Yeni Virusler: Bilgi & Tanim

[Cadde54]

ROHAN2 WORLD 1-120 TR TİPİ OFFICIAL YOHARA, BALATHOR VE AMON! 80. GÜNÜNDE! +10.000 ONLİNE! HİLE VE BOT %100 ENGELLİ HEMEN TIKLA!

ISIM: NetSky.B
ALIAS: I-Worm.Moodown.B, W32/Netsky.B@mm, Moodown.B



Tanim


Moodown.B (Diger Adi: NetSky.B) solucani ilke kez 18 Subat 2004\'de görüldü. Bu virus Emaillerle birlikte Zip dosyasi olarak gelmekte, ve kendini sistemde ki tum paylasima açik dizin ve sürücülere kopyalamaktadir.

Silme Yöntemi

Linkleri görebilmek için Turkmmo Forumuna ÜYE olmanız gerekmektedir.

Linkleri görebilmek için Turkmmo Forumuna ÜYE olmanız gerekmektedir.

Nasil silinecigi hakkinda bilgi:

Linkleri görebilmek için Turkmmo Forumuna ÜYE olmanız gerekmektedir.

____________________________________________________

Troj/Prorat-D

Tanim
Troj/Prorat-D trojani sisteminize uzaktan erisim saglanmasina neden olur.

Troj/Prorat-D trojani kendi kopyalarini Windows System veya System32 dizinlerine FSERVICE.EXE, FFSERVICE.EXE, DSERVICE.EXE, LSERVICE.EXE, SSERVICE.EXE ve WSERVICE.EXE isimlerinden biri seklinde kaydeder.
Troj/Prorat-D Kendisini çalistirmak için se registry de ekte belirtilen yerlere kendini yerlestirir :

HKLM\Software\Microsoft\Windows\CurrentVersion\Run \
Windows Reg Services = C:\<Windows System>\<DosyaAdi>

HKCU\Software\Microsoft\Windows\CurrentVersion\Run \
Windows Reg Services = C:\<Windows System>\<DosyaAdi>

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\
Shell = Explorer.exe C:\<Windows System>\<DosyaAdi>

HKLM\Software\Microsoft\Windows\CurrentVersion\pol icies\Explorer\Run\
Windows Reg Services = C:\<Windows System>\<DosyaAdi>
DirectX for Microsoft Windows = C:\<Windows System>\<DosyaAdi>

HKLM\Software\Microsoft\Active Setup\Installed Components\
[A75aed00-d7bf-11d1-9947-00c0Cf98bbc9]\
StubPath = C:\<Windows System>\<DosyaAdi>

HKLM\Software\Microsoft\Active Setup\Installed Components\
[5Y99AE78-58TT-11dW-BE53-Y67078979Y]\
StubPath = C:\<Windows System>\<DosyaAdi>

Ayni zamanda

Linkleri görebilmek için Turkmmo Forumuna ÜYE olmanız gerekmektedir.

dosyasinida bilgisayariniza indirir. Bu dosyada kendinisi Windows dizininde WINLOGON.EXE olarak degistirir ve WINKEY.DLL dosyasini kontrolu altina alarak registryde

HKCU\Software\Microsoft DirectX\WinSettings\Troj/Prorat-C is embedded within WINKEY.DLL satirini ekler.

Bununlada yetinmeyerek SYSTEM.INI ve WIN.INI dosyalarinda [boot] ve [windows] bolumlerinde dosya yoluna ait düzenlemeler yapar
Örnek:

Dosya : SYSTEM.INI
Bölüm : boot
Parametre : shell
(Yeni) Deger : EXPLORER.EXE C:\<Windows System>\<DosyaAdi>

Dosya : WIN.INI
Bölüm : windows
Parametre : run
(Yeni) Deger : C:\<Windows System>\<DosyaAdi>



Bunlar gibi bizim bilmedigimiz baska zararlarida olabilir. Korunmak için Virus programlarini update edebilirsiniz.

_______________________________________________

I-Worm.Cult

Bu worm bulaşmış olduğu mail adreslerini ve kazaa nın dosya paylaşım ağını kullanıyor ve üstüne üstlük backdoor bileşenleri içeriyor. Worm .exe uzantılı olup 13kb civarında

Worm kendi çoğaltıp ismini winupdate.exe diye değiştiriyor ve regedit ayarlarını ona gore düzenliyor.


örnek:

HKCUSOFTWAREMicrosoftWindowsCurrentVersionRunOnce
Microsoft auto update = winupdate.exe

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun
Microsoft auto update = winupdate.exe

Bunun yanında kendi için registry key oluşturup bunu içinde saklıyor.


örnek:

HKLMSOFTWAREMicrosoftWDXDriver
stv1=
stv2=
stv3=
stv4=
xdvd=

Gösterdiği sahte uyarı mesajı ise;
Application
Error

The instruction at |0x776456de| referenced memory at |0x623525dg3|. The memory
could not be |read|
Click on OK to terminate the application


Mail dağılımındaki mesaj örneği:

Konu: Hi, I sent you an eCard from BlueMountain.com

Mesaj:

To view your eCard, open the attachment
If you have any comments or questions, please visit

Linkleri görebilmek için Turkmmo Forumuna ÜYE olmanız gerekmektedir.

Thanks for using BlueMountain.com.

Eklenmiş dosya:

BlueMountaineCard.pif

Worm sadece eklenmiş dosya açılırsa bulaşıyor ve kendini sisteme yayıyor.

Kazaa daki dağılma örneği:

Worm kendini windows a Kazaa adlı bir alt klasör diye tanımlayıp kendini kopyalıyor.

Kopyalarının örnek isimler:

"SMS_sender.exe"
"DivX 5.03 Codecs.exe"
"Download accelarator.exe"
"PaintShop Pro 7 Crack_By_Force.exe"
"ZoneAlarm Pro KeyGen.exe"


Bu sahte Kazaa klasörü, Kazaa dosya paylaşımı için açılıyor ve su sayede diğer KAzaa kullanıcılarına
yayılıyor

Backdoor uygulaması

IRC kanalına bağlanıp sahibinden gönderilen bazı komutları dinliyor

örnek komutlar:

- sistem bilgileri hakkında ayrıntılı rapor
- URL den dosya yüklenmesi
- dosya çalıştırma
- gibi ...

______________________________________

TrojanProxy.Win32.Bobax.a

+ bu trojen bulastıgı bilgisayarları bir proxy server gibi kullanıyor
+ Microsoft LSASS acıgını kullanarak yayılıyor.
+ bu torjen Microsoft Visula C++ da yazılmıs olup, bOdy kısmı şifrelenmiştir.
+ Windows altında calısmakta olup, 20480 byte buyukluğundedir.


acıldıgı zaman şifreli bOdy kısmını acar ve kendini gecici klasore (temp)
~xxxx.tmp olarak kopyalar burdaki xxxx rastgele uretilmiş hexadecimal
sayılardan olusur. bu dll torjenin asıl bolumu olup bu dll paketi UPX kullanır
ve boyutu 17920 byte kadardır.

acıldıktan sonra bu dll kendini windows dizinine kopyalar ve rastgele uretilmiş
isimler kullanır. bilgisayar hafızasında 00:24:03:54A9D mutex i yaratır, ve
sistemde hazır durumda bekler. ve registry e otomatik calısan soyle bir anahtar
koyar

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentV ersionRunServices]
"[Rastgele anahtar adı]" = "[dosyayı calıstırmak için gerekli yol]"

anahtar adı rastgele olup, hexadecimaldir.

Trojan netten ;

kendini guncelliyecek bilgileri,
kurban bilgisayara netten her hangi bir program indirim, acmayı,
net yardımı ile Microsoft LSASS acıgı olan diğer bilgisayarlara yayılmayı,
kurban bilgisayardan gereksiz emaillar gondermeyi,
ve son olarak kurban bilgisayar hakkında bilgi edinmeyi sağlar.

_________________________________________

W32/Zafi.b@MM

Belirtileri:

* Güvenlik yazılımlarının çalışmasında problemler
* Ağ trafiği
* Sistem yavaşlaması

Bu virüs/solucan kendisini toplu-eposta atarak yayıyor. Eposta mesajlarını kendi SMTP motorunu kullanarak ve From: adreslerini sahte eposta adreslerinden oluşturarak gönderiyor. Ayrca kendisini yerel sistemde (klasör isminde &#&#`share&#&#` veya &#&#`upload&#&#` geçen) klasörlere kopyalayarak P2P ile de yayılıyor.

Çalıştırıldığında kendisini %windowsklasörü%system32 klasörüne rastgele dosya isimleri ile .EXE ve .DLL uzantıları ile kopyalıyor.

ör:
C:WINNTsystem32jrbtgmqi.exe
C:WINNTsystem32enfrbatm.dll

Makine her açıldığında otomatik olarak çalışabilmesi için registry&#&#`ye aşağıdaki anahtarı ekliyor:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentV ersionRun "_Hazafibb" = %windir%System32jrbtgmqi.exe

Çözüm:
Sisteminizde virüs olduğundan şüpheleniyorsanız NAI firmasının ücretsiz aracı Stinger ile sisteminizi taratabilirsiniz.
Antivirüs yazılımı kullanıcıları en son virüs veritabanına güncellemeli ve sistemlerini taratmalılar.

_____________________________________________

W32/Bagle.ad@MM (Orta Risk)


W32/Bagle.ad@MM önceki Bagle varyantları gibi bulaştığı bilgisayarda bir arkakapı açarak uzaktan erişilebilmesini sağlıyor. Virüs kendisini topladığı eposta adreslerine göndererek ve Kazaa, Bearshare ve Limewire gibi popüler dosya-paylaşımı uygulamaları ile yayıyor. Ayrıca bulaştığı makinadaki Antivirüs ve güvenlik duvarı yazılımlarını kapatmaya çalışıyor.

Not: Sizden virüslü eposta geldiğine dair uyarı aldığınızda bu size virüs bulaştığı anlamına gelmiyor -- virüs genelde gönderen adresini (from) topladığı eposta adreslerinden oluşturuyor.

örnek :

Gönderen (FROM): değişiyor (spoof ediliyor).
Konu (SUBJECT): değişiyor (örnekler : Re: Msg reply, Re: Hello, Re: Yahoo!)
Mesaj (BODY): Çeşitli metodlar ile oluşturuyor.
Ek dosya (ATTACHMENT): Değişiyor. Şifrenin mesaj gövdesinde belirtildiği şifre korumalı bir zip dosyası olabiliyor. Örneğin:
Information, Details, text_document

Sonuç :

Bilgisayarınız 1234 nolu TCP portunu dinler. Yukarıda belirtilen özelliklere sahip gönderilen epostalar. Registry`de değişiklikler. Detaylar için aşağıdaki bağlantıya tıklayın.

____________________________________________

W32/Forbot-K

Virüsün ismi : W32/Forbot-K

Bulaştığı sistemler : Network(ağlar) Web&#&#`den download,Chat programlari.

Bulaştığı İşletim Sistemi : Windows (XP&#&#`ye de bulaşıyor)

İlk görüldüğü zaman : 25 August 2004 08:03:50 (GMT)

Bilgi : Bu Virüsün ayni isim ve uzantıda daha öncede yayılmı$tır. Bir Çok Network`a bula$mı$tır. Trojan yaymaktadır.

________________________________________________

Virüsün ismi : W32/Rbot-HE

Diğer ismi : Backdoor.Rbot.gen

Yayılması : Network sistemler

Çalıştığı sistem : Windows

Yan Etkileri : =>> İnternet&#&#`den yaptığınız download&#&#`larda bilgisayarınıza zararlı code&#&#`ler
indiriyor ve siz farkında olmuyorsunuz.

=>> W32/Rbot-HE IRC &#&#`deki acıkları bulup sizin network sisteminize bula$abiliyor.
Bilgisayarınızın sistem dosyalarına zararlı code&#&#`ler (kodlar) bula$tırıyor.

=>> sisteminizin güvenlik seviyesini düşürür.

İlk Görüldüğü Zaman : 25 August 2004 20:24:44

Yayılması Seviyesi : Normal

___________________________________________

Virüsün ismi : W32/Forbot-E

Diğer ismi : WORM_SDBOT.SR Backdoor.Win32.Agent.cf

Yayılması : Network sistemler

Çalıştığı sistem : Windows

İlk görüldüğü zaman : 26 August 2004 05:32:11

Etkileri : =>> Internet&#&#`den download yaptığınız zaman bilgisayarınızda arka kapılar acar
böylelikle daha çabuk yayılır.

=>> Kendini registry&#&#`e kaydeder.

=>> Sisteminizin yava$lamasına neden olur.

=>> Sisteminizin güvenliğini azaltır.

________________________________________

Trojanın ismi : Troj/Agent-BX

Diğer(takma) ismi : BackDoor.Agent.bx

Çalıştığı sistem : Windows

İlk görüldüğü zaman : 26 August 2004 09:21:07

Etkileri :
=>> Bilgisayarınızda açıklar yaratır.
=>> Bilgisayarınızdaki verileri deği$tirir.
=>> Bilgisayarınızdaki bilgileri çalar.
=>> Bilgisayarınıza uyumsuz veriler ekler.
=>> Kendini registry&#&#`e kaydeder.
=>> Sisteminizin güvenliği azaltır.

Yayılma Seviyesi :Aktif - Normal

__________________________________________

Virüsün ismi : W32/Sdbot-OC

Diğer(takma) ismi : Worm.Win32.Donk.d WORM_SDBOT.SE

Yayıldığı sistem : Network

Çalıştığı sistem : Windows

İlk görüldüğü zaman : 26 Ağustos 2004 15:00:44

Etkileri :
=>> Bilgisayarınızdaki Anti-Virüs programının çalı$masını engeller,kapatır.

=>> Bilgisayarınızda kendini çoğaltır ve açık kapılar yaratır.

=>> Arama motorlarını kullanarak E-mail ile kendini çoğaltır.

=>> Internet&#&#`den download ederek bilgisayarınıza zararlı kod(code)`ler indirir.

=>> Kendini Registry&#&#`e kaydeder.

=>> Sisteminizin güvenliğini azaltır.

Risk seviyesi : Aktif - Normal

________________________________________

ŞİMDİLİK BU KADARDIR.YENİ VİRÜSLER GELDİKCE EKLENECEKTİR.

Bazıları Alıntıdır.
​

 

[DeathWoLKeR]

Teşekkürler.

 

[critus]

böyle worms(solucan)'lar çok zararlı. teşekkürler konu ibretlik.

 

[Cadde54]

Önemli Değil