تحلیل ویروس(کرم) خطرناک و هوشمند win32/bagle (باگل) و یافتن راه حل( Remove Bagle )
سلام
یه کرم خطرناک با نام win32/bagle.pw(به گفته نود و Trojan-Downloader.Win32.Bagle.cu به گفته Kasper
کد:
http://www.viruslist.com/en/viruses/encyclopedia?virusid=21780028#doc2
) از سری کرم های باگل (
کد:
http://www.eset.com/threat-center/encyclopedia/index/b
)و سایز 1,019,912 چند روزه بدستم رسیده. نود میگه با update ، تاریخ 2008/10/18 اگه سیستمتون ویروس رو نگرفته باشه میتونید اون رو پاک کنید!
این کرمه خیلی هوشمنده:18::18::27::21:!!!
کد:
http://yadmane.org/forum_posts.asp?TID=495
کد:
http://www.barnamenevis.org/forum/showthread.php?t=18722(http://www.sgnec.net/Articledet-f.asp?number=73
)
کد:
http://www.iritn.com/index.php?action=show&type=news&id=4131
کد:
http://www.winbeta.net/print.php?shownews=488
از طریق e-mail و کول دیسک ... انتشار پیدا میکنه و انواع متفاوتی هم داره!
کد:
http://www.eset.com/threat-center/encyclopedia/index/b
بعد از اجراشدن و نصب درایورش و از کارانداتن همه انتی ها خودش رو در مسیر Windir\sys32\driver\hldrrr.Exe (که در Exe اش نام کمپانیش رو میگه Biosoft) کپی و اجرا میکنه!! (ایکونش شکل یه فولدره) با themida کد شه.
سرعت سیستم رو به شدت پایین میاره.
قبل از ریست شدن سیستم میشه پروسزش( با نام های Soundman , Regedit و همنام فایلهایی که تو Startup هستند... ) رو دید و kill کرد.
اگه سیستم ریسارت بشه دیگه شما نه پروزسز و نه تسکی از این ویروس میتونید ببینید و نه خود فایل رو که در مسیر بالا داره اجرا میشه ، و مسیر های رجیستریش رو هم نمی تونید ببینید!!
خودش رو هم رو CoolDisk با نام متغییر (گاهی nideiect.com)کپی میکنه...
اینم متن Autorun این ویروس که روی کول دیسک ایجاد میکنه
کد:
[AutoRun]
open=nideiect.com
;shell\open=Open(&O)
shell\open\Command=nideiect.com
shell\open\Default=1
;shell\explore=Manager(&X)
shell\explore\Command=nideiect.com
فایل درایورش WINDOWS\system32\drivers\srosa.sys (با حجم 88 کیلو )با کلید HKLM\SYSTEM\CurrentControlSet\Services\srosa رو به رجیستری اضافه میکنه.
کلید زیر را برای ذخیره تنظیماتش ایجاد میکنه. و پوشه exefqdرا در مسیر ویندوز ایجاد تا فایلهای مخرب از اینترنت دونلود کنه.
HKEY_CURRENT_USER\Software\FirstRRRun
و در مسیر startup کاربر فعلی کلید زیر را با مسیر Windir\sys32\driver\hldrrr.Exe ایجاد میکنه.
کد:
"drvsyskit"="C:\\WINDOWS\\system32\\drivers\\hldrrr.exe"
HKCU\Software\Microsoft\Windows\CurrentVersion\Run \ "drvsyskit"
راه حل :
با انتی َMalwareی که مایکروسافت ارایه داده به راحتی کشته میشه.
کد:
http://download.microsoft.com/download/4/A/A/4AA524C6-239D-47FF-860B-5B397199CBF8/windows-kb890830-v2.8.exe
اینم یه انتی دیگه براش
کد:
http://rapidshare.com/files/217967647/ComboFix.rar.html
اگه کسی ویروس رو برای تحلیل بیشتر خواست بخبره.:31:
موفق و پیروز باشید.
