|
Yeni Virusler: Bilgi & Tanim
S.A
Arkadaslar Bu bölümde bundan sonra yeni çikan virusler hakkinda bilgi verecegiz. Sisteme nasil sizarlar, Zararlari nelerdir, En önemlisi Nasil Silinirler. Forum düzenini saglamak için lütfen bu kurala uyalim! Saygilar! elimdekileri sizle paylaşayım |
ISIM: NetSky.B
ALIAS: I-Worm.Moodown.B, W32/Netsky.B@mm, Moodown.B Tanim Moodown.B (Diger Adi: NetSky.B) solucani ilke kez 18 Subat 2004\'de görüldü. Bu virus Emaillerle birlikte Zip dosyasi olarak gelmekte, ve kendini sistemde ki tum paylasima açik dizin ve sürücülere kopyalamaktadir. Silme Yöntemi Nasil silinecigi hakkinda bilgi: |
Yaygin olarak kullanilan Anti-Virüs Programlari:
Norton Anti-virüs McAfee Antivirüs AVP Panda Anti-virüs Titanium F-prot Anti-virüs programlari hakkinda bilgi edinebileceginiz siteler: |
Troj/Prorat-D
Tanim Troj/Prorat-D trojani sisteminize uzaktan erisim saglanmasina neden olur. Troj/Prorat-D trojani kendi kopyalarini Windows System veya System32 dizinlerine FSERVICE.EXE, FFSERVICE.EXE, DSERVICE.EXE, LSERVICE.EXE, SSERVICE.EXE ve WSERVICE.EXE isimlerinden biri seklinde kaydeder. Troj/Prorat-D Kendisini çalistirmak için se registry de ekte belirtilen yerlere kendini yerlestirir : HKLM\Software\Microsoft\Windows\CurrentVersion\Run \ Windows Reg Services = C:\<Windows System>\<DosyaAdi> HKCU\Software\Microsoft\Windows\CurrentVersion\Run \ Windows Reg Services = C:\<Windows System>\<DosyaAdi> HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\ Shell = Explorer.exe C:\<Windows System>\<DosyaAdi> HKLM\Software\Microsoft\Windows\CurrentVersion\pol icies\Explorer\Run\ Windows Reg Services = C:\<Windows System>\<DosyaAdi> DirectX for Microsoft Windows = C:\<Windows System>\<DosyaAdi> HKLM\Software\Microsoft\Active Setup\Installed Components\ [A75aed00-d7bf-11d1-9947-00c0Cf98bbc9]\ StubPath = C:\<Windows System>\<DosyaAdi> HKLM\Software\Microsoft\Active Setup\Installed Components\ [5Y99AE78-58TT-11dW-BE53-Y67078979Y]\ StubPath = C:\<Windows System>\<DosyaAdi> Ayni zamanda dosyasinida bilgisayariniza indirir. Bu dosyada kendinisi Windows dizininde WINLOGON.EXE olarak degistirir ve WINKEY.DLL dosyasini kontrolu altina alarak registryde HKCU\Software\Microsoft DirectX\WinSettings\Troj/Prorat-C is embedded within WINKEY.DLL satirini ekler. Bununlada yetinmeyerek SYSTEM.INI ve WIN.INI dosyalarinda [boot] ve [windows] bolumlerinde dosya yoluna ait düzenlemeler yapar Örnek: Dosya : SYSTEM.INI Bölüm : boot Parametre : shell (Yeni) Deger : EXPLORER.EXE C:\<Windows System>\<DosyaAdi> Dosya : WIN.INI Bölüm : windows Parametre : run (Yeni) Deger : C:\<Windows System>\<DosyaAdi> Bunlar gibi bizim bilmedigimiz baska zararlarida olabilir. Korunmak için Virus programlarini update edebilirsiniz. Saygilar! |
Witty virüsü ISS ürünlerindeki ICQ parse açığını kullanıyor.
Virüs kendisini UDP port 4000 kaynak portundan rastgele bir hedef porta gidecek şekilde IP adreslerine gönderiyor. Virüs sadece hafızada duruyor, etkilenen bilgisayarda dosyalar yaratmıyor fakat sabit disklerde rastgele sektörlerin üzerine yazıyor. Bunun sonucunda da sistem düzgün çalışamıyor ve reboot işleminde mavi ekran\'a (BSoD) yol açabiliyor. Kaynakça: Etkilenen Sistemler Etkilenenler: BlackICE™ Agent for Server 3.6 ebz, ecd, ece, ecf BlackICE PC Protection 3.6 cbz, ccd, ccf BlackICE Server Protection 3.6 cbz, ccd, ccf RealSecure® Network 7.0, XPU 22.4 ve 22.10 RealSecure Server Sensor 7.0 XPU 22.4 ve 22.10 RealSecure Desktop 7.0 ebf, ebj, ebk, ebl RealSecure Desktop 3.6 ebz, ecd, ece, ecf RealSecure Guard 3.6 ebz, ecd, ece, ecf RealSecure Sentry 3.6 ebz, ecd, ece, ecf |
I-Worm.Cult
Bu worm bulaşmış olduğu mail adreslerini ve kazaa nın dosya paylaşım ağını kullanıyor ve üstüne üstlük backdoor bileşenleri içeriyor. Worm .exe uzantılı olup 13kb civarında Worm kendi çoğaltıp ismini winupdate.exe diye değiştiriyor ve regedit ayarlarını ona gore düzenliyor. örnek: HKCUSOFTWAREMicrosoftWindowsCurrentVersionRunOnce Microsoft auto update = winupdate.exe HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun Microsoft auto update = winupdate.exe Bunun yanında kendi için registry key oluşturup bunu içinde saklıyor. örnek: HKLMSOFTWAREMicrosoftWDXDriver stv1= stv2= stv3= stv4= xdvd= Gösterdiği sahte uyarı mesajı ise; Application Error The instruction at |0x776456de| referenced memory at |0x623525dg3|. The memory could not be |read| Click on OK to terminate the application Mail dağılımındaki mesaj örneği: Konu: Hi, I sent you an eCard from BlueMountain.com Mesaj: To view your eCard, open the attachment If you have any comments or questions, please visit Thanks for using BlueMountain.com. Eklenmiş dosya: BlueMountaineCard.pif Worm sadece eklenmiş dosya açılırsa bulaşıyor ve kendini sisteme yayıyor. Kazaa daki dağılma örneği: Worm kendini windows a Kazaa adlı bir alt klasör diye tanımlayıp kendini kopyalıyor. Kopyalarının örnek isimler: "SMS_sender.exe" "DivX 5.03 Codecs.exe" "Download accelarator.exe" "PaintShop Pro 7 Crack_By_Force.exe" "ZoneAlarm Pro KeyGen.exe" Bu sahte Kazaa klasörü, Kazaa dosya paylaşımı için açılıyor ve su sayede diğer KAzaa kullanıcılarına yayılıyor Backdoor uygulaması IRC kanalına bağlanıp sahibinden gönderilen bazı komutları dinliyor örnek komutlar: - sistem bilgileri hakkında ayrıntılı rapor - URL den dosya yüklenmesi - dosya çalıştırma - gibi ... |
Yeni Posta Kurdu: Netsky.V
Sophos’un antivirüs uzmanları Windows işletim sistemi kullanıcılarının en yeni güvenlik güncellemelerini yüklemeleri konusunda uyarıyor. Bu uyarının nedeni ise yayılmak için Internet Explorer’daki bir güvenlik açığını kullanan “Netsky.V” ismindeki yeni posta kurdu. Netsky, daha önceki versiyonlarından farklı olarak bir e-postadaki dosya eklentisinde yayılmıyor. Zararlı bunun yerine kurt kodunu, daha önceden bulaştığı başka bir bilgisayardan yüklemeye çalışıyor. Sophos’un antivirüs uzmanları Windows işletim sistemi kullanıcılarının en yeni güvenlik güncellemelerini yüklemeleri konusunda uyarıyor. Bu uyarının nedeni ise yayılmak için Internet Explorer’daki bir güvenlik açığını kullanan “Netsky.V” ismindeki yeni posta kurdu. Netsky, daha önceki versiyonlarından farklı olarak bir e-postadaki dosya eklentisinde yayılmıyor. Zararlı bunun yerine kurt kodunu, daha önceden bulaştığı başka bir bilgisayardan yüklemeye çalışıyor. Bunun için de üreticinin geçtiğimiz Ekim ayında yayınladığı bir yama ile kapattığı Microsoft browserındaki bir güvenlik açığını kullanıyor. Kurt, yayılmak için bulaştığı bilgisayardaki posta adreslerini arıyor ve posta göndermek için de kendi SMTP motorunu kullanıyor. Sophos’un açıklamalarına göre virüslü e-postalar “Converting message. Please wait” veya “Please wait while loading failed message” gibi metinler içeriyor. Ayrıca bu zararlı, bulaştığı bilgisayarları kullanarak 22 ile 29 Nisan tarihleri arasında çeşitli paylaşım aracı istemcisi sunucularına saldırı yapacak. Özellikle , ve adresleri, çok sayıda sorgu gönderilerek yani “distributed Denial of Service” saldırısı ile çökertilmeye çalışılacak. |
Backdoor.Mosuck
Bu Backdoor’u tamamen silmek icin symantec tarafindan bir Tool gelistirilmistir. Backdoor zararlarini hepimiz biliyoruz. Burda anlatmaya gerek yok. Tool burdaki linktedir. |
Dikkat Yeni Virüs: W32/Bagle.z@MM
Virüs Belirtileri: Makinede TCP port 2535’in açılması/dinlenmesi. Makinadan sahte gönderen adresine sahip (virüsün şifre korumalı zip dosya içerisinde ek dosya olarak bulunduğu) epostaların gönderilmesi Registry’de Run anahtarında drvsys.exe’nin varlığı Risk Seviyesi: Orta Makinadan sahte gönderen adresine sahip (virüsün şifre korumalı zip dosya içerisinde ek dosya olarak bulunduğu) epostaların gönderilmesi Registry’de Run anahtarında drvsys.exe’nin varlığı Diğer isimleri: WORM_BAGLE.X (Trend Micro) Etkilediği sistemler: Windows 95, 98, ME, NT, 2000 ve XP Virüs Belirtileri: Makinede TCP port 2535’in açılması/dinlenmesi. Makinadan sahte gönderen adresine sahip (virüsün şifre korumalı zip dosya içerisinde ek dosya olarak bulunduğu) epostaların gönderilmesi Registry’de Run anahtarında drvsys.exe’nin varlığı Risk Seviyesi: Orta Makinadan sahte gönderen adresine sahip (virüsün şifre korumalı zip dosya içerisinde ek dosya olarak bulunduğu) epostaların gönderilmesi Registry’de Run anahtarında drvsys.exe’nin varlığı Diğer isimleri: WORM_BAGLE.X (Trend Micro) Etkilediği sistemler: Windows 95, 98, ME, NT, 2000 ve XP Bu toplu eposta atma solucanı (worm) aşağıdaki karakteristiklere sahip: * Mesajları göndermede kendi SMTP motorunu kullanıyor * Bulaştığı makinadan eposta adreslerini topluyor * Sahte From: (Gönderen) adresi oluşturuyor * Ek dosya şifreli bir zip dosyası olabiliyor (Şifre mesajın gövdesinde bulunuyor) * Uzaktan erişim bileşeni içeriyor (Virüs yazarını otomatik haberdar ediyor) * Kendi kopyalarını içinde shar kelimesi içeren klasörlere kopyalıyor (bazı genel peer-to-peer dosya paylaşım yazılımları bu tip klasörler kullanıyor. ör: KaZaa, Bearshare, Limewire) Çözüm: Virüsün sisteminize bulaştığından şüpheleniyorsanız ve sisteminizde bir antivirüs yazılımı yüklü değilse Network Associates’in color=#0000ffStinger aracını indirirek sisteminizi tarayabilirsiniz. Veya Trend Micro’nun ücretsiz online antivirüs tarama/temizleme aracı HouseCall’u kullanabilirsiniz: color=#0000ffhttp://housecall.trendmicro.com/housecall/start_corp.asp Antivirüs yazılımı kullananlar güncelleme yaptıktan sonra sistemlerini tarayabilirler. |
W32/Sasser.worm (Yüksek Risk)
Bu kendini yayan virüs Microsoft’un LSASS güvenlik açığını ( MS04-011) kullanıyor. Solucan avserve.exe dosyası ile yayılıyor. Diğer worm’ların (solucan) aksine eposta ile yayılmıyor. Makineye bulaşması için kullanıcı müdahelesi gerektirmiyor. Solucan etkilenen sistemlerin virüslü kodu indirerek çalıştırmasını sağlıyor. Semptomları: Virüs kendisini Windows klasörüne avserve.exe olarak kopyalıyor ve açılışta kendisinin otomatik olarak çalıştırılması için aşağıdaki registry anahtarını yaratıyor: HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows CurrentVersionRun "avserve.exe" = C:WINDOWSavserve.exe Solucan açık için rastgele IP adreslerini tarıyor. TCP port 5554’de FTP sunucusu olarak çalışıyor ve TCP port 9996’da remote shell açıyor. C sürücüsünün kök dizininde win.log isminde bir dosya yaratıyor. Bu dosya yerel makinenin IP adreslerini içeriyor. Virüsün kopyaları Windows System klasöründe #_up.exe olarak yaratılıyorlar. örnek: c:WINDOWSsystem3211583_up.exe c:WINDOWSsystem3216913_up.exe c:WINDOWSsystem3229739_up.exe Solucanın yan etkilerinden biri LSASS.EXE’nin çökmesi ve sonucunda makinenin reboot etmesi. Diğer İsimleri: W32.Sasser.Worm (Symantec) W32/Sasser.A (F-Secure) Çözüm: Microsoft Güvenlik Bülteni MS04-011’de belirtilen yamalar geçilmeli: Antivirüs yazılımları güncellenmeli. Antivirüs yazılımına sahip olmayanlar NAI firmasının Stinger aracını indirerek sistemlerini tarayabilirler ya da Trend Micro’nun ücretsiz online virüs tarama sayfasından sistemlerini tarayabilirler. Manuel korunma için ağ sınırlarında TCP portları 139, 445, 5554 ve 9996 bloklanmalı. Kaynakça: |
Sasser’ın izinden Dabber
İnternetten yayılan Sasser virüsündeki bir açıktan istifade eden yeni bir internet virüsü ortaya çıktı. Dabber adı verilen virüs, Sasser’daki FTP sunucusundaki bir açığı kullanarak Sasser’dan sonra binlerce bilgisayara bulaştı. Uzmanlar, Dabber’ın bir başka virüsün açığını kullanarak yayılan ilk virüs olduğunu belirtiyorlar. Chicago merkezli güvenlik şirketi LURHQ, Dabber’ın Sasser ile beraber yayıldığını bildirdi. Dabber bilgisayara bulaştığında, önce Sasser’i devre dışı bırakıyor, Windows’a kendini yüklüyor ve ‘arkakapı’ açıyor. kaynakça : |
TrojanProxy.Win32.Bobax.a
+ bu trojen bulastıgı bilgisayarları bir proxy server gibi kullanıyor + Microsoft LSASS acıgını kullanarak yayılıyor. + bu torjen Microsoft Visula C++ da yazılmıs olup, bOdy kısmı şifrelenmiştir. + Windows altında calısmakta olup, 20480 byte buyukluğundedir. acıldıgı zaman şifreli bOdy kısmını acar ve kendini gecici klasore (temp) ~xxxx.tmp olarak kopyalar burdaki xxxx rastgele uretilmiş hexadecimal sayılardan olusur. bu dll torjenin asıl bolumu olup bu dll paketi UPX kullanır ve boyutu 17920 byte kadardır. acıldıktan sonra bu dll kendini windows dizinine kopyalar ve rastgele uretilmiş isimler kullanır. bilgisayar hafızasında 00:24:03:54A9D mutex i yaratır, ve sistemde hazır durumda bekler. ve registry e otomatik calısan soyle bir anahtar koyar [HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentV ersionRunServices] "[Rastgele anahtar adı]" = "[dosyayı calıstırmak için gerekli yol]" anahtar adı rastgele olup, hexadecimaldir. Trojan netten ; kendini guncelliyecek bilgileri, kurban bilgisayara netten her hangi bir program indirim, acmayı, net yardımı ile Microsoft LSASS acıgı olan diğer bilgisayarlara yayılmayı, kurban bilgisayardan gereksiz emaillar gondermeyi, ve son olarak kurban bilgisayar hakkında bilgi edinmeyi sağlar. |
Plexus.a Worm u hakkında
MS Visual C++ da Mydoom un yeniden geliştirilmiş hali olan bu worm (FSG ile sıkıstırılmıs hali 16208 byte yada 57856) 3 farklı yol ile yayılıyor, birincisi emailların yanında ataclanmıs olarak, diğeri dosya paylaşımı bulunan ağlarda sonuncu olarakta LSASS ve RPC DCOM acıgını kullarak (aynı Sasser ve Lovesan da oldugu gibi) ve ana kodları encrypted edilmiştir. Plexus bir kez acıldıktan sonra kendini Windows/System32 e upu.exe, ve regadit e de [HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentV ersionRun] "NvClipRsv"=[acılacak dosya yolu] olarak kopyalar ve yazar.Ve kendini sisteme tanıtmak için ’expletus’ adında bir tanıtıcı kullanır. Örnekler ++ Yerel ağ ve dosya paylaşımı bulunan ağlarda AVP5.xcrack.exe hx00def.exe ICQBomber.exe InternetOptimizer1.05b.exe Shrek_2.exe UnNukeit9xNTICQ04noimageCrk.exe YahooDBMails.exe Kendini bu isimlerle ağ uzerinde ulasım izni olan yerlere kopyalar ++ MS Windows ve LSASS acıklarında Bunu anlatmaya gerek yok cunku MS Windows bunun patch ini çıkarttı. Bu worm Mydoom un geliştirilmişi oldugu için burdan yayılması soz konusu değil ++ Email eklentileri halinde Bu uzantılı lokal disk içinde arar htm, html, php, tbb, txt Ve bu dosyalarda bulunan tum email adreslerine kendi kopyasını gonderir. Worm un bulastıgı mail su sablonları içerebilir; *** Olasılık 1 Mesaj baslıgı RE: order Mesaj icerigi Hi. Here is the archive with those information, you asked me. And don’t forget, it is strongly confidencial!!! Seya, man. P.S. Don’t forget my fee Eklenmiş dosya SecUNCE.exe *** Olasılık 2 Mesaj baslıgı For you Mesaj icerigi Hi, my darling Look at my new screensaver. I hope you will enjoy... Your Liza Eklenmiş dosya AtlantI.exe *** Olasılık 3 Mesaj baslıgı Hi, Mike Mesaj icerigi My friend gave me this account generator for I wanna share it with you And please do not distribute it. It’s private. Eklenmiş dosya Agen1.03.exe *** Olasılık 4 Mesaj baslıgı Good offer Mesaj icerigi Greets! I offer you full base of accounts with passwords of mail server yahoo.com. Here is archive with small part of it. You can see that all information is real. If you want to buy full base, please reply me... Eklenmiş dosya demo.exe *** Olasılık 5 Mesaj baslıgı RE: Mesaj icerigi Hi, Nick. In this archive you can find all those things, you asked me. See you. Steve Eklenmiş dosya release.exe ++ Trojan olarak özelliği 1250 nollu portu virus yazarına acarak, sahibine dosya yukleme yada acma hakkı saglar. kaynakca : |
W32/Zafi.b@MM
Belirtileri: * Güvenlik yazılımlarının çalışmasında problemler * Ağ trafiği * Sistem yavaşlaması Bu virüs/solucan kendisini toplu-eposta atarak yayıyor. Eposta mesajlarını kendi SMTP motorunu kullanarak ve From: adreslerini sahte eposta adreslerinden oluşturarak gönderiyor. Ayrca kendisini yerel sistemde (klasör isminde ’share’ veya ’upload’ geçen) klasörlere kopyalayarak P2P ile de yayılıyor. Çalıştırıldığında kendisini %windowsklasörü%system32 klasörüne rastgele dosya isimleri ile .EXE ve .DLL uzantıları ile kopyalıyor. ör: C:WINNTsystem32jrbtgmqi.exe C:WINNTsystem32enfrbatm.dll Makine her açıldığında otomatik olarak çalışabilmesi için registry’ye aşağıdaki anahtarı ekliyor: HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentV ersionRun "_Hazafibb" = %windir%System32jrbtgmqi.exe Çözüm: Sisteminizde virüs olduğundan şüpheleniyorsanız NAI firmasının ücretsiz aracı Stinger ile sisteminizi taratabilirsiniz. Antivirüs yazılımı kullanıcıları en son virüs veritabanına güncellemeli ve sistemlerini taratmalılar. kaynakca: |
Mydoom virüsüne önlem alın
Symantec, en tehlikeli virüslerin kategorisini 5 olarak değerlendirildiği sıralamada 4. kategori olarak nitelenen W32.Mydoom.M@mm virüsünün, 26 Temmuz’da yayılmaya başladığını açıkladı. Etkilediği sistemlerdeki tüm e-posta adreslerine kendini gönderen virüsün bat, .cmd, .com, .exe, .pif, .scr, or .zip uzantılı bir de eki bulunuyor. Aynı mesajın içinde .doc, .txt, .htm, or .html uzantılı ikinci bir dosya da bulunabiliyor. Virüs etkilendiği sistemlerde arka kapılar açarak sistemlerin hacker saldırılarına açık hale getiriyor. Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP sistemlerinde etkili olan bu solucan, Symantec’in Worm Blocking fonksiyonuna sahip ürünleri kullanan kullanıcıları etkilemiyor. web sitesinden indirilecek virüs temizleme aracıyla bu virüsten etkilenen kullanıcılar sistemlerini temizleyebilirler. kaynak: |
W32/Bagle.ad@MM (Orta Risk)
W32/Bagle.ad@MM önceki Bagle varyantları gibi bulaştığı bilgisayarda bir arkakapı açarak uzaktan erişilebilmesini sağlıyor. Virüs kendisini topladığı eposta adreslerine göndererek ve Kazaa, Bearshare ve Limewire gibi popüler dosya-paylaşımı uygulamaları ile yayıyor. Ayrıca bulaştığı makinadaki Antivirüs ve güvenlik duvarı yazılımlarını kapatmaya çalışıyor. Not: Sizden virüslü eposta geldiğine dair uyarı aldığınızda bu size virüs bulaştığı anlamına gelmiyor -- virüs genelde gönderen adresini (from) topladığı eposta adreslerinden oluşturuyor. örnek : Gönderen (FROM): değişiyor (spoof ediliyor). Konu (SUBJECT): değişiyor (örnekler : Re: Msg reply, Re: Hello, Re: Yahoo!) Mesaj (BODY): Çeşitli metodlar ile oluşturuyor. Ek dosya (ATTACHMENT): Değişiyor. Şifrenin mesaj gövdesinde belirtildiği şifre korumalı bir zip dosyası olabiliyor. Örneğin: Information, Details, text_document Sonuç : Bilgisayarınız 1234 nolu TCP portunu dinler. Yukarıda belirtilen özelliklere sahip gönderilen epostalar. Registry’de değişiklikler. Detaylar için aşağıdaki bağlantıya tıklayın. |
VİRÜS SÖZLÜĞÜ
· Dosyaya Bulaşan Virüsler: Bu virüsler .COM ve .EXE uzantılı dasyaların kaynak koduna kendilerinin de bir kopyasını eklerler.Bazı durumlarda .SYS, .DRV, .BIN, .OVL ve .OVY uzantılı dosyalara bulaşırlar.Bazen bellekteki virüs bulaşmak için dosyanın açılmasını beklemez,sadece açıldığı zaman örneğin DOS’ta DIR çekildiği zaman hepsine bulaşır.Dosyaya bulaşan virüslerin çoğu EXE dosyanın başlangıç kodunu alır ve dosya içinde başka bir yere yazar.Dosya çalıştırıldığında önce virüs harekete geçer,başlangıç kodunu çalıştırır ve sanki herşey yolunda gidiyormuş gibi görünür.Bazıları .exe uzantılı dosya ile aynı isimde ama uzantısı .com olan bir dosya yaratarak içine kendini kopyalar.DOS tabanlı işletim sistemleri önce .com uzantılı dosyaya bakacağı için farkına varmadan virüsü çalıştırmış olursunuz. · BOOT SEKTÖRÜ Virüsleri: Sabit disk ya da diskette olsun A,B,C,D,E olarak bildiğimiz mantıksal bölümlerinin her birinin bir boot sektörü vardır.Bu disk ya da disketten bilgisayar açılmıyorsa da durum değişmez,illa boot edilen bir disket olması şart değil.Boot sektöründe disketin formatı ve depolanmış verilerin bilgileriyle DOS’un sistem dosyalarını yükleyen boot programı bulunur.Meşhur "Non-system Disk or Disk Error" mesajını bu program,sistem dosyalarını bulamadığı zaman gönderir.Bir boot sektör virüsü sistem dosyalarını bozduğunda da bu mesajı alırsınız.1996 yılına kadar en yaygın virüs tipi bunlardı.Boot disketinden belleğe geçer ve yazma koruması olmayan her türlü diskete eriştiği anda bulaşarak kabus görmeye başlarsınız. · MASTER BOOT RECORD Virüsleri: Sabit disklerin ilk fiziksel sektörlerinde diskin Master Boot Record’u ve Partition tablosu vardır.Master Boot Record’un içindeki Master Boot programı partition tablosundaki değerleri okur ve boot edilebilir partition’ın başlangıç yerini öğrenir.Sisteme o adrese git ve bulduğun ilk program kodunu çalıştır komutunu gönderir.Bu virüslerde tıpkı boot sektör virüslerinde olduğu gibi bulaşırlar.Virüslü bir disketten makineyi açarken virüslü boot sektör programı okunur ve çalıştırılır, virüs belleğe yerleşir ve sabit diskin MBR’ını (Master Boot Record) bozar.Her disk ve disketin bir boot sektörü olduğuna göre sistem disketi olmayan veri disketlerinden de bulaşma ihtimali vardır. · MULTi-PARTITE Virüsler: Bu tür virüsler yukarıda belirtilen iki tür virüsün kombinasyonudur.Bu tür virüslere daha · az rastlanıyor ancak gün geçtikçe rastlanma oranıda artıyor.Hem MBR,hem boot sektörü ve çalışabilir dosyaları bozarak yayılma kuvvetlerini ve şanslarını arttırıyorlar. · MAKRO Virüsleri: Son zamanlarda ortalığı kasıp kavuran virüs çeşiti bu.Adındanda anlaşılacağı gibi Microsoft Word ve Exel gibi önemli uygulama programlarının makro dilleri kullanılarak yazılıyorlar.Makro’lar veri dosyalarında kaydedildiği için virüslü belge açıldığında virüsün makro kodu çalışmaya başlayarak ne yapabilirse yapabiliyor.İlk olarak 1995 yılında görülen bu virüs türü Microsoft Word’ün şablon belgelerini bozuyordu.Bir yıl içinde tarihin en yaygın ve başarılı virüs türü haline geldi.Bu başarıda en büyük neden Word’un çok yaygın kullanılan bir uygulama olmasında ve insanların Internet üzerinde birbirleri ile bol miktarda Word belgesi göndermesidir.Makro virüslerinin ilkinin adı WM.Concept idi.Kendisi pek zararlı olmayan bu virüs bir makro ile de virüs yapılabileceğini ispatlaması açısından önem taşır.WM.Concept virüsünün kaynak kodu gizli değildi, bu yüzden yeni makro virüsü yazmak isteyenler alıp üzerinde küçük değişiklikler yaparak tekrar ortalığa yaydılar.Birkaç ay içinde yüzlerce makro virüsü tespit edildi ve kayıtlara geçirildi. · Bilgisayar Virüsü: İlk kez Fred COHEN tarafından 1984 yılında kullanılmış bir terim.Bilgisayar virüsü başka programa yapışan küçük bir programdır,kendisini kopyalayarak diğer yazılımlara saldırır. · Worm: Worm çoğu zaman başlıbaşına bir programdır,bellekteki ve disketteki eriştiği bölgelerin verilerini bozar.İçinde gömülüp saklanacağı ev sahibi programa ihtiyaç duymaması özelliği ile diğer virüslerden ayrılır. · Trojan Horse: Truva atı...Masum görünüşlü bir programın farklı şeyler de yapması.Bazen gerçekten masum programların bug’ları da aynı etkiyi yapabilir.Çoğunlukla kendilerini kopyalayarak çoğalmazlar. · Zaman Ayarlı Bomba: Mantıksal bomba da denilir, belli bir olay gerçekleştikten sonra örneğin ayın 13’ü Cuma gününe denk gelmişse zarar verici faaliyetine başlar. · Boot Sektör Virüsü: Disklerin partition tablosunda veya boot sektöründe saklanan ve sistem çalıştığı anda faaliyete geçen virüs.En yaygın olanları arasında Pakistani Brain virüsü ile Stoned/Marijuana virüsü sayılabilir. · Uygulama Programı Virüsü: En bulaşıcı olan virüs çeşitidir.Çoğunlukla .com ve .exe uzantılı olan her türlü çalışabilir dosyaya bulaşırlar.En yaygın olanı Jerusalem virüsüdür. · Gizlenen Virüsler: Dosya büyüklüğündeki artışı ya da tarih ve zaman bilgilerini gizleyerek yakalanmalarını güçleştirmeye çalışırlar. · Dark Avenger Mutation Engine: Genellikle virüs yazanların kullandığı bir polimorfik kriptolama programı.Virüs bu programla kriptolanınca anti-virüs programına kolay yakalanmıyor. · Makro Virüsleri: Word ya da Exel dosyalarına bir makro gibi gömülerek yaşayan virüs.Dosya açıldığında uygulamanın standart makrolarından birinin yerine yerleşiyor ve gelen her belgeye bulaşıyo |
Bilgisayar Virüsleri
Bilgisayar virüsleri, çalıştığında bilgisayarınıza değişik şekillerde zarar verebilen bilgisayar programlarıdır. Eğer bu programlar ya da virüs kodları, herhangi bir şekilde çalıştırılırsa, programlanma şekline göre bilgisayarınıza zarar vermeye başlar. Ayrıca, tüm virüs kodları (bilinen adıyla virüsler), bir sistemde aktif hale geçirildikten sonra, çoğalma özelliğine sahiptir. Bilgisayar virüslerinin popüler bulaşma yollarından birisi, virüs kapmış bilgisayar programlarıdır. Bu durumda, virüs kodu bir bilgisayar programına, virüsü yazan (ya da yayan) kişi tarafından eklenir. Böylece, virüslü bu programları çalıştıran kullanıcıların bilgisayarları "potansiyel olarak" virüs kapabilirler. Özellikle internet üzerinde dosya arşivlerinin ne kadar sık kullanıldığını düşünürsek, tehlikenin boyutlerını daha da iyi anlayabiliriz. Virüslenmiş program çalıştırıldığında, bilgisayar virüs kodu da, genellikle, bilgisayarınızın hafızasına yerleşir ve potansiyel olarak zararlarına başlar. Bazı virüsler, sabit diskinizin ya da disketlerinizin "boot sector" denilen ve bilgisayar her açıldığında ilk bakılan yer olan kısmına yerleşir. Bu durumda, bilgisayarınız her açıldığında "virüslenmiş" olarak açılır. Benzer şekilde, kendini önemli sistem dosyalara (MSDOS ve Windows için COMMAND.COM gibi) kopyalayan virüsler de vardır. Genellikle her virüsün Cansu, Stoned, Michaelangelo, Brain, Einstein gibi bir adı vardır. Virüs Çeşitleri Dosyalara bulaşan virüsler, genellikle, kullanıcının çalıştırdığı programlara bulaşır. Bazen, başka tür sistem dosyalarına da (.OVL, .DLL, .SYS gibi) bulaşabilirler. Programların virüslenmesi iki yolla olur; ya virüs kodu bilgisayarın hafızasına yerleşmiştir ve her program çalıştırılışında o programa bulaşır, ya da hafızaya yerleşmeden sadece "virüslü program her çalıştırılışında" etkisini gösterebilir. Ancak, virüslerin çoğu, kendini bilgisayarın hafızasına yükler. Diğer bir grup ise bilgisayarın ilk açıldığında kontrol ettiği özel sistem alanlarına (boot sector) ve özel sistem dosyalarına (command.com gibi) yerleşirler. Bazı virüsler, her iki şekilde de zarar verebilir. Bazı virüsler, virüs arama programları tarafından saptanmamak için bazı gizlenme teknikleri kullanırlar (stealth virüsleri). Bazı tür virüsler ise, çalıştırıldığında kendine benzer başka virüsler üretir (polymorphic virüsler). Virüslerin Zararları Bilgisayar virüsleri, Ekranınıza can sıkıcı mesajlar çıkararak çalışmanızı bölebilir/engelleyebilir. Bilgisayarınızın hafızasını ve/veya disk alanını kullanarak bu kaynaklara verimli olarak erişiminizi engelleyebilir. Kullandığınız dosyaların içeriklerini bozabilir/silebilir. Kullandığınız bilgisayar programlarını bozabilir, çalışmalarını yavaşlatabilir. Sabit diskinizin tamamını ya da önemli dosyaların olduğu kısımlarını silebilir. Virüsler, yalnızca PC’lere bulaşmaz; ancak en çok Dos ve Windows işletim sistemi ile çalışan PC’lere bulaştırlar. Macintosh virüsleri de bir hayli yaygındır. Unix işletim sistemi ile çalışan bilgisayarlarda, virüs bulaşma vakaları oldukça azdır. Yayılma Yolları Eskiden en popüler virüs bulaşma yolu, bir bilgisayardan diğerine "disket" ile dosya aktarımı idi. Günümüzde ise, bilgisayar ağlarının oldukça yoğun kullanılması, herkese açık (anonim) dosya arşivleri ve internet üzerindeki popüler etkileşimli ortamlar (IRC, ICQ, Web gibi) virüslü programların yayılması için oldukça uygun ortamlardır. Ayrıca, e-mail yoluyla gelen programların kontrolsüz çalıştırılması da bir başka potansiyel tehlike olarak karşımızdadır. Truva Atı (Trojan Horse) Truva atı da aslında virüs ile eşdeğer. Tek farkı, ilk anda aldığınız programın yararlı birşeyler yaptığını sanıyorsunuz ancak zararlı olduğunu daha sonra anlıyorsunuz. Sözgelimi, sadece bir virüs bulaştırmak için yazılmış oyun programları vardır. Düzyazı Dosyaları Güvende Bazı virüsler, doğrudan data dosyalarını bozabilirler. Birçok virüs, .DAT, .OVR, .DOC gibi çalıştırılabilir olmayan dosyaları hedef alıp bozabilmektedir. Ancak bilgisayar virüsleri de bir çeşit bilgisayar program olduğundan, virüsün yayılabilmesi için mutlaka virüs kodunun çalışması lazım. Bu yüzden, sözgelimi bir düzyazı içeren dosyanın (text) virüs taşıma ihtimali yok. Makro Virüsü Bazı programların, uygulama ile birlikte kullanılan "kendi yardımcı programlama dilleri" vardır. Sözgelimi, popüler bir kelime işlemci olan "MS Word", "Macro" adı verilen yardımcı paketlerle yazı yazma sırasında bazı işleri otomatik ve daha kolay yapmanızı sağlayabilir. Programların bu özelliğini kullanarak yazılan virüslere, "macro virüsleri" adı verilir. Bu virüsler, sadece hangi macro dili ile yazılmışlarsa o dosyaları bozabilirler. Bunun en popüler ve tehlikeli örneği "Microsoft Word" ve "Excel" macro virüsleri. Bunlar, ilgili uygulamanın macro dili ile yazılmış bir şekilde, bir word ya da excel kullanarak hazırladığınız dökümana yerleşir ve bu dökümana her girişinizde aktif hale geçer. Macro virüsleri, ilgili programların kullandığı bazı tanımlama dosyalarına da bulaşmaya (normal.dot gibi) çalışır. Böylece o programla oluşturulan her döküman virüslenmiş olur. Virüslerin Tespiti Eğer bilgisayarınıza virüs bulaşmışsa, bu durumda bilgisayarınızda olağan dışı bazı durumlar gözlemleyebilirsiniz. Bazı virüsler, isimleri ile ilgili bir mesajı ekranınıza getirebilir. Bazıları, makinanızın çalışmasını yavaşlatabilir ya da kullanılabilir hafızanızı azaltır. Bu son iki sebep, sırf virüs yüzünden olmasa da gene de şüphelenmekte fayda var. Bilgisayarınızın virüs kapıp kapmadığını saptayan "anti-virüs" programları da var. Bu programlar, bilgisayarınızın virüs kapabilecek her tarafını (hafıza, boot sector, çalıştırılabilir programlar, dökümanlar) tararlar. Bu programlar, kendi veritabanlarındaki virüslerin imzalarını (virüsün çalışmasını sağlayan bilgisayar programı parçası) bilgisayarınızda ararlar. Programlarınızı, virüs olabilecek zararlı kodlara karşı analiz edebilirler. Günümüzdeki popüler anti-virüs programlarının veri tabanlarında onbinlerce virüs imzası ve bunların varyantları vardır. Bu veri tabanları, yeni çıkan virüsleri de ekleyerek sık aralıklarla güncellenir. Bütün virüs programları 3 temel işleve sahiptir; virüs arama-bulma, temizleme ve bilgisayarınızı virüslerden korumak için bir koruyucu kalkan oluşturma (virus shielder). Virüs kalkanları, bilgisayarınız her açıldığında kendiliğinden devreye giren ve her yeni program çalıştırdığınızda, bilgisayarınıza kopyaladığınızda bunları kontrol eden ve tanımlayabildiği virüs bulursa sizi uyaran ve virüs temizleme modülünü harekete geçirebilen araçlardır. E-Postalar Sadece düz yazı içeren bir e-postayı okumakla sisteminize virüs bulaşmaz. Eğer aldığınız e-posta ile birlikte bir "attachment" (eklenmiş dosya) varsa (eklenmiş dosya, herhangi bir çalıştırılabilir (executible) dosya olabilir), mailinizi okuyup gelen dosyayı diskinize saklamakla "o dosya virüslü dahi olsa" yine virüs bulaşmaz. Tabii, eklenmiş dosyayı çalıştırırsanız ve o dosya da virüslü ise, sisteminize virüs bulaşabilir. Web Siteleri Web sayfalarını oluşturmada kullanılan HTML, sabit diske yazma/silme gibi işlemlerin yapılmasına izin vermez. Bunun yanında, web sayfalarında çok kullanılan Java ve JavaScript ile yazılmış web uygulamaları da diskinize kesinlikle hiçbirşey yazmaz, hiçbirşeyi silmez. Ancak, rastladığınız programları alıp, kontrolsüz çalıştırırsanız o zaman durum değişir. umarım faydalı olur |
W32/MyDoom-R
İsmi : MyDoom-R Bulaştığı Sistem : Windows98/2000/me/Xp İlk Görüldüğü Tarih : 9 Ağustos 2004 Saat : 01:51:34 Açıklama : Klasik MyDoom virüsleri gibi E-mail ile coğalıyor. Bilgisayalarinizin Exe. dosyalarına bula$ıyor ve sistemi kullanılamaz hale getiriyor. AntiVirüs : Henüz AntiVirüs’ü yok. Kaynak : Sophos |
W32/Forbot-K
Virüsün ismi : W32/Forbot-K Bulaştığı sistemler : Network(ağlar) Web’den download,Chat programlari. Bulaştığı İşletim Sistemi : Windows (XP’ye de bulaşıyor) İlk görüldüğü zaman : 25 August 2004 08:03:50 (GMT) Bilgi : Bu Virüsün ayni isim ve uzantıda daha öncede yayılmı$tır. Bir Çok Network’a bula$mı$tır. Trojan yaymaktadır. Kaynak : Sophos |
Virüsün ismi : W32/Rbot-HE
Diğer ismi : Backdoor.Rbot.gen Yayılması : Network sistemler Çalıştığı sistem : Windows Yan Etkileri : =>> İnternet’den yaptığınız download’larda bilgisayarınıza zararlı code’ler indiriyor ve siz farkında olmuyorsunuz. =>> W32/Rbot-HE IRC ’deki acıkları bulup sizin network sisteminize bula$abiliyor. Bilgisayarınızın sistem dosyalarına zararlı code’ler (kodlar) bula$tırıyor. =>> sisteminizin güvenlik seviyesini düşürür. İlk Görüldüğü Zaman : 25 August 2004 20:24:44 Yayılması Seviyesi : Normal Kaynak : Sophos |
Virüsün ismi : W32/Rbot-HC
Diğer ismi : Backdoor.Rbot.gen Yayılması : Network sistemler İlk görüldüğü zaman : 25 August 2004 15:25:51 Çalıştığı sistem : Windows Yan etkileri : =>> Yukarıda yazdığım W32/Rbot-HE virüsünün bir deği$ik $eklidir. Çalı$ması ve yayılması aynıdır. =>> Sırayla tekrarlayacak olursak : Internet üzerinden yaptığınız download’larla bilgisayarınıza zararlı code’ler (kodlar) indirir böylece kendini çoğaltır. =>> Sisteminizi yava$latır. Yayılma seviyesi : Aktif - Normal |
hım gzl bilgi saol
|
Virüsün ismi : W32/Forbot-E
Diğer ismi : WORM_SDBOT.SR Backdoor.Win32.Agent.cf Yayılması : Network sistemler Çalıştığı sistem : Windows İlk görüldüğü zaman : 26 August 2004 05:32:11 Etkileri : =>> Internet’den download yaptığınız zaman bilgisayarınızda arka kapılar acar böylelikle daha çabuk yayılır. =>> Kendini registry’e kaydeder. =>> Sisteminizin yava$lamasına neden olur. =>> Sisteminizin güvenliğini azaltır. Kaynak : Sophos |
Virüs nedir ? Trojan (Truva ati) nedir ?)
Virüsler, kendi kodlarını başka programlara veya program niteliği olan dosyalara bulaştırabilme özelliği olan (kendi kodunu kopyalayabilen) bilgisayar programlarıdır. Bulaştıkları bilgisayarda genelde hızlı bir şekilde yayılırlar. Belli bir amaca yönelik olarak yazılmış, zarar vermeye yönelik olabilecekleri gibi eğlence amacıyla da yazılmış olabilirler. Truva atları, virüslerden oldukça farklı bir yapıya sahiptir.Asla başka programlara bulaşmazlar. Belli olaylara bağlı olarak tetiklenen bir rutindirler. Kendilerini kopyalayamadıkları için bazı programların içine bilinçli olarak yerleştirilirler. Trojanlar, ilgi çeken, utility gibi programların içine yerleştirilirler. Trojan kodu, trojanın içine gizlendi?i programın yazarı tarafından yazılımı? olabilecegi gibi sonradan da programa eklenmemi ? olabilir.Trojanlar aslında kopya koruma amacıyla hazırlanırlar. Virüsler çoğunlukla Assembly gibi düşük seviyeli bir programlama dili ile yazılırlar.Bunun asıl 2 sebebi vardır. 1- Assembli’in çok güçlü bir dil olması 2- Yazılan programların derlendikten sonraki dosya boylarının çok küçük olması Bu özelliklerin her ikisi de virüs yazarlarının assembly dilini kullanması için yeterli ve gerekli sebeplerdir. Virüsleri özelliklerine göre sınıflandırma pek mümkün olmasa da aşağıdaki şekildeki gibi bir sınıflandırma yapmak yanlış olmayacaktır.Ancak pek çok virüs, pek çok özelliği bünyesinde barındırabilir.Bağlanmama hızını arttırabilmek amacıyla yapılan bu durum sonucu virüs, boot sektörlere, mbr kayıtlarına, programlara bulaşabilir. şimdi de bu virüs türlerinin izleyişlerine bakalım 1 - Disk virüsleri : a- Boot b- MBR 2 - Dosya virüsleri : a- Program (TSR ve nonTSR) b- Makro virüsleri 3- FlashBIOS virüsleri 1 - DiSK ViRÜSLERI Disk virüsleri, adından da anlaşılacağı üzere, disk ve/veya disketler üzerinde iletişim sistemi için özel anlamı olan bölgelere (boot sektör, MBR) yerle?en virüslerdir. Disk virüsleri, hakkında en çok yanlış bilginin olduğu virüs türüdür.Boot ve MBR virüsleri, aşağıda da göreceksiniz gibi işletim sisteminden önce hafızaya yüklenir.Bu yüzden işletim sistemini kolaylıkla atlatıp, Yukarıdaki şekilde de görüleceği gibi disk virüslerini boot ve MBR (partition) virüsleri olarak 2 gruba ayırtabiliriz . BOOT Virüsleri Boot virüslerinin ne olduğuna geçmeden önce boot sektör nedir, disk üzerinde nerede bulunur, önce bunlara bir bakalım; Boot sektör, bir diskin veya disketin işletim sistemini yüklemeye yarayan 1 sektör (512 byte) uzunlu?undaki bir programdır.Boot sektörler, disketlerde 0.cy iz, 0.cy kafa,1.ci sektör üzerinde bulunur. Hard disklerde ise boot sektörü 0.ci iz, 1.ci kafa ve 1.ci sektör üzerinde bulunur.Boot sektör, açılış için gerekli sistem dosyalarının yükleyen programdır.Aynı zamanda disk (veya disket) ile ilgili bilgileri saklar.DOS buradaki bilgileri kullanarak cılider hesaplarını yapar. Normal koşullarda, bilgisayar başlatabilecek durumdaki bir sistem disketini (virüssüz) sürücüye takip bilgisayarı açtığımızda da, bilgisayar ilk olarak disket sürücüye bakar.E?er sürücüde bir disket var ise bu disketin boot sektörü hafızanın 0000:7C00 (hex) adresine okunur ve okunan boot sektör çalıştırılır.Boot sektör, işletim sistemini yükleyerek denetimi işletim sistemine bırakır.Eğer bilgisayarı boot edecek disket bir boot virüsü içeriyorsa o zaman durum değişir.Bilgisayar, boot sektörü yine 0000:7C00 adresine okur ve akışı bu adrese yönlendirir.Disketten okunan boot kaydı, yapı olarak değiştirildiğinden dolayı, 0000:7C00’daki kod virüsü hafıza içine yükleyip, hafızadaki konumunu garanti altına alacaktır.Virüs aktivitesi için gerekli interrupt servislerini de kontrol altına aldıktan sonra orjinal boot kaydını okuyarak işletim sisteminin yüklenmesini saklayacaktır. MBR (Partition) Virüsleri MBR virüsleri esas olarak, boot virüslerinden pek de farklı değildir.Ancak can alıcı bir nokta vardır ki, bu boot ve mbr virüsleri arasındaki en önemli noktadyr. Hard diskler kapasite olarak çok farklı ve büyük kapasitede olduklarından diskin DOS’a tanıtılması amacıyla MBR - Master Boot Record (Ana açılı kaydı) denilen özel bir açılış programı içerirler.Bu kod diskin 0.cy iz, 0.cy kafa ve 1.ci sektörü üzerinde bulunur.Yani disketlerde boot sektörün bulunduğu konum, hard diskler için MBR yeridir.Master boot record, hangi disk partitionundan bilgisayarın açılacağını gösterir.Bu yüzden çok önemlidir.E?er bilgisayar hard diskten boot ediliyorsa, o takdirde mbr ve partition table okunur.Aktif partitiona ait boot sektör okunur.Bundan sonrası boot sektör kısmındaki sistemin aynısıdır. 2 - DOSYA ViRÜSLERi Dosya virüsleri açıkça anlaşılacağı gibi hedefi dosyalar olan virüslerdir.Dosya virüsleri çoğunlukla COM, EXE, SYS olmak üzere OVL, OVR, DOC, XLS, DXF gibi değişik tipte kütüklere bulaşabilirler. Makro virüsleri Makro virüsleri Word, Excel gibi programların makro dilleri ile (mesela VBA - Visual Basic for Applications) yazılırlar.Aktif olmaları bazı uygulamalara (word, excel vs) basit olduğundan program virüslerine oranla çok daha az etkilidirler. Program virüsleri Program virüsleri, DOS’un çalıştırılabilir dosya uzantıları olan COM ve EXE türü programlar başta olmak üzere SYS, OVL, DLL gibi değişik sürücü ve kütüphane dosyalarını kendilerine kurban olarak seçip bu dosyalara bulaşabilirler.Dosya virüsleri bellekte sürekli kalmayan (nonTSR) ve bellekte yerle?ik duran (TSR) olarak 2 tipte yazılırlar. nonTSR (Bellekte sürekli kalmayan) virüsler Bellekte sürekli olarak kalmazlar.Kodları oldukça basittir.Bellekte sürekli kalmayan virüsler sadece virüslü bir program çalıştırıldığında başka programlara bulaşabilirler.Virüslü program çalıştırıldığında programın başında program kontrolünü virüs koduna yönlendirecek bir takım komutlar bulunur.Virüs kontrolü bu şekilde ele aldıktan sonra virüs kendisine temiz olarak nitelendirilen virüssüz programlar aramaya koyulur.Bulduğu temiz programların sonuna kendi kodunu ekler ve programın başına da virüsün kontrolü ele alabilmesi için özel bir atlama komutu yerleştirir ve kendisine yeni kurban programlar arar.Virüs bulaşma i?ini bitirdikten sonra çalıştırmak istediğimiz program ile ilgili tüm ayarları düzenleyerek kontrolü konak programa devreder. TSR (Bellekte sürekli kalan) virüsler TSR virüsler yapı olarak TSR olmayan virüslerden çok farklıdır.TSR virüsler, 2 temel bölümden olu?urlar.1.ci bölüm; Virüsün çalışmasy için gerekli ayarlamaları yapar ve TSR olacak kodu aktifleştirir.2.bölüm TSR olan kodun kendisidir ve TSR virüslerin hayati önemdeki bölümüdür.Bu tip virüsler, çalışmak için sadece TSR olmakla kalmazlar.Aynı zamanda çeşitli Interruptlary (kesilmeleri) kontrol altına alırlar.Böylece DOS üzerinden yapılan işlemleri bile kontrol altına alabilirler.Örnek vermek gerekirse; TSR bir virüs DIR, COPY gibi DOS komutları ile yapılan -daha doğrusu yapılmak istenen- işlemleri kontrol altına alabilir.Kullanıcı DIR komutunu kullandığında dosya boylarının 0 olarak gösterilmesi, dosya boylarının eksik gösterilmesi gibi işlemler TSR bir virüs için çok kolaydır. 3 - FlashBIOS Virüsleri FlashBIOS virüsleri tekrar yazılabilir özellikteki BIOS chiplerine bulaşırlar Trojanın ismi : Troj/Agent-BX Diğer(takma) ismi : BackDoor.Agent.bx Çalıştığı sistem : Windows İlk görüldüğü zaman : 26 August 2004 09:21:07 Etkileri : =>> Bilgisayarınızda açıklar yaratır. =>> Bilgisayarınızdaki verileri deği$tirir. =>> Bilgisayarınızdaki bilgileri çalar. =>> Bilgisayarınıza uyumsuz veriler ekler. =>> Kendini registry’e kaydeder. =>> Sisteminizin güvenliği azaltır. Yayılma Seviyesi :Aktif - Normal Kaynak : Sophos |
Virüsün ismi : W32/Sdbot-OC
Diğer(takma) ismi : Worm.Win32.Donk.d WORM_SDBOT.SE Yayıldığı sistem : Network Çalıştığı sistem : Windows İlk görüldüğü zaman : 26 Ağustos 2004 15:00:44 Etkileri : =>> Bilgisayarınızdaki Anti-Virüs programının çalı$masını engeller,kapatır. =>> Bilgisayarınızda kendini çoğaltır ve açık kapılar yaratır. =>> Arama motorlarını kullanarak E-mail ile kendini çoğaltır. =>> Internet’den download ederek bilgisayarınıza zararlı kod(code)’ler indirir. =>> Kendini Registry’e kaydeder. =>> Sisteminizin güvenliğini azaltır. Risk seviyesi : Aktif - Normal |
W32.Kwbot.G.Worm
Tip:solucan Bulaştıgı boyut:250,500 bytes Etkiledigi sistemler:Windows 95, Windows 98, Windows NT, Windows 2000, Windows XP, Windows Me Etkilemedigi sistemler:Windows 3.x, Macintosh, OS/2, UNIX, Linux İlk görüldügü tarih:30 nisan 2003 genellikle exe uzantılı dosyalarda bulunmaktadır.. kaynak:sarc Virüsün ismi : W32/MyDoom-V Diğer(takma) ismi : .:: WORM_MYDOOM.GEN ::. I-Worm.Mydoom-t ::. W32/Mydoom.v@MM ::. Yayıldığı sistem : E-mail Çalıştığı sistem : Windows (2000/Xp) İlk görüldüğü zaman : 9 Eylül 2004 saat : 21:29:50 Seviyesi : Aktif - Normal Etkileri(kurdun): =>> Internet’den bilgisayariniza zararlı kod(code)ler indirir. Böylece bilgisayarinizda aciklar yaratır. =>> E-mail’inizde ki$ilere E-mail atarak kendini cogaltır. =>> Kendini registry’e kaydeder. =>> E-mail’inizin düzgün cali$masini engeller. Kaynak : Sophos |
Virüsün ismi : W32/Lovgate-X
Diğer(Takma) ismi : =>> I-Worm.LovGate.q =>> Win32/Lovgate.X =>> WORM_LOVGATE.Q Çalıştığı ve etkilediği sistem : Windows(98/2000/XP) İlk görüldüğü zaman : 25 Mart 2004 13:14:50 / 16 Eylül 2004 13:50:21 Seviyesi : Aktif - Yüksek Risk Etkileri : =>> E-mail ile ya da internet’den donwload ile bula$ıyor. =>> Internet’den kendini yaymak için zararlı kod’(Code)ler indiriyor. =>> E-mail’inizdeki ki$ilere Spam göndererek yayılıyor. =>> Sistem güvenliğini tamamen azaltıyor. =>> Exe. Dosyalarına bula$ıyor. =>> Kendini Registry’e kaydediyor. Kaynak: Sophos yukarıdaki link sophos virusleri hakkında bilgi içerir Trojan Nedir? Trojan (Truva atı); iki kısımdan olusan ve bilgisayarları uzaktan kumanda etme amaçıyla yazılmış programlardır.Bu program sayesinde windows kullanmaya yeni baslayan bir insan bile bilgisayarınızda bir cok yetkiye sahip olabilir.(Bilgisayranızı formatlamak,accountunuzu calmak...vs ).Bu tip programlar genelde kendini hacker sanan insanlar tarafından kullanılıyor ancak gercek hacker olupta bu trojanları kullanan insanlarda var fakat bu noktada olayın boyutu biraz degisiyor ornegin hackerlar internetteki trojan bulasmıs tum bilgisayarları (online olan) kullanarak buyuk sitelere D.O.S attack yapıyorlar boylece bu sitelere erisimi uzun bir sure engelleyerek siteleri buyuk zarara sokuyorlar. Bu programların birinci kısmı uzaktaki bilgisayarı kontrol etmeye yararken diger kısmı ise uzaktan yonetilecek bilgisayarla kontrol kısmı arasında bağlantı kurmasını saglayacak açıklık yaratır.Yani bizim problemimiz trojan programının bilgisayarımızda acık port bırakan kısmıyla ilgili olacak ve bunu nasıl egarte edecegimizi bu yazımızda isleyeceğiz. Trojanların Bilgisayarımıza Bulasmasını Engellemek: Oncelikle hiç bir trojan siz izin vermediginiz takdirde sizin bilgisayarınızda çalışmaz yani sizin tanımadıgınız kisilerden gelen hic bir dosyayı almayin boylece trojanlardan kurtulmus olursunuz.Fakat genelde trojan programları istenilen herhangi bir programın icerisine bulastırılabildigi icin siz farkında olmadan herhengi bir yerden yuklediginiz program icinde bilgisayarınıza trojan almış olabilirsiniz bunu engellemenin en iyi yolu antivirus programları kullanmaktan geciyor.Ornegin AVP programıyla bilgisayarınıza bulasan hem virusleri hemde trojanları engelleyebilirsiniz. Ozet olarak tanımadıgınız kisilerden (genlde irc ortamında ) herhengi bir dosya almayarak (ozellikle sonu ve .ini ve .exe olarak biten dosyaları) vede kaliteli bir antivirus programı ve firewall programı kurarak trojan tehlikesini buyuk olcude atlasmıs olursunuz. NOT: Antivirus programları genelde yeni cıkan trojan ve virusleri tanımazlar.Bu yuzden kurdugunuz antivirus programını web sayfasına duzenli olarak ziyaret edip programınızı update etmeyi unutmayın. Bilgisayarda Trojan olup olmadıgını nasıl anlarız: Bunu anlamanın bir cok yolu var ornegin: Bilgisayarmızda Kontrolumuz Dısında Calısmalar Oluyorsa: Internetteyken siz herhangi bir islem yapmamanıza ragmen bilgisayarınız bir seyler yuklemeye devam ediyor ,cd kapagınız acılıp kapanıyor , mouseunuzun isteginizin dısında hareket ediyor ,ekranınıza resim veya yazılar geliyorsa ..yani bilgisayrınızda sizin kontrolunuz dısında herhangi bir olay gerveklesiyorsa bilgisayranızda trojan vardır diyebiliriz ama yinede bu kesindir diye bir yargı verilemez Anti Trojan Programı kullanmak:Bir anti trojan programıyla bilgisayarınızı scan ederek bilgisayarımızdaki trojanları bulabiliriz ancak genelde yeni cıkan trojanlar genelde bu tip programlarla bulunamıyor bu yuzden surekli olarak programı resmi web sayfasından update eytmekte yarar var. Bilgisayarımızda baslat (start) tusundan programlar (programs) ordanda baslangıc (startup) tusuna bastıgımız zaman bilgisayarımızın acılısıyla birlikte calısan programları goruruz eger burda bizim kurmadıgımız herhangi ibr program varsa bu program bir trojan olabilir. Diger ve en kesin yontemlerden birisi ise dos moduna dusup komut satırında ntstat -a yazmaktır bu komut sizin bilgisayarınız internette kimlerle hangi porta baglı oldugunu gosterir eger bu program bilgisayarınızda calısmıyorsa herhangi bir problem yok eger ornegin 0.0.0.0:12345 gibi bir sonuc veriyorsa bilgisayarınızda netbus isimli bir trojan vardır.Bunu nerden anladın diyorsanız trojanlar bilgisayarımıza baglanmak icin bilgisayarımızda ki portları kullanırlar trojanlar arasından netbus ise bilgisayraımıza baglanmak icin 12345 portunu kullanır. Bilgisayara Bulasmıs Trojanı Temizlemek: Bilgisayarımıza bulasmis trojanı ik farklı yontemle temizleyebilriz : 1. TrojanCleaner Programı kullanarak bir cok trojanu bilgisayarımızdan temizleyebiliriz.Programı kullanımı cok basit biraz karıstırmayla kolayca kullanabilirisiniz 2.Yontem ise trojanları elle silmek diye tabir edebilicegimiz bir yontem bu yontemde trojanın eger biz bilgisayraımızdaki ismini ve regeditteki yerini biliyorsak kolayca ortadan kaldırabiliriz.Simdi bunu nasıl yapacagımızı ve yaparken nelere dikkat edecegimizi adım adım gorelim: Trojan temizliğine başlamadan önce, PC’nizdeki gizli ve sistem dosyalarınızın tümünü görünür hale getirin.Bunun için Windows Gezgini’nde Görünüm Klasör seçenekleri (View Folder Options) menüsüne tıklayın; açılan pencerenin Görünüm (View) sekmesinde "Tüm Dosyaları Göster" (Show All Filles) kutucuğunun işaretli olduğuna emin olun.Ayrıca altındaki "Bilinen Dosya Türlerinin Uzantılarını Gizle" kutucuğunun işaretini kaldırmanız da yararınıza olacaktır. Bazı trojan’ların açıklamalarında aynı ada ve farklı dizine sahip birden fazla dosyanın silinmesi gerektiği yazmaktadır.Eğer söz konusu dosya dizinlerden sadece birinde varsa, onu silmeniz de yeterli olacaktır. Unutmayın ki, trojanların isimlerini ve diğer bilgilerini değiştirmek pek zor değildir.Burada verdiklerimiz, taşıdıkları orjinal özelliklerdir.Adı değiştirilmiş bir trojan dosyasının yerini belirlemek biraz daha problemlidir; bu sorunun çözümüne örnek olarak NetBus ve SubSeven trojanını inceleyebilirsiniz. Dosya veya Registry değeri silme işlemleri sırasında çok dikkatli olun.Özellikle Registry, Windows için hayati önem taşır.Yanlış bir şey silmeniz sisteminizde aksıklıklara yol açabilir. TEMİZLİK ZAMANI ACID SHIVERS Port Numarası: 10520 Dosya Adı: "msgsvr16.exe" Boyutu: 186 kb Dizini: C:Windows 1. Registry’nizdeki HKEY_LOKAL_MACHINESoftwareMicrosoftWindowsCurrentV ersionRunServices "Explorer | msgsvr16.exe" kaydını sil. 2. Registry’nizdeki HKEY_LOKAL_MACHINESoftwareMicrosoftWindowsCurrentV ersionRunServices "Explorervmsgsvr16.exe" kaydını sil 3. PC’nizi MS-DOS kipinde başlatın. 4. C:Windowsmsgsvr16.exe" dosyasını silin. 5. PC’nizi yeniden başlatın. BACK ORIFICE Port Numarası: 31337 Dosya Adı: ".exe" Boyutu: 126 kb Dizini: C:Windowssystem 1. Registry’nizdeki HKEY_LOKAL_MACHINESoftwareMicrosoftWindowsCurrentV ersionRunServices ".exe" kaydını silin 2. PC’nizi yeniden başlatın. 3. Windows Explorer’ı başlatın.Görünüm Klasör Seçenekleri menüsündeki Görünüm sekmesini açın ve Gizli Dosyalar bölümünde "Tüm Dosyaları Göster" seçeneğinin işaretli olduğundan emin olun. 4. "C:WindowsSystem.exe" dosyasını silin. 5. PC’nizi yeniden başlatın. BACKDOOR Port Numarası: 1999 Dosya Adı: "icqnuke.exe" Boyutu: 102 Kb Dizini: C:Windows, C:Windowssystem 1. Registry’nizdeki HKEY_LOKAL_MACHINESoftwareMicrosoftWindowsCurrentV ersionRun "icqnuke.exe." kaydını silin 2. PC’nizi MS-DOS kipinde başlatın. 3. "C:Windowsicqnuke.exe" ve "C:WindowsSystemicqnuke.exe" dosyalarını silin. 4. PC’nizi yeniden başlatın. BIG GLUCK Port Numarası: 34324 Dosya Adı: "bg10.exe" Boyutu: 100 Kb Dizini: C:Windows, C:Windowssystem 1. Registry’nizdeki HKEY_LOKAL_MACHINESoftwareMicrosoftWindowsCurrentV ersionRunServices "bg10.exe." kaydını silin. 2. PC’nizi MS-DOS kipinde başlatın. 3. "C:Windowsg10.exe" ve "C:WindowsSystemg10.exe" dosyalarını silin. 4. PC’nizi yeniden başlatın. BRADE RUNNER Port Numarası: 21,5400,5401,5402 Dosya Adı: "server.exe" Boyutu: 323 Kb Dizini: C:Windows, C:Windowssystem 1. Registry’nizdeki HKEY_LOKAL_MACHINESoftwareMicrosoftWindowsCurrentV ersionRun "server.exe." kaydını silin. 2. PC’nizi MS-DOS kipinde başlatın. 3. "C:Windowsserver.exe" ve "C:WindowsSystemserver.exe" dosyalarını silin. 4. PC’nizi yeniden başlatın. BUGS Port Numarası: 2115 Dosya Adı: "bugs.exe" Boyutu: 78 Kb Dizini: C:Windows, C:Windowssystem 1. Registry’nizdeki HKEY_LOKAL_MACHINESoftwareMicrosoftWindowsCurrentV ersionRun "bugs.exe." kaydını silin. 2. PC’nizi MS-DOS kipinde başlatın. 3. "C:Windowsugs.exe" ve "C:WindowsSystemugs.exe" dosyalarını silin. 4. PC’nizi yeniden başlatın. DEEP BACK ORIFICE Port Numarası: 31338 Dosya Adı: ".exe" Boyutu: 122 Kb Dizini: C:Windowssystem 1. Registry’nizdeki HKEY_LOKAL_MACHINESoftwareMicrosoftWindowsCurrentV ersionRunServices ".exe" kaydını silin 2. PC’nizi yeniden başlatın. 3. Windows Explorer’ı başlatın.Görünüm Klasör Seçenekleri menüsündeki Görünüm sekmesini açın ve Gizli Dosyalar bölümünde "Tüm Dosyaları Göster" seçeneğinin işaretli olduğundan emin olun. 4. "C:WindowsSystem.exe" dosyasını silin. 5. PC’nizi yeniden başlatın. DEEP THROAT Port Numarası: 2140, 3150 Dosya Adı: "systempatch.exe" Boyutu: 255 Kb Dizini: ? 1. Registry’nizdeki HKEY_LOKAL_MACHINESoftwareMicrosoftWindowsCurrentV ersionRun anahtarını açın. "systemDLL32 | systempatch.exe" kaydının işaret ettiği dizini bir kenara not aldıktan sonra söz konusu kaydı silin. 2. PC’nizi MS-DOS kipinde başlatın. 3. Not etmiş olduğunuz dizin altındaki "systempatch.exe" dosyasını silin.MS-DOS kipinde adı 8 karakterden uzun dosyaların isimleri kısaltılacağı için, "system~1.exe" veya benzeri ada sahip bir dosyayı aramalısınız.Eğer "system~" şeklinde başlayan birden fazla EXE dosyası varsa hangisinin trojan dosyası olduğundan emin olmadan silme işine girişmeyin. 4. PC’nizi yeniden başlatın. GIRLFRIEND Port Numarası: 21554 Dosya Adı: "windll.exe" Boyutu: ? Dizini: C:Windows 1. Registry’nizdeki HKEY_LOKAL_MACHINESoftwareMicrosoftWindowsCurrentV ersionRunServices "windll.exe" kaydını silin 2. PC’nizi yeniden başlatın. 3. "C:WindowsSystemwindll.exe" dosyasını silin. 4. PC’nizi yeniden başlatın. HACK A TACK Port Numarası: 31785, 31787 Dosya Adı: "expl32.exe" Boyutu: 236 Kb Dizini: C:Windows 1. Registry’nizdeki HKEY_LOKAL_MACHINESoftwareMicrosoftWindowsCurrentV ersionRun"Explorer32.exe | C:Windowsexpl32.exe" kaydını silin. 2. PC’nizi MS-DOS kipinde başlatın. 3. "C:Windowsexpl32.exe" dosyasını silin. 4. PC’nizi yeniden başlatın. INIKILLER Port Numarası: 9989 Dosya Adı: "bad.exe" Boyutu: ? Dizini: C:Windows 1. Registry’nizdeki HKEY_LOKAL_MACHINESoftwareMicrosoftWindowsCurrentV ersionRun "Explorer" kaydını silin. 2.PC’nizi yeniden başlatın. 3. "C:Windowsad.exe" dosyasını silin. 4. PC’nizi yeniden başlatın. MASTERS PARADISE Port Numarası: 3129, 40421, 40422,40423, 40426 Dosya Adı: "sysedit.exe", "keyhook.dll" Boyutu: ? Dizini: C:Windows Port Numarası: 20034 Dosya Adı: "NBSvr.exe" Boyutu: 599 Dizini: C:Windows, "C:WindowsSystem 1.PC’nizi yeniden başlatın. 2. "C:Windowssysedit.exe" ve "C:Windowskeyhook.dll" dosyalarını silin. 3. PC’nizi yeniden başlatın. 4. Gerçek "sysedit.exe" dosyasını Windows CD’nizden veya güvendiğiniz bir arkadaşınızdan tekrar yükleyin. NETBUS PRO Port Numarası: 20034 Dosya Adı: "NBSvr.exe" Boyutu: 599 Dizini: C:Windows, "C:WindowsSystem 1. Registry’nizdeki HKEY_LOKAL_MACHINESoftwareMicrosoftWindowsCurrentV ersionRunServices "NetBus Server Pro | nbsvr.exe" kaydını silin. 2. Registry’nizdeki HKEY_CURRENT_USERNetBus Server anahtarını silin. 3. PC’nizi MS-DOS kipinde başlatın. 4. "C:WindowsNBHelp.exe" , "C:WindowsNBHelp.dll", "C:WindowsLog.txt" dosyalarını silin.(Aynı dosyalar "C:WindowsSystem dizininde de olabilir.) 5. PC’nizi yeniden başlatın. NETBUS Port Numarası: 12345, 12346 Dosya Adı: "patch.exe" Boyutu: 470 Kb Dizini: "C:WindowsSystem 1. Registry’nizdeki HKEY_LOKAL_MACHINESoftwareMicrosoftWindowsCurrentV ersionRun "patch.exe." kaydını arayın.Söz konusu kaydı bulamazsanız trojan’ın adı değiştirilmiş demektir.Bu durumda aynı Registry anahtarı altında yer alan tüm EXE kayıtlarını not alın ve "C:WindowsSystem dizinindeki EXE dosyalarıyla karşılaştırın.470 KB boyutunda olan dosya, adı değiştirilmiş NetBus trojanıdır.Registry kaydını silin. 2. Bir MS-DOS Komut İstemi penceresi açın ve "C:WindowsSystempatch.exe/remove" komutunu kullanın.(Trojanın adı değiştirilmişse, patch.exe yerine PC’nizdeki adını yazın.) 3. "C:WindowsSystempatch.exe" dosyasını silin. NETSPHERE Port Numarası: 30100, 30101, 30102 Dosya Adı: "nssx.exe" Boyutu: 640 Kb Dizini: "C:WindowsSystem 1. Registry’nizdeki HKEY_LOKAL_MACHINESoftwareMicrosoftWindowsCurrentV ersionRun "NSSX | "C:WindowsSystem ssx.exe" kaydını silin. 2. PC’nizi MS-DOS kipinde başlatın. 3. "C:Windows ssx.exe" dosyasını silin. 4. PC’nizi yeniden başlatın. SUBSEVEN Port Numarası: 1243, 1999,6711, 6776 Dosya Adı: 1. Dosya: "server.exe", "rundll16.exe", "systray.dl", "Task_bar.exe" 2. Dosya: "FAVPNMCFEE.dll", "MVOKH_32.dll", "nodll.exe", "watching.dll" Boyutu: 328 Kb, 35 Kb Dizini: C:Windows, C:WindowsSystem 1. C:WindowsSystemSysEdit.exe" dosyasını çalıştırın.SYSTEM.INI dosyasının [boot] bölümündeki "sheel=Explorer.exe" satırını inceleyin.Satırın sagına yukarıda adı gecen dosya adlarından biri eklenmisse,dosya adını bir kenara not edin ve satırı "shell=Explorer.exe" haline getirin. 2. Aynı penceredeki WIN.INI dosyasını [windows] bolumunde "run=" ve "load=" diye baslayan satırları inceleyin.Soz konusu satırlardan biri yukardaki adı geçen dosyalardan birini işaret ediyorsa, dosya adını ot edin ve silin. 3. Yapmıs oldugunuz degisiklikleri kaydetip "sysedit" penceresini acın. 4. Registiey’deki HKEY_LOKAL_MACHINESoftwareMicrosoftWindowsCurrentV ersionRun anahtarını inceleyin ve yukarıda adı gecen dosyalara isaret eden kayıtları silin.Herhangi bir kayıt bulamazsanız trojanın adı değiştirilmiş demektir.Bu durumda aynı Registry anahtarı altında yer alan tüm EXE kayıtlarını not alın ve C:Windows dizinindeki EXE dosyalarıyla karşılaştırın.328 Kb boyutunda olan dosya, adı değiştirilmiş SubSeven trojanıdır.Registry kaydını silin. 5. PC’nizi yeniden başlatın. 6. C:Windows dizinindeki trojan dosyasını silin. WINCRASH Port Numarası: 5742 Dosya Adı: "server.exe" Boyutu: 290 Kb Dizini: "C:WindowsSystem 1. Registry’nizdeki HKEY_LOKAL_MACHINESoftwareMicrosoftWindowsCurrentV ersionRun "MsManager | SERVER.EXE" kaydını silin. 2. PC’nizi MS-DOS kipinde başlatın. 3. "C:WindowsSystemserver.exe" dosyasını silin. 4. PC’nizi yeniden başlatın. |
Nisan Ayının Şampiyon (!) Virüsü: Netsky
MailWatch, Nisan 2004’te 7 milyonun üzerinde virüsü bloke etti. Nisan ayında en sık rastlanan virüs türü Netsky oldu. Dünya çapında kurumsal iletişim ağlarını istenmeyen mesajlara ve virüslere karşı koruyan MailWatch, Nisan 2004’te kurumsal müşterileri adına bloke ettiği virüsleri açıkladı. Nisan ayında 228 milyondan fazla e-posta tarandı. Bu rakam, Mart ayına oranla % 16’lık bir artış olduğunu gösteriyor. MW ayrıca, yalnızca 24 saat içinde 8,24 milyon e-postayı tarayarak 8 milyon sınırını aşmayı başardı. MailWatch, Nisan ayında toplam 7.213.484 virüsün kurumsal bilgisayarlara girmesini önledi. Mart ayında olduğu gibi, Nisan’da da en yaygın görülen virüs Netsky oldu. Nisan ayında durdurulan ilk 10 virüs şöyle: Virüsün Adı Vaka Adedi W32/Netsky.p@MM 2.332.885 W32/Netsky.d@MM 1.415.713 W32/Netsky.p@MM!zip 877.167 W32/Netsky.t@MM 749.967 W32/Netsky.s@MM (ED) 420.525 W32/Netsky.s@MM 405.848 W32/Netsky (ED) 276.101 W32/Netsky.q@MM 254.722 W32/Netsky.b@MM 241.941 W32/Netsky.c@MM 238.615 Toplam 7.213.484 EasyLink Ürün Pazarlama Başkan Yardımcısı Bill Fallon konuyla ilgili bir açıklama yaptı: "Nisan 2004, Netsky ve türevlerinin yoğun biçimde gözlendiği bir ay oldu. Halen İnternet’te 25 farklı Netsky versiyonu var. Tahminlerimize göre bu virüs yaz aylarında da etkisini koruyacak. Günümüzün İnternet’e dayalı iş uygulamalarında istenmeyen e-postalar ve virüsler büyük maliyetler yaratıyor. Fakat MailWatch çözümleri sayesinde bu maliyetlerde önemli düşüşler sağlanabiliyor.” Merkezi New Jersey’de bulunan EasyLink, şirketlerin, ticari ilişkide bulundukları topluluklar ve müşterileri ile olan bilgi alışverişini güçlendiren hizmetler sunmaktadır. EasyLink ağı, global ekonomide para, mal, ürün ve insan hareketleri kapsamında gerçekleşen sigorta talepleri, ticaret ve seyahat onayları, satın alma siparişleri, faturalar, sevk ihbarları ve fon transferleri gibi birçok işlemin yapılmasını kolaylaştırmaktadır. EasyLink, şirketlere, işlerini güvenli, etkili ve esnek ortamlarda elektronik olarak yapma ve rekabet güçlerini artırma imkanı sunmaktadır. kaynak:teknoloji merkezi VIRUS:W32/Bagle.z@MM Risk Seviyesi: Orta Belirtileri: Makinede TCP port 2535’in açılması/dinlenmesi Makinadan sahte gönderen adresine sahip (virüsün şifre korumalı zip dosya içerisinde ek dosya olarak bulunduğu) epostaların gönderilmesi Registry’de Run anahtarında drvsys.exe’nin varlığı Diğer isimleri: WORM_BAGLE.X (Trend Micro) Etkilediği sistemler: Windows 95, 98, ME, NT, 2000 ve XP Bu toplu eposta atma solucanı (worm) aşağıdaki karakteristiklere sahip: * Mesajları göndermede kendi SMTP motorunu kullanıyor * Bulaştığı makinadan eposta adreslerini topluyor * Sahte From: (Gönderen) adresi oluşturuyor * Ek dosya şifreli bir zip dosyası olabiliyor (Şifre mesajın gövdesinde bulunuyor) * Uzaktan erişim bileşeni içeriyor (Virüs yazarını otomatik haberdar ediyor) * Kendi kopyalarını içinde shar kelimesi içeren klasörlere kopyalıyor (bazı genel peer-to-peer dosya paylaşım yazılımları bu tip klasörler kullanıyor. ör: KaZaa, Bearshare, Limewire) Çözüm: Virüsün sisteminize bulaştığından şüpheleniyorsanız ve sisteminizde bir antivirüs yazılımı yüklü değilse Network Associates’in color=#0000ff Stinger aracını indirirek sisteminizi tarayabilirsiniz. Veya Trend Micro’nun ücretsiz online antivirüs tarama/temizleme aracı HouseCall’u kullanabilirsiniz: Antivirüs yazılımı kullananlar güncelleme yaptıktan sonra sistemlerini tarayabilirler. VIRUS : W32.Sober.D@mm Diğer İsimleri: Win32.Sober.D [Computer Associates], W32/Sober.d@MM [McAfee], WORM_SOBER.D [Trend] Tip: Worm (Solucan) Etkilenen Sistemler: Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP Etkilenmeyen SistemlerOS, Linux, Macintosh, OS/2, UNIX, Windows 3.x Visual Basic kullanılarak yazılmış olan W32/Sober.d@MM’nin karakteristik özellikleri aşağıda belirtilmiştir: • Kendisine ait SMTP motoru • Kaynak ve hedef eposta adresleri kurbanın bilgisayarından toplanmaktadır • Mesaj Microsoft tarafindan gönderilmiş bir yama içerdigini iddia etmektedir (İngilizce ve Almanca) • Eposta yayılması Gönderilen epostalar İngilizce ve Almanca içerikli olabilir. Alıcının eposta adresinin bitiş uzantısı mesajın içeriğinin dilini tanımlamak için kullanılmaktadır. Alıcının adresi aşağıdaki uzantıları içeriyorsa eposta Almanca ulaşacaktır: • .de • .ch • .at • .li • @gmx Eposta Microsoft’un W32/Mydoom@MM virüsü için çıkardığı yamayı içerdigini iddia etmektedir. Aşagıda bazı örnekler belirtilmektedir: Gönderen (From): (Gönderen)@microsoft.(ulke ) Gönderen aşağıdaki listelerden alınır: • Info • Center • UpDate • News • Help • Studio • Alert • Security Ülke aşağıdaki listeden seçilir: • de (for messages in German) • at (for messages in German) • com (for messages in English) Konu (Subject): Değişkendir, Alman ve İngiliz alıcılar için cümle aşağıdaki gibi başlamaktadır. • Microsoft Alarm: Bitte Lessen! • Microsoft Alert: Please Read! İçerik: (Almanca) Neue Virus-Variante W32.Mydoom verbreitet sich schnell. Eine neue Mydoom-Variante verbreitet sich derzeit rasend schnell im Internet. Wie seine Vorg Zudem installiert er auf infizierten Systemen einen gefahrlichen Trojaner! Fuhrende Virenspezialisten melden bereis ein vermehrtes Aufkommen des W32.Mydoom alias W32.Novarg. Bitte daten Sie Ihr System mit dem Patch ab, um sich vor diesem Sch +++ +++ Microsoft Deutschland GmbH, Konrad-Zuse-Strasse 1 +++ 85716 Unterschleissheim, HRB 70438, DE 129 415 943 (İngilizce) New MyDoom Virus Variant Detected! A new variant of the W32.Mydoom (W32.Novarg) worm spread rapidly through the Internet. Anti-virus vendor Central Command claims that 1 in 45 e-mails contains the MyDoom virus. The worm also has a backdoor Trojan capability. By default, the Trojan component listens on port 13468. Protection: Please download this digitally signed attachment. This Update includes the functionality of previously released patches. +++ +++ One Microsoft Way, Redmond, Washington 98052 +++ Restricted Rights at 48 CFR 52.227-19 com Ek Dosya (Attachment): .EXE veya .ZIP uzantılı olabilir. İsimler aşağıdaki listeden seçilir. • sys-patch • MS-UD • MS-Security • Patch • Update • MS-Q Kaynak: , , , Virüsün ismi : W32/Sasser-G Diğer(takma) ismi : Worm.Win32.Sasser.g Çalıştığı ve etkilediği sistem : Windows(98/2000/NT/XP) İlk görüldüğü zaman : 20 Eylül 2004 Saat : 10:56:41 Seviyesi : Aktif - Normal Bilgi : Bilinen Sasser virüslerinin son halkası. Worm’un etkileri : =>> Bilgisayarınızdaki yazılımları etkiliyor ya da deği$tiriyor. =>> Internet’den kendini yaymak için zararlı kod’(Code)ler indiriyor. =>> Sistem güvenliğini tamamen azaltıyor. =>> Exe. Dosyalarına bula$ıyor. =>> Kendini Registry’e kaydediyor. =>> Bilgisayarınızdaki bilgileri siliyor yok ediyor. =>> Bilgisayarınızdaki dosyaların isimlerini ve uzantılarını deği$tiriyor. Kaynak : Sophos |
Backdoor.Win32.Surila.k
Surila bir torjan olup, Visual C++ da yazılmıstır. Boyutu 244 kb ila 413 kb arasında değişmektedir. Surila bir kez calıstırıldıgında kendini windows sistem klasorune dx32cxlp.exe olarak kopyalar. Ve asagıdaki registry anahtarılarını yaratır; [HKLMSoftwareMicrosoftWindowsCurrentVersionRun] devsec = %System%dx32cxlp.exe [HKLMSOFTWAREMicrosoftInternet Explorermutexname] burdaki mutexname rastgele bir degerdir ! ilk registry anahtarı sayesinde trojan her tekrar baslatmada otomatik yuklenmeyi saglar. ikinci ahantar ise sisteme kendini tanımlatır. Surila aynı zamanda baslangıc klasorune kendini kopyalar ve windows sistem dosayasında dx32cxconf.ini diye bir dosyada yaratır. Ve servis adı olarakta dx32cxel: %Systemdx32cxel.sys ni yaratır. Ve bilgisayarın internet baglantısında tam yetki için kendini windows FirewallPolicy içinde kayıt ettirir. Bu sayede internetten faydalanan yasal ve zararsız bir program gibi gorunur. Surila asagıdaki IRC serverları komut almak için dinler; 62.241.53.2:4242, 211.233.41.235:4661, 81.23.250.167:4242, 193.19.227.24:4661, 66.98.192.99:3306, 207.44.222.47:4661, 213.158.119.104:4661, 207.44.206.27:4661, 62.241.53.4:4242, 216.127.94.107:4661, 67.15.18.45:3306, 62.241.53.15:4242, 64.246.54.12:3306, 62.241.53.16:4242, 211.214.161.107:4661, 67.15.18.57:3306, 66.98.144.100:4242, 69.50.187.210:4661, 66.111.43.80:4242, 212.199.125.36:8080, 66.90.68.2:6565, 62.241.53.17:4242, 69.50.228.50:4646, 81.23.250.169:4242, 69.57.132.8:4661, 4.246.18.98:4661, 218.78.211.62:4661, 207.44.142.33:4242, 64.246.16.11:4661, 205.209.176.220:4661, 80.64.179.46:4242, 65.75.161.70:4661 Ve ayrıca Surila, AntiVirus programların guncelleme yapmaması için, guncelleme adreslerini[asagıda ki siteleri] 127.0.0.1 IP si ile degiştiriyor. Virüsün ismi : W32/Forbot-Gen Diğer(takma) ismi : W32/Forbot-Gen. Çalıştığı ve etkilediği sistem : Windows(98/2000/NT/XP) İlk görüldüğü zaman : 21 Eylül 2004 Saat : 11:00:25 Seviyesi : Aktif - Normal Bilgi : Bilinen Forbot virüsünün son halkası. Anti’si aynı. W32/Forbot-Gen detects members of the Forbot family of worms. W32/Forbot-Gen worms typically attempt to spread to remote shares and open a backdoor on an infected computer. W32/Forbot-Gen worms typically copy themselves to the Windows system folder and create registry entries under the following ................................s in order to run on system startup: HKLMSoftwareMicrosoftWindowsCurrentVersionRun HKLMSoftwareMicrosoftWindowsCurrentVersionRunOnce HKLMSoftwareMicrosoftWindowsCurrentVersionRunServi ces HKCUSoftwareMicrosoftWindowsCurrentVersionRun HKCUSoftwareMicrosoftWindowsCurrentVersionRunOnce Kurdun (Worm’un) etkileri : =>> Forbot virüslerinin en tipik özelliği IE bağlantısını kesiyor. Bilgisayariniz internete bağlanamıyor. =>> Sistem güvenliğini tamamen azaltıyor. =>> Kendini Registry’e kaydediyor. Kaynak : Sophos W32/Atak-E tip: solucan nasıl bulaşır: emaille etkiledigi sistemler: windows etkileri: ----kendini etkilenmiş bilgisayarda bulunan email adresine gönderir ----bilgisayardaki datayı değiştirir ----göndericinin email adresini hareketlendirir ----kendi email motorunu kullanır ----kendini registrye install eder ilk görüldügü zaman:6 Aralık 2004 05:24:44 (GMT) R34 [ trojan + şifre çalıcı ] unsticky tarafından Visual Basic de yazılmıs, UPX ile sıkıstırılmıs olan bir trojan aynı zamanda bir şifre calıcı olarak gecmekte. Boyutu yaklasık 15.5 kb tır. Tam guncel haldeki AVP antivirus ile 12 aralık 2004 te yapılmıs olan taramada bulunamamıstır. Bilinen özellikleri; !! System32 klasorune ozel bir program ismi ile kendini kopyalamaktadır. !! İlk server ını silip, kopyaladıgı server ile işine devam etmektedir. !! Kendini baslangıca ekleyip, Olay goruntuleyicisinde gorunmemektedir. !! Ad-Aware, Norton, ve McAfee antivirus uygulamalarını devre dışı bırakmaktadır. !! ZoneAlarm, Kerio, ve Windows guvenlik duvarlarını devre dışı bırakmaktadır. !! Olay goruntuleyicisi, MSConfig, RegEdit, sistem Geri donusunu, ve komut istemini devre dısı bırakmaktadır. !! AIM MD5 Hashlarını ve TestBuddy şifrelerini toplamaktadır. !! İç ve Dış iletişimde kullanılan tum IP leri toplamaktadır. !! Ve diğer tum hashlerini, şifreleri, host adlarını ve IP lerini şifrelenmiş özel bir websitesine kaydetmektedir. SistemSurucusu\WINDOWS\system32\msps.exe içine kendini koymakta olup, msps.exe in boyutu yaklasık 15.872 kb tır. Baslangıc içinde HKEY_CURRENT_USERSoftwareMicrosoftWindows NTCurrentVersionWindows "load" data: SistemSurucusu\WINDOWS\system32\msps.exe Kayıtını regeditte olusturmaktadır. Bu trojan ve özellikleri Windows XP işletim sisteminde denenmiştir W32/Zafi.d@MM - Orta Risk Zafi.d virüsü eposta veya P2P paylaşım programları ile yayılıyor. Virüsün bulaşabilmesi için kullanıcının epostadaki ek dosyayı veya P2P ile paylaşılan dosyayı çalıştırması gerekiyor. Karakteristikleri: * Eposta mesajlarını gönderebilmek için Kendi SMTP motorunu kullanıyor. * From: adresini sahte olarak yaratıyor. * Bulaştığı makinadan eposta adreslerini topluyor. * Gönderdiği epostaların gövdesi ya Macarca ya da İngilizce oluyor. * p2p ile yayılabiliyor. * güvenlik servislerini kapatabiliyor. Eposta ile yayılım: Virüs kendisini ZIP, CMD, PIF, BAT veya COM uzantılarına sahip dosyalarda gönderiyor. Aşağıdaki uzantılara sahip dosyalardan eposta adreslerini topluyor: htm wab txt dbx tbb asp php sht adb mbx eml pmr fpt inb Toplanan eposta adresleri System32 klasörü altında rastgele isimlere sahip DLL uzantılı 5 dosyada tutuluyor: ör: c:WINDOWSSYSTEMckolieqt.dll c:WINDOWSSYSTEMfktnxowp.dll c:WINDOWSSYSTEMgczomkgr.dll c:WINDOWSSYSTEMhgtmrsvo.dll Virüs kendisini aşağıdaki kelimeleri içeren eposta adreslerine göndermiyor: yaho win use info help admi webm micro msn hotm suppor syman viru trend secur panda cafee sopho kasper Virüsün gönderdiği eposta Yılbaşı tebriği görüntüsünde oluyor. Virüslü mesajın içeriği daha önceki varyantları gibi alıcı adresinin alan adına göre çeşitli dillerde olabiliyor. Ör. alan adı .com ile biten bir alıcıya ingilizce, .de ile biten bir alıcıya almanca olarak gönderiyor. P2P ile yayılım: Virüs kendisini C: sürücüsünde aşağıdaki kelimeleri içeren klasörlerin içine kopyalıyor: share upload music Kendisini aşağıdaki isimlerde kopyalıyor: winamp 5.7 new!.exe ICQ 2005a new!.exe Kendisinin manuel olarak temizlenmesini engellemek için aşağıdaki kelimeleri içeren işlemlerin çalışmasını engelliyor: reged msconfig task Ayrıca güvenlik duvarı ve Antivirus yazılımı gibi güvenlik servislerini kapatmaya çalışıyor. :%windir%system32 klasörüne aşağıdaki dosyaları bırakıyor: C:WINNTsystem32 .EXE - 11,745 bytes C:WINNTsystem32 C:WINNTsystem32Norton Update.exe - 11,745 bytes C:WINNTsystem32 .DLL - (kendisinin ziplenmiş hali) C:s.cm - 20,552 bytes (winzip dll module) Aşağıdaki registry anahtarı yaratılıyor: HKEY_LOCAL_MACHINESOFTWAREMicrosoftWxp4 Etkilenen sistemde TCP 8181 portu açılıyor. Çözüm: Antivirüs yazılımlarınızı güncelleyerek sistemlerinizi taratın. Manuel temizleme bilgileri kaynak adresinden temin edilebilir |
Gaobot.CKP {worm}
Etkileri : ++ 113 nolu portu acarak, sistemi saldırganların uzaktan kontrol etmesine olanak verir. ++ bulastıgı bilgisayarın CPU, RAM, boş alan, işletim sistemi ve paylaşılan dokumanları gibi bilgileri toplar. ++ bulaştıgı sistemde keylogger olarak calısır ++ bazı oyunların cd keylerini calar ++ bulaştıgı bilgisayardan DDoS atagı gercekleştirir. ++ bazı exe leri yukleyerek, çalıştırır. ++ eger webcam takılıysa resim çeker. Yayılma stratejisi : Windows un sistem dizinine DLLMAN.exe yaratır, bu exe worm un bir kopyasıdır. Ayrıca regedit kayıtlarına; HKEY_CURRENT_USER SOFTWARE Microsoft Windows CurrentVersion Run Windows Online Updater = dllman.exe HKEY_LOCAL_MACHINE SOFTWARE Microsoft Windows CurrentVersion Run Windows Online Updater = dllman.exe HKEY_LOCAL_MACHINE SOFTWARE Microsoft Windows CurrentVersion RunServices Windows Online Updater = dllman.exe satırlarını ekler.. Bu satırların yardımıyla, sistem basladıgında worm otomatik olarak calısır. Bulaşma tarzları : bu worm iP adreslerine saldırır, ve RPC DCOM,WebDAV ve LSASS acıgı bulunan bilgisayara girmeye calısır. Bunun yanında Bagle.A, Mydoom.A, Optix, NetDevil, Kuang ve SubSeven gibi zararlı programlardan etkilenmiş bilgisayarlarada bulaşmaya calısır. Yerel bir agda bulaşmak için paylasıma acık dosyaları dener yada bazı basit kullanıcı adı ve şifrelerini kendi deneyerek ağda bulunan bilgisayarlara girmeye calısır.. Agda bir bilgisayara girdiğinde kendini direk paylasıma acık dosyalara kopyalar.. Bu worm Visual C++ da yazılmıs ve MEW algoritması ile sıkıstırılmıstır. Yaklasık dosya boyutu 100 bytedır. Çıplak virüs’ Wurmark-D’ye dikkat İnternette yeni yıl mesajı taşıyan Wurmark-D adında bir solucan ortaya çıktı. Bilgisayara bulaşan solucan ekranda çıplak erkek ve kadın fotoğrafı çıkarıyor. Güvenlik şirketi Sophos Türkiye temsilcisi Bilser Bilgisayar Pazarlama Müdürü Kerem Dörter, e-postalara ekli bir dosya ile yayılan solucanın, yeni yıl kutlama mesajı görünümünde ulaştığı ve linke tıklandığında solucanın kendisini sinsice sisteme yüklediğini söyledi. NTVMSNBC Teknoloji Servisi’ne konuşan Dörter, solucanın bilgisayara yüklendikten sonra kendisini diğer kullanıcılara gönderdiğini belirtti. ÇIPLAK ‘MUTLU YILLAR’ ALDATIYOR NTVMSNBC Teknoloji Servisi’ne bağlanan Sophos Türkiye yetkilisi Kerem Dörter, Wurmark-D’nin çalıştırıldığında bilgisayarda bulunan adreslere otomatik olarak e-posta gönderdiği ve aynı zamanda anti-virüs programlarını da devre dışı bıraktığını vurguladı. Dosya açıldığında ekrana kadın ve erkek çıplak vücutlarından oluşan ‘Happy New Year” (MUTLU YILLAR) yazısı çıkıyor. Dörter ayrıca, Türkiye’de solucanın yayılımı ile ilgili olarak henüz ciddi bir risk oluşmadığını ifade etti. KURBAN BAYRAMINA DİKKAT Wurmark-D solucanı getirdiği mesajda şöyle diyor: “All the best in new year from our family here is a litle attachment to make you smile in new year email me back haha... Ailemiz size yeni yılda en iyi dileklerini sunar, yeni yıl için yüzünü güldürecek bir ek dosya gönderiyoruz, bize eposta atın ha ha”. Solucan beraberinde zip dosyası olarak, ‘sexy_new_year.scr, HOT_NEW_YEAR.scr, Marry_christmas.scr, with_love.scr, From_my_hart.scr, new_year.scr, and Hot_new_year.scr dosyalarından herhangi birisini gönderiyor. Dörter, ABD ve Avrupalı kullanıcıların Noel tatili dönüşü e-posta kutularında biriken mesajları okurken yanlışlıkla solucanı bilgisayarlarına bulaştırdıklarını, benzer bir sorunun Türkiye’de Kurban Bayramı sonrasında da yaşanabileceği uyarısında bulundu. Dörter, zararlı kod taşıyıma potansiyeli bulunan .scr, .bat, .pif gibi dosyaların doğrudan ağ geçidi ya da mesajlaşma sistemleri üzerinde bloklamalarının faydalı olacağını sözlerine ekledi Yeni çıkan Virüs, Solucan, Truvalar hakkında haberler [VIRUS] Lasco.A Lasco.A virüsü bluetooth üzerinden yayılıyor ve Symbian Series 60 platformunu etkiliyor. [VIRUS] MetalGear.a - Symbian akıllı telefonları için yeni bir virüs Symbian işletim sistemi kullanan mobil telefonları hedefleyen yeni bir truva atı tespit edildi. [VIRUS] Santy.A virüsü yayılmak için Google’ı kullanıyor Santy solucanı PHP Bulletin Board (phpBB) yazılımındaki bir açığı kullanarak yayılıyor. Bu açıktan etkilenen phpBB yazılımlarını bulmak için ise Google arama motorunu kullanıyor. Virüs bulaştığı sunucudaki tüm web sayfalarının içeriğini aşağıdaki yazı ile değiştiriyor: "This Site is Defaced!!! NeverEverNoSanity." Hotmail Mcafee’den Trend Micro’ya geçiyor Pazartesi günü duyurulan yeni anlaşmaya göre Microsoft 187 milyon Hotmail eposta hesabını virüslere karşı korumak için Trend Micro kullanacak. Hotmail’de şu ana kadar Mcafee kullanılıyordu. Microsoft yetkilileri değişikliğin neden yapıldığı konusunda bir açıklama yapmadılar. [VIRUS] W32/Zafi.d@MM - Orta Risk Zafi.d virüsü eposta veya P2P paylaşım programları ile yayılıyor. Virüsün bulaşabilmesi için kullanıcının epostadaki ek dosyayı veya P2P ile paylaşılan dosyayı çalıştırması gerekiyor. Virüsler ve ünlü insanlar: Her tür kötü amaçlı kodu yaymak için etkili formül Ünlü kişilerin isimlerini kullanmak Virüs yazarlarının virüslerini yaymada kullandıkları yöntemlerden biri. Paranızı çalmak için yeni yollar geliştiriliyor Phishing tehditi hakkında bilginiz var ve bankanızdan olduğunu iddia eden bir eposta’nın içinde bir bağlantıya tıklamanız istendiğinde veya kullanıcı ismi ve şifrenizi cevap olarak yazmanız istendiğinde buna gülüp geçerek, epostayıda silerek koruma sağlayacağınızı düşünüyorsanız yanılıyorsunuz. [VIRUS] W32/Mydoom.s@MM (Orta Risk) Bulaşma belirtileri: rasor38a.dll ve winpsd.exe dosyalarının varlığı, ve zenandjuice.com sitelerine http bağlantısı, Eposta ile virüs gönderimi [VIRUS] Eski Bluetooth açığı mobil telefonlar için virüs tehlikesini artırıyor Geçen sene saldırganların MSBlast-tipi bir solucan yaratarak mobil cihazlara kullanıcı müdahelesi gerektirmeden bulaşabilmesine izin veren güvenlik açıkları keşfedilmişti. [VIRUS] En son MyDoom varyantı Yahoo’yu etkiledi MyDoom virüsünün yeni bir çeşidi (MyDOom.Q veya MyDoom.O olarak biliniyor) yeni eposta adresleri bulmak için Yahoo People Search’ü kullanıyor. Cep telefonunda Outlook kullanımı ve virüsler Güvenlik uzmanları cep telefonlarınıza virüslerin girmesinin an meselesi olduğunu söylüyor. Antivirüs firmaları, Vodafone`un cep telefonu ağları üzerinde Microsoft Outlook sunan Yeni Zelanda servisinin virüs saldırılarını arttırabileceğini söylüyorlar. Seksizm`e Karşı Savaş Açan Worm eni çıkan Virüs, Solucan, Truvalar hakkında haberler [VIRUS] Lasco.A Lasco.A virüsü bluetooth üzerinden yayılıyor ve Symbian Series 60 platformunu etkiliyor. [VIRUS] MetalGear.a - Symbian akıllı telefonları için yeni bir virüs Symbian işletim sistemi kullanan mobil telefonları hedefleyen yeni bir truva atı tespit edildi. [VIRUS] Santy.A virüsü yayılmak için Google’ı kullanıyor Santy solucanı PHP Bulletin Board (phpBB) yazılımındaki bir açığı kullanarak yayılıyor. Bu açıktan etkilenen phpBB yazılımlarını bulmak için ise Google arama motorunu kullanıyor. Virüs bulaştığı sunucudaki tüm web sayfalarının içeriğini aşağıdaki yazı ile değiştiriyor: "This Site is Defaced!!! NeverEverNoSanity." Hotmail Mcafee’den Trend Micro’ya geçiyor Pazartesi günü duyurulan yeni anlaşmaya göre Microsoft 187 milyon Hotmail eposta hesabını virüslere karşı korumak için Trend Micro kullanacak. Hotmail’de şu ana kadar Mcafee kullanılıyordu. Microsoft yetkilileri değişikliğin neden yapıldığı konusunda bir açıklama yapmadılar. [VIRUS] W32/Zafi.d@MM - Orta Risk Zafi.d virüsü eposta veya P2P paylaşım programları ile yayılıyor. Virüsün bulaşabilmesi için kullanıcının epostadaki ek dosyayı veya P2P ile paylaşılan dosyayı çalıştırması gerekiyor. Virüsler ve ünlü insanlar: Her tür kötü amaçlı kodu yaymak için etkili formül Ünlü kişilerin isimlerini kullanmak Virüs yazarlarının virüslerini yaymada kullandıkları yöntemlerden biri. Paranızı çalmak için yeni yollar geliştiriliyor Phishing tehditi hakkında bilginiz var ve bankanızdan olduğunu iddia eden bir eposta’nın içinde bir bağlantıya tıklamanız istendiğinde veya kullanıcı ismi ve şifrenizi cevap olarak yazmanız istendiğinde buna gülüp geçerek, epostayıda silerek koruma sağlayacağınızı düşünüyorsanız yanılıyorsunuz. [VIRUS] W32/Mydoom.s@MM (Orta Risk) Bulaşma belirtileri: rasor38a.dll ve winpsd.exe dosyalarının varlığı, ve zenandjuice.com sitelerine http bağlantısı, Eposta ile virüs gönderimi [VIRUS] Eski Bluetooth açığı mobil telefonlar için virüs tehlikesini artırıyor Geçen sene saldırganların MSBlast-tipi bir solucan yaratarak mobil cihazlara kullanıcı müdahelesi gerektirmeden bulaşabilmesine izin veren güvenlik açıkları keşfedilmişti. [VIRUS] En son MyDoom varyantı Yahoo’yu etkiledi MyDoom virüsünün yeni bir çeşidi (MyDOom.Q veya MyDoom.O olarak biliniyor) yeni eposta adresleri bulmak için Yahoo People Search’ü kullanıyor. Cep telefonunda Outlook kullanımı ve virüsler Güvenlik uzmanları cep telefonlarınıza virüslerin girmesinin an meselesi olduğunu söylüyor. Antivirüs firmaları, Vodafone`un cep telefonu ağları üzerinde Microsoft Outlook sunan Yeni Zelanda servisinin virüs saldırılarını arttırabileceğini söylüyorlar. Seksizm`e Karşı Savaş Açan Worm SAN FRANCISCO, California (Reuters) - Bir güvenlik şirketinin pazartesi günü yaptığı açıklamaya göre, 17 yaşında olduğunu iddia eden bir kız çocuğu, kadınların da bilgisayar virüsü yazabileceğini kanıtlamak ve Seksizm`e karşı sesini duyurmak için Microsoft`un .NET Web servisi platformunu hedef alan yeni bir worm yazdığını belirtti. W32/Maldal-I ----------=[ Diğer Adları ]=---------- DAZ2ME Worm MALDAL.I MALDAL VBS/Britney-A Diğer Adları: VBS/Breetnee VBS/BritneyPic@MM worm/BritneyPic WORM_YARNER.A Diğer Adları: YARNER.A YAWSETUP WORM_YARNER.B WORM_YARNER.GEN W32.Yarner.A@mm Yeni Virüs - WORM_YAHA.A Platform: Windows Boyutu: 20,992 Byte - UPX ile sıkıştırılmış Diğer isimleri: W32/Yaha@mm, YAHA.A Yeni virüs - JS/Coolnow-A Diğer isimleri: JS.Menger.worm Yeni virüs - VBS_NUMGAME.A Risk oranı: Orta Virüs tipi: VBScript Diğer isimleri: VBS/NumGame@mm, NUMGAME.A Boyutu: 21,194 Byte (HTML) 12,969 Byte (VBE) Apple kendi kullanıcılarına virüs gönderdi Apple`ın İsveçteki merkezi müşterilerine ve bayilerine eposta ile virüs gönderdi. Yeni virus - W32.Led@mm Diğer isimleri: W32/Fagled@MM, Win32.Fagled Tipi: Solucan/Worm W32/Maldal-I ----------=[ Diğer Adları ]=---------- DAZ2ME Worm MALDAL.I MALDAL VBS/Britney-A Diğer Adları: VBS/Breetnee VBS/BritneyPic@MM worm/BritneyPic WORM_YARNER.A Diğer Adları: YARNER.A YAWSETUP WORM_YARNER.B WORM_YARNER.GEN W32.Yarner.A@mm Yeni Virüs - WORM_YAHA.A Platform: Windows Boyutu: 20,992 Byte - UPX ile sıkıştırılmış Diğer isimleri: W32/Yaha@mm, YAHA.A Yeni virüs - JS/Coolnow-A Diğer isimleri: JS.Menger.worm Yeni virüs - VBS_NUMGAME.A Risk oranı: Orta Virüs tipi: VBScript Diğer isimleri: VBS/NumGame@mm, NUMGAME.A Boyutu: 21,194 Byte (HTML) 12,969 Byte (VBE) Apple kendi kullanıcılarına virüs gönderdi Apple`ın İsveçteki merkezi müşterilerine ve bayilerine eposta ile virüs gönderdi. Yeni virus - W32.Led@mm Diğer isimleri: W32/Fagled@MM, Win32.Fagled Tipi: Solucan/Worm Anti-virüs şirketleri Bagle virüsünün yeni varyantının haftasonunda hızla yayıldığını duyurdu. Kendisini şaka gibi gösteren virüs, bulaştığı bilgisayarları ele geçirerek sistemin güvenlik önlemlerini kapatmaya çalışıyor. Yeni Bağle, en hızlı yayılan virüsler arasına girmesine rağmen, şu ana kadar çok büyük zarara yol açmadığı belirtiliyor. İlişikte "Price’ ve ’Joke’ başlıklı bir dosya ile birlikte gelen yeni Bagle varyantı, ’Bagle.AT’, ’Bagle.BB’ ve ’Bağle.Au’ olarak adlandırılıyor. Solucanın çok küçük farklılıklar içeren ’Bagle.bd’ ve ’Bagle.bc’ adlı iki ayrı versiyonu daha var. Konu başlığında, ’Re:, Re: Hello, Re: Hi, Re: Thank You! ve Re: Thanks ’ gibi ifadeler yer alan e-postanın mesaj kısmında ise genelde bir gülümseme ikonu dışında başka bir şey bulunmuyor. Fırewall’u Kapatmaya Çalışıyor Microsoft’un, Windows 95, 98, ME, NT, 2000 ve XP işletim sistemlerinde etkili olabilen virüs, bulaştığı bilgisayardaki Outlook programındaki e-posta adreslerini ele geçirerek, kendi posta gönderme yazılımını kullanarak başka adreslere yayılıyor. Virüs bunun yanı sıra, bilgisayarın güvenlik duvarını (firewall) ve XP’deki güvenlik merkezi uygulamalarını devre dışı bırakmaya çalışıyor. Online güvenlik şirketleri, bilgisayar kullanıcılarını bu içerikteki mesajlara karşı dikkatli olmaya çağırırken, anti-virüs yazılımlarını da güncellemelerini öneriyor. Anti-virüs firmalarının çoğu virüsle ilgili uyarı yayınlarken farklı risk dereceleri açıkladı. Amerikalı Panda yeni varyant için kırmızı alarm yayınlarken. Messagelabs ilk ortaya çıktığı cuma günü virüsün 900 bin kopyasına rastladıklarını duyurdu. Finlandiyalı F-Secure yeni Bagle’a en yüksek ikinci tehdit derecesi verirken, McAfee Bagle’ı orta riskli buldu. Black Spider ise virüsün ortaya çıktığı andan itibaren 1 milyon kopyayı engellediklerini belirtti. Sophos’tan yapılan açıklamada da tüm dünyada çeşitli müşterilerden Bagle ihbarları yağdığı belirtildi. İlk olarak 19 Ocak’ta ortaya çıkan Bagle solucanının bugüne kadar 40’tan fazla versiyonu bulunmuştu. W32/Kipis-I W32/Kipis-I is an email worm for the Windows platform. The worm harvests email addresses from files with the following file extensions: ADB DBX DOC EML HTM HTML TBB TXT UIN XLS XML The email sent by W32/Kipis-I has the following properties: Subjects: Valentine’s day Present your Happy day Happy Valentine’s day your love here hi you my love.. Re: My porno Message texts: With the coming Valentine’s day! I very much love you. Please see my flash present. I congratulate on the coming Valentine’s day! My gift to you. love you! ,congratulate!" Thank you!!! ----Original Message---- From: <random address> To: <random address> Sent: <time/date> Subject: My porno Attached file: your present present flash love love Valentine porn porno_03 Joke nude My nude_04 Attachment extension: .scr .exe From: <current user> adam alex anna brenda dana dave linda liza maria mary mike rosa sandra stan stiv Note: The "from" field consists of one of the above names and "@<domain names found when harvesting email addresses>" W32/Kipis-I will not send emails to addresses which contain any of the following strings: .edu .gov abuse accoun antivir bitdefen borlan bugs cafee contact drweb e-trust- f-prot foo. help icrosoft info iruslis kaspersky klamav listserv mailer messagelab news newviru nod32 nodomai norman panda podpiska privacy rar rating register ripe. sales secur sendmail service soft software. sopho support sybari symante virus webmaster winrar winzip İlk görüldüğü tarih : 17 February 2005 21:11:43 Takma ismi : Email-Worm.Win32.Kipis.k Etkilediği İ$letim Sistemleri : Windows/98/2000/NT/XP Yayılması : E-mail (E-postalar ile) Seviyesi : Normal - Aktif Etkileri : =>> E-mail’inizden bilgisayarınıza bula$ıyor. =>> E-mail’inizdeki listelerinizi siliyor. =>> E-mail’inizin geç acılmasina sebeb oluyor. =>> Kendini Registry’e kaydediyor. =>> ve her virüs’ün yaptığı gibi bilgisayarınızı yava$latıyor. Kaynak : Sophos |
W32/MyDoom-BC
W32/MyDoom-BC is an email worm for the Windows platform. Email sent by the worm has characteristics similar to the following examples: Subject line: hi error test Message could not be delivered Message bOdy: Dear user of <domain> Mail server administrator of <domain> would like to inform you that We have detected that your e-mail account has been used to send a large amount of unsolicited e-mail messages during this recent week. We suspect that your computer had been compromised by a recent virus and now runs a trojan proxy server. Please follow our instructions in the attachment file in order to keep your computer safe. Virtually yours <domain> user support team. Attached file: attachment.com letter.zip <username>.exe İsmi : MyDoom-BC Takma İsmi : W32/Mydoom.db@MM Worm.Mydoom.M-2 İlk Görüldüğü Tarih : 20 $ubat 2004 / 23:11 TM Etkilediği Sistemler : Windows Kısaca Tanımı : Tipik MyDoom virüsü serisinin bir halkasıdır. MyDoom’un etkilerini aynen devam ettirmektedir. Etkileri : =>> Kendini registry’e kaydeder. =>> E-mail ile çoğalır. =>> Sisteminizi yava$latır. =>> E-mail’inizi açmanızı engeller. =>> Explorer’ı açmanızı engeller. Seviyesi : Normal - Aktif Not : MyDoom’u durdurabilen her AntiVirüs bu virüsüde durdurabilir. Kaynak : Sophos W32/Forbot-EG Diğer ismi : Backdoor.Win32.PdPinch.gen Tipi : Trojan Yayılması : Ağ ve Ağ payla$ımları Çalı$tığı sistem : Windows ilk göründüğü zaman : 21 Şubat 2005 14:28 Tanımı(kısaca) : W32/Forbot-EG ağın içine kurdu bırakarak IRC trojanları bilgisayarınıza sokmaktadır. IRC trojanları aktif hale getirmektedir. Seviyesi : Aktif - Normal Kaynak : Sophos W32/Sdranck-A Diğer ismi : Trojan-Proxy.Win32.Ranky.bc W32/Sdbot.worm.gen Tipi : Ağ’lara saldıran kurt , trojan Tutunduğu yer : pencere açıkları , e$ikleri Çalı$tığı sistem : Windows i$letim sistemleri Yan sonuç : Walware İlk görüldüğü zaman : 23 Şubat 2005 / 16:28 TM Seviyesi : Aktif - Saldırgan Hakkında bilgi : Ağ payla$ımlarından bilgisayarınıza sızıyor. Ağ payla$ımlarınızı etkin hale getiriyor. Trojan ile Ağ’ınızı yok ediyor ya da kullanıcılara aktif hale getiriyor. Bilgisayarınızı yava$latıyor. Antisi : Bu virüs’ün henüz daha anti’si yok. Ama benzerinin antisi var. Benzerini indirmek ve çalı$tırmak için : tıklamanız yeterlidir. Benzer özellikledeki virüslerin antileri de aynidir. Kaynak : Sophos Güvenlik $irketi W32/MyDoom-BD Diğer ismi : Email-Worm.Win32.Mydoom.am W32/Mydoom.bd@MM WORM_MYDOOM.BD Tipi : Kurt , Solucan Çalıştığı Sistem : Windows İlk görüldüğü zaman : 24 Şubat 2005 06:46 PM Seviyesi : Aktif - Normal Yayılması : E-mail ile. Hakkında bilgi : =>> tipik MyDoom’un devam serisinden bir virüs daha. =>> Bilgisayarınızda backdoor yani arka kapılar açar. =>> E-mail’inize yerle$ir. =>> Email’inizi kullanarak ba$kalarına bula$ır. =>> Bilgisayarınız ve verileriniz üzerinde deği$iklik yapar. Sonuç : MyDoom’u durdurabilen bir antivirüs bunda da i$e yarayabilir. Ama genede AntiVirüs’ü için : =>> Adresinden yararlanabilirsiniz. Kaynak : Sophos Güvenlik Şirketi W32/Codbot- esk Diğer ismi : yok Tipi : Trojan , solucan Çalı$tığı sistem : Windows İlk görüldüğü zaman : 24 Şubat 2005 10:52 Kendini Güncelle$tirdiği Tarih : 24 Şubat 2005 18:47 Seviyesi : Aktif - Normal Hakkında Bilgi : =>> Pencere e$iklerine tutunuyor. =>> Ağ payla$ımından dağılabiliyor. =>> Install’deki bilgileri siliyor. Bilgi ekliyor. =>> Her Trojan gibi bilgisayarınızı yava$latıyor. Antisi için download : Kaynak : Sophos Güvenlik $irketi |
bilgi için sağol..
|
W32/Kelvir-A
Diğer ismi : IM-Worm.Win32.Kelvir.a W32/Kelvir.worm.a Tipi : Kurt Çalı$tığı Sistem : Windows İlk Görüldüğü Zaman : 25 Şubat 2005 12:55 Seviyesi : Aktif - Normal Hakkında Bilgi : =>> Mirc vb. internet üzerinden yapılan sohbet ( chat ) programlarindan yayılıyor. =>> Ayrıca sohbet sitelerinden download ettiğinizde de bilgisayarınıza bula$abiliyor. =>> Bilgisayarınızı yava$latıyor. =>> Ba$kalarının girmesini sağlayacak backdoor ( arka kapı ) ’lar bırakıyor. Antisi : Kurt’un henüz antisi yok. Ama buna benzer bir Kurt’un Antisi için ; indirerek korunabilirsiniz. Kaynak : Sophos Güvenlik $irketi W32/Sdranck-B Diğer ismi : yok Tipi : Kurt Çalı$tığı Sistem : Windows İlk Görüldüğü Zaman : 25 Şubat 2005 21:40 Seviyesi : Aktif - Yüksek Hakkında Bilgi : =>> Internet üzerinden Download’lardan yayılıyor. =>> E-mail’lerden yayılıyor. =>> Install’deki yazılımları etkiliyor. Kendini kaydediyor. =>> Registry’e kaydediyor. =>> Olağanüstü ba$arılı bir virüs. =>> Bilgisayarınızda backdoor ( arka kapı ) ’lar bırakır. =>> Ağ payla$ımlarınızı etkiler. Antisi : Virüsün’ün Antisi henüz yok! Ama benzerini indirmek ve korunmak için ; Adresinden Download edebilirsiniz. Kaynak : Sophos Güvenlik $irketi W32/Poebot-I Diğer ismi : Backdoor.Win32.Poebot-I BKDR_POEBOT.B Tipi : Kurt Çalı$tığı Sistem : Windows İlk Görüldüğü Zaman : 26 Şubat 2005 16:10 Seviyesi : Aktif - Normal Hakkında Bilgi : =>> Bilgisayarınıza Download’lardan bula$ıyor. =>> Bilgisayarınız backdoor ( arka kapı ) ’lar bırakıyor. =>> Bilgisayarınızaki yazılımları etkiliyor, siliyor. =>> Bilgisayarınızdaki sistem güvenliğini azaltıyor. Antisi : Antisi henüz yok ! Benzer bir virüsün antisi için download ; Adresinden download edebilirsiniz. Kaynak : Sophos Güvenlik $irketi W32.Sober.Kamm Diger ismi : W32/Sober.laMM, Sober.M, W32/Sober-K Tipi : Internet Worm Calistigi Sistem : Windows Ilk Görüldügü Zaman : 21 Subat 2005 13.00 bir mail yollandigi zaman gorulmustur Seviyesi : Yuksek ve Tehlikeli Hakkinda Bilgi : Sober Kamm virusu toplu bir mesajda yollandan bir virustur. Kendi SMTP serverini kullanarak kendisini cogaltmakta. Eger surekli bir baglanti yoksa telefondan internete otomatikmen baglaniyor. Bu virusu TCP port 37de surekli trafik oldugunda tanirsiniz. Taniyabileceginiz dosyalar(windows/system dosyasinda asagidaki isimlerin 2 exe. uzantili dosyalarda): 32 crypt, data, diag, dir, disc, expoler, host, log, run, service, smss32, spool, sys, win --> Yeni Teknik ve teknolojilerle yapilmis bir virus = 15/100 --> Her sistemde calisan bir virus = 50/100 --> Mail, internet uzerinde dolasirken ve benzeri seylerde bulasan bir virus = 20/100 --> Bilgisayara zarar veren ve bulastiginda zor silinen bir virus 15/100 Ortalama olarak bu virusun bulasma tehlikesi yuksek ve bilgisayardan silin Antisi : Ilk once makinenizi guvenli moduse gecirin. Sonra yukarida yazilan 2 exe. uzantili dosyalari HKEY_LOCAL_MACHINE(calistir-> sonra regedit) burda bulmaniz gerekiyor. Bunlari sildikten sonra makineyi kapataniz ve 30 saniye sonra aciniz. Makinenizi bir virus tarama programindan geciriniz. Bu tarama programini kullandiktan sonra varsa eger daha ust versiyonunu yukleyiniz. Kaynak : (c) 2005, VirusAlert () Bagle bu kez Truva Atı oldu Bagle’ın Truva Atı yeni versiyonu BagleDl-L internette hızla yayılıyor. Güvenlik firması Sophos Türkiye uzmanı Kerem Dörter, BagleDl-L’in güvenlik uygulamalarını devre dışı bırakmaya ve kullanıcının bilgisayarını önceden programlanmış internet sitelerine bağladığını belirtti. Truva atının içinde ‘doc_01.exe’ ve ‘prs_03.exe’ veya benzer programlar içeren zip dosyaları ile yayıldığını ifade edildi. Kaynak : Sophos Güvenlik Şirketi Paris Hilton virüsü Hilton otellerinin varisi ve magazin dünyasının son bir yıldır en popüler sosyete mensubu Paris Hilton’un açık resimlerini içerdiğini söyen bir e-mail kurtçuğu yayılmaya başladı. Sophos, e-mail yoluyla yayılan Sober.K kurtçuğunun şu anda en çok rastlanılan üçüncü kurtçuk olduğunu, son 24 saatte bulunan tüm virüslerin yüzde 10’unu oluşturduğunu rapor etti. Sophos’da kıdemli teknoloji analisti olan Graham Cluley, “Bu son Sober kurtçuğu türevi, e-mail kutularını açanları gafil avlayabilir” diyor ve ekliyor, “Gerçi geçmişteki virüs deneyimleri, kullanıcıları e-mail eklerini tıklama konusunda biraz bilinçlendirdi, ancak bazıları buna hala direniyorlar. Bütün kullanıcılar, güvenli bilgi işlem için belirli yolları izlemeli ve son antivirüs update’leri ile PC’lerini güvenceye almalılar.” Yeni Sober türevi Almanca ve İngilizce olarak geliyor ve çeşitli konu başlıkları kullanıyor, bunların arasında "Paris Hilton, pure!" ve "Paris Hilton SexVideos" da var. Geçen yıl çıkan Zafi.D kurtçuğu ise, son 24 saatte bütün raporların yüzde 27.6’sında yer alarak, Sophos’un en çok karşılaştığı virüs oldu. Harry Potter Netsky.P ise yüzde 22.4’lük oranı ile ikinci sırada yer alıyor. Hilton, bir Internet olgusu olarak ev video’larının başında geldiğinden, oldukça ilgi çekiyor. Sober.K kurtçuğunun görüldüğü gün, hacker’ların Hilton’un cep telefonunu ve içindeki telefon numaralarını çalarak Internet’te yayınladıkları rapor edildi. Bu hafta bulunan ikinci en tehlikeli kurtçuk Ahker-C de benzer bir taktik kullanıyor. Ahker-C, antivirüs ve firewall ayarlarını devre dışı bırakıp bazı Web sitelerine erişimi engelliyor. Konu satırında "Paris Hilton...download it!" yazan ve ekinde virüs içeren "ParisXXX.zip" dosyası bulunan bir e-mail ile yayılıyor. Kaynak : Sophos Güvenlik $irketi / İHA Bagle” kurdunun yeni versiyonuna dikkat! Son Güncellenmesi : 03.03.2005 / 08:48 TM =>> Hakkında Bilgi : -Secure ve H+BEDV antivirüs yazılımı geliştiricileri kullanıcıları, “Bagle” internet kurdunun yeni bir versiyonuna karşı uyarıyor. Her iki firma da söz konusu zararlı programın e-posta aracılığıyla hızlı bir şekilde yayıldığını tespit etmişler. Bu zararlının asıl amacı virüs koruma yazılımlarının güncelleme rutinlerini bozmak. Bunun için ilk olarak Windows’un “Hosts” dosyasında değişiklik yapıyor. Kurt, bu dosya içerisinde yaptığı değişiklikleri F-Secure, McAfee, Kaspersky ve Symantec sayfalarını ulaşılmasını engelliyor. Bunun haricinde “Bagle.BB”, Windows’un kayıt defterindeki “Background Intelligent Transfer Services” hizmetini kontrol eden öğeleri de değiştiriyor. Bu işletim sistemi hizmeti, özellikle güvenlik yamalarının otomatik olarak yüklenmelerini sağlayan Windows Update tarafından kullanılıyor. Bagle versiyonu kendi oluşturduğu “Winhost.EXE” veya “Wiwhost.EXE” isimli dosyaları da bilgisayarda bulduğu tüm e-posta adreslerine gönderiyor. Etkinleştirilen kurt ayrıca bir çok web sayfasında bulunan “Zo2.JPG” dosyasını da yüklemeye çalışıyor. Bu işlem, söz konusu dosya web sunucularında bulunmadığı için genellikle hata veriyor. F-Secure ve H+BEDV firmaları, bu kurdu tanıyan ve bulaşmasını engelleyen yeni virüs tanımlama dosyalarını da yayınladılar. Not : Bu Bagle’nin son bir haftada iki yeni version’u cikti. Birinci version’u Trojan’di Onu sizlere yukarida bahsetmi$tim. Bu’da ikinci version’u henüz Antivirüs’ü yok. Ama Normal BAGLE ’i silen bir antivirüs bununda hakkında gelebilir. SAYGILARIMLA |
=>> Hakkında bilgi :
Zafi.d virüsü eposta veya P2P paylaşım programları ile yayılıyor. Virüsün bulaşabilmesi için kullanıcının epostadaki ek dosyayı veya P2P ile paylaşılan dosyayı çalıştırması gerekiyor. =>> Karakteristikleri: * Eposta mesajlarını gönderebilmek için Kendi SMTP motorunu kullanıyor. * From: adresini sahte olarak yaratıyor. * Bulaştığı makinadan eposta adreslerini topluyor. * Gönderdiği epostaların gövdesi ya Macarca ya da İngilizce oluyor. * p2p ile yayılabiliyor. * güvenlik servislerini kapatabiliyor. =>> Eposta ile yayılım: Virüs kendisini ZIP, CMD, PIF, BAT veya COM uzantılarına sahip dosyalarda gönderiyor. Aşağıdaki uzantılara sahip dosyalardan eposta adreslerini topluyor: htm wab txt dbx tbb asp php sht adb mbx eml pmr fpt inb Toplanan eposta adresleri System32 klasörü altında rastgele isimlere sahip DLL uzantılı 5 dosyada tutuluyor: ör: c:WINDOWSSYSTEMckolieqt.dll c:WINDOWSSYSTEMfktnxowp.dll c:WINDOWSSYSTEMgczomkgr.dll c:WINDOWSSYSTEMhgtmrsvo.dll Virüs kendisini aşağıdaki kelimeleri içeren eposta adreslerine göndermiyor: yaho win use info help admi webm micro msn hotm suppor syman viru trend secur panda cafee sopho kasper Virüsün gönderdiği eposta Yılbaşı tebriği görüntüsünde oluyor. Virüslü mesajın içeriği daha önceki varyantları gibi alıcı adresinin alan adına göre çeşitli dillerde olabiliyor. Ör. alan adı .com ile biten bir alıcıya ingilizce, .de ile biten bir alıcıya almanca olarak gönderiyor. =>> P2P ile yayılım: Virüs kendisini C: sürücüsünde aşağıdaki kelimeleri içeren klasörlerin içine kopyalıyor: share upload music Kendisini aşağıdaki isimlerde kopyalıyor: winamp 5.7 new!.exe ICQ 2005a new!.exe Kendisinin manuel olarak temizlenmesini engellemek için aşağıdaki kelimeleri içeren işlemlerin çalışmasını engelliyor: reged msconfig task Ayrıca güvenlik duvarı ve Antivirus yazılımı gibi güvenlik servislerini kapatmaya çalışıyor. =>> Semptomlar: Virüs çalıştırıldığında aşağıdaki sahte mesajı gösteriyor: IMG height=118 alt= src= http://www.olympos.org/ezimagecatalogue/catalogue/att5C.tmp.gif"> Zafi.d %windir%system32 klasörüne aşağıdaki dosyaları bırakıyor: C:WINNTsystem32 .EXE - 11,745 bytes C:WINNTsystem32 C:WINNTsystem32Norton Update.exe - 11,745 bytes C:WINNTsystem32 .DLL - (kendisinin ziplenmiş hali) C:s.cm - 20,552 bytes (winzip dll module) Aşağıdaki registry anahtarı yaratılıyor: HKEY_LOCAL_MACHINESOFTWAREMicrosoftWxp4 Etkilenen sistemde TCP 8181 portu açılıyor. =>> Çözüm: Antivirüs yazılımlarınızı güncelleyerek sistemlerinizi taratın. Manuel temizleme bilgileri kaynak adresinden temin edilebilir. W32/Elitper-C Diğer ismi : WORM_ELITPER.C İlk Görüldüğü Tarih : 11 Mart 14:01:25 Etkilediği Sistem : Windows Etkileri : =>> Chat programlarından bula$ıyor ve çoğalıyor. =>> Network’unu etkiliyor. =>> Peer-To-Peer’i ekleniyor. =>> Bilgisayarınızdaki bilgileri düzenliyor ( kendine göre kod’lar ekliyor. ) =>> Sistem güvenliğinizi en dü$ük seviyeye indiriyor. =>> Kendini registery’e kaydediyor. =>> Bilgisayarınıza DDOS ataklarını yönlendiriyor ve bu ataklardan zarar görmenize neden oluyor. W32/Elitper-C is a worm for the Windows platform that targets common Peer to Peer (P2P) filesharing applications. W32/Elitper-C spreads by coping itself with the filename WWE Torrie And Sable Screan Saver.exe to the shared folders of the following P2P utilities: Edonkey2000 BearShare Grokster Morpheus KaZaA Lite Kazaa KMD W32/Elitper-C modifies an mIRC script.ini file so the worm will be send out on joining the service. W32/Elitper-C also attempts to copy itself to the root folder of the C, D and E drives on available network shares. Seviyesi : Aktif - Normal Tipi : Kurd / Solucan Anti’si için yükleme adresi : W32/Rbot-XM Diğer ismi : Backdoor.Win32.Rbot.gen İlk Görüldüğü Tarih : 11 Mart 2005 / 09:07:45 PM Etkilediği Sistem : Windows Etkileri : =>> Ağ payla$ımlarınızı etkiliyor. =>> Bilgisayarınızdaki Anti-Virüs’lerin çalı$masını engelliyor. =>> Bilgisayarınızda arka kapılar bırakır. =>> Kendini registery’e kaydeder. =>> Keystrokes’e kaydediyor ve etkiliyor. =>> Sistem güvenliğinizi dü$ürüyor. Tipi : Trojan (arka kapı ) backdoor. Seviyesi : Aktif - Normal |
Troj/HideDial-D
Diğer ismi : Trojan-Downloader.Win32.Tibser.c Trojan.Downloader.Tibser-3 İlk görüldüğü zaman : 18-Mart-2005 // 13:54:28 Etkilediği sistem : windows Etkileri : =>> Kendini registery’e kaydediyor,yazıyor. =>> malvare’i sıfırlıyor. =>> Sisteminizi a$ırı yava$latıyor. Antisi için download adresi : Kaynak : Sophos Güvenlik $irketi W32/Rbot-YN Diğer ismi : Tanımlanamıyor. İlk görüldüğü zaman : 18 Mart 2004 Güncellenme zamanı : 18 Mart 2005 ( Virüs kendini Uptade etmi$tir ) Etkilediği sistem : Windows Etkileri : =>> Anti-Virüs sisteminizi cali$manizi engeller. =>> Bilgisayarınızda açıklar yaratır. =>> information’u açar. =>> Bilgisyarınıza zararlı kod’lar indirir,yazar,çoğaltır. =>> $ifrelerinizi deği$tirir,siler. =>> Bilgisayarınızın ses sistemlerini etkiler. =>> Bilgisayarınızın güvenliğini azaltır. =>> Sistemizin yava$lamasina neden olur. Seviyesi : Aktif - Yüksek Risk Anti-Virüs Uptade için download adresi : Kaynak : Sophos Güvenlik $irketi W32/Amus-A -HAMSi ViRUSU ismi: W32/Amus-A By hamsi nerden girebilir: Epostadan windows: butun windows os lerde calisiyor Registry den silmek bakmak HKLMSoftwareMicrosoftWindowsCurrentVersionRun\\\ Microzoft_Ofiz=C:WINDOWSKdzEregli.exe. HKCUSoftwareMicrosoftMasum\\ kim = "OnEmLi_DeGiL" HKLMSOFTWAREMicrosoftInternet\ ExplorerMain\ başlamak sayfa=Konneting du pepil and dizkoneting you. Anlami: Baglansan ne olacak, baglanmasan ne olacak. Zaten hatlar burada rezalet." Virus acildiginda karsimiza bir hamsi baligi geliyor. Bu hamsi karsimiza geldiiginde konusmaya basliyor søyle diyor!! "How are you? I am back. My name is mister hamsi. I am seeing you. Haaaaaaaa. You must come to turkiye. I am cleaning your computer. 5. 4. 3. 2. 1. 0. Gule. Gule." ve virusu harekete geciyor ve pc kapaniyor İnternette cirit atan bilgisayar virüslerine Bir Türk tarafından yazıldıgı sanılan Amus (Hamsi Bey) adlı yeni bir solucan katıldı. Amus adlı yeni bir solucan internette dolaşıyor. Virüs salgın haline gelmiş olmasa da kurbanlarıyla konusması dikkat çekiyor.. Haberlerde bunlar. NELERI SILIYOR HAMSI VIRUSU: Butun INI files leri windows dosyasindakileri siliyor. Tarih 2,15 yada 17 i gøsteriyorsa windowsda butun dll dosyalarini siler. Internet exploreri actiginizda anasayfaniz yok ama søyle bir mesaj geliyor Konneting du pepil and dizkoneting you. Anlami: Baglansan ne olacak, baglanmasan ne olacak. Zaten hatlar burada rezalet. yaziyor. Hamsi virusunu dinlemek icin buraya bakabilirsiniz W32/Rbot-DP Diğer ismi : Tanımlanamıyor. İlk görüldüğü zaman : 13 - nisan - 2004 Son görüldüğü zaman : 24 - mayıs - 2005 Not : Virüs kendini uptade ile güncellemi$tir. Etkilediği sistem : Windows Etkileri : =>> Kendini registery’e kaydeder. =>> Bilgisayarınızın güvenliğini sıfırlar. =>> Anti-Virüs cali$masini engeller. =>> Bilgisayarınızda arka kapılar yaratır. Tipi : Kurd/Solucan Anti’sini Download etmek için adres : Kaynak : Sophos Güvenlik $irketi CNN TARAFINDAN DUYURULDU LÜTFEN DIKKAT !!!! Dikkat Bugün itibariyle hayatimiza yepyeni yaratilmis bir virüs girmektedir. Yeni virüs Microsoft tarafindan simdiye dek sisteminize en büyük zarari verebilecek virüs programi olarak nitelendirilmistir..! Bu virüs dün ögleden sonra McAfee firmasi tarafindan bulunmus olup henüz virüse karsi hiç bir savunma gelistirilememistir.! Virüs basitçe harddisk üzerinde sifir sektör olarak tanimladigimiz bölümü kullanilamaz hale getirmektedir ki, bu bölüm bilgisayarinizin tüm sanal belleginin ve sistem bilgilerinin saklandigi yani bilgisayarinizi kullanmaniza olanak veren bilgilerin depolandigi kisimdir. Virüs su sekilde aktif hale gelmektedir: Virüslü dosya aktif hale >geldikten sonra kontakt listenizdeki tüm alicilara "A Card For You" konu baslikli bir mail olarak kendi kendini göndermektedir. Eger alici bu sanal karti açarsa, öncelikle bilgisayari kitlenmekte ve kullanici bilgisayarini yeniden baslatmak zorunda kalmaktadir. Ctrl+alt+del tuslari veya reset tusuna basildiginda ise, virüs islevini göstermekte ve sifir sektörü bozmaktadir, Bu da harddiskinizin kalici olarak devre disi kalmasi anlamina gelmektedir. Virüs Dün New York da çok kisa bir süre içinde büyük panik yaslanmasina sebep oldu, duyurulan bir habere göre; bu mail Microsoft çalisanlarinca dahil alinmis durumda. "A Virtual Card for You." konu baslikli bir maili ASLA AÇMAYINIZ. Böyle bir mail aldiginiz takdirde göndericiyi tanisaniz bile maili açmadan direkt olarak siliniz . not: nasıl silindiği hakkında bilgim yok Bobax solucanın iki yeni varyantı bulundu Bu solucanlar Sasser solucanının bulduğu gibi Windows’un LSASS açığından faydalanarak yayılıyor ve bilgisayarları spam mailler göndermesi için zombilere çeviriyor. Panda Laboratuarları bir trojan görünümünde olan Ldpinch.W ‘i buldu. Bu Trojan e-mailde “Iraktaki askerlerimiz hakkında önemli bir haber” konulu bir mesaj gizliyor. Panda Laboratuarları Bobax solucanının B ve C varyantlarını buldu. Bobax.A solucanına dahil olan bu iki yeni zararlı kod birkaç gün önce keşfedildi. Sonuçta Bobax solucanının bir varyantının bilgisayarlara bulaşma olasılığı oldukça yüksek. Sasser solucan ailesi gibi Bobax solucanının üç varyantı Windows’un LSASS açığından yararlanarak yayılıyor. Bu solucanlar LSASS açığı varolan bilgisayarlarda büyük numaralı IP adreslerine erişmeye çalıştığı görülüyor. Bu durumda Bobax, etkilenen bilgisayarlara solucanının bir kopyasını yüklemek için emirler gönderir. LSASS açığından yararlanan herhangi Bobax solucanı olduğunda önbellek taşmasına neden olur ve etkilen sistemi yeniden başlatır. LSASS açığı Windows XP ve 2000 işletim sistemlerini etkiliyor olsa bile Bobax solucanı ve varyantları diğer Windows platformlarına yayılabiliyorlar. Bununla birlikte sonraki durumda solucanlar otomatik bir biçimde bilgisayarlara yayılmıyorlar fakat kullanıcı virüslü sistemlerde Bobax örneği içeren bir dosya çalıştırmalıdır. Bobax solucanı bilgisayara bir kez yüklendiğinde, etkilenen sistemlerde mail göndermek için kullanılan SMTP sunucu gibi uzak kullanıcının izin verebileceği rasgele haberleşme portları açar. Bu yolla hedefteki bilgisayarlar spam mail göndermek için zombi olabilirler. Panda Laboratuarları e-mailleri taşıyan Ldpinch.W isminde yeni bir trojan buldu. Bu çok tehlikeli bir zararlı kod olmasa bile haber başlıklarının avantajlarını alır (Irak çatışması) kullanıcıları aldatır ve bilgisayarları etkiler. Ldpinch.W trojanı aşağıdaki gibi karakterlere sahip olan mesaj taşır: Konu: Important news about our soldiers in IRAQ!!! Mesaj: Seven officers was lost today, follow the link to get the full story. [Internet adresi] Ekli Dosya: IMPORTANT INFORMATION.ZIP, fakat açıldığında içeriği IMPORTANT INFORMATION.SCR. olur. Mesajdaki internet adresi Irak savaşı hakkında bilgi içerdiğini gösterdi. Bununla birlikte eğer kullanıcı ekli dosyayı çalıştırırsa Ldpinch.W trojanı bilgisayara yüklenecektir. Bu Trojan sistemden gizli bilgileri çalmak ve önceden belirlenen e-mail adreslerine göndermek şeklinde dizayn edildi. Bu yolla virüs yaratıcısı çaldığı gizli bilgileri sahtekar biçimde kullanabiliyor. Bilgisayarınızı herhangi bir Bobax solucanından veya Ldpinch.W trojanından korumak için Panda Software kullanıcılara sıkı güvenlik tedbirleri almaları ve yüklü olan antivirüs programlarını devamlı güncel tutmalarını tavsiye ediyor. Son zamanlarda bu solucan tarafından bulunan açık için Microsoft tarafından açıklanan bültene ve yamalara (/security/bulletin/MS04-011.mspx) adresinden ulaşabilirsiniz. Panda Software’in online destek merkezindende güncellemelere ulaşabilirsiniz .. ( ) kaynak : W32/MyDoom-BN =>> Diğer ismi : Email-Worm.Win32.Mydoom.as =>> İlk Görüldüğü Zaman : 28-Nisan-2005 Saat: 21:43:51 =>> Tipi : Kurd (Solucan) =>> Etkilediği Sistemler : Windows =>> Yayılması, Çoğalması : E-mail / peer-to-peer =>> Etkileri: ++ Bilgisayarınızda açıklar yaratır. ++ E-mail listelerini siler ve erişmenizi etkiler. ++ E-mail’linizdeki bilgileri düzenler,çalar. =>> Virüs Hakkında daha fazla bilgi ve Anti’sini indirmek için adres : Kaynak: Sophos Güvenlik Şirketi |
Troj/PcClient-R
=>> diğer ismi : Backdoor.Win32.PcClient.x BackDoor-CKB.dr =>> ilk görüldüğü zaman : 29 Nisan 2005 Saat: 22:06:19 =>> Tipi : Truva Atı, Arka Kapı =>> Etkilediği Sistemler: Windows =>> Etkileri: ++ Sistem güvenliğini azaltır, yok eder. ++ Bilgilerinizi siler. Hard Dısc ’i siler. ++ E-mail ve Bilgisayarınızdaki Şifrelerinizi kendi kompinasyonlarina uygun olarak deği$tirir. Kaynak: Sophos Güvenlik Şirketi W32/Mytob-E =>> Diğer ismi: Net-Worm.Win32.Mytob.h W32/Mytob.gen@MM WORM_MYTOB.J =>> ilk görüldüğü zaman: 25 Mart 2005 Saat: 08:14:59 Virüs kendini uptade etmi$. Güncellemi$tir. ++ Güncelleme tarihi: 29 Nisan 2005 Saat: 12:18:45 =>> Çalıştığı sistemler: Windows =>> Tipi: Kurt / Virüs =>> Seviye: Orta - aktif =>> Etkileri: ++ Bilgisayarınızdaki açık kapılar yaratır. ++ Bilgilerinizi siler/deği$tirir. ++ E-mail adresinize bula$ır ve çoğalır. ++ Kendini registry’e kaydeder. W32/Sdbot-XV =>> Diğer ismi: Bilinmiyor =>> İlk görüldüğü zaman: 30 Nisan 2005 Saat: 16.01.48 =>> Çalıştığı sistem: Windows =>> Tipi : Solucan =>> Seviye : Orta - Aktif =>> Etkileri : ++ Bilgisayarınızdaki açık kapılar yaratır. ++ Bilgilerinizi siler/deği$tirir. ++ Bilgisayarınıza kodlar indirir. |
’Cep’te Cabir virüsü
Cep telefonları arasında 1 senedir yayılan Cabir virüsüne 20 ülkede rastlanıldığı rapor edildi. Uzmanlar, virüsün özellikle Bluetooth teknolojisiyle yayıldığını belirtiyor. F-Secure anti-virüs şirketi tarafından yapılan açıklamada, kendini ilk kez 2004 Haziranında gösteren Cabir virüsünün artık 20 ülkeye yayılmış olduğu belirtildi. Arasında ABD, Çin ve Rusya’nın da bulunduğu bu ülkelere hızla yenilerinin eklenmesinin kaçınılmaz olduğu vurgulanıyor. Asıl çarpıcı nokta ise virüsün tamamen kablosuz bir şekilde çalışan Bluetooth bağlantı teknolojisine sahip cep telefonları aracılığıyla yayılması. Kısa mesafe radyo dalgalarıyla çalışan Bluetooth’un kapsama alanı 10 metre. Virüsün bir cep telefonuna bulaşması için alıcının ilk olarak transferi onaylaması gerekiyor. Transfer onaylanınca virüs hemen bulaştığı cep telefonunun kaynaklarını kullanarak kendini kopyalayacak başka telefonlar aramaya başlıyor. Virüs cep telefonlarına ciddi bir zarar vermese de kendini yaymak için güçlü bir şekilde pil ve sistem kapasitesi tüketiyor. Geçen Mart ayında keşfedilen bir başka cep telefonu virüsü olan CommWarrior ise Cabir’in aksine yayılmak için MMS teknolojisini kullanıyor. Sober İsviçre’de, bilgisayar virüsü "Sober"in yeni sürümü yayılıyor. Elektronik postaları filtreleme konusunda uzmanlaşmış Apexis Cleanmail adlı güvenlik şirketinin bildirdiğine göre, cumartesiyi pazara bağlayan gece elektronik posta mesajlarında görülmeye başlayan "Sober Q" adlı virüs versiyonu, bütün hızıyla yayılmaya devam ediyor. Virüsü "potansiyel tehlike" olarak nitelendiren şirket yetkililerinin açıklamasına göre, virüs korunmasız bilgisayarları istenmeyen mesaj veya "spam" yağmuruna tutuyor. Şirketin filtreden geçirdiği mesajların yüzde 80’inde virüs bulunduğu belirtildi. Solucan türündeki virüsün bir önceki sürümü "Worms-Sober.S" mayıs başında ortaya çıkmıştı. Virüs, FİFA’dan gönderilmiş mesaj görüntüsü veriyordu. Bilgi güvenliği alanında faaliyet gösteren Symantec, bilgisayar kullanıcılarını, dosyaları şifreleyen ve fidye karşılığı açan ’’Trojan.Pgpcoder’’ adlı zararlı yazılım (Truva atı) konusunda uyardı. Symantec’ten yapılan açıklamada, internette suçluların şifre yöntemini kullanarak, dosyaları şifrelediği ve ardından para karşılığında şifreyi açıkladığını bildirdi. Tehlike seviyesi 5 üzerinden 1 olarak değerlendirilen Trojan.Pgpcoder’in, şu an için çok hızlı yayılmadığı belirtilen açıklamada, bu tehlikenin, kötü niyetli kodları yazanlarla, suç işleyen toplulukların kar için kesiştikleri noktanın yükselen bir trend olduğunu göstermesi açısından son derece önem taşıdığı vurgulandı. Verilen bilgiye göre, yeni Truva atı, şifreleyeceği ortak dosyaların listesini arıyor ve ardından bunların orijinallerini yok ederek, ulaşımı engelliyor. Zararlı kodları yazan kişiler, orijinal dosyaların şifre çözümlerini belirlenen bir ödeme karşılığında vermeyi talep ediyor. Bu yöntemin kullanıldığı saldırının ilk olmadığı da ifade edilen açıklamada, 2000’li yılların başında AIDS virüsü hakkında bilgi vereceği belirtilen bir disketin 20 bin PC Business abonesine gönderildiği, bu disketin bilgisayarların diskini şifrelediği ve şifre çözümü için Panama’daki bir adrese 200 dolar gönderilmesinin istendiği kaydedildi. haberTÜRK WebCam Virüsü’de çıktı !!! Microsoft’un güvenlik açıklarını kullanarak bulaşan Rbot-GR virüsü ele geçirdiği web kamerası aracılığıyla bilgisayar korsanlarına görüntü ve ses gönderiyor. CNet’in online güvenlik firması Sophos’un açıklamasına dayanarak verdiği habere göre internette yayılmaya başlayan Rbot-GR yerleştirdiği truva atı sayesinde hacker’ların makinedeki kredi kartı ve şifre gibi bilgilere erişmesini ve sistemi DOS saldırısı için kullanmasına izin veriyor. Sophos yetkilileri endüstriyel casusluk amacıyla kullanılması mümkün olan yeni virüs sayesinde bilgisayar korsanının insanların yatak odalarına sızabileceğine de dikkat çekti.. Kameranın ışığına dikkat Sophos’un baş teknoloji danışmanı Graham Cluley, yeni virüsün profesyonel virüs yazarlarının işi olup olmadığını bilmediklerini ifade ederek., "Tek bildiğimiz Rbot’un, tümü kullanıcıların kişisel bilgilerine uzaktan erişim sağlayan bir kaç yüz farklı versiyonu bulunduğu. Bu son versiyon ise daha da ileri giderek görüntü de topluyor" dedi. Cluley bu virüsün sistemlerine bulaşıp bulaşmadığını anlayabilmeleri için kullanıcılara kameralarının ışıklı göstergelerine bakmalarını önerdi. Kamera kullanımda olduğu sırada bu ışık aktif hale geliyor. Kameralarında bu tür bir göstergesi olmayan kulllanıcılar ise kötü niyetli kişilere ’malzeme’ vermemek için kullanmadıkları zaman web kameralarını kapatabilir. Cluley’e göre Rbot-GR, virüs yazarlarının ’eserlerine’ birbirinden değişik özellikler eklemeye başladığını gösteriyor. Virüsün ismi : Troj/Banker-HH Tipi : Trojan, Truva atı Etkilediği sistem : Windows Aliases(takma,yayilma ismi): PWS-Banker.f Etkileri: >> Registery ayarlarinizi bozarar,sistmeinizi caliştirilmaaz duruma getiriyor. >> Sistem güvenliğini yok ediyor. Trojan’in antisini indirmek için ; >> Kaynak: Sophos Güvenlik Şirketi Michael Jackson virüsüne dikkat! (14:05 10 Haziran 2005 Cuma) Michael Jackson ’ın intihar ettiğini iddia eden bir virüs internette yayılıyor. Kullanıcıların e-posta kutularına düşen mesaj Jackson’un intihar mektubuna link şeklinde tanıtılan bir link veriyor. Bu linke tıklandığında ise hacker’ın kullanıcının bilgisayarına sızabileceği bir arkakapı açılıyor. Michael Jackson’un adının çocuklara taciz iddialarıyla gündeme gelmesini fırsat bilen hacker’lar 80’li yılların pop yıldızını virüs saldırılarında kullanıyor. Daha önce de Osama bin Ladin ve Paris Hilton’u konu alan benzer virüsler yayılmıştı. Kullanıcıların linki kesinlikle tıklamamaları ve mesajı silmeleri gerekiyor. source:ntv Virus Adı : WİNFİLE Uzantıları : .gy,.exe Virus Pc ye bulaştığında kendini klasörlere aynı klasör ismiyle .exe veya .gy uzantılarıyla klasör görünümünde kopyalıyor tıkladıgınız da sisteminizin bilgisini veren bazı kesimler bulunuyor, ve her tıkladıgınız klasöre aynı isimle bir klasör daha acıyor .exe uzantılı antivirus programlarının hiç biri bu virusu tanımıyor. hiç bi şekilde silemiyorsunuz. Tek çare Format yada Fdisk arkadaşlar. Daha Çok Mail veya disketlerden bulasıyor Troj/Kelvir-AT Prevalence: low hig Name Troj/Kelvir-AT Type Trojan Affected operating systems Windows Side effects Downloads code from the internet Protection Download virus identity (IDE) file Protection available since 28 July 2005 20:28:48 (GMT) Included in our products from September 2005 (3.97) W32/Bobax-M Prevalence: low high Name W32/Bobax-M Type Virus How it spreads Infected files Affected operating systems Windows Side effects Turns off anti-virus applications Sends itself to email addresses found on the infected computer Forges the sender’s email address Uses its own emailing engine Downloads code from the internet Protection Download virus identity (IDE) file Protection available since 28 July 2005 13:17:18 (GMT) Included in our products from September 2005 (3.97) W32/Agobot-ADH Prevalence: low high Name W32/Agobot-ADH Type Spyware Worm How it spreads Network shares Affected operating systems Windows Side effects Turns off anti-virus applications Allows others to access the computer Steals information Downloads code from the internet Reduces system security Records keystrokes Aliases WORM_AGOBOT.ADH Protection Download virus identity (IDE) file Protection available since 6 January 2005 22:10:29 (GMT) Protection history Updated - 28 July 2005 08:26:35 (GMT) Published - 6 January 2005 22:10:29 (GMT) Latest protection included in our products from September 2005 (3.97) Troj/Ablank-AE Prevalence: low high Name Troj/Ablank-AE Type Spyware Trojan Affected operating systems Windows Side effects Modifies data on the computer Steals information Reduces system security Installs itself in the Registry Exploits system or software vulnerabilities Aliases Trojan.Win32.StartPage.uz StartPage-DU.dll Trojan.StartPage Protection Download virus identity (IDE) file Protection available since 28 July 2005 04:50:38 (GMT) Included in our products from September 2005 (3.97) Name: W32/Hagbard-A Type: Worm How it spreads: Chat programs & Peer-to-peer Affected operating systems: Windows Side effects: Allows others to access the computer & Installs itself in the Registry Aliases: P2P-Worm.Win32.VB.dg & W32.SillyP2P ------------------------------------------------------------- Name: Troj/Badmaca-A Type: Trojan Affected operating systems: Windows Side effects: Downloads code from the internet Aliases: Trojan-Downloader.Win32.VB.kv Kaynak=Sophos Bir dönem Windows’un en büyük baş belası olan "Bilgisayarınız 60 Saniye içinde kapatılacaktır." kabusu Net-Worm.Win32.Bozori.a ile geri döndü. Amerikadan yayıldığı düşünülen virüsün kısa bir süre önce de Bozori.b sürümünün çıktığı öğrenildi.Fakat bu sürüm şuan için pek yaygın değil. Bozori.a ile .b yi karşılaştırırsak pek bir farklarının olmadığını görürüz.İkiside 10 Kb büyüklüğünde fakat bozori.a wintbp.exe oluştururken bozori.b wintbpx.exe oluşturuyor. Bozori.b’nin zMD5 hashi: 7ef9b103143c15563ee386846fd4db77 Virüsün çalışma mantığı ; sisteme girip buffer overflow açığı oluşturarak services.exe yi etkilemesi.Buda bilgisayarın 60 saniye içinde kapanmasına yol açıyor. 60 saniyeyi durdurmak için ; başlat / çalıştır’a "shutdown -a" (tırnaksız) yazıp enterlamanız yeterli.Tabi daha sonra güncel bir antivirüs programıyla virüsü bilgisayarınızdan silmelisiniz. |
Seviye : kritik / yüksek risk
Tipi : Trojan Çalıştığı Sistem : Windows Family Bilgi : Geçen sene çıkan Bagle isimli virüsün , bu sene bir değişik hali olarak piyasaya çıktı ve durdurulamaz şekilde ilerliyor. Zotob’dan sonra en tehlikeli Virüs/Trojan olarak adlandırılıyor. Bagle bir gün içinde internet trafiğini birbirine kattı. ABD’de bir çok kamu kurum ve kuruluş bilgisayarlarina girdi ve felç etti. Uptade Zamanı : Updated - 21 September 2005 13:35:10 (GMT) Updated - 21 September 2005 04:47:06 (GMT) Updated - 20 September 2005 20:11:03 (GMT) Updated - 20 September 2005 15:46:52 (GMT) Updated - 19 September 2005 23:41:57 (GMT) Updated - 19 September 2005 21:33:36 (GMT) Updated - 19 September 2005 17:07:44 (GMT) Published - 19 September 2005 14:38:48 (GMT Sisteme Bulaştığı Zaman : <Windows system folder>\wiwshost.exe. Both these files are detected as Troj/BagleDl-U. isminde bulaşıyor. Regedit’ de(Kayıt Defterinde) : Locate the HKEY_LOCAL_MACHINE entry: HKLM\Software\Microsoft\Windows\CurrentVersion\Run \ and remove any reference to any file you deleted. Each user has a registry area named HKEY_USERS\[code number indicating user]\. For each user locate the entry: ismiyle çıkıyor. Regedit’inizi kontrol ederek bu isimli dosyalari silebilirsiniz. Bagle’den kurtulmak için Anti-Virüslerinizi sürekli olarak güncelleyiniz. Sophos Güvenlik Firması Bagle için bir AV hazırladı. >> http://www.sophos.com/downloads/ide/bagled-u.ide adresinden indirerek korunabilirsiniz Seviye : Çok yüksek Tipi : virüs/trojan Çalıştığı Sistem : Windows Xp/2000/Nt Arkadaşlar virüs bu gün saat 22.00 civarlarında yayılmaya başlamıştır Virüs çalışma mantığı dünyada ilk olma yolunda çünkü ilk defa hem virüs hemde trojan olarak çalışıyor ve yapay bir zeka sayesinde bilgisayardaki bütün onemli bilgileri yapımcı olan 8 kişiye gonderiyor yapımcı 8 kişi dendi çünkü virüs bilgileri aldıktan sonra bilgisayar format atıyor ve Atmadan onceki ekran penceresinde yapımcıların nickleri bulunuyor. Virüsün bulaşma mantığı mail ve bir çok ünlü siteye gizlenen activex ler ile bulaşıyor Ve yapımcılarında birinin türk olduğunu sanılıyor Nickler: Yapımcılar:PeGasus/Pinyata/Demonship/Liveundeat/Pinyati/ Testerlar :Ametal/Bunepta/YasinBaba(bunun Türk Olduğu sanılıyor yada öle hava veriliyor) Birde bir kaç web sitesi adresi vermişler ama hiç biri çalışmıyor. Selametle Kaynak:eTrust Antivirus=Yonetici haberleşme bolumunden.Haberleşmelerden alınan bilgi Virüsün fazla yayılamıyacağı soyleniyor çünkü tamamıya reklam amaçlı yapılmış olduğu soyleniyor |
Troj/IRCBot-AG
Seviye: Medium(Orta) Tipi: Trojan Çalıştığı Sistem: Windows Tanım: Troj/IRCBot-AG, windows platformları için bir Trojandir. Troj/IRCBot-AG sürekli olarak arka planda çalışarak,IRC kanalları yardımıyla gizli bir servera davetsiz misafirlerin bilgisyarınıza erişmesini ve kontrol etmesini sağlar. Etkileri: Başkalarının bilgisayarınıza girmelerine olanak sağlar. İnternetten kod download eder. Kendisini Registry içerisine install eder. Updated: 27 Ekim 2005 14:31:57 (GMT) Yayılma: 27 Ekim 2005 07:59:16 (GMT) Koruma: Download Virüs Tanıma IDE Dosyası Kaynak: Sophos Backdoor.Banito Seviye : Orta Tipi : Trojan Çalıştığı Sistem : Tüm Windows versionları Ortaya Çıktığı Tarih - 28 Kasım 2005 0510 PM (GMT) Backdoor.Banito Bu virus hem trojan hemde keylogger amaçlı yazılmış... Kullandiginiz makinenin sistem özelliklerini hemde donanım özelliklerini kötü amaçlı kullanıcılara yollarak uzaktan makinenize girebilme görevini görüyor... Sisteme Bulaştığı Zaman : <Windows system folder>"%Windir%\lemonyt.exe" olarak diskte yer aliyor... Virusu silmek içinse HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\ActiveX Key degerini silmek gerekiyor ve de sistem geri yükleme yi kapatmak gerekiyor... W32/Eyeveg-M Seviye : Orta Sınıfı : Spyware Worm Yayılış Tarzı : E-mail Mesajları Çalıştığı Sistem : Windows platformları Ortaya Çıktığı Tarih : 29 Eylül 2005 14:21:55 (GMT) Takma Adları : Worm.Win32.Tanatos.p W32/Eyeveg.worm.gen W32.Lanieca.H@mm WORM_WURMARK.P Daha Falza Bilgi : Teknik Detay : W32/Eyeveg-M solucanı windwos işltetim sistemlerinde işe yarayan bir solucandır.W32/Eyeveg-M bilgisayardan bilgisayara e mail gönderme yolu ile bulaşır.Solucan e mail zip dosyası olarak gelmekte ve zip dosyası indirildiği zaman sisteme yerleşmektedir.Solcuna kendini DLL dosyası olarak sistem dosyalarına kayıt etmeyi ve çalışmayı dener.Req edit kayıt ise şöyledir: |
| Bütün Zaman Ayarları WEZ +3 olarak düzenlenmiştir. Şu Anki Saat: 08:30 . |
Powered by vBulletin® Version 3.8.11
Copyright ©2000 - 2025, vBulletin Solutions, Inc.
Dizayn ve Kurulum : Makinist