خبرنامه روی خط

پايگاه اطلاع رسانی و اينترنت شهرداری شيراز

  
 

 

خبرنامه (شهرنما) يک خبرنامه الکترونيکی است که يکم و پانزدهم هر ماه به بازديدکنندگان عزيز در پايگاه اطلاع رسانی شهرداری شيراز تقديم می گردد . اکثر مطالب اين خبرنامه از شبکه جهانی اينترنت استخراج و ترجمه شده است. موجب امتنان است اگر نظرات شما را درباره اين خبرنامه و يا مطالب خواندنی شما را جهت انتشار در خبرنامه از طريق نشانی پستی info@shirazcity.org دريافت نماييم.

شماره  پنجاه و پنجم

15  ارديبهشت  1383

بايگانی

شهر و خدمات شهری: ......................................

انقلابی آرام در شهرها

.................................................

بلند مرتبه سازی در شهر ريچموند

................................

حرکت روانتر بر روی آسفالتهای بازيافتی تگزاس

..................................

معرفی سازمان آتش نشانی San Francisco

............................................

اختلال تلفن همراه در کار آتش نشانان

آموزشی: ...........................................................

جديدترين ويروسهای کشف شده

..................................

Shortcut های مفيد در رايانه (قسمت چهارم)

اخبار جالب جهان:.................................................

خبرهای تصويری روز

.................................................

تغييرات کلسترول در فصل زمستان

.............................................

مرغهای نوروزی يا کلاغهای هيچکاک!

سرگرمی: ...................................................

سؤال، سؤال، سؤال ؟!

آشنايی با: ..................

اداره تشکيلات و بهبود روشهای شهرداری شيراز

جديدترين ويروسهای کشف شده

جديدترين ويروسهای کشف شده

آخرين ويروس کشف شده توسط شرکت Symantec

کرم W32.Sasser.B

تاريخ کشف: اول مه 2004 برابر با 12/2/1383

کرم W32.Sasser.B يکی از گونه های W32.Sasser می باشد که اقدام به نفوذ به LSASS می کند. اين نقطه، طبق گفته مايکروسافت از آسيب پذيری بسياری برخوردار است. اين کرم از طريق انتخاب تصادفی آدرسهای الکترونيکی شخصی در سيستم آسيب پذير، خود را منتشر می کند.

 

نکات مهم:

-- کميت hash MD5 برای اين کرم به اين ترتيب است:

0x1A2C0E6130850F8FD9B9B5309413CD00

-- شرکت Symantec  يک ابزار پاکسازی برای اين کرم ساخته است که با کليک کردن بر روی removal tool می توانيد آنرا پايين گذاری کنيد.

-- درگاه TCP5554,9996,445 را بر روی ديواره آتشين (firewall) می بندد و پرگاله (patch) مايکروسافت را (MS04-011) برای ممانعت از نفوذ راه دور به آسيب پذيری سيستم؛ نصب می کند.

مشخصات ديگر اين کرم:

نام: کرم Sasser.B (Trend)؛ W32/Sasser.worm.b (MaAfee)

گونه: کرم W32.Sasser

طول آلودگی: 15872 بايت

سيستمهای آلوده شده: Windows 2000؛ Windows Server 2003؛ Windows XP

 

جزئيات فنی:

کرم W32.Sasser.B در هنگام اجرا، اعمال زير را انجام می دهد:

-- اقدام به ساختن يک mutex می کند بنام jobaka3 و اگر اين اقدام ناکام بماند؛ باز هم سر جای خود باقی می ماند. چنين عملی، اين اطمينان خاطر را می دهد که در هر لحظه تنها يک نمونه از اين کرم در سيستم وجود دارد.

-- خود را بعنوان  %Windir%\avserve2.exe کپی می کند. (%Windir% يک متغيير است. کرم، در پرونده نصب ويندوز جای می گيرد که پيش فرض آنهم C:\Windows يا C:\Winnt است؛ سپس خود را به آن محل کپی می کند).

-- کميت زير را اضافه می کند:

"avserve2.exe"="%Windir%\avserve2.exe"

 

اين کميت به  کليد فهرست زير اضافه می شود:

     HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

 

به اين ترتيب، هرگاه که ويندوز بالا بيايد؛ کرم نيز کار خود را شروع خواهد کرد.

-- از API لغو خاموشی سيستم (Abort System Shutdown) برای جلوگيری از اقدام به خاموشی ويا دوباره راه اندازی سيستم استفاده می نمايد.

-- يک خادم FTP را بر روی درگاه TCP5554 راه می اندازد. از اين خادم برای انتشار کرم به ميزبانان ديگر استفاده می گردد.

-- اقدام به ارتباط با آدرسهای الکترونيکی تصادفی بر روی درگاه TCP445 می نمايد. اگر ارتباط با رايانه ای برقرار شد؛ کرم، shellcode خود را به آن رايانه می فرستد تا آن را وادار کند يک shell از راه دور بر روی درگاه TCP9996 اجرا کند. آنگاه اين کرم از shell مزبور برای وادار نمودن رايانه به منظور ارتباط مجدد با خادم FTP بر روی درگاه 5554 استفاده می نمايد و يک نسخه از کرم را بازيابی می نمايد. اين نسخه اسمی خواهد داشت که شامل 4 يا 5 عدد است و پسوند (_up.exe)دارد. برای مثال: (74354_up.exe)

 

توصيه های ايمنی

-- خدمات غير ضروری را خاموش و پاک نماييد. بصورت پيش فرض، بسياری از سيستمهای اجرائی يک سری خدمات کمکی نصب می کنند که حياتی نيستند؛ مثلا: يک خادم FTP، telnet ويا يک خادم شبکه (Web Server). اين گونه خدمات در واقع شاهراههای تهاجم اين کرم بشمار می روند. اگر آنها حذف گردند؛ تهديدهای آميخته (blended threats) گريزگاه محدودتری برای عبور از سيستم امنيتی و حمله به شبکه خواهند داشت.

-- اگر يک تهديد آميخته به يک يا چند خدمات شبکه ای نفوذ کرد؛ آنها را غير فعال يا غير قابل دسترسی نماييد تا اينکه يک پرگاله مناسب (patch) ساخته شود.

-- همواره پرگاله خود را به روز نماييد؛ مخصوصا در رايانه هايی که ميزبان خدمات عمومی هستند و از طريق ديواره آتشين قابل دسترسی می باشند؛ مانند: HTTP، FTP، mail و خدمات DNS.

-- از سياست "کلمه عبور" استفاده کنيد. کلمات عبور پيچيده از شکستن قفل فايلهای رمز دار جلوگيری می کنند.

-- صندوق پستی الکترونيکی خود را بگونه ای تنظيم کنيد که ورود نامه هايی با پسوندهای زير را ممنوع و يا پاک نمايد.پسوندهايی مثل: .vbs, .bat, .exe, .pif, .scr

-- رايانه های آلوده را بسرعت قرنطينه نماييد تا به ديگر رايانه ها آسيب نرسانند. تجزيه و تحليل دقيقی به عمل آوريد و رايانه ها را طوری برنامه ريزی کنيد که از رسانه های قابل اعتماد استفاده کنند.

-- به کارمندان خود بياموزيد که از باز کردن پيوست نامه ها خودداری کنند؛ مگر اينکه انتظار دريافت آن نامه ها را داشته باشند. ضمنا، از پايين گذاری هر  گونه فايل اينترنتی بدون آزمودن آن با ويروس ياب اکيدا خودداری نمايند. تنها کافی است که از يک سايت آلوده بازديد کنيد تا سيستم آسيب پذير شما مبتلا به ويروس گردد؛ البته در صورت نداشتن پرگاله (patch) ضد کرم.

 

نحوه پاکسازی

دستورالعملهای زير شامل تمام محصولات Symantec شامل Symantec Antivirus و Norton Antivirus می گردد:

-- عمليات خرابکارانه را خاتمه دهيد.

System Restore--  را غير فعال کنيد.

-- فهرست ويروس های شناخته شده ويروس ياب يا همان virus definition را به روز نماييد.

-- سيستم را بصور کامل با ويروس يابی که W32.Sasser.B رارديابی می کند؛ بيازماييد و آنرا پاک نماييد.

-- تغييرات انجام شده در فهرست (registry) را بر عکس نماييد.

 

برای دريافت توضيحات بيشتر به منبع اين مطلب که در پايين صفحه نوشته شده است؛ مراجعه کنيد.

   

 

 ***********************************

 

 

آخرين ويروس کشف شده توسط McAfee:

اطلاعات کلی

نام :

W32/Bagle.z@MM

لقب:

I-Worm/Bagle.AA (GRISoft), W32/Bagle.Y@mm (F-PROT)

ميزان خطر:

 

--  کاربران خانگی

متوسط

-- کاربران حرفه ای

متوسط

تاريخ کشف

26 آوريل 2004

منشاء

ناشناخته

طول

مختلف (با زباله پيوست شده)

نوع

ويروس

زير شاخه

کرم نامه الکترونيکی

DAT مورد نياز

4353

 

خصوصيات ويروس:

-- محموله EXTRA.DAT جهت رديابی پيشرفته به روز شده است (در تاريخ 26 ام آوريل، ساعت 11:50 صبح)

-- بخاطر گسترش فزاينده ويروس، خطر آن به درجه متوسط افزايش يافت (در تاريخ26 ام آوريل ساعت 9:37)

اين ويروس گونه جديدی از W32/Bagle@MM است. اين گونه با استفاده از UPX بسته بندی شده است وچند ريختی (polymorphic) نمی باشد.

هشدار

اگر گمان می بريد که به اين ويروس آلوده شده باشيد و نمی دانيد چگونه سيستم خود را بيازماييد؛ می توانيد "ابزار Stinger" را پايين گذاری نماييد تا با آن سيستم خود را آزموده و ويروس را در صورت وجود؛ پاک کنيد. استفاده از اين ويروس ياب، نيازمند داشتن McAfee بر روی سيستم شما نيست.

نکته مهم: دريافت يک هشدار از طريق نامه الکترونيکی مبنی بر اينکه ويروس از طريق نامه شما آمده است؛ دليل بر آلوده بودن سيستم شما نيست؛ چرا که اين ويروس اغلب، آدرسهای مختلف را جعل می کند.

اين کرم نامه ای خصوصيات زير را داراست:

-- خودش دارای يک موتور SMTP می باشد تا پيامهای خروجی را بسازد.

-- آدرس نامه های الکترونيکی را از سيستم قربانی خود می دزدد.

-- در نوار نشانی FROM در بالای نامه های الکترونيکی عبارت بی ربط و مضحکی می نويسد.

-- پيوست نامه آلوده ممکن است يک فايل زيپ شده باشد که توط اسم رمز حفاظت گردد و اسم رمز آن هم در درون متن نامه نوشته شده باشد.

-- دارای قسمت دسترسی از راه دور است (اطلاعات برای قفل شکن فرستاده می شود).

-- خود را در پرونده هايی کپی می کند که در اسم آنها عبارت shar وجود دارد. مثل: KaZaa، Bearshare، Limewire و غيره.

هنگامی که اين ويروس اجرا می شود؛ پيغام خطايی همانند زير نشان می دهد:

 

 

انتشار نامه:

جزئيات بقرار زيرند:

آدرسی بی ربط :FROM

از رشته های زيردر زمانهای مختلف استفاده می کند:

  • lizie@

  • annie@

  • ann@

  • christina@

  • secretGurl@

  • jessie@

  • christy@

 

عنوان نامه ها يکی از عبارات زير هستند:

 

 

  • Hello!

  • Hey!

  • Let's socialize, my friend!

  • Let's talk, my friend!

  • I'm bored with this life

  • Notify from a known person ;-)

  • I like you

  • I just need a friend

  • I'm a sad girl...

  • Re: Msg reply

  • Re: Hello

  • Re: Yahoo!

  • Re: Thank you!

  • Re: Thanks :)

  • RE: Text message

  • Re: Document

  • Incoming message

  • Re: Incoming Message

  • Re: Incoming Fax

  • Hidden message

  • Fax Message Received

  • Protected message

  • RE: Protected message

  • Forum notify

  • Request response

  • Site changes

  • Re: Hi

  • Encrypted document

 

متن نامه:

از رشته های ساخته شده مختلفی استفاده می کند.

 

پيوست:

يکی از موارد زير است:

 

Dropper -- متنی: از يکی از ضميمه های زير استفاده می کند:

HTA

VBS

 

-- بايگانی ZIP های دارای اسم رمز حفاظتی (W32/Bagle.gen!pwdzip)

-- اجرا کننده: از يکی از ضمائم زير بهره می برد:

o         exe

o         scr

o         com

o         cpl

 

dropper--  اجرا کننده: يک فايل CPL با ضميمه فايل CPL

 

اجراکننده از آيکون زير استفاده می کند:

 

فايل CPL از آيکون زير استفاده می کند:

ويروس خود را بر روی سيستم بعنوان drvsys.exe. کپی می کند. برای مثال:

C:\WINNT\SYSTEM32\drvsys.exe

ويروس همچنين فايلهای ديگری را در اين نشانی می سازد تا به وظايف خود عمل کند؛ مثل:

Drvsys.exeopen -- (کپی کرم)

Drvsys.exeopenopen -- (کپی کرم)

 

کليدهای فهرست زير نيز به startup سيستم اضافه می گردد:

HKEY_CURRENT_USER\Software\Microsoft\Windows\
CurrentVersion\Run "drvsys.exe" = C:\WINNT\SYSTEM32\drvsys.exe

 

اين کرم، با بکار بردن اسم فايلهای زير؛ اقدام به خاتمه فرايند برنامه های امنيتی می کند:

  • AGENTSVR.EXE

  • ANTI-TROJAN.EXE

  • ANTIVIRUS.EXE

  • ANTS.EXE

  • APIMONITOR.EXE

  • APLICA32.EXE

  • APVXDWIN.EXE

  • ATCON.EXE

  • ATGUARD.EXE

  • ATRO55EN.EXE

  • ATUPDATER.EXE

  • ATWATCH.EXE

  • AUPDATE.EXE

  • AUTODOWN.EXE

  • AUTOTRACE.EXE

  • AUTOUPDATE.EXE

  • AVCONSOL.EXE

  • AVGSERV9.EXE

  • AVLTMAIN.EXE

  • AVPUPD.EXE

  • AVSYNMGR.EXE

  • AVWUPD32.EXE

  • AVXQUAR.EXE

  • AVprotect9x.exe

  • BD_PROFESSIONAL.EXE

  • BIDEF.EXE

  • BIDSERVER.EXE

  • BIPCP.EXE

  • BIPCPEVALSETUP.EXE

  • BISP.EXE

  • BLACKD.EXE

  • BLACKICE.EXE

  • BOOTWARN.EXE

  • BORG2.EXE

  • BS120.EXE

  • CDP.EXE

  • CFGWIZ.EXE

  • CFIADMIN.EXE

  • CFIAUDIT.EXE

  • CFINET.EXE

  • CFINET32.EXE

  • CLEAN.EXE

  • CLEANER.EXE

  • CLEANER3.EXE

  • CLEANPC.EXE

  • CMGRDIAN.EXE

  • CMON016.EXE

  • CPD.EXE

  • CPF9X206.EXE

  • CPFNT206.EXE

  • CV.EXE

  • CWNB181.EXE

  • CWNTDWMO.EXE

  • DEFWATCH.EXE

  • DEPUTY.EXE

  • DPF.EXE

  • DPFSETUP.EXE

  • DRWATSON.EXE

  • DRWEBUPW.EXE

  • ENT.EXE

  • ESCANH95.EXE

  • ESCANHNT.EXE

  • ESCANV95.EXE

  • EXANTIVIRUS-CNET.EXE

  • FAST.EXE

  • FIREWALL.EXE

  • FLOWPROTECTOR.EXE

  • FP-WIN_TRIAL.EXE

  • FRW.EXE

  • FSAV.EXE

  • FSAV530STBYB.EXE

  • FSAV530WTBYB.EXE

  • FSAV95.EXE

  • GBMENU.EXE

  • GBPOLL.EXE

  • GUARD.EXE

  • GUARDDOG.EXE

  • HACKTRACERSETUP.EXE

  • HTLOG.EXE

  • HWPE.EXE

  • IAMAPP.EXE

  • IAMSERV.EXE

  • ICLOAD95.EXE

  • ICLOADNT.EXE

  • ICMON.EXE

  • ICSSUPPNT.EXE

  • ICSUPP95.EXE

  • ICSUPPNT.EXE

  • IFW2000.EXE

  • IPARMOR.EXE

  • IRIS.EXE

  • JAMMER.EXE

  • KAVLITE40ENG.EXE

  • KAVPERS40ENG.EXE

  • KERIO-PF-213-EN-WIN.EXE

  • KERIO-WRL-421-EN-WIN.EXE

  • KERIO-WRP-421-EN-WIN.EXE

  • KILLPROCESSSETUP161.EXE

  • LDPRO.EXE

  • LOCALNET.EXE

  • LOCKDOWN.EXE

  • LOCKDOWN2000.EXE

  • LSETUP.EXE

  • LUALL.EXE

  • LUCOMSERVER.EXE

  • LUINIT.EXE

  • MCAGENT.EXE

  • MCUPDATE.EXE

  • MFW2EN.EXE

  • MFWENG3.02D30.EXE

  • MGUI.EXE

  • MINILOG.EXE

  • MOOLIVE.EXE

  • MRFLUX.EXE

  • MSCONFIG.EXE

  • MSINFO32.EXE

  • MSSMMC32.EXE

  • MU0311AD.EXE

  • NAV80TRY.EXE

  • NAVAPW32.EXE

  • NAVDX.EXE

  • NAVSTUB.EXE

  • NAVW32.EXE

  • NC2000.EXE

  • NCINST4.EXE

  • NDD32.EXE

  • NEOMONITOR.EXE

  • NETARMOR.EXE

  • NETINFO.EXE

  • NETMON.EXE

  • NETSCANPRO.EXE

  • NETSPYHUNTER-1.2.EXE

  • NETSTAT.EXE

  • NISSERV.EXE

  • NISUM.EXE

  • NMAIN.EXE

  • NORTON_INTERNET_SECU_3.0_407.EXE

  • NPF40_TW_98_NT_ME_2K.EXE

  • NPFMESSENGER.EXE

  • NPROTECT.EXE

  • NSCHED32.EXE

  • NTVDM.EXE

  • NUPGRADE.EXE

  • NVARCH16.EXE

  • NWINST4.EXE

  • NWTOOL16.EXE

  • OSTRONET.EXE

  • OUTPOST.EXE

  • OUTPOSTINSTALL.EXE

  • OUTPOSTPROINSTALL.EXE

  • PADMIN.EXE

  • PANIXK.EXE

  • PAVPROXY.EXE

  • PCC2002S902.EXE

  • PCC2K_76_1436.EXE

  • PCCIOMON.EXE

  • PCDSETUP.EXE

  • PCFWALLICON.EXE

  • PCIP10117_0.EXE

  • PDSETUP.EXE

  • PERISCOPE.EXE

  • PERSFW.EXE

  • PF2.EXE

  • PFWADMIN.EXE

  • PINGSCAN.EXE

  • PLATIN.EXE

  • POPROXY.EXE

  • POPSCAN.EXE

  • PORTDETECTIVE.EXE

  • PPINUPDT.EXE

  • PPTBC.EXE

  • PPVSTOP.EXE

  • PROCEXPLORERV1.0.EXE

  • PROPORT.EXE

  • PROTECTX.EXE

  • PSPF.EXE

  • PURGE.EXE

  • PVIEW95.EXE

  • QCONSOLE.EXE

  • QSERVER.EXE

  • RAV8WIN32ENG.EXE

  • REGEDIT.EXE

  • REGEDT32.EXE

  • RESCUE.EXE

  • RESCUE32.EXE

  • RRGUARD.EXE

  • RSHELL.EXE

  • RTVSCN95.EXE

  • RULAUNCH.EXE

  • SAFEWEB.EXE

  • SBSERV.EXE

  • SD.EXE

  • SETUPVAMEEVAL.EXE

  • SETUP_FLOWPROTECTOR_US.EXE

  • SFC.EXE

  • SGSSFW32.EXE

  • SH.EXE

  • SHELLSPYINSTALL.EXE

  • SHN.EXE

  • SMC.EXE

  • SOFI.EXE

  • SPF.EXE

  • SPHINX.EXE

  • SPYXX.EXE

  • SS3EDIT.EXE

  • ST2.EXE

  • SUPFTRL.EXE

  • SUPPORTER5.EXE

  • SYMPROXYSVC.EXE

  • SYSEDIT.EXE

  • TASKMON.EXE

  • TAUMON.EXE

  • TAUSCAN.EXE

  • TC.EXE

  • TCA.EXE

  • TCM.EXE

  • TDS-3.EXE

  • TDS2-98.EXE

  • TDS2-NT.EXE

  • TFAK5.EXE

  • TGBOB.EXE

  • TITANIN.EXE

  • TITANINXP.EXE

  • TRACERT.EXE

  • TRJSCAN.EXE

  • TRJSETUP.EXE

  • TROJANTRAP3.EXE

  • UNDOBOOT.EXE

  • UPDATE.EXE

  • VBCMSERV.EXE

  • VBCONS.EXE

  • VBUST.EXE

  • VBWIN9X.EXE

  • VBWINNTW.EXE

  • VCSETUP.EXE

  • VFSETUP.EXE

  • VIRUSMDPERSONALFIREWALL.EXE

  • VNLAN300.EXE

  • VNPC3000.EXE

  • VPC42.EXE

  • VPFW30S.EXE

  • VPTRAY.EXE

  • VSCENU6.02D30.EXE

  • VSECOMR.EXE

  • VSHWIN32.EXE

  • VSISETUP.EXE

  • VSMAIN.EXE

  • VSMON.EXE

  • VSSTAT.EXE

  • VSWIN9XE.EXE

  • VSWINNTSE.EXE

  • VSWINPERSE.EXE

  • W32DSM89.EXE

  • W9X.EXE

  • WATCHDOG.EXE

  • WEBSCANX.EXE

  • WGFE95.EXE

  • WHOSWATCHINGME.EXE

  • WINRECON.EXE

  • WNT.EXE

  • WRADMIN.EXE

  • WRCTRL.EXE

  • WSBGATE.EXE

  • WYVERNWORKSFIREWALL.EXE

  • XPF202EN.EXE

  • ZAPRO.EXE

  • ZAPSETUP3001.EXE

  • ZATUTOR.EXE

  • ZAUINST.EXE

  • ZONALM2601.EXE

  • ZONEALARM.EXE

اين کرم درگاه 2535 (TCP) را بر روی رايانه قربانی می گشايد.

 

نشانه آلودگی

-- درگاه 2535 (TCP) بر روی سيستم باز می شود.

-- پيامهای خروجی با خصوصيات توصيف شده منطبق می گردد.

-- کليدهای فايل/فهرست همانگونه هستند که توصيف گرديد.

 

روشهای آلودگی

انتشار از طريق ای ميل

اين ويروس پيامهايی را با استفاده از موتور SMTP خودش می سازد. نشانی ای ميل های مقصد از فايلهايی با اين پسوند ها از روی سيستم قربانی انتخاب می شوند:

  • .adb

  • .asp

  • .cfg

  • .cgi

  • .dbx

  • .dhtm

  • .eml

  • .htm

  • .jsp

  • .mbx

  • .mdx

  • .mht

  • .mmf

  • .msg

  • .nch

  • .ods

  • .oft

  • .php

  • .pl

  • .sht

  • .stm

  • .tbb

  • .shtm

  • .txt

  • .uin

  • .wab

  • .wsh

  • .xls

  • .xml

 

در قسمت FROM اين عبارت می آيد: field

اين ويروس از ارسال آلودگی به آدرسهايی با عبارات زير خودداری می کند:

  • @hotmail

  • @msn

  • @microsoft

  • rating@

  • f-secur

  • news

  • update

  • anyone@

  • bugs@

  • contract@

  • feste

  • gold-certs@

  • help@

  • info@

  • nobody@

  • noone@

  • kasp

  • admin

  • icrosoft

  • support

  • ntivi

  • unix

  • bsd

  • linux

  • listserv

  • certific

  • sopho

  • @foo

  • @iana

  • free-av

  • @messagelab

  • winzip

  • google

  • winrar

  • samples

  • abuse

  • panda

  • cafee

  • spam

  • pgp

  • @avp.

  • noreply

  • local

  • root@

  • postmaster@

 

انتشار نظير به نظير (Peer To Peer)

در اينگونه انتشار، فايلها در پرونده هايی ساخته می شوند که عبارت shar در آنها وجود دارد. مثل:

  • Microsoft Office 2003 Crack, Working!.exe

  • Microsoft Windows XP, WinXP Crack, working Keygen.exe

  • Microsoft Office XP working Crack, Keygen.exe

  • Porno, sex, oral, anal cool, awesome!!.exe

  • Porno Screensaver.scr

  • Serials.txt.exe

  • KAV 5.0

  • Kaspersky Antivirus 5.0

  • Porno pics arhive, xxx.exe

  • Windows Sourcecode update.doc.exe

  • Ahead Nero 7.exe

  • Windown Longhorn Beta Leak.exe

  • Opera 8 New!.exe

  • XXX hardcore images.exe

  • WinAmp 6 New!.exe

  • WinAmp 5 Pro Keygen Crack Update.exe

  • Adobe Photoshop 9 full.exe

  • Matrix 3 Revolution English Subtitles.exe

  • ACDSee 9.exe

قسمت دسترسی از راه دور

اين ويروس برای ارتباطات دوردست به درگاه TCP 2535 گوش می کند و به ناشر اطلاع می دهد که سيستم آلوده آماده برای دريافت دستورات است. اين کار با فراخوانی يک متن PHP از روی سايتهای دور صورت می پذيرد. در زمان نوشتن، اين متن بر روی هيچيک از سايتهای زير موجود نمی باشد:

  • http://www.spiegel.de/5.php

  • http://www.leipziger-messe.de/5.php

  • http://www.mobile.de/5.php

  • http://www.neformal.de/5.php

  • http://www.avh.de/5.php

  • http://www.goethe.de/5.php

  • http://www.degruyter.de/5.php

  • http://www.heise.de/5.php

  • http://www.autoscout24.de/5.php

  • http://www.russische-botschaft.de/5.php

  • http://www.bmbf.de/5.php

  • http://www.berlinale.de/5.php

  • http://www.hamann-motorsport.de/5.php

  • http://Spaceclub.de/5.php

  • http://www.fracht-24.de/5.php

  • http://www.loveparade.de/5.php

  • http://www.dalnoboyshik.de/5.php

  • http://www.deutschland.de/5.php

  • http://www.ac-schnitzer.de/5.php

  • http://abakan.strana.de/5.php

  • http://www.emis.de/5.php

  • http://www.dwd.de/5.php

  • http://www.ifdesign.de/5.php

  • http://www.beckers-systems.de/5.php

  • http://www.pri-wo-hamburg.de/5.php

  • http://virtualzone.de/5.php

  • http://www.mitsumi.de/5.php

  • http://www.fu-berlin.de/5.php

  • http://www.nabu.de/5.php

  • http://www.tekeli.de/5.php

  • http://www.welt.de/5.php

  • http://www.gospel-nations.de/5.php

  • http://www.neznakomez.de/5.php

  • http://www.tecchannel.de/5.php

  • http://www.php-resource.de/5.php

  • http://www.windac.de/5.php

  • http://www.gsi.de/5.php

  • http://www.turism.de/5.php

  • http://jakimov.golos.de/5.php

  • http://www.www.mirko-becker.gmxhome.de/5.php

  • http://vg.xtonne.de/5.php

  • http://www.go-amman.de/5.php

  • http://3treepoint.com/5.php

  • http://www.restarted-alliance.de/5.php

  • http://2udar.ligakvn.de/5.php

  • http://www.sprach-zertifikat.de/5.php

  • http://www.dfg.de/5.php

  • http://www.kliniken.de/5.php

  • http://www.winfuture.de/5.php

  • http://www.hamburg.de/5.php

  • http://www.auma.de/5.php

  • http://www.teac.de/5.php

  • http://www.eumetsat.de/5.php

  • http://www.documenta.de/5.php

  • http://hardvision.ru/5.php

  • http://www.bruecke-osteuropa.de/5.php

  • http://www.mk-motorsport.de/5.php

  • http://www.bundesregierung.de/5.php

  • http://ditec.um.es/5.php

  • http://www.insel-ruegen-hotel.de/5.php

  • http://www.tib.uni-hannover.de/5.php

  • http://www.chugai.de/5.php

  • http://www.blauer-engel.de/5.php

  • http://www.partner-inform.de/5.php

  • http://250x.com/5.php

  • http://villakinderbunt.de/5.php

  • http://s318.evanzo-server.de/5.php

  • http://andimeisslein.de/5.php

  • http://tobimayer.de/5.php

  • http://markusgimenez.de/5.php

  • http://www.fiz-karlsruhe.de/5.php

  • http://www.gdch.de/5.php

  • http://www.intermatgmbh.de/5.php

  • http://www.hotel-pension-spree.de/5.php

  • http://vg.xtonne.de/5.php

  • http://www.low-spirit.de/5.php

  • http://www.red-dot.de/5.php

  • http://www.fernuni-hagen.de/5.php

  • http://www.ruletka.de/5.php

  • http://www.deutsch-als-fremdsprache.de/5.php

  • http://www.uni-oldenburg.de/5.php

  • http://fotos.schneider.bards.de/5.php

  • http://www.deutsches-museum.de/5.php

  • http://www.de-bug.de/5.php

  • http://www.uni-stuttgart.de/5.php

  • http://www.embl-heidelberg.de/5.php

  • http://www.mdz-moskau.de/5.php

  • http://www.mitsubishi-evs.de/5.php

  • http://www.siegenia-aubi.com/5.php

  • http://www.cicv.fr/5.php

  • http://www.paromi.de/5.php

  • http://www.jura.uni-sb.de/5.php

  • http://www.exactaudiocopy.de/5.php

پاکسازی

از فايل های DAT زير برای رديابی و پاکسازی استفاده کنيد:

EXTRA.DAT
SUPER EXTRA.DAT

وبرای ويندوز های ME و XP از پيوند زير استفاده کنيد:

Additional Windows ME/XP removal considerations

پاکسازی دستی

برای پاکسازی دستی ويروس، مراحل زير را طی کنيد:

 

-- سيستم را Reboot کنيد و به حالت safe mode ببريد.

-- فايلهای زير رااز روی نشانی سيستم ويندوز خود پاک کنيد (معمولا C:\Windows\System ويا C:\Winnt\System32):

 

drvddll.exe
drvddll.exeopen     
 drvddll.exeopenopen

 

-- قسمت فهرست ويندوز را ويرايش نماييد. بدينصورت که "drvdll.exe" را از روی HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run  پاک نماييد.

-- سيستم را دوباره به حالت پيش فرض در آوريد.

 

جستجو با McAfee

 رديابی W32/Bagle.aa@MM  در پيوندهای زير موجود است:

 

    -Threatscan 2.5 – ftp.nai.com/pub/security/tsc25/updates/winnt
      -Threatscan 2.0/2.1 - ftp.nai.com/pub/security/tsc20/updates/winnt

 

   فهرست مطالب خبرنامه  

مأخذ : http://us.mcafee.com

مأخذ : http://securityresponse.symantec.com

خواننده عزيز، لطفا نظرات و پيشنهادات خود را به پست الکترونيکی ( info@shirazcity.org ) ارسال داريد تا به آن پرداخته شود.