Security News : اخبار و هشدارهاي امنيتي

اينجا با جديدترين و يروسها آشنا بشيد


مایکل جکسون هم به جمع ویروسهای اینترنتی پیوست


SetarehSorkh : خرابكاران در تلاش هستند تا با پخش كردن فايلي كه گوياي فيلم از بی بندوباریهای مايكل جكسون است اما در واقع شامل تروجان مي باشد ، راه را براي حمله از راه دور در كامپيوترها باز كنند.
بنابر خبر اختصاصی [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] از سوفوس و ایج ، شركت آنتي ويروس McAfee اعلام كرد كه نوع جديدي از كرم Netsky با نام Netsky.ag كشف شده است . این ویروس از طريق دانلود فايلي که حاوي یک فيلم سكسي از مايكل جكسون بوده و بوسیله ايميل ، منتشر مي شود . متخصصین امنیتی اعلام كردند بيش از صد نمونه از Netsky.ag را در برزيل و آرژانتين دريافت كرده اند.پيغامهايي به تعدادي از newsgroup ها فرستاده شده و اصرار دارند كاربران فايلي را كه مي گويد یک فيلم غیراخلاقی از مايكل جكسون مي باشد ، دانلود كنند.
اين عكسها شامل تصاويري از سوء استفاده مایکل جکسون از پسرهاي جوان مي باشد كه در حقيقت چنين چيزي وجود ندارد و اين عكسها ساختگي است.
موضوع اين فايلها " فيلمهاي وحشتناكي از همجنس بازي مايكل جكسون " میباشد
متن پيغام:
عكسهايي در اينجا موجود مي باشد كه واضحا مايكل جكسون را در حال اعمال غير طبيعي با پسر بچه ها نشان مي دهد. او مدتهاي طولاني است كه براي آنها مزاحمت ايجاد مي كند.
هكرها در پي مجادله هايي كه در اين مورد در باره مايكل جكسون به وجود آمد تروجاني را نهفته و با بكار گيري اين حيله آن را در شبكه رها كردند.
اين دومين بار در هفته است كه ویروس نویسان با استفاده از شخصيتهاي مشهور سعي در به تباهي كشيدن كاربران دارند.پیش از این تروجان Hackarmy سعی داشت از طريق دانلود عكسهاي افشاگرانه اي از ستاره فوتبال, ديويد بكهام به كاربران اينترنتی منتقل شود .
مايكل جكسون تا امروز آخرين شخصيت انتخاب شده توسط هكرها براي سوءاستفاده بوده است پيش از اين هكرها از ستاره هايي مثل :Halle Berry, Avril Lavigne, Anna Kournikova, Julia Roberts, Jennifer Lopez, Britney Spears و شخصيتهايي مثل بيل كيلينتون ، جورج دبلیو بوش و بیل گیتس و شخصیتهای کارتونی مثل: Pikachu و Kyle براي پيش برد اهداف خود استفاده كرده اند.


[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

لاتين ديگه لازم نيست :wink:

گفتم شايد زبون لاتين بعضي ها از فارسي بهتر باشه
بهر حال باشه لا تينش رو حذف ميكنم
:idea:

ویروس بکهام

متخصصين امنيتي به كاربران كامپيوتر درمورد فايلي حاوي عكسهاي ديويد بكهام ستاره فوتبال جهان كه به اسب تروجان آلوده است هشدار دادند. اين اسب تروجان Hackarmy نام دارد .
اين عكسها كه آلوده به اسب تروجان هستند از زندگي شخصي ديويد بكهام شايعاتي را در بين كاربران در مورد ازدواج وی با Spice Girl Victoria Beckham پخش كرده اند .
تروجان یاد شده به صورت گسترده اي در بين فايلهاي حاوي شايعات ازدواج بازيكن فوتبال انگليسي توزيع شده است.
هكرها و ويروس نويسان سعي مي كنند تا از هر حيله اي در فريب دادن كاربران براي دانلود كدهاي مخربشان استفاده كنند, و هم اكنون هم با ابراز اينكه اطلاعاتي از زندگي شخصي كاپيتان فوتبال انگلستان در اختيار كاربران قرار مي دهند آنها را براي وارد كردن كدهاي مخرب در كامپيوترهايشان فريب مي دهند.
اين پيغامها كه همراه با عكسهاي اين ستاره فوتبال هست و از طريق اينترنت امكان دانلود آنها نيز وجود دارد , پس از اينكه كاربران را كنجكاو كرده وآنان را وادار به دانلود مي كنند راه را براي كنترل كامپيوترها باز مي كنند.
نمونه اي از اين شايعات بي اساس را در زير مي خوانيم :
( ديويد بكهام از رئال مادريد عكسهايي با همسرش در مراسم عروسي خود گرفته كه اين عكسها هنوز در روزنامه ها بازتاب نشده و شما آنها را در اينجا خواهيد ديد. )
اشتياق همگاني در فهميدن اين شايعات بي اساس جلوبرنده آلودگي هاي خطرناك در اينترنت است.فريب دادن كاربران با Hackarmy شبيه به حيله هايي است كه قبلا در مورد مرگ بن لادن و آرنولد در اينترنت شايع شده بود.

تروجان Tometa-A

شرح:
Tometa-A يك تروجان در پشتي است كه در سيستم هاي ويندوزي منتشر مي شود و خودش را در فايل Windows\System\mfm\msrll.exe كپي مي كند ومدخل زير را در رجيستري قرار مي دهد:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run \Rll
همچنين تروجان اطلاعات را در پوشه تعيين شده قبلي قرار مي دهد و به پورت 2200 گوش كي دهد تا مهاجم از راه دور دستورات را به تروجان ارسال كند.

توصيه ها :
1-به روز كردن آنتي ويروس
2- دريافت Removal از سايت Kaspersky
3-روش پاك سازي به صورت دستي :
ابتدا تمامي داده خود را در سيستم تغيير داده و يك كپي از آنها تهيه كنيد.
پسورد Administrator را دوباره تغيير دهيد و يك نگاهي به مسايل امنيتي شبكه خود بيندازيد.
در taskbar دكمه start را بزنيد و منوي run را اجرا كنيد و در آن Regedit را بنويسيد و دكمه ok را كليك كنيد تا صفحه ويرايشگر رجيستري شما باز شود . فراموش نكنيد كه قبل از دستكاري رجيستري يك نسخه پشتيبان از آن تهيه كنيد .
حال در مدخل HKEY_LOCAL_MACHINE رجيستري و زير مدخل
HKLM\Software\Microsoft\Windows\CurrentVersion\Run \Rll
هر مدخلي كه به فايلي اشاره مي كرد حذف كنيد . سپس رجيستري خود را ببنديد و دوباره سيستم خود را راه اندازي كنيد.



كرم Helex-A

شرح:Helex-A كرمي ساده است كه فايل هاي بازي را تغيير نام مي دهد و خودش را در مكاني در آنها كپي مي كند. كرم مي تواند در تمامي ديسك سخت و شبكه هاي share شده منتشر شود. كرم نام فايل هاي زير را تغيير مي دهد:
hl.exe -> 3.dll
gta-vc.exe -> D3D.dll
quake3.exe -> def.dll
speed.exe -> D3Dconfig.dll
dmcr.exe -> img.dll
porsche.exe -> cars.dll
اين فايل ها در قسمتي از نامشان تغيير ايجاد نمي شود.
پس از اجرا كرم ديسك سخت و شبكه هاي share شده را براي پيدا كردن فايل هاي بيشتر و تغيير دادن آنها جستجو مي كند و سپس Helex-A فايل بازي اصلي را اجرا مي كند.

توصيه :
1-به روز كردن آنتي ويروس
2- دريافت Removal از سايت Kaspersky

تروجان Bancos-Z

Bancos-Z يك تروجاني مي باشد كه اطلاعات محرمانه برخي بانك ها را پس از جمع آوري به يك سيستم راه دور ارسال مي كند.
Bancos-Z تمامي اطلاعات درون فرم هاي مرورگر اينترنت را جمع آوري مي كند.
فايل اجرايي اين تروان به صورت RAR مي باشد. فايل اجرايي آن به نام tsknet.exe در شاخه سيستمي ويندوز كپي مي كند كه اين فايل داراي خصوصيت مخفي و سيستمي مي باشد.
همچنين براي اجرا شدن به همراه ويندوز مدخل هاي زير را در رجستري ايجاد مي كند :

HKLM\Software\Microsoft\Windows\CurrentVersion\Run \tsknet
HKLM\Software\Microsoft\Windows\CurrentVersion\Run Services\tskne

توصيه ها :
1-به روز كردن آنتي ويروس
2-نصب اصلاحيه هاي مايكروسافت
3- دريافت Removal از سايت Kaspersky

كرم Xbot-D

شرح:Xbot-D كرمي است با قابليت در پشتي IRC كه از طريق شبكه منتشر مي شود.
Xbot-D از طريق شبكه هايي كه داراي پسورد ضعيف هستند منتشر مي شود. كامپيوتر آلوده از طريق كانالهاي IRC توسط يك مهاجم از راه دور كنترل مي شود.
كرم با اجراي ويندوز به طور خودكار اجرا مي شود و فايل هاي dhcp\csrss.exe و Webchecks.dllرا در پوشه ويندوز ايجاد مي كند. همچنين ممكن است فايل هاي زير را نيز در پوشه ويندوز ايجاد كند:
msvcp60.dll (if it doesn''t already exist)
dhcp\msadm.dll
dhcp\msusr.dll
dhcp\mspwd.dll
dhcp\msdb.dll
updater.exe
كرم Xbot-A از طريق شبكه هاي share شده و SQL server هايي با پسورد ضعيف منتشر مي شود.
Xbot-A به يك سرور IRC كه به شكل قديمي است متصل مي شود و با يك كانال ارتباط برقرار مي كند. و دستوراتي را از نويسنده خود دريافت مي كند كه اين دستورات مي تواند به صورت هاي زير باشد:
flood another machine with ping packets
execute arbitrary files/commands
download an updated version of the bot
close network services that have commonly-exploited vulnerabilities
kill security-related processes
كرم مدخل زير را در رجيستري ايجاد مي كند:
HKCR\CLSID\(E6FB5E20-DE35-11CF-9C87-00AA005127ED)\InProcServer32\
@ = "C:\Windows\System32\webchecks.dll"
توصيه ها :
1-به روز كردن آنتي ويروس
2- دريافت Removal از سايت Kaspersky
3-روش پاك سازي به صورت دستي :
ابتدا تمامي داده خود را در سيستم تغيير داده و يك كپي از آنها تهيه كنيد.
پسورد Administrator را دوباره تغيير دهيد و يك نگاهي به مسايل امنيتي شبكه خود بيندازيد.
در taskbar دكمه start را بزنيد و منوي run را اجرا كنيد و در آن Regedit را بنويسيد و دكمه ok را كليك كنيد تا صفحه ويرايشگر رجيستري شما باز شود . فراموش نكنيد كه قبل از دستكاري رجيستري يك نسخه پشتيبان از آن تهيه كنيد .
حال در مدخل HKEY_LOCAL_MACHINE رجيستري زير مدخلهاي
HKCR\CLSID\(E6FB5E20-DE35-11CF-9C87-00AA005127ED)\InProcServer32\
@ = "C:\Windows\System32\webchecks.dll"
هر مدخلي كه به فايلي اشاره مي كرد حذف كنيد.
سپس رجيستري خود را ببنديد و تمامي فايل هايي كه در بالا اشاره شده است را از سيستم خود پاك كنيد و در آخر دوباره سيستم خود را راه اندازي كنيد.

فعلا........

اينم يه دردسر ديگه واسه امروز

تروجان Perflog-A

شرح:Perflog-A تروجاني است كه يك درخواست نامه Keylogging قانوني را در فايل هايي با هدف تخريب ثبت مي كند.
Perflog-A پوشه "C:\Windows\Microsoft" را ايجاد مي كند و فايل هاي Keylogging زير را در آنجا قرار مي دهد.
SYSTEM.exe
SYSTEMr.exe
SYSTEMhk.dll
SYSTEMwb.dll
همچنين دو فايل پيكر بندي شده inst.dat و pk.binرا در پوشه اي شبيه آن قرار مي دهد. اين فايلها كليد هاي ثبت شده را در ايميلي براي نويسنده تروجان ارسال مي كنند.

توصيه ها :
1-به روز كردن آنتي ويروس
2-نصب اصلاحيه هاي مايكروسافت
3- دريافت Removal از سايت Kaspersky
4-روش پاك سازي به صورت دستي :
ابتدا تمامي داده خود را در سيستم تغيير داده و يك كپي از آنها تهيه كنيد.
پسورد Administrator را دوباره تغيير دهيد و يك نگاهي به مسايل امنيتي شبكه خود بيندازيد.
در taskbar دكمه start را بزنيد و منوي run را اجرا كنيد و در آن Regedit را بنويسيد و دكمه ok را كليك كنيد تا صفحه ويرايشگر رجيستري شما باز شود . فراموش نكنيد كه قبل از دستكاري رجيستري يك نسخه پشتيبان از آن تهيه كنيد .
حال در مدخل HKEY_LOCAL_MACHINE رجيستري زير مدخلهاي
HKLM\Software\Microsoft\Windows\CurrentVersion\Run \system = "C:\Windows\Microsoft\SYSTEM.exe"
هر مدخلي كه به فايلي اشاره مي كرد حذف كنيد.
سپس رجيستري خود را ببنديد و دوباره سيستم خود را راه اندازي كنيد.
شرح اضافه :
SYSTEMwb.dll به صورت يك سرور Com ثبت شده است و مدخل هاي زير را در رجيستري ايجاد مي كند:
HKCR\CLSID\(1E1B2879-88FF-11D3-8D96-D7ACAC95951A)
HKCR\Interface\(1E1B2878-88FF-11D3-8D96-D7ACAC95951A)
HKCR\TypeLib\(1E1B286C-88FF-11D3-8D96-D7ACAC95951A)
HKCR\PK.IE
HKCR\PK.IE.1

مدخل هاي رجيستري زير در دفتر ثبت SYSTEMwb.dll به صورت يك كمك كننده جستجوگر BHO)) براي Internet Explorer ثبت مي شود.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Exp lorer\
Browser Helper Objects\(1E1B2879-88FF-11D3-8D96-D7ACAC95951A)
مدخل زير ايجاد مي شود تا حتماKeylogger در سيستم اجرا شود.
HKLM\Software\Microsoft\Windows\CurrentVersion\Run \system = "C:\Windows\Microsoft\SYSTEM.exe"
اين تروجان برنامه هاي زير را از كار مي اندازد:
ackwin32.exe
advxdwin.exe
agentsvr.exe
agentw.exe
alertsvc.exe
alogserv.exe
amon9x.exe
anti-trojan.exe
antivirus.exe
ants.exe
apimonitor.exe
aplica32.exe
apvxdwin.exe
atcon.exe
atguard.exe
atro55en.exe
atupdater.exe
atwatch.exe
autodown.exe
autotrace.exe
avconsol.exe
avgcc32.exe
avgctrl.exe
avguard.exe
avwupsrv.exe
avgserv.exe
avgserv9.exe
avgw.exe
avkpop.exe
avkserv.exe
avkservice.exe
avkwctl9.exe
avp.exe
avp32.exe
avpcc.exe
avpm.exe
avsched32.exe
avsynmgr.exe
avwinnt.exe
avxmonitor9x.exe
avxmonitornt.exe
avxquar.exe
avxw.exe
bd_professional.exe
bidef.exe
bidserver.exe
bipcp.exe
bisp.exe
blackd.exe
blackice.exe
bootwarn.exe
borg2.exe
bs120.exe
ccapp.exe
ccevtmgr.exe
ccpxysvc.exe
cdp.exe
cfgwiz.exe
cfiadmin.exe
cfiaudit.exe
cfinet.exe
cfinet32.exe
claw95.exe
claw95cf.exe
clean.exe
cleaner.exe
cleaner3.exe
cleanpc.exe
cmgrdian.exe
cmon016.exe
connectionmonitor.exe
cpd.exe
cpf9x206.exe
cpfnt206.exe

چرا بیشتر ویروسها رو با وی بی مینویسند؟

اينم از كرم امروز !!!!!!!!! :lol:

كرمBagz-B

شرح:Bagz-B جزء آن دسته از كرمهايي است كه از طريق پيغامهاي اينترنتي منتشر مي شود.اين كرم يك در پشتي را در بر دارد تا اجازه دهد مهاجم فايلهاي بيشتري را به سيستم آلوده وارد كند و تركيبات بيشتري را نصب كند.
كرم Bagz-B ممكن است ديواره آتش سيستم را از كار بيندازد.
كرم آدرسهاي ايميلي را كه نامهايي شبيه *.txt, *.htm, *.htm, *,dbx, *.tbi, *.tbb. دارند را جمع آوري مي كند.
توصيه ها :
1-به روز كردن آنتي ويروس
2- دريافت Removal از سايت Kaspersky
3-روش پاك سازي به صورت دستي :
ابتدا تمامي داده خود را در سيستم تغيير داده و يك كپي از آنها تهيه كنيد.
پسورد Administrator را دوباره تغيير دهيد و يك نگاهي به مسايل امنيتي شبكه خود بيندازيد.
در taskbar دكمه start را بزنيد و منوي run را اجرا كنيد و در آن Regedit را بنويسيد و دكمه ok را كليك كنيد تا صفحه ويرايشگر رجيستري شما باز شود . فراموش نكنيد كه قبل از دستكاري رجيستري يك نسخه پشتيبان از آن تهيه كنيد .
براي تهيه نسخه پشتيبان از رجيستري خود ؛ در منوي Registry روي گزينه ''''Export Registry File'''' و در پنل ''''Export range'''' گزينه All را انتخاب كرده و سپس دكمه Save را كليك كنيد تا نسخه پشتيبان از رجيستري شما تهيه شود.
حال در مدخل HKEY_LOCAL_MACHINE رجيستري زير مدخلهاي
HKLM\Software\Microsoft\Windows\CurrentVersion\Run \syslogin.exe = syslogin.exe
هر مدخلي كه به فايلي اشاره مي كرد حذف كنيد.
سپس رجيستري خود را ببنديد و دوباره سيستم خود را راه اندازي كنيد.
در ضمن پسورد هاي سيستم ها را نيز تغيير دهيد و تمامي فايلهاي اشاره شده در پايين را از سيستم خود پاك كنيد.
شرح اضافه:
ايميلي فرستاده مي شود كه محتوي آن يك فايل الحاقي با پسوند ZIP يا يك فايل دودويي مي باشد.محتوي آن از موضوعات زير مي باشد:
"last request before refunding"
"re: user id update"
"fwd: your funds are eligible for withdrawal"
"find a solution with this customer"
"no subject"
"re: help desk registration"
"failure notice"
"fwd: password"
"when should i call you?"
"re: re: a question"
"knowledge base article"
"open invoices"
"returned mail: see transcript for details"
"building maintenance"
"[fwd: broken link]"
"winxp"
"troubles are back again"
"questions"
"order approval"
"units available"
"progress news"
"big announcements"
"need help pls"
"you have recieved an ecard!"
"what is this ????"
"deactivation notice"
"message recieved, please confirm"
"my funny stories"
"cost inquiry"
"re: payment"
"referrences"
"webmail invite"
"re: quote request"

فايل الحاقي از نامهاي زير استفاده مي كند:

arch.doc<spaces>.exe
arch.zip
archive.doc<spaces>.exe
archive.zip
atach.doc<spaces>.exe
atach.zip
att.doc<spaces>.exe
att.zip
contact.doc<spaces>.exe
contact.zip
db.doc<spaces>.exe
db.zip
dl.exe
doc.doc<spaces>.exe
doc.zip
documents.doc<spaces>.exe
documents.zip
file.doc<spaces>.exe
file.zip
ipdb.dll
jobdb.dll
mail.doc<spaces>.exe
mail.zip
message.doc<spaces>.exe
message.zip
messages.doc<spaces>.exe
messages.zip
msg.doc<spaces>.exe
msg.zip
read.doc<spaces>.exe
read.zip
readme.doc<spaces>.exe
readme.zip
support.doc<spaces>.exe
support.zip
syslogin.exe
tutorial.doc<spaces>.exe
warning.doc<spaces>.exe
warning.zip
كرم يك كپي از فايل هاي بالا را در پوشه %system32% قرار مي دهد .همچنين تركيبات زير را ايجاد خواهد كرد:
%system32%/dl.exe
%system32%/syslogin.exe
%system32%/ipdb.dll
%system32%/jobdb.dll
و مدخل زير را در رجيستري ايجاد خواهد كرد:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run \syslogin.exe = syslogin.exe

راستي سينا جان سوال كوروشي پرسيدي ها ؟؟؟!!! :wink:

نقل قول:

---

راستي سينا جان سوال كوروشي پرسيدي ها

---

منظورت چیه؟
نه این سوال رو بره این پرسیدم که تا حالا هر چی ویروس(نه ویروس درس حسابی مث jeef... یا blaster و یا sesser.. ولی ویروسهایی که ویندوز رو خراب می کنن و به هم میریزن یا کلا بیشتر بوتر ها و ... با وی بی نوشته شده؟ :?:

واسه اینکه یادگرفتنش راحت تره وگرنه VC چیز دیگه اس 8)

منظوری نداشتم بابا چرا بهت بر خورد
شاید دلیلش همینه که گمنام گفت
شاید هم بلد نیستن :wink:

ماهان جان شما چجوری تونستی حدث بزنی که به من برخورد؟
پس بیشتر اونایی که دوس دارن هکر و ... باشن همینان آره؟

اره همین ادمهای از خدا بی خبر
بی دین و ایمون
:mrgreen:

تروجان theMouse-A

83.7.30
شرح :theMouse-A يك تروجان در پشتي مي باشد كه مي تواند با ايجاد پورتهاي باز ارتباط هايي را با بيرون برقرار كند.همچنين اين تروجان فايلهايي را از بيرون دريافت و اجرا مي كند.
theMouse-A وقتي اجرا مي گردد ابتدا فايل هايي را در مسيرهاي زير كپي مي كند و سپس خيلي سريع سيستم آلوده را دوباره راه اندازي مي كند.
وقتي دوباره كامپوتر شروع به كار مي كند اين تروجان مدخل هاي زير را نيز در سيستم ايجاد مي كند :
HKLM\SYSTEM\ControlSet001\Control\Session Manager\BootExecute
HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\BootExecute
توصيه ها :
1-به روز كردن آنتي ويروس
2- دريافت Removal از سايت Kaspersky
3-روش پاك سازي به صورت دستي :
ابتدا تمامي داده خود را در سيستم تغيير داده و يك كپي از آنها تهيه كنيد.
پسورد Administrator را دوباره تغيير دهيد و يك نگاهي به مسايل امنيتي شبكه خود بيندازيد.
در taskbar دكمه start را بزنيد و منوي run را اجرا كنيد و در آن Regedit را بنويسيد و دكمه ok را كليك كنيد تا صفحه ويرايشگر رجيستري شما باز شود . فراموش نكنيد كه قبل از دستكاري رجيستري يك نسخه پشتيبان از آن تهيه كنيد .
براي تهيه نسخه پشتيبان از رجيستري خود ؛ در منوي Registry روي گزينه ''''Export Registry File'''' و در پنل ''''Export range'''' گزينه All را انتخاب كرده و سپس دكمه Save را كليك كنيد تا نسخه پشتيبان از رجيستري شما تهيه شود.
حال در مدخل HKEY_LOCAL_MACHINE رجيستري زير مدخلهاي
HKLM\SYSTEM\ControlSet001\Control\Session Manager\BootExecute
HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\BootExecute
هر مدخلي كه به فايلي اشاره مي كرد حذف كنيد.
سپس رجيستري خود را ببنديد و دوباره سيستم خود را راه اندازي كنيد
فعلا..........

كرم Zafi-B

83.8.30
كرم Zafi-B كرمي است كه لز طريق ايميل در شبكه هاي P2P منتشر مي شود و خودش را در پوشه ويندوز با يك نام تصادفي با پسوندEXE كپي مي كند و مدخل زير را در رجيستري قرار مي دهد تا مطمئن شود كه با اجراي ويندوز خودش نيز اجرا خواهد شد:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run \_Hazafibb= <Windows system folder>\<filename.exe>
شاخه رجيستري زير نيز ايجاد خواهد شد:
HKLM\Software\Microsoft\_Hazafibb\

توصيه ها :
1-به روز كردن آنتي ويروس
2- دريافت Removal از سايت Kaspersky
3-روش پاك سازي به صورت دستي :
ابتدا تمامي داده خود را در سيستم تغيير داده و يك كپي از آنها تهيه كنيد.
پسورد Administrator را دوباره تغيير دهيد و يك نگاهي به مسايل امنيتي شبكه خود بيندازيد.
در taskbar دكمه start را بزنيد و منوي run را اجرا كنيد و در آن Regedit را بنويسيد و دكمه ok را كليك كنيد تا صفحه ويرايشگر رجيستري شما باز شود . فراموش نكنيد كه قبل از دستكاري رجيستري يك نسخه پشتيبان از آن تهيه كنيد .
براي تهيه نسخه پشتيبان از رجيستري خود ؛ در منوي Registry روي گزينه ''''''''''''''''Export Registry File'''''''''''''''' و در پنل ''''''''''''''''Export range'''''''''''''''' گزينه All را انتخاب كرده و سپس دكمه Save را كليك كنيد تا نسخه پشتيبان از رجيستري شما تهيه شود.
حال در مدخل HKEY_LOCAL_MACHINE رجيستري زير مدخلهاي
HKLM\Software\Microsoft\Windows\CurrentVersion\Run \_Hazafibb= <Windows system folder>\<filename.exe>

هر مدخلي كه به فايلي اشاره مي كرد حذف كنيد.
سپس رجيستري خود را ببنديد و دوباره سيستم خود را راه اندازي كنيد.
شرح اضافه :
اين كرم conection هاي اينترنت را براي متصل شدن به سايت هاي google و Microsoft چك مي كند.
Zafi-B آدرسهاي ايميل را با جستجو در فايل هايي با پسوند زير جمع آوري مي كند:
HTM, WAB, TXT, DBX, TBB, ASP, PHP, SHT, ADB, MBX, EML and PMR
سپس آنها را با يك نام تصادفي با پسوند DLL در پوشه ويندوز ذخيره مي كند، سپس خودش را به صورت يك فايل الحاقي به آدرسهايي كه به دست آورده ارسال مي كند .
همچنيني كرم خودش را در پوشه هاي shareشده p2p به يكي از صورتهاي زير كپي مي كند:
''WINAMP 7.0 FULL_INSTALL.EXE'' or
''TOTAL COMMANDER 7.0 FULL_INSTALL.EXE''.
Zafi-A ممكن است پيغام را با يك متن مجارستاني با محتوي زير جابجا كند:
A hajlektalanok elhelyezeset, a bunteto torvenyek szigoritasat, es a HALALBUNTETES MEGSZAVAZASAT koveteljuk a kormanytol, a novekvo bunozes ellen! 2004, jun, Pecs,(SNAF Team).
ترجمه انگليسي آن به صورت زير مي باشد:
We demand that the government accomodates the homeless,
tightens up the penal code and VOTES FOR THE DEATH PENALTY
to cut down the increasing crime. Jun. 2004, Pécs (SNAF Team)
در زير مثال هايي از ايميلي كه كرم مي فرستد وجود دارد:
Subject: Ingyen SMS!
Message:

A sikeres 777sms.hu =E9s az axelero.hu t=E1mogat=E1s=E1val =FAjra
indul az ingyenes sms k=FCld=F5 szolg=E1ltat=E1s! Jelenleg ugyan
korl=E1tozott sz=E1mban, napi 20 ingyen smst lehet felhaszn=E1lni.
K=FCldj te is SMST! Neh=E1ny kattint=E1s =E9s a mell=E9kelt regisztr=E1ci=F3s lap kit=F6lt=E9se ut=E1n azonnal ig=E9nybevehet=F5! B=F5vebb inform=E1ci=F3t a [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] oldalon tal=E1lsz, de siess,
mert az els=F5 ezerfelhaszn=E1l=F3 k=F6z=F6tt =E9rt=E9kes nyerem=E9nyeket sorsolunk ki!
------------------------ axelero.hu ---------------------------
Subject: Importante!
Message: Informacion importante que debes conocer, -
Subject: E-Kort!
Message: Mit hjerte banker for dig!
Subject: Ecard!
Message: De cand te-am cunoscut inima mea are un nou ritm!
Subject: E-vykort!
Message: Till min Alskade...
Subject: E-Postkort!
Message: Vakre roser jeg sammenligner med deg...
Subject: E-postikorti!
Message: Iloista kesaa!
Subject: Atviruka!
Message: Linksmo gimtadieno!
Subject: E-Kartki!
Message: W Dniu imienin...
Subject: Cartoe Virtuais!
Message: Te amo...
Subject: Flashcard fuer Dich!
Message: Hallo!
hat dir eine elektronische Flashcard geschickt.
Um die Flashcard ansehen zu koennen, benutze in deinem Browser
einfach den nun folgenden link:
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
Viel Spass beim Lesen wuenscht Ihnen ihr...
Subject: Er staat een eCard voor u klaar!
Message: Hallo!
heeft u een eCard gestuurd via de website nederlandse
taal in het basisonderwijs...
U kunt de kaart ophalen door de volgende url aan te klikken of te
kopiren in uw browser link:
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
Met vriendelijke groet,
De redactie taalsite primair onderwijs...
Hanka
Subject: Elektronicka pohlednice!
Message: Ahoj!
Elektronick pohlednice ze serveru [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
Subject: E-carte!
Message: vous a envoye une E-carte partir du site zdnet.fr
Vous la trouverez, l''adresse suivante link:
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] , plus de 3500 cartes virtuelles, vos pages web
en 5 minutes, du dialogue en direct...
Subject: Ti e stata inviata una Cartolina Virtuale!
Message: Ciao!
ha visitato il nostro sito, cartolina.it e ha creato una
cartolina virtuale per te! Per vederla devi fare click
sul link sottostante: [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
Attenzione, la cartolina sara visibile sui nostri server per
2 giorni e poi verra rimossa automaticamente.
Subject: You`ve got 1 VoiceMessage!
Message: Dear Customer!
You`ve got 1 VoiceMessage from voicemessage.com website!
Sender:
You can listen your Virtual VoiceMessage at the following link:
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
or by clicking the attached link.
Send VoiceMessage! Try our new virtual VoiceMessage Empire!
Best regards: SNAF.Team (R).
Subject: Tessek mosolyogni!!!
Message: Ha ez a k=E9p sem tud felviditani, akkor feladom!
Sok puszi:
Subject: Soxor Csok!
Szia!
Aranyos vagy, j=F3 volt dumcsizni veled a neten!
Rem=E9lem tetszem, =E9s szeretn=E9m ha te is k=FClden=E9l k=E9pet
magadr=F3l, addig is cs=F3k:
Subject: Don`t worry, be happy!
Message: Hi Honey!
I`m in hurry, but i still love ya...
(as you can see on the picture)
Bye - Bye:
Subject: Check this out kid!!!
Message: Send me back bro, when you`ll be done...(if you know what i mean...)
See ya,

كرم Zafi-B

83.8.30
كرم Zafi-B كرمي است كه لز طريق ايميل در شبكه هاي P2P منتشر مي شود و خودش را در پوشه ويندوز با يك نام تصادفي با پسوندEXE كپي مي كند و مدخل زير را در رجيستري قرار مي دهد تا مطمئن شود كه با اجراي ويندوز خودش نيز اجرا خواهد شد:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run \_Hazafibb= <Windows system folder>\<filename.exe>
شاخه رجيستري زير نيز ايجاد خواهد شد:
HKLM\Software\Microsoft\_Hazafibb\

توصيه ها :
1-به روز كردن آنتي ويروس
2- دريافت Removal از سايت Kaspersky
3-روش پاك سازي به صورت دستي :
ابتدا تمامي داده خود را در سيستم تغيير داده و يك كپي از آنها تهيه كنيد.
پسورد Administrator را دوباره تغيير دهيد و يك نگاهي به مسايل امنيتي شبكه خود بيندازيد.
در taskbar دكمه start را بزنيد و منوي run را اجرا كنيد و در آن Regedit را بنويسيد و دكمه ok را كليك كنيد تا صفحه ويرايشگر رجيستري شما باز شود . فراموش نكنيد كه قبل از دستكاري رجيستري يك نسخه پشتيبان از آن تهيه كنيد .
براي تهيه نسخه پشتيبان از رجيستري خود ؛ در منوي Registry روي گزينه ''''''''''''''''Export Registry File'''''''''''''''' و در پنل ''''''''''''''''Export range'''''''''''''''' گزينه All را انتخاب كرده و سپس دكمه Save را كليك كنيد تا نسخه پشتيبان از رجيستري شما تهيه شود.
حال در مدخل HKEY_LOCAL_MACHINE رجيستري زير مدخلهاي
HKLM\Software\Microsoft\Windows\CurrentVersion\Run \_Hazafibb= <Windows system folder>\<filename.exe>

هر مدخلي كه به فايلي اشاره مي كرد حذف كنيد.
سپس رجيستري خود را ببنديد و دوباره سيستم خود را راه اندازي كنيد.
شرح اضافه :
اين كرم conection هاي اينترنت را براي متصل شدن به سايت هاي google و Microsoft چك مي كند.
Zafi-B آدرسهاي ايميل را با جستجو در فايل هايي با پسوند زير جمع آوري مي كند:
HTM, WAB, TXT, DBX, TBB, ASP, PHP, SHT, ADB, MBX, EML and PMR
سپس آنها را با يك نام تصادفي با پسوند DLL در پوشه ويندوز ذخيره مي كند، سپس خودش را به صورت يك فايل الحاقي به آدرسهايي كه به دست آورده ارسال مي كند .
همچنيني كرم خودش را در پوشه هاي shareشده p2p به يكي از صورتهاي زير كپي مي كند:
''WINAMP 7.0 FULL_INSTALL.EXE'' or
''TOTAL COMMANDER 7.0 FULL_INSTALL.EXE''.
Zafi-A ممكن است پيغام را با يك متن مجارستاني با محتوي زير جابجا كند:
A hajlektalanok elhelyezeset, a bunteto torvenyek szigoritasat, es a HALALBUNTETES MEGSZAVAZASAT koveteljuk a kormanytol, a novekvo bunozes ellen! 2004, jun, Pecs,(SNAF Team).
ترجمه انگليسي آن به صورت زير مي باشد:
We demand that the government accomodates the homeless,
tightens up the penal code and VOTES FOR THE DEATH PENALTY
to cut down the increasing crime. Jun. 2004, Pécs (SNAF Team)
در زير مثال هايي از ايميلي كه كرم مي فرستد وجود دارد:
Subject: Ingyen SMS!
Message:
------------------------ hirdet=E9s -----------------------------
A sikeres 777sms.hu =E9s az axelero.hu t=E1mogat=E1s=E1val =FAjra
indul az ingyenes sms k=FCld=F5 szolg=E1ltat=E1s! Jelenleg ugyan
korl=E1tozott sz=E1mban, napi 20 ingyen smst lehet felhaszn=E1lni.
K=FCldj te is SMST! Neh=E1ny kattint=E1s =E9s a mell=E9kelt regisztr=E1ci=F3s lap kit=F6lt=E9se ut=E1n azonnal ig=E9nybevehet=F5! B=F5vebb inform=E1ci=F3t a [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] oldalon tal=E1lsz, de siess,
mert az els=F5 ezerfelhaszn=E1l=F3 k=F6z=F6tt =E9rt=E9kes nyerem=E9nyeket sorsolunk ki!
------------------------ axelero.hu ---------------------------
Subject: Importante!
Message: Informacion importante que debes conocer, -
Subject: E-Kort!
Message: Mit hjerte banker for dig!
Subject: Ecard!
Message: De cand te-am cunoscut inima mea are un nou ritm!
Subject: E-vykort!
Message: Till min Alskade...
Subject: E-Postkort!
Message: Vakre roser jeg sammenligner med deg...
Subject: E-postikorti!
Message: Iloista kesaa!
Subject: Atviruka!
Message: Linksmo gimtadieno!
Subject: E-Kartki!
Message: W Dniu imienin...
Subject: Cartoe Virtuais!
Message: Te amo...
Subject: Flashcard fuer Dich!
Message: Hallo!
hat dir eine elektronische Flashcard geschickt.
Um die Flashcard ansehen zu koennen, benutze in deinem Browser
einfach den nun folgenden link:
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
Viel Spass beim Lesen wuenscht Ihnen ihr...
Subject: Er staat een eCard voor u klaar!
Message: Hallo!
heeft u een eCard gestuurd via de website nederlandse
taal in het basisonderwijs...
U kunt de kaart ophalen door de volgende url aan te klikken of te
kopiren in uw browser link:
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
Met vriendelijke groet,
De redactie taalsite primair onderwijs...
Hanka
Subject: Elektronicka pohlednice!
Message: Ahoj!
Elektronick pohlednice ze serveru [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
Subject: E-carte!
Message: vous a envoye une E-carte partir du site zdnet.fr
Vous la trouverez, l''adresse suivante link:
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] , plus de 3500 cartes virtuelles, vos pages web
en 5 minutes, du dialogue en direct...
Subject: Ti e stata inviata una Cartolina Virtuale!
Message: Ciao!
ha visitato il nostro sito, cartolina.it e ha creato una
cartolina virtuale per te! Per vederla devi fare click
sul link sottostante: [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
Attenzione, la cartolina sara visibile sui nostri server per
2 giorni e poi verra rimossa automaticamente.
Subject: You`ve got 1 VoiceMessage!
Message: Dear Customer!
You`ve got 1 VoiceMessage from voicemessage.com website!
Sender:
You can listen your Virtual VoiceMessage at the following link:
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
or by clicking the attached link.
Send VoiceMessage! Try our new virtual VoiceMessage Empire!
Best regards: SNAF.Team (R).
Subject: Tessek mosolyogni!!!
Message: Ha ez a k=E9p sem tud felviditani, akkor feladom!
Sok puszi:
Subject: Soxor Csok!
Szia!
Aranyos vagy, j=F3 volt dumcsizni veled a neten!
Rem=E9lem tetszem, =E9s szeretn=E9m ha te is k=FClden=E9l k=E9pet
magadr=F3l, addig is cs=F3k:
Subject: Don`t worry, be happy!
Message: Hi Honey!
I`m in hurry, but i still love ya...
(as you can see on the picture)
Bye - Bye:
Subject: Check this out kid!!!
Message: Send me back bro, when you`ll be done...(if you know what i mean...)
See ya,

تروجان Natas-A

شرح : Natas-A تروجاني است كه سعي مي كند اطلاعات بيش از ظرفيت به conection اينترنت كاربر ارسال كند.
تروجان توانايي اجرا شدن روي ماشينهاي non-US/Canada را ندارد و پيغام خطاي "ActiveX component cannot create object" را مي دهد .
Natas-A به صورت ممتد به يك سرور از پيش تعيين شده logon مي كند . فرستنده تروجان ، تروجاني را در %windows%\plugin\csrss.exe كپي مي كند و مدخل زير را در رجيستري ايجاد مي كند:
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\[random clsid]\
Stubpath = %windows%\plugin\csrss.exe
توصيه ها :
1-به روز كردن آنتي ويروس
2- دريافت Removal از سايت Kaspersky
3-روش پاك سازي به صورت دستي :
ابتدا تمامي داده خود را در سيستم تغيير داده و يك كپي از آنها تهيه كنيد.
پسورد Administrator را دوباره تغيير دهيد و يك نگاهي به مسايل امنيتي شبكه خود بيندازيد.
در taskbar دكمه start را بزنيد و منوي run را اجرا كنيد و در آن Regedit را بنويسيد و دكمه ok را كليك كنيد تا صفحه ويرايشگر رجيستري شما باز شود . فراموش نكنيد كه قبل از دستكاري رجيستري يك نسخه پشتيبان از آن تهيه كنيد .

حال در مدخل HKEY_LOCAL_MACHINE رجيستري زير مدخلهاي
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\[random clsid]\
Stubpath = %windows%\plugin\csrss.exe
هر مدخلي كه به فايلي اشاره مي كرد حذف كنيد.
سپس رجيستري خود را ببنديد و دوباره سيستم خود را راه اندازي كنيد.

كرم Olatsky-A

همكاران :Olatsky-A كرمي است كه از طريق ايميل و با استفاده از عملكرد MAPI در Microsoft Outlook در سيستم هاي ويندوزي منتشر مي شود.
كرم Olatsky-A ممكن است همراه ايميلي با خصوصيات زير ارسال شود:
Subject: "Muahahahaha see that stupid teacher!"
Message body: "Download and open the movie and ROTFL now!"
Attachment: "teachermovie.exe"

Subject: "Microsoft Security Patch"
Message body: "This patch protect your Windows for the Worm MyDoom or Novarg,
download the patch and install it now!"
Attachment: "antisassernetsky.exe"

Subject: "Mail Delivery Status"
Message body: "Your Email Account is corrupt please install the patch now!"
Attachment: "mailaccountpatch.exe"

Subject: "E-mail Address not found!"
Message body: "The e-mail address wasnt'' found, please read the attachment for more information"
Attachment: "readme.exe"

Subject: "Sasser virus bugfix from McAfee"
Message body: "Please scan your computer, the MyDoom worm is very dangerous"
Attachment: "Sasser.exe"

Subject: "Die E-Mail konnte nicht versendet werden"
Message body: "Glauben sie nicht? Schauen sie selbst das angehngte Bild an!"
Die von ihnen angegebene Adresse wurde nicht gefunden,
bitte downloaden sie die Liesmich Datei fr weitere Informationen!"
Attachment: "liesmich.exe"

Subject: "Russische Spionage Satelliten haben sie fotografiert"
Message body: -
Attachment: "satellitenfoto.exe"

Subject: "Wichtige Informationen fr Morgen"
Message body: "Hi ich habe hier noch die Arbeitspl fr Morgen"
Attachment: "arbeit.exe"
پس از انتشار، كرم Olatsky-A خودش را به صورت ايميل به آدرسهايي كه ازدفترچه آدرسهاي Microsoft Outlook به دست آورده ارسال مي كند.
به اين طريق كرم توانايي اين را دارد كه با اجراي ويندوز آن نيز اجرا شود و فولدر زير را درست مي كند.
C:\WINDOWS\All Users\Startmen\Programme\Autostart\systrayw.exe.
بخشي از اين كرم نيز به عنوان يك ثبت كننده كليد عمل مي كند و تمامي كليد هاي فشرده شده توسط كاربر را ثبت مي كند.

توصيه ها :
1-به روز كردن آنتي ويروس
2-نصب اصلاحيه هاي مايكروسافت
3- دريافت Removal از سايت Kaspersky
4-روش پاك سازي به صورت دستي :
ابتدا تمامي داده خود را در سيستم تغيير داده و يك كپي از آنها تهيه كنيد.
پسورد Administrator را دوباره تغيير دهيد و يك نگاهي به مسايل امنيتي شبكه خود بيندازيد.
در فولدر زير فايل مورد نظر را حذف كنيد :
C:\WINDOWS\All Users\Startmen\Programme\Autostart\systrayw.exe.
پرسش هاي خود را در اين زمينه مي توانيد در اينجا مطرح كنيد

تروجان Scob-A

اينو همين الان ديدمش :

Scob-A يك تروجان جاوا اسكريپت مي باشد كه درون فايل هاي HTML گزارش شده است كه اين فايل ها در IIS اجرا مي شود.

اين تروجان يك فايل را از يك سايت روسي دانلود مي كند،اين سايت در حال حاضر در دسترس نمي باشد.

آخرين اخبار از آخرين ويروس ها:
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

به زبان فارسي

دستت درد نکنه امیر جان
نونه مارو آجر کردی .... ایول
:shock: :mrgreen:

کشف دو حفره امنیتی خطرناک در گوگل


متخصصین فني گوگل اعلام كرده اند كه حفره امنيتي در موتور جستجوي گوگل وجود دارد كه گوگل patch آنرا ارائه داده است و مشكل ديگري نيز شناسايي شده است كه patch آن تا آخر هفته منتشر مي شود.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

در موتور جستجوي گوگل اختلالي وجود دارد كه به هكرها اين امكان را مي دهد كه در نتايج جستجوي گوگل تغيير به وجود بياورند و اين امكان وجود دارد ، چون گوگل به سايتهاي ثالثي اجازه استفاده از محتويات جستجوي درون گوگل را مي دهد.

اين حفره به Cracker ها امكان جاسازي كدهاي جاوا اسكريپت را در عوض لينكهاي فايلهاي تصويري مي دهد و اجازه مي دهد آنها نمود و نمايش صفحه نتايج جستجوي گوگل را تغيير دهند و اطلاعات جستجو شده را بدزدند.

Achilles' Heel اختلال ديگري را بوسيله Netcraft پيدا كرد كه امكان تزريق يا داخل كردن محتويات مخرب از قبيل scam ها و يا ديگر اهداف را در وب سايت گوگل به هكرها مي دهد .
patch مربوط به اين مشكل هم تا آخر هفته انجام مي شود.

تروجان Banker-EK

همكاران : Banker-EK يك تروجان دستبرد زننده به اطلاعات مي باشد.اين تروجان كاربر هايي را كه از اينترنت استفاده مي كنند و جزئياتي را از سايت www2.bancobrasil.com.br ثبت مي كنندرا ديده باني مي كند و اطلاعات ثبت شده به آدرس ايميلي در برزيل ارسال مي شود.


توصيه ها :

1-به روز كردن آنتي ويروس

2-نصب اصلاحيه هاي مايكروسافت

3- دريافت Removal از سايت Kaspersky

آسیب‌پذیری تلفن‌های همراه دارای جاوا


۲ آبان ۱۳۸۳
تراشه : محققان لهستانی از وجود دو آسیب‌پذیری در تلفن‌های همراه دارای نسخه جاوا سان مایکروسیستمز خبر دادند که تحت یک شرایط غیرعادی به برنامه‌های بداندیش امکان خواندن اطلاعات و یا از کار انداختن تلفن را می‌دهد.

آدام گودیاک 29 ساله، محقق امنیتی در Poznan Supercomputing and Networking Center که این آسیب‌پذیری را کشف کرد، اعلام کرده است: "بهره‌برداری از این حفره‌ها کار مشکلی است زیرا برنامه‌ها باید برای هر یک از مدل‌های تلفن همراه بطور جداگانه نوشته شود." او کشف کرده است که چگونه می‌توان به موبایل نوکیا 6310i حمله کرد، اما این تلاش 4 ماه زمان برده است.

گودیاک اظهار داشت: "قبل از اینکه بتوان از این آسیب‌پذیری بهره‌برداری کارد، کاربران تلفن همراه می‌بایست یک برنامه بداندیش را دانلود و اجرا کرده باشند."

او اعلام کرد که در ماه آگوست، سان را از این موضوع مطلع کرده است و این شرکت اعلام کرد که برای این مشکل یک وصله امنیتی ظرف 2 هفته آینده ارسال می‌کند.

كرم Ourtime-A

83.8.4

شرح :Ourtime-A كرم مخصوص ويندوز مي باشد كه از طريق فايلهاي share شده شبكه منتشر مي شود.
كرم Ourtime-A داراي يك ماشين ZIP مي باشد كه آرشيوي از فايلهايي با نام به ظاهر درست ايجاد مي كند تا كاربر هاي ديگر p2p را بيابد سپس كرم اين فايل ها را با client هاي Kazzaa, eDonkeyو eMule ، share مي كند.
با اجراي ويندوز كرم نيز به طور خودكار اجرا مي شود و مدخل رجيستري زير را ايجاد مي كند:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run \Poet=C:\WINDOWS\system32\Inf\poet.exe
اندازه فايل هاي درون آرشيو زياد مي باشد تا فايلها براي پر كردن فضا مناسب باشند. كرم پس از اضافه شدن به فايلها فشرده شده كپي هاي خود را روي اينترنت مي فرستد.
عباراتي كه براي نام آرشيو ها استفاده مي شود شامل تيتر هاي زير مي باشد:
games, software hacks/cracks and sexual
توصيه ها :
1-به روز كردن آنتي ويروس
2- دريافت Removal از سايت Kaspersky
3-روش پاك سازي به صورت دستي :
ابتدا تمامي داده خود را در سيستم تغيير داده و يك كپي از آنها تهيه كنيد.
پسورد Administrator را دوباره تغيير دهيد و يك نگاهي به مسايل امنيتي شبكه خود بيندازيد.
در taskbar دكمه start را بزنيد و منوي run را اجرا كنيد و در آن Regedit را بنويسيد و دكمه ok را كليك كنيد تا صفحه ويرايشگر رجيستري شما باز شود . فراموش نكنيد كه قبل از دستكاري رجيستري يك نسخه پشتيبان از آن تهيه كنيد .
براي تهيه نسخه پشتيبان از رجيستري خود ؛ در منوي Registry روي گزينه ''''''''Export Registry File'''''''' و در پنل ''''''''Export range'''''''' گزينه All را انتخاب كرده و سپس دكمه Save را كليك كنيد تا نسخه پشتيبان از رجيستري شما تهيه شود.
حال در مدخل HKEY_LOCAL_MACHINE رجيستري زير مدخلهاي
HKLM\Software\Microsoft\Windows\CurrentVersion\Run \Poet=C:\WINDOWS\system32\Inf\poet.exe
هر مدخلي كه به فايلي اشاره مي كرد حذف كنيد.

تا بعد ....... :wink:

نسخه‌ي جديد كرم Netsky در كره‌ي جنوبي
83.8.4
همكاران : محققان ضد ويروس نسخه‌ي جديدي از كرم Netsky را كشف كرده‌اند كه حاوي متني بوده كه آن را به دانشگاهي در كره‌ي جنوبي متصل مي‌سازد.

Mikko Hypponen، مدير تحقيقات ضد ويروس در شركت اروپايي و ضد ويروس F-Secure گفته است كه اين گونه‌ي اخير كرم Netsky حاوي دو عبارت مخفي با نام‌هاي SoonChunHyang و Bucheon است.

وي همچنين گفته است: «دانشگاهي با نام Soonchunhyang در شهر Bucheon واقع در كره‌ي جنوبي وجود دارد. بنابراين، اين طور حدس مي‌زنيم كه هدف اين نسخه‌ي جديد كرم Netsky، كره‌ي جنوبي است.»

بر طبق اظهارات شركت ضد ويروس Sophos، نسخه‌ي اصلي Netsky توسط Sven Jaschan نوشته شده كه ظاهرا مسئول 70 درصد از تمامي آلودگي‌هاي ناشي از ويروس‌ها در نيمه‌ي نخست سال جاري بوده است.

Jaschan در ماه مه توسط پليس آلمان توقيف و به زندان فرستاده شد. وي اعتراف كرده كه برنامه نويسي هر دو كرم Netsky و Sasser را وي انجام داده بوده است. در طي پنج ماه پيش از دستگيري Jaschan، دست كم بيست و پنج گونه‌ي مختلف از كرم Netsky و يك نسخه از Sasser موجود بوده‌اند.

Jaschan مدت كوتاهي پس از دستگيري، گفته است كه كد منبع كرم Netsky را توزيع كرده و اين كرم قادر بوده است كه به هر تعدادي از افراد امكان دهد تا نسخه‌هاي گوناگوني از اين كرم را توليد كنند.

Hypponen گفته است كه چنانچه كد منبع اين كرم منتشر شده باشد، همه‌ افراد از آن استفاده خواهند كرد. وي همچنين گفته است كه كد منبع Netsky، بسيار فوق العاده بوده زيرا اين كرم در عملكردهاي خود بسيار موفق بوده است.

از زماني كه Jaschan دستگير شده است، دست كم بيست گونه‌ي ديگر از كرم Netsky يافت شده است.

Hypponen عقيده دارد كه تمامي گونه‌هاي اخير Netsky توسط مقلدها (copycats) توليد شده‌اند. وي گفته است از آن جايي كه نويسنده‌ي نسخه‌ي اصلي خانواده‌ي Netsky هم‌اكنون قادر به ادامه‌ي كار خود نيست، به نظر مي‌رسد كه اين نسخه‌هاي اخير

تا بعد ........... :wink:

نقايص امنيتي در مرورگرها، دربر دارنده‌ي خطرات phishing
83.8.5
منبع: مشورت : یك مسئله‌ي امنيتي در ساختمان و شكل رايج و عمومي مرورگرهاي متعددي چون موزيلا، فاير فاكس، اپرا، Konqueror و كارنينو كشف شده است.
اين نقص ياد شده كه توسط شركت تحقيقات امنيتي Secunia يافت شده است، مرورگرهاي داراي tab را كه به كاربران امكان مي‌دهد تا سايت‌هاي چندگانه را مشاهده كنند، مورد هدف قرار داده است. با پيدايش اين آسيب پذيري، يك box مكالمه ممكن است ايجاد شود كه كاربران را به سمت download كردن نرم‌افزار جاسوسي هدايت كرده و يا كامپيوترها در معرض خطر دسترسي غير مجاز به آن‌ها قرار مي‌دهد.
Thomas Kristensen، مدير تكنولوژي شركت Secunia گفته است كه توليد كنندگان در حال بر طرف كردن مشكل موجود در مرورگرهاي آلوده هستند. وي خاطر نشان كرده است كه مسئولان موزيلا در حال آزمايش كردن patch اين مرورگر بوده و ساير سرپرستان به سرعت تلاش مي‌كنند تا نقص موجود را بر طرف سازند.
حفره‌ي Phishing
اگرچه مشكلات امنيتي هميشه به مرورگرها آسيب خواهند رساند، اما از آن جايي كه از بخش‌ها و قسمت‌هاي ديگر تكنولوژي استفاده مي‌كنند، توجه به اين آسيب پذيري به خصوص، داراي اهميت بسياري بوده، زيرا كاربران را در معرض خطر حملات فريب دهنده قرار مي‌دهد.
مشكل اصلي آن است كه اين نقص مي‌تواند براي حملات phishing مورد استفاده قرار گيرد.
شركت Secunia توصيه كرده است كه كاربران وبي كه از مرورگرهاي داراي tab استفاده كرده و متكي به آن‌ها هستند، بايد JavaScript خود را از كار انداخته و يا از بازديد و مشاهده‌ي وب سايت‌هاي غير مطمئن به طور هم‌زمان با مشاهده‌ي سايت‌هاي قابل اطمينان، خودداري فرمايند.
حملات و آسيب رساني‌هايي كه با موفقيت انجام مي‌شوند، نيازمند آن هستند كه كاربران فريب
خورده و لينك‌هايي را كه از سوي وب سايت‌هاي آلوده به سايت‌هاي مورد اطمينان فرستاده مي‌شوند، بر روي tab جديدي باز كنند.
آينده‌ي غير ايمن
علاوه بر نقص موجود در مرورگرهاي داراي tab، شركت Secunia اخيرا دو نقص جديد را در عمومي‌ترين و مورد استفاده‌ترين مرورگر، Internet Explore كشف كرده است.
اين دو آسيب پذيري جديد كه از لحاظ خطرناك بودن در رديف آسيب پذيري‌هاي بسيار خطرناك و بحراني قرار گرفته‌اند، مي‌توانند سيستم كامپيوتر كاربران را در اختيار گرفته، آن‌ها را به منابع عمومي اتصال داده و مسير قابليت‌هاي امنيتي سرويس پك 2 ويندوز XP مايكروسافت را مسدود سازند.
Kristensen گفته است كه متاسفانه، پيدايش اين آسيب پذيري‌هاي جديد بدان معناست كه مشكلات امنيتي به طور مداوم و مكرر در آينده رخ خواهند داد.

تابعد ............ :wink:

تروجان Tinytest-A


83.8.6
Tinytest-A يك تروجان دانلود كننده مي باشد كه طوري برنامه ريزي شده است تا فايلهايي را از مكانهاي دور دانلود كند و آنها را اجرا نمايد.
اين تروجان يك adware executable از webinstall.tscash.com دانلود مي كند و آنرا با نام SysUpd.exe در پوشه ويندوز كپي و اجرا مي كند.
مدخل زير را در رجيستري ايجاد مي كند وسپس فايل SysUpd.exe را روي سيستم اجرا مي كند:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run \SysUpd = %SYSTEM%\SysUpd.exe

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]


توصيه ها :
1-به روز كردن آنتي ويروس
2- دريافت Removal از سايت Kaspersky
3-روش پاك سازي به صورت دستي :
ابتدا تمامي داده خود را در سيستم تغيير داده و يك كپي از آنها تهيه كنيد.
پسورد Administrator را دوباره تغيير دهيد و يك نگاهي به مسايل امنيتي شبكه خود بيندازيد.
در taskbar دكمه start را بزنيد و منوي run را اجرا كنيد و در آن Regedit را بنويسيد و دكمه ok را كليك كنيد تا صفحه ويرايشگر رجيستري شما باز شود . فراموش نكنيد كه قبل از دستكاري رجيستري يك نسخه پشتيبان از آن تهيه كنيد .
حال در مدخل HKEY_LOCAL_MACHINE رجيستري زير مدخلهاي
HKLM\Software\Microsoft\Windows\CurrentVersion\Run \SysUpd = %SYSTEM%\SysUpd.exe
هر مدخلي كه به فايلي اشاره مي كرد حذف كنيد.
سپس رجيستري خود را ببنديد و دوباره سيستم خود را راه اندازي كنيد.

و يروسي براي کاربران eBay

83.8.6
متخصصان مسائل امنيتي از کشف ويروسي خبر دادند که در قالب يک نامه الکترونيک براي کاربران ebay ارسال مي شود.

در اين نامه که ظاهراً از سوي سايت مشهور ebay براي کاربران ارسال مي شود چنين ادعا شده که اين سايت خواستار انجام يک پژوهش در ميان کاربران خود است که شرکت در آن جوايزي را نيز به دنبال دارد.

اين نامه همچنين داراي يک ضميمه آلوده به نام Login.exe است که اجراي آن امکان دسترسي ويروس نويسان به اطلاعات شخصي افراد را فراهم مي آورد.

کارشناسان خطر اين ويروس را بسيار بالا ارزيابي کرده اند.

راهي جديد براي مبارزه با ويروس هاي آن لاين

83.8.8
گروه دانش: محققان پيش بيني كرده اند اگر زمان تأخير پخش ويروس هاي كامپيوتري به كمتر از سه ساعت كاهش پيدا كند، ميزان تأثير ويروس هاي آن لاين به حداقل مي رسد. به گزارش پي سي ورلد، تحقيقات اخير دانشمندان بيانگر آن است كه يك ويروس كامپيوتري براي تأثيرگذاري كافي به بيش از سه ساعت زمان نياز دارد و اگر طراحان برنامه هاي ضد ويروس بتوانند زمان تأخير پخش را به كمتر از سه ساعت برسانند، ميزان تأثير ويروس هاي ايميلي و آن لاين به كمترين مقدار خود خواهد رسيد و چه بسا از بين مي رود.
تاخير زمان پخش ويروس ها هم اكنون ۱۰ ساعت است.
الكس شيب، متخصص فناوري نرم افزارهاي ضد ويروس مي گويد: برنامه هاي خراب كارانه شديداً دچار تحول شده، اما نرم افزارهاي ضدويروس همچنان برپايه الگوهايي استوار است كه ۲۰ سال پيش طراحي شده است.
تحليلگران مركز تحقيقاتي IDC سه ماه قبل طي گزارشي اعلام كردند با توجه به گسترش سريع ويروس هاي پيچيده و مخرب انتظار مي رود سازمان ها به طور فزاينده اي به تكنيك ها و برنامه هاي شناسايي و انهدام ويروس روي بياورند.

تروجان Winshel-D


Winshel-D يك تروجان ايجاد كننده در پشتي است .اين تروجان به پورت 5277TCP گوش مي دهد تا يك ارتباط برقرار شود(البته اي پورت مي تواند طبق دستوراتي كه دريافت مي شود تغيير يابد.مهاجم با يك پسورد صحيح وارد مي شود ("1234") و توانايي اين را دارد كه كامپيوتر را خاموش كند و يا فايلي را در يافت كند يا دستورات سيستمي را اجرا كند.
Winshel-D سعي مي كند يك كپي به روز شده از خودش را دانلود كند و روي Startup اجرا كند.در سيستم هايي كه با ويندوز NT كار مي كنند تروجان خودش را به صورت سرويسي با مشخصات زير ثبت مي كند:

service name: "winshell"
display name: "WinShell Service"
description: "Provide Windows CmdShell Service"
و در ويندوزهاي 98 مدخل هاي زير را به رجيستري اضافه خواهد كرد:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run \Winshell = "<path>"
HKLM\Software\Microsoft\Windows\CurrentVersion\Run Services\Winshell = "<path>"

اين path به پوشه اصلي كه تروجان در آن ذخيره شده است اشاره مي كند.


توصيه ها :
1-به روز كردن آنتي ويروس
2- دريافت Removal از سايت Kaspersky
3-روش پاك سازي به صورت دستي :
ابتدا تمامي داده خود را در سيستم تغيير داده و يك كپي از آنها تهيه كنيد.
پسورد Administrator را دوباره تغيير دهيد و يك نگاهي به مسايل امنيتي شبكه خود بيندازيد.
در taskbar دكمه start را بزنيد و منوي run را اجرا كنيد و در آن Regedit را بنويسيد و دكمه ok را كليك كنيد تا صفحه ويرايشگر رجيستري شما باز شود . فراموش نكنيد كه قبل از دستكاري رجيستري يك نسخه پشتيبان از آن تهيه كنيد .
حال در مدخل HKEY_LOCAL_MACHINE رجيستري زير مدخلهاي
HKLM\Software\Microsoft\Windows\CurrentVersion\Run \Winshell = "<path>"
HKLM\Software\Microsoft\Windows\CurrentVersion\Run Services\Winshell = "<path>"

هر مدخلي كه به فايلي اشاره مي كرد حذف كنيد.
سپس رجيستري خود را ببنديد و دوباره سيستم خود را راه اندازي كنيد.

كرم Krogo-Q

83.8.9
Korogo-Q كرم شبكه و كرمي است كه در سيستم هاي ويندوزي منتشر مي شود.كرم از طريق جستجوي سيستم و يافتن آسيب پذيري LSASS منتشر مي شود.

كرم Korogo-Q براي در يافت دستورات به يك پورت تصادفي گوش مي دهد.كرم IP هاي تصادفي را پيدا مي كند و سعي مي كند از طريق نيرنگ به port 445 روي كامپيوتر قرباني متصل شود .هر كامپيوتري كه آسيب پذيري LSASS داشته باشد به كامپيوتر آلوده متصل شود يك كپي از كرم را دانلود خواهد كرد و سپس با اجراي آن سيستم را آلوده خواهد كرد.

Korgo-Q همچنين به چندين URL ارتباط برقرار مي كند وآنها را از آلوده كردن سيستم قرباني آگاه مي سازد. برخي از اين URL ها سايت هاي آنتي ويروس و بانكهاي الكترونيك مي باشند.

اين كرم همچنين خود را به نامهاي تصادفي و با پسوند MSC در پوشه سيستمي ويندوز كپي مي كند.

همچنين يك فايل DLL را نيز با يك نام تصادفي در پوشه سيستم كپي مي كند.

براي اينكه Korgo-Q فايل DLL را اجرا كند آنها را به عنوان يكي از اشياي مرورگر ويندوز در سيستم ثبت مي كند و مدخل هاي زير را به همين منظور ايجاد مي كند:


HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Exp lorer\
ShellExecuteHooks\(CLSID)

HKLM\SOFTWARE\Classes\CLSID\(CLSID)\InprocServer32 \
(Default) = <path to worm DLL>

كرم همچنين مدخل زير را نيز ايجاد مي كند :



HKLM\SOFTWARE\Microsoft\DataAccess\Database

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

توصيه ها :

1-به روز كردن آنتي ويروس

2- دريافت Removal از سايت Kaspersky

3- اصلاحيه هاي مايكروسافت نيز نصب گردد.

4 -روش پاك سازي به صورت دستي :

ابتدا تمامي داده خود را در سيستم تغيير داده و يك كپي از آنها تهيه كنيد.

پسورد Administrator را دوباره تغيير دهيد و يك نگاهي به مسايل امنيتي شبكه خود بيندازيد.

در taskbar دكمه start را بزنيد و منوي run را اجرا كنيد و در آن Regedit را بنويسيد و دكمه ok را كليك كنيد تا صفحه ويرايشگر رجيستري شما باز شود . فراموش نكنيد كه قبل از دستكاري رجيستري يك نسخه پشتيبان از آن تهيه كنيد .

حال در مدخل HKEY_LOCAL_MACHINE رجيستري زير مدخلهاي

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Exp lorer\
ShellExecuteHooks\(CLSID)

HKLM\SOFTWARE\Classes\CLSID\(CLSID)\InprocServer32 \
(Default) = <path to worm DLL>

حفره امنیتی خطرناک در RealPlayer


[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

83.8.9
سایت امنیتی eEye Digital به آسیب پذيري مهمی در RealPlayer پي برده است كه به هكرها امكان مي دهد مجموعه اي از داده هاي اختياري را با كدهاي اختياري در متن اجرايي كاربران RealPlayer اجرا كنند.

در این نوع آسیب پذیری skin فايل RealPlayer يا (.rjs) مي تواند دانلود شود و بدون اجازه كاربر در سراسر جستجوگر وب به طور اتوماتيك اجرا شود.
skin فايلها مجموعه اي از گرافيك و فايل .ini ذخيره شده باهم در فرمت ZIP مي باشند.DUNZIP32.DLL, كه RealPlayer را در بر مي گيرد در استخراج مندرجات skin فايلها استفاده مي شود. وقتي كه فايل (.rjs) داراي نام فايل طولاني ( بزرگتر از 0x8000 بايت) باشد در RealPlayer و جستجو گر وب باز نمي شود و به توده اي از buffer ها امكان دزديدن برنامه هاي ثبت شده ورودي , خروجي استثنائي را مي دهد.

راه حل و چاره سازي :
RealNetwork براي اين آسيب پذيري patch هايي منتشر كرده است كه از طريق منوی "Check for Update " در زير Tools ، در منو بار RealPlayer و از طریق گزينه " Security Update - Skin File Overflow " قابل دسترسي است و بهتر است كه خود Player نيز آپديت شود.

سيستم هاي تحت تاثير واقع شده RealPlayer 10.5 (6.0.12.1053 and earlier) RealPlayer 10 RealOne Player v2 RealOne Player v1 در ويندوز مايكروسافت میباشند .

تروجان Ariel-A


Ariel-A يك تروجان در پشتي در سيستم هاي ويندوزي است .كرم خودش را در پوشه ويندوز با نام REGCXCOMPFTP.EXE ذخيره مي كند و مدخل زير را در رجيستري ايجاد مي كند تا در هنگام شروع ويندوز تروجان نيز اجرا گردد:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run \Regcxcompftp

HKLM\Software\Microsoft\Windows\CurrentVersion\Run Services\Regcxcompftp

Ariel-A كليد هاي سيستم را ثبت مي كند و در ميان آنها به دنبال پسورد هاي بانك هاي برزيلي مي گردد.

اين تروجان همچنين دستوراتي را از راه دور مي تواند دريافت كند.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

توصيه ها :

1-به روز كردن آنتي ويروس

2- دريافت Removal از سايت Kaspersky

3-روش پاك سازي به صورت دستي :

ابتدا تمامي داده خود را در سيستم تغيير داده و يك كپي از آنها تهيه كنيد.

پسورد Administrator را دوباره تغيير دهيد و يك نگاهي به مسايل امنيتي شبكه خود بيندازيد.

در taskbar دكمه start را بزنيد و منوي run را اجرا كنيد و در آن Regedit را بنويسيد و دكمه ok را كليك كنيد تا صفحه ويرايشگر رجيستري شما باز شود . فراموش نكنيد كه قبل از دستكاري رجيستري يك نسخه پشتيبان از آن تهيه كنيد .

حال در مدخل HKEY_LOCAL_MACHINE رجيستري زير مدخلهاي

HKLM\Software\Microsoft\Windows\CurrentVersion\Run \Regcxcompftp

HKLM\Software\Microsoft\Windows\CurrentVersion\Run Services\Regcxcompftp

هر مدخلي كه به فايلي اشاره مي كرد حذف كنيد.

سپس رجيستري خود را ببنديد و دوباره سيستم خود را راه اندازي كنيد.
در ضمن پسورد هاي سيستم ها را نيز تغيير دهيد و تمامي فايلهاي اشاره شده در پايين را از سيستم خود پاك كنيد.

حمله به گوگل , مايكروسافت و وب سايت نخست وزير مجارستان

83.8.10
در روز چهارشنبه ورژن جديدي از كرم Zafi با نام Zafi.C گزارش شد كه كه برعكس ورژنهاي قبلي Zafi ، كد دار بوده و قصد روانه كردن حمله DDoS در برابر گوگل , مايكروسافت و وب سايت نخست وزير مجارستان را دارد .
اولين نوع ورژن كرم Zafi كه به متن مجارستاني بود و Zafi.A نام داشت در آپريل امسال كشف شد وسعي در فرستادن خودش به آدرس ايميلهاي مجارستان داشت, اما زياد مخرب نبود.
دو ماه بعد Zafi.B منتشر شد واين بار كرم قادر به محدود كردن عملكردهاي آنتي ويروسها و فايروال بود و به زبانهاي زيادي از جمله انگليسي , اسپانيايي , روسي و سوئدي صحبت مي كرد.
Mikko Hyppönen رئيس آنتي ويروس F-Secure مي گويد : كرم Zafi.C خيلي بدتر و وخيم تر از Zafi.B هست و مي تواند مزاحمت هاي زيادي را ايجاد كند, اگر چه از ويراني هاي اين كرم خيلي كم گزارش به ما رسيده است.
Zafi.C بازتاب خبري بزرگي در مجارستان بر پا كرده است .كرم Zafi.C آدرس بوك ويندوز و ايميل آدرسها را آلوده كرده است .
Paul Ducklin, کارشناس ارشد Sophos مي گويد اين ويروس فعلا در سطح پاييني از آلودگي قرار دارد و در استراليا و بيشتر جاها گزارش زیادی از آلودگي نداشته ايم. وي مي افزايد ، قابل توجه است كه ماهانه حدود 1000 ويروس جديد گزارش مي شود كه این یعنی تقريبا هر 45 دقيقه يك ویروس!!
چهار شنبه روز پر مشغله اي براي كمپاني هاي آنتي ويروس بود, آنها نوع جديدي از كرم MyDoom و نوع ديگري از كرم Agobot را نیز كشف كردند كه از سرور Internet Relay Chat (IRC) براي دستيابي هكرها در آلوده كردن سيستمها استفاده مي كنند.
Ducklin اضافه كرد كه اين سیصد و پنجاهمین ورژن Agobot مي باشد.
SuSE از وجود حفره‌ي امنيتي در هسته‌ي لينوكس خبر مي‌دهد .
مشخصات اون رو در چند روز آینده همینجا ببینید .

هك شدن 1000 سايت اينترنتي توسط تيم آشيانه


بنابر ایمیل رسیده از سایت آشیانه ، این تیم شنبه شب حدود 1000 سایت اینترنتی را که از کشورهای مختلفی بودند را هک کرد. توجه شما را به متن ایمیل ارسالی جلب مینمائیم :

با سلام و عرض احترام خدمت مدیران سایت های خبری و IT کشور.
من یکی از مدیران تیم امنیتی آشیانه هستم.

در پروژه جدید، تیم آشیانه شنبه شب مورخ 83/8/9از ساعت 30/8 شب تا 30/1 بامداد حدود 1000 سایت اینترنتی را که از کشورهای مختلفی بودند را هک کرد. این هزار سایت توسط سه تن از اعضای تیم آشیانه یعنی "Behrooz Ice" & "Lucifer" & "Q7X" هک وDeface شد.

رکورد تعداد سایت های هک شده در یک روز با این کار شکسته شد که البته رکورد قبلی یعنی هک 600 سایت نیز در اختیار همین تیم بود.

اینکار فقط بخاطر بی تفاوتی مسئولان این سرور به مقوله امنیت و Security سرور Windows خود و تذکر به آنها انجام شد. هیچ خسارتی به این سرور وارد نشده و اطلاعاتی پاک نشده است، تنها صفحهIndex (اصلی) سایت ها با صفحه هک ما جایگزین شده است.

این کار توسط باگی مربوط به ضعفASP انجام شد و ما توانستیم با دور زدن Permission این سرور به سایت های Host شده بر روی آن دسترسی پیدا کنیم. ما دسترسی کاملی بر روی این سرور داشتیم. به علت زیاد بودن تعداد سایت ها مجبور به نوشتن برنامه ای شدیم که به صورت اتوماتیک عملیات Deface کردن را انجام بدهد.


در این لیست اسم سایت های معروفی همچون سایت توسعه صنعت پارس - سایت اداره کل بازرگانی مازندران - سایت بانک هندوستان - سایت iranmusiccenter.com - سایت horizondiamonds.com - سایت ایران E-Cards و چندین سایت در رابطه با تجارت الماس ... به چشم می خورد.

این سرور یک سرور بزرگ بین المللی در آمریکا بود که از ویندوز 2000 سرور SP 4استفاده می کرد و بر روی آن 1000 سایت از کشورهایی نظیر آمریکا – اسراییل – هند – نیوزلند – پاکستان – امارات – عربستان – ایران – عمان و چند کشور دیگر قرار داشت.

لینکhtml ای که جایگزینindex این سایت ها شده است:

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

لینک لیست کامل سایتهای هک شده:

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

امیدواریم روزی برسد که مدیران سرورها بیشتر به امنیت سرور خود توجه کنند.

ممنون و موفق باشید
گروه امنیتی آشیانه

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

طوفان نسخه هاي جديد كرم Bagle و ارائه ابزار پاکسازی آن


كرم Bagle با سه ورژن جديد و متفاوت براي فریب دادن آنتي ويروسها در رديابي ، با سرعتی زیاد از كما بازگشته است.

سه كمپاني بزرگ آنتي ويروس McAfee, Symantec و Sophos گزارش دادند كه از تعداد زيادي از ورژن هاي جديد Bagle جلوگيري كرده اند و از كاربران خواستند كه حتما آنتي ويروس كامپيوترهايشان را آپديت كنند.
McAfee فقط در روز پنجشنبه حدود 200 بار Bagle.bb را گزارش كرده است اما دونوع ديگر Bagle.bc و Bagle.bd فقط دو بار ديده شده اند.

ورژن هاي جديد تقريبا يكسان هستند اما با كاهش نشانه هاي ويروس براي گول زدن برنامه هاي آنتي ويروس ، متفاوت از نمونه هاي قبليBagle مي باشند .

Sophos نيز اعلام كرد هزاران گزارش از Bagle.bb كه با نام Bagle.au خوانده مي شود داشته است اما دو ورژن جديد ديگر كمترين شدت را داشته اند.ورژن هاي جديد Bagle در ايميلهايي از آدرس منابع جعلي و با موضوعات مبهمي از قبيل Re:Hello, Re: Thank you! و Re: مي آيند.

سیمانتک جهت پاکسازی انواع کرم یاد شده Remover آنرا آپدیت نموده که آخرین نسخه آنرا میتوانید از لینک زیر دریافت نمائید :

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

Bagle چی میگه اصلا .......

نسخه‌هاي جديد كرم Bagle بر روي اينترنت منتشر شده و شركت‌هاي ضد ويروس شروع به هشدار دادن به مشتريان درباره‌ي اين تهديد جديد و روزآمد ساختن نرم‌افزارها براي شناسايي اين كرم‌هاي جديد كرده‌اند.
سه گونه‌ي جديد از كرم Bagle توسط شركت‌هاي ضد ويروس مشاهده شده كه هر كدام مشابه نسخه‌هاي قديمي‌تر اين كرم بوده‌اند كه ابتدا در ماه ژانويه به اينترنت حمله كرده و از طريق فايل‌هاي پيوست آلوده در ايميل‌ها منتشر گشته‌اند.
شركت مكافي، دو مورد از اين كرم‌هاي جديد را از نظر خطرناك بودن در رده‌ي متوسط قرار داده است. ساير فروشندگان ضد ويروس از جمله Symantec و Sophos PLC نيز گزارش‌هايي درباره‌ي جلوگيري از بسياري از نمونه‌هاي اين كرم جديد منتشر و به مشتريان توصيه كرده است كه در اولين فرصت، نرم‌افزارهاي ضد ويروس خود را روزآمد سازند.

تيم پاسخ به فوريت‌هاي ضد ويروس مكافي اولين نمونه‌ي كرم Bagle.bb را كه يكي از گونه‌هاي جديد منتشر شده، شناسايي كرده است. سپس اين شركت در حدود 200 گزارش درباره‌ي اين ويروس دريافت كرده و از انتشار دو مورد ديگر با نام‌هاي Bagle.bc و Bagle.bd جلوگيري كرده است.

شركت مكافي، كرم‌هاي Bagle.bb و Bagle.bd را بر اساس تعداد گزارش‌هاي دريافت شده، از لحاظ خطرناك بودن در رده‌ي متوسط قرار داده است.

گونه‌هاي جديد اين كرم تقريباً با يكديگر يكسان بوده، اما از نسخه‌هاي متفاوت كه با عنوان يك برنامه‌ي بسته‌بند (packer) شناخته مي‌شوند استفاده مي‌كنند تا اندازه‌ي ويروس را تغيير داده و profile جديدي ايجاد كند كه بتواند برخي از برنامه‌هاي ضد ويروس را فريب دهد.

محققان ويروس در شركت Sophos، هزاران گزارش از ويروس Bagle.bb را از سوي مشتريان دريافت كرده‌اند. اين شركت، كرم جديد را Bagle.au ناميده است.

اولين كرم Bagle در تاريخ نوزدهم ژانويه منتشر شده است. از آن زمان تاكنون، بيش از چهل نسخه از اين كرم شناسايي شده‌اند. همانند نخستين كرم، تمامي نسخه‌هاي منتشر شده سيستم‌هاي اجرا كننده‌ي ويندوز مايكروسافت را مورد هدف قرار داده، آدرس‌هاي ايميل را از ماشين‌هاي آلوده جمع آوري مي‌كنند و از پروتوكل انتقال ايميل خود (SMTP) استفاده مي‌كنند تا از اين طريق ايميل‌هاي آلوده به ويروس را به آدرس‌هاي ياد شده ارسال كند.

گونه‌هاي مختلف كرم Bagle از طريق ايميل‌هاي فريبنده و يا آدرس‌هاي منبع ساختگي و با موضوعاتي مبهم و نامشخص مانند "Re:Hello"، "Re:Thank you!" و "Re:Hi" منتشر مي‌شوند.

با وجود تعداد بسيار كپي‌هاي اين ويروس، Sophos گزارش‌هاي اندكي از از سوي مشتريان آلوده شده دريافت كرده است.

Graham Cluley، مشاور عالي رتبه‌ي تكنولوژي در شركت Sophos گفته است: « نرم‌افزارهاي ضد ويروس را مي‌توان روزآمد ساخت، اما مغز و فكر مردم را نمي‌توان patch كرد. كاربران بايد بدانند پيش از باز كردن پيوست ايميل‌ها بر روي كامپيوترهاي خود، كمي تآمل و تفكر كنند