخفی و سیستمی نمایید.

خانواده بدافزاری Gamarue (یا Andromeda) یکی از پیچیده‌ترین انواع ویروس‌های ناقل از طریق USB هستند که تکنیک مخفی‌سازی فایل‌ها را به شدت به کار می‌برند. برخلاف اسکریپت‌های ساده، Gamarue یک بات‌نت (Botnet) است که می‌تواند دستورات را از سرور فرماندهی (C&C) دریافت کند. این بدافزار نه تنها فایل‌ها را مخفی می‌کند، بلکه می‌تواند اطلاعات سیستم را سرقت کرده و راه را برای ورود باج‌افزارها باز کند. شناسایی این نوع بدافزار به دلیل استفاده از تکنیک‌های ضد-آنالیز و ضد-مجازی‌سازی، بسیار دشوارتر از ویروس‌های معمولی Hidden است و نیاز به اسکنرهای تخصصی دارد.

این پوشه‌ها (مانند پوشه‌ای با نام '.' یا '..') در واقع ورودی‌های دایرکتوری در فایل‌سیستم هستند که ویروس سعی کرده با دستکاری در جدول تخصیص فایل (FAT)، آن‌ها را به عنوان پوشه‌های حاوی اطلاعات شما جلوه دهد. در برخی موارد، ویروس تمام فایل‌های شما را به یک پوشه بدون نام (که نام آن کاراکتر فضای خالی یا Alt+255 است) منتقل می‌کند. پس از اجرای دستور attrib، این پوشه‌ها نمایان می‌شوند. شما باید محتویات داخل این پوشه‌های بی‌نام را به ریشه فلش منتقل کرده و سپس پوشه‌های خالی و مشکوک ایجاد شده توسط ویروس را حذف کنید.

ساخت یک فایل .bat که حاوی دستورات attrib و del باشد، روشی سریع برای پاکسازی است، اما ریسک‌های خود را دارد. اگر کد داخل فایل Batch به درستی نوشته نشده باشد (مثلاً یک فاصله اشتباه در دستور del)، ممکن است باعث حذف تمامی فایل‌های فلش یا حتی فایل‌های سیستمی ویندوز شود. پیشنهاد می‌شود به جای دانلود فایل‌های آماده .bat از سایت‌های نامعتبر، خودتان به صورت دستی دستورات را در CMD وارد کنید یا کد را به دقت بررسی کنید. یک فایل Batch ایمن باید ابتدا حرف درایو را چک کند و سپس فقط فایل‌های با پسوند .lnk و .vbs را هدف قرار دهد.

اگر ویروس فقط فایل‌ها را مخفی کرده باشد، هزینه بازیابی در مراکز تخصصی در سال ۱۴۰۳ بین ۵۰۰ هزار تا ۱.۵ میلیون تومان متغیر است. اما اگر بدافزار از نوع باج‌افزار باشد و اطلاعات را رمزگذاری کرده باشد، هزینه بازیابی بسیار بالاتر رفته و بسته به حجم داده و نوع رمزگذاری، ممکن است به چندین میلیون تومان برسد. البته در اکثر موارد ویروس Hidden، کاربر می‌تواند با آموزش‌های رایگان و بدون صرف هزینه، خودش اطلاعات را برگرداند. مراکز تخصصی عمدتاً زمانی هزینه دریافت می‌کنند که نیاز به جراحی قطعات سخت‌افزاری یا استفاده از دستگاه‌های PC-3000 باشد.

بله، قطعاً. خرید لایسنس اورجینال آنتی‌ویروس‌هایی مانند ESET یا Kaspersky (با هزینه‌ای حدود ۴۰۰ تا ۹۰۰ هزار تومان برای یک سال) بسیار مقرون‌به‌صرفه تر از هزینه‌های احتمالی از دست رفتن اطلاعات یا خرابی سیستم است. آنتی‌ویروس‌های رایگان معمولاً فاقد بخش 'Behavioral Analysis' (تحلیل رفتاری) هستند که برای شناسایی ویروس‌های جدید Hidden ضروری است. نسخه اورجینال با آپدیت‌های ساعتی، به محض اتصال هرگونه حافظه جانبی، آن را اسکن کرده و قبل از اجرای هرگونه اسکریپت مخرب، آن را قرنطینه می‌کند که این امر امنیت ۱۰۰ درصدی را برای سیستم شما فراهم می‌آورد.

باید توجه داشت که ویروس‌ها به تنهایی نمی‌توانند باعث سوختن فیزیکی (سخت‌افزاری) فلش مموری شوند. اما فعالیت بیش از حد ویروس در نوشتن و پاک کردن مداوم داده‌ها (I/O زیاد) می‌تواند عمر سلول‌های حافظه NAND را کاهش دهد. اگر فلش شما به دلیل فعالیت بدافزار دچار اختلال در فریمور (Firmware) شده باشد، هزینه بازنشانی فریمور در مراکز تعمیرات حدود ۲۰۰ تا ۴۰۰ هزار تومان است. اما اگر برد اصلی یا چیپ حافظه آسیب دیده باشد، تعمیر آن معمولاً صرفه اقتصادی ندارد و خرید یک فلش جدید (با قیمت‌های فعلی ۳۰۰ هزار تومان به بالا) منطقی‌تر است.

نرم‌افزارهای بازیابی اطلاعات (مانند Recuva یا EaseUS) برای برگرداندن فایل‌های «حذف شده» هستند، نه فایل‌های «مخفی شده». برای ویروس Hidden، شما نیازی به صرف هزینه برای خرید نسخه پرو این نرم‌افزارها ندارید. در واقع، استفاده از این نرم‌افزارها روی فلش آلوده ممکن است باعث شود ویروس هم به عنوان یک فایل بازیابی شده به سیستم شما منتقل شود. بهترین راهکار رایگان، استفاده از همان دستورات CMD و در صورت نیاز، ابزارهای تخصصی و رایگانی مثل UsbFix است که به طور ویژه برای این نوع بدافزار توسعه یافته‌اند و هیچ هزینه‌ای برای کاربر ندارند.

در محیط‌های تجاری، خسارت اصلی نه هزینه پاکسازی، بلکه 'Downtime' یا زمان توقف کار است. اگر ویروس به شبکه داخلی نفوذ کند و دسترسی به فایل‌های اشتراکی را مختل نماید، خسارت می‌تواند بسته به ابعاد شرکت از چند ده میلیون تا چند صد میلیون تومان در روز باشد. این هزینه‌ها شامل حقوق کارکنان بیکار شده، از دست رفتن فرصت‌های فروش و هزینه‌های تیم IT برای پاکسازی کل کلاینت‌هاست. به همین دلیل، سرمایه‌گذاری بر روی سیستم‌های Endpoint Security و آموزش پرسنل، یک اقدام اقتصادی هوشمندانه برای جلوگیری از این خسارات سنگین است.

اگر تعداد سیستم‌ها کم باشد (زیر ۵ دستگاه)، یک فرد با دانش متوسط IT می‌تواند با مطالعه راهنماهای معتبر، پاکسازی را انجام دهد. اما در سازمان‌های بزرگتر، به دلیل خطر انتشار ویروس در سرورها و اتوماسیون اداری، استخدام یک کارشناس امنیت یا برون‌سپاری به شرکت‌های پشتیبانی IT توصیه می‌شود. هزینه ویزیت و پاکسازی هر سیستم توسط کارشناس در سال ۱۴۰۳ حدود ۳۰۰ تا ۶۰۰ هزار تومان برآورد می‌شود. این هزینه شامل اسکن کامل، رفع آلودگی رجیستری، آپدیت سیستم‌عامل و ایمن‌سازی پورت‌های USB برای جلوگیری از تکرار حادثه در آینده است.

حذف ویروس (Virus Removal) فرآیندی است که در آن کدهای مخرب شناسایی و از بین می‌روند و معمولاً اگر توسط خود کاربر انجام شود، هزینه‌ای ندارد. اما بازیابی اطلاعات (Data Recovery) زمانی مطرح می‌شود که ویروس فایل‌ها را تخریب یا پاک کرده باشد. هزینه بازیابی به دلیل نیاز به تجهیزات خاص و زمان‌بر بودن فرآیند اسکن سکتور به سکتور، همیشه بسیار بیشتر از حذف ویروس است. در مورد ویروس Hidden، چون فایل‌ها عملاً حذف نشده‌اند، شما با انجام صحیح فرآیند حذف ویروس، در واقع اطلاعات را هم بدون هزینه اضافی بازیابی کرده‌اید.

به هیچ عنوان. استفاده از آنتی‌ویروس کرک شده برای مقابله با ویروس، مانند این است که برای محافظت از خانه، کلید را به یک سارق بدهید. فایل‌های کرک خود حاوی تروجان و کدهای مخرب هستند که آنتی‌ویروس را دور می‌زنند یا دیتابیس آن را از کار می‌اندازند. این کار نه تنها ویروس Hidden را از بین نمی‌برد، بلکه سیستم شما را به یک 'Zombi' در شبکه‌های بات‌نت تبدیل می‌کند. با توجه به قیمت مناسب لایسنس‌های یک‌ساله آنتی‌ویروس‌های معتبر در بازار ایران، ریسک استفاده از نسخه کرک شده به هیچ وجه منطقی و دارای توجیه اقتصادی نیست.

طبق قانون جرایم رایانه‌ای ایران، انتشار عمدی بدافزارها جرم محسوب می‌شود. اما در مورد انتشار ناخواسته (زمانی که کاربر نمی‌داند فلش او آلوده است)، معمولاً مسئولیت کیفری متوجه شخص نیست مگر اینکه سهل‌انگاری فاحشی صورت گرفته باشد که منجر به خسارت در زیرساخت‌های حیاتی شود. با این حال، در محیط‌های شرکتی، انتشار ویروس می‌تواند منجر به مسئولیت‌های مدنی و تنبیهات انضباطی طبق قراردادهای استخدامی شود. بهترین راه برای مصونیت قانونی، رعایت پروتکل‌های امنیتی و اطلاع‌رسانی سریع به واحد IT در صورت مشاهده موارد مشکوک است.

پلیس فتا (فضای تولید و تبادل اطلاعات) طبق ماده ۲۵ قانون جرایم رایانه‌ای، تولید، فروش یا توزیع هرگونه بدافزار را جرم‌انگاری کرده است. اگر شخصی به عمد ویروس مخفی‌ساز را برای سرقت اطلاعات یا تخریب سیستم‌های دیگران طراحی و منتشر کند، به حبس از نود و یک روز تا یک سال یا جزای نقدی محکوم خواهد شد. قربانیان این حملات می‌توانند با مراجعه به وب‌سایت پلیس فتا یا دادسرای جرایم رایانه‌ای، نسبت به طرح شکایت علیه منبع انتشار ویروس (در صورت شناسایی) اقدام کنند تا خسارات وارده پیگیری قانونی شود.

این موضوع بستگی به آیین‌نامه داخلی شرکت و قرارداد استخدامی دارد. بسیاری از سازمان‌ها دارای 'سیاست استفاده قابل قبول' (AUP) هستند که در آن استفاده از فلش مموری‌های شخصی یا اتصال دستگاه‌های غیرمجاز به شبکه شرکت ممنوع شده است. در صورت نقض این قوانین و ورود ویروس Hidden که منجر به از دست رفتن داده‌های حساس یا توقف تولید شود، شرکت می‌تواند طبق ضوابط قانون کار، اقدامات انضباطی شامل توبیخ، کسر حقوق یا حتی اخراج را انجام دهد. لذا رعایت اصول امنیت سایبری در محیط کار یک وظیفه قانونی و حرفه‌ای برای هر کارمند است.

مراکز خدماتی مانند کافی‌نت‌ها و انتشاراتی‌ها موظف هستند محیطی امن برای ارائه خدمات فراهم کنند. اگر ثابت شود که یک مرکز به دلیل عدم استفاده از آنتی‌ویروس یا سهل‌انگاری در امنیت سیستم‌ها، باعث آلودگی فلش مشتری و در نتیجه نابودی اطلاعات مهم او شده است، مشتری می‌تواند از نظر حقوقی مطالبه خسارت کند. البته اثبات این موضوع در مراجع قضایی دشوار است. برای جلوگیری از این چالش‌های قانونی، این مراکز معمولاً در تابلوهای اعلانات خود ذکر می‌کنند که مسئولیتی در قبال ویروسی شدن فلش ندارند، هرچند این سلب مسئولیت لزوماً رافع مسئولیت مدنی آن‌ها نیست.

بله، طبق قوانین حریم خصوصی و جرایم رایانه‌ای، دسترسی به داده‌های دیگری بدون مجوز قانونی یا رضایت صاحب آن جرم است. حتی اگر قصد شما خیرخواهانه باشد (مثلاً بخواهید ویروس فلش دوستتان را پاک کنید)، باز کردن و مشاهده فایل‌های شخصی او در حین فرآیند پاکسازی می‌تواند نقض حریم خصوصی تلقی شود. در موارد حرفه‌ای و تعمیراتی، باید ابتدا رضایت کتبی یا شفاهی صاحب قطعه اخذ شود. در صورت بروز اختلاف، دسترسی غیرمجاز به داده‌ها می‌تواند منجر به مجازات‌های نقدی و حبس طبق ماده ۱ قانون جرایم رایانه‌ای شود.

بسیاری از ابزارهای پاکسازی ویروس Hidden به صورت Open Source یا Freeware ارائه می‌شوند، اما این به معنای سلب حقوق مالکیت معنوی آن‌ها نیست. استفاده تجاری از این ابزارها (مثلاً فروش آن‌ها به عنوان یک محصول جدید) یا تغییر در کدهای آن‌ها بدون ذکر منبع، نقض کپی‌رایت محسوب می‌شود. همچنین، برخی سایت‌ها با سوءاستفاده از نام ابزارهای معروف، نسخه‌های آلوده خود را منتشر می‌کنند که این کار علاوه بر نقض حقوق پدیدآورنده اصلی، یک فعالیت مجرمانه سایبری است. همیشه باید این ابزارها را از منابع رسمی و معتبر دانلود کرد.

اگر متوجه شدید که ویروس علاوه بر مخفی کردن فایل‌ها، اطلاعات حساس شما را به سروری ارسال کرده است، باید بلافاصله سیستم را از اینترنت قطع کرده و از وضعیت فعلی (فایل‌های مخرب و گزارش آنتی‌ویروس) اسکرین‌شات و لاگ تهیه کنید. سپس به دادسرای جرایم رایانه‌ای مراجعه کرده و شکایت خود را ثبت کنید. پلیس فتا با بررسی آدرس‌های IP و سرورهای مقصد، تلاش می‌کند منشأ حمله را پیدا کند. توجه داشته باشید که پاک کردن خودسرانه ویروس قبل از نمونه‌برداری توسط کارشناسان جنایی سایبری، ممکن است ادله دیجیتال مورد نیاز برای پرونده را از بین ببرد.

مرز بین ابزارهای امنیتی و ابزارهای هک بسیار باریک است. استفاده از دستورات سیستم‌عامل مثل attrib یا نرم‌افزارهای امنیتی معتبر کاملاً قانونی است. اما استفاده از نرم‌افزارهایی که با دور زدن لایه‌های امنیتی ویندوز یا اکسپلویت کردن باگ‌های سیستم‌عامل اقدام به بازیابی اطلاعات می‌کنند، می‌تواند در محیط‌های سازمانی حساس باعث ایجاد هشدارهای امنیتی و دردسرهای قانونی شود. همیشه توصیه می‌شود از روش‌های استاندارد و مستند شده توسط شرکت‌های امنیتی استفاده کنید تا در صورت بروز هرگونه مشکل ثانویه، مسئولیت قانونی متوجه شما نباشد.

فروش کالایی که دارای عیب پنهان (در اینجا آلودگی بدافزاری) است، طبق قانون مدنی ایران (خیار عیب) به خریدار حق فسخ معامله یا دریافت ارش (مابه‌التفاوت قیمت) را می‌دهد. اگر فروشنده به عمد فلش‌های آلوده را به بازار عرضه کند تا اطلاعات خریداران را سرقت کند، این عمل مصداق کلاهبرداری رایانه‌ای و انتشار بدافزار است که مجازات‌های سنگین حبس و جریمه نقدی را در پی دارد. فروشندگان موظف هستند قبل از تحویل حافظه‌های جانبی به مشتری، از سلامت و پاک بودن آن‌ها اطمینان حاصل کنند تا از تبعات حقوقی بعدی مصون بمانند.

اگر سیستم شما آلوده باشد و نرم‌افزار همگام‌سازی کلاود (مثل Google Drive یا Dropbox) در حال اجرا باشد، ویروس ممکن است فایل‌های داخل پوشه همگام‌سازی را مخفی کند. در این صورت، سرویس کلاود این تغییرات را به عنوان حذف یا مخفی‌سازی فایل‌ها تلقی کرده و همان وضعیت را در سرورهای خود اعمال می‌کند. خوشبختانه اکثر سرویس‌های کلاود قابلیت 'Version History' دارند که به شما اجازه می‌دهد فایل‌ها را به حالت قبل از آلودگی برگردانید. با این حال، خطر اصلی این است که خودِ فایل اسکریپت ویروس هم در کلاود آپلود شود و با دانلود آن در سیستم‌های دیگر، آلودگی گسترش یابد.

یک راهکار فنی و بسیار موثر برای مقابله با ویروس‌های Hidden، غیرفعال کردن Windows Script Host است. برای این کار می‌توانید به رجیستری رفته و در مسیر `HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings` یک مقدار DWORD به نام 'Enabled' بسازید و مقدار آن را 0 قرار دهید. با این کار، هیچ اسکریپت .vbs یا .vbe در ویندوز اجرا نخواهد شد و عملاً ویروس Hidden قدرت فعالیت خود را از دست می‌دهد. البته توجه داشته باشید که این کار ممکن است مانع اجرای برخی ابزارهای مدیریتی ویندوز شود، لذا فقط در سیستم‌هایی که نیاز به اجرای اسکریپت ندارند توصیه می‌شود.