نام :: W32/Agobot-ADH
نوع :: کرم
شيوه پخش :: از طريق فايل هاي به اشتراک گزاشته شده در شبکه
سيستم عامل هدف :: ويندوز
نام مستعار :: WORM_SPYBOT.KV

کارهاي پخش ::

1 – دسترسي ديگران به منابع کامپيوتر
2 – دزديدن اطلاعات
3 – دانلود کردن کد هاي مخرب از اينترنت
4 – کم کردن قدرت ايمني سيستم
5 – ضبط صفحه کليد
6 – نصب خود بر روي ريجيستري
7 – از کار انداختن برنامه هاي آنتي ويروس

شرح::

اين کرم حاوي يک در پشتي است که به هکر اجازه استفاده از سيستم را مي دهد . و اين کرم قدرت پخش خوبي بر روي شبکه هاي محلي دارد و همچنين براي اولين بار که اجرا مي شود خود را بر روي شاخه سيستم کپي مي کند . و همچنين اين شاخه ها را مي سازد :

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices \

بکدور اين کرم از طريق کانال هاي IRC به هکر اجازه استفاده از منابع سيستم را مي دهد و همچنين اين کرم مي تواند جلوي بازديد و اتصال به سايت هاي آنتي ويروس را به شکل ايجاد يک فايل HOSTS در مسير % SYSTEM%\Drivers\etc\HOSTS بگيرد بدين شکل که در اين فايل آدرس هاي زير را وارد مي کنند ::

127.0.0.1 http://www.symantec.com
127.0.0.1 securityresponse.symantec.com
127.0.0.1 symantec.com
127.0.0.1 http://www.sophos.com
127.0.0.1 sophos.com
127.0.0.1 http://www.mcafee.com
127.0.0.1 mcafee.com
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 http://www.viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 f-secure.com
127.0.0.1 http://www.f-secure.com
127.0.0.1 kaspersky.com
127.0.0.1 http://www.avp.com
127.0.0.1 http://www.kaspersky.com
127.0.0.1 avp.com
127.0.0.1 http://www.networkassociates.com
127.0.0.1 networkassociates.com
127.0.0.1 http://www.ca.com
127.0.0.1 ca.com
127.0.0.1 mast.mcafee.com
127.0.0.1 my-etrust.com
127.0.0.1 http://www.my-etrust.com
127.0.0.1 download.mcafee.com
127.0.0.1 dispatch.mcafee.com
127.0.0.1 secure.nai.com
127.0.0.1 nai.com
127.0.0.1 http://www.nai.com
127.0.0.1 update.symantec.com
127.0.0.1 updates.symantec.com
127.0.0.1 us.mcafee.com
127.0.0.1 liveupdate.symantec.com
127.0.0.1 customer.symantec.com
127.0.0.1 rads.mcafee.com
127.0.0.1 trendmicro.com
127.0.0.1 http://www.trendmicro.com

براي پاک سازي اين کرم به صورت دستي بايد اول بدنه کرم را از حالت فعاليت خارج کنيد که اين کار را مي Processes انجام دهيد à توانيد با يافتن فايل بدنه کرم در Windows Task Manager فايل بدنه در بالا ذکر شده است و بعد از طي اين مراحل شما بايد شاخه هاي ريجيستري که در بالا پيدا شده است را يافته و مقادير آن را پاک کنيد . اگر نتوانستيد فايل بدنه کرم را پيدا کنيد بايد از ريجستري ويندوز مدد بگيريد و به شاخه RUN يا زير شاخه هاي ان رفته و فايل هاي مشکوک را پيدا کنيد و بررسي کنيد.
ادامه دارد ......
ارسال مقاله توسط عضو محترم سايت با نام کاربري : sm1372
/س