Information Technology Network

شبکه فناوری اطلاعات

 

بررسی ویروس رایانه ای sality (بخش اول)

پنجشنبه 5 دی 1387
 

نوع مطلب :عمومی ،

نوشته شده توسط:گروه مدیریت

این ویروس در چند ماه گذشته جزء شایع ترین ویروسها بوده است و انواع مختلفی دارد که با نام های مختلفی توسط برنامه های آنتی ویروس شناسایی می شود

نسخه های جدید آنتی ویروس Nod32 و همچین Kaspersky ممکن است ویروس فوق با نامهای Malas یا Sality.nar و یا P2p.Worm.Generic شناسایی کنند
این ویروس در نسخه های جدید با نام W32/Nahkos توسط آنتی ویروس پاندا شناسایی می شود . آنتی ویروس Avira Antivir این ویروس را با نام Worm.Malas.C می شناسد.
ویروس کش مک آفی(McAfee) این ویروس را با عنوان W32/Bindo.worm می شناسد .
آنتی ویروس سوفوس با نام Troj/Yusufali-A و آنتی‌ویروس كوئیك‌هیل با نام‌های “Win32.Malas.c” و “Win32.Malas.A” و “Trojan.Win32.VB.zu” این ویروس را شناسایی می کند.

غیرفعال کردن Alt+Ctrl+Delete یا همان تسک منیجر Task Manager  ، از کار افتادن Regedit  ( رجیستری ویندوز) ،همچنین محدود کردن دسترسی به سایتهای آنتی ویروس ، بستن آنتی ویروس و همچنین خراب کردن فایلهای اجرایی سیستم مختصری از اعمال این ویروس است .


شیوه آلوده سازی ویرس Sality
 
این ویروس پس از اجرا ، فایل آلوده ای را با نامی تصادفی و پسوند SYS در مسیر زیر قرار می دهد :

%System%\drivers

این کامپوننت آلوده ، در واقع یک Device Driver میباشد که مانند یک rootkit در سطح کرنل سیستم عمل می کند و به ویروس اجازه می دهد که خودش و عملکردش را در سیستم مخفی کند .

 از آنجایی که این شیوه تنها در سیستمهای مبتنی بر ویندوز ان تی (Windows NT-based operating systems) قابل اجراست، لذا ویندوزهای NT/2000/XP/2003 در معرض آلودگی این ویروس هستند .

پراسسی SCVHOST.exe  پراسس اصلی ویروس می باشد . توجه کنید که نام SCVHOST.exe بسیار شبیه فایل سیستمی SVCHOST.exe میباشد وتنها دو حرف C و V جابجا شده اند .

 در واقع وجود یکی از پراسسهای زیر در سربرگ Processes ممکن است یکی از نشانه های آلودگی سیستم به ویروس Sality باشد.

blastclnnn.exe

hinhem.scr

SCVHOST.exe

این ویروس متن زیر را در فایل SYSTem.ini موجود در شاخه ویندوز اضافه می کند:

[MCIDRV_VER]
DEVICEMB=

همچنین کلید رجیستری زیر را در رجیستری ویندوز ایجاد می کند که ترکیبی است از نام کامپیوتر و یک عدد سه رقمی تصادفی :

<HKCU\Software\<3 random numbers

مثلا :

HKCU\Software\EliassMaleki498

در این کلید ویروس متغیرهای مورد استفاده خود را ایجاد می کند . در یکی از سیستمهای آلوده من مسیر رجیستری زیر را که توسط ویروس ایجاد شده بود یافتم :

HKCU\Software\ACS-IR914

که ACS-IR نام کامپیوتر و عدد 914 همان عدد سه رقمی تصادفی بود.

این ویروس همچنین کلیه درایوهای محلی و یا شبکه ای و یا قابل حمل مانند فلش دیسکهای متصل به سیستم را یافته و خود را در آنها کپی می کند .

 این ویروس همانند بسیاری از ویروسهای جدید با استفاده از ایجاد فایل Autorun.inf در درایوها و حافظه های فلش از این روش برای تکثیر خود بهره میگیرد .

وجود فایل Autorun.inf در هر نوع درایوی موجب می شود به محض دابل کلیک کردن بر روی درایو دستورات موجود در Autorun.inf اجرا شود که این دستورات ، دستوراتی شامل اجرای مجدد ویروس و تکثیر مجدد در کلیه درایوهاست .

 بارگذاری ویروسها و بد افزارهای دیگر

این ویروس با اتصال به برخی دامینها و سایتها ، بدافزارهای دیگری را نیز دانلود کرده و به سیستم آلوده منتقل می کند.

غیر فعال کردن Task Manager و Registry Editor و Show Hidden Files

 این ویروس ضمن از کار انداختن تسک منیجر Task Manager یا همان Alt+Ctrl+Delete موجب از کار افتادن ویرایشگر رجیستری (Regedit) نیز میگردد .در صورت آلوده شدن سیستم به این ویروس Folder Option نیز در مواقعی حذف می شود و یا در صورت وجود ، عملکرد نمایش فایهای مخفی و سیستمی نیز غیرفعال میگردد .

بالا نیامدن سیستم در حالت Safe Mode

این ویروس موجب می شود سیستم در حالت سیف مود (Safe Mode) نیز بالا نیاید و پس از چند لحظه ری استارت شود !

تخریب و آلوده کردن فایلهای SCR و EXE

از بدترین اعمالی که این ویروس انجام می دهد خراب کردن فایلهای اجرایی سیستم با پسوند exe و SCR میباشد بطوریکه اغلب فایلهای exe و SCR موجود در درایو C را آلوده کردن و کدهایی را در آنها تزریق می کند و در نتیجه فایهای فوق نیز بعنوان ویروس Sality شناخته می شوند و بکلی خراب می شوند .همچنین بسیاری از فایلهای اجرایی درایوهای دیگر را بطور تصادفی آلوده می کند .

حذف فایلها و بستن پراسسهای خاص

این ویروس همچنین ممکن است فایلهای با پسوندهای زیر را حذف کند :

*.AVC

*.VDB

 جالب اینجاست این ویروس به شما اجازه نصب برنامه های آنتی ویروس را می دهد اما به محض اجرای آنتی ویروس آن را می بندد!


خاتمه اجرای سرویسهای خاصی در ویندوز

Terminates Services
جلوگیری از دسترسی و اتصال به وب سایتهای خاص

این ویروس دسترسی سیستم را به سایتهای اینترنتی خاصی را محدود می کند . این عمل را از طریق الحاق یک فایل SYS که وظیفه انجام IP Traffic Filter Device Driver را دارد ، انجام می دهد .

لذا کلیه سایتها و دامینتهایی که اسامی آنها دارای کلمات زیر میباشد بلوکه شده و دسترسی سیستم آلوده به آنها محدود میگردد

upload_virus
sality-remover
virusinfo.
cureit.
drweb.
onlinescan.
spywareinfo.
ewido.
virusscan.
windowsecurity.
spywareguide.
bitdefender.
pandasoftware.
agnmitum.
virustotal.
sophos.
trendmicro.
etrust.com
symantec.
mcafee.
f-secure.
eset.com
kaspersky


نکته قابل توجه : به دلیل این که انواع مختلفی از این ویروس وجود دارد ، ممکن است اسامی بعضی از فایلها و یا مسیرهای ذکر شده متفاوت باشد  اما بسیاری از عملکردها، مانند از کارفتادن تسک منیجر و رجیستری در کلیه نسخه های این ویروس مشترک است .

برگرفته از  acs.ir



نظرات()
 
 


» آخرین پست ها
 
priPrinter - Ultimate Print Preview Solution یکشنبه 23 اسفند 1388
گزینه “God Mode” در ویندوز ۷ شنبه 19 دی 1388
جزوه معادلات دیفرانسیل دکتر نیکوکار دوشنبه 23 آذر 1388
منابع کنکور کاردانی به کارشناسی سال 89 دوشنبه 25 آبان 1388
منابع کنکور آزاد کارشناسی ناپیوسته 88 پنجشنبه 23 مهر 1388
انیمیشن تهران 1500 پنجشنبه 22 مرداد 1388
آموزش NetSupport School یکشنبه 16 فروردین 1388
Netsupport School 10.01 پنجشنبه 3 بهمن 1387
بررسی ویروس رایانه ای sality (بخش دوم) چهارشنبه 11 دی 1387
بررسی ویروس رایانه ای sality (بخش اول) پنجشنبه 5 دی 1387
زیبا سازی ویندوز شنبه 27 مهر 1387
راهنمای استفاده از Deep Freeze 6 سه شنبه 16 مهر 1387
متن مصاحبه با مهندس عین الله جعفرنژاد قمی سه شنبه 28 اسفند 1386
توشیبا رسماً شکست فرمت HD DVD را به اطلاع عموم رساند سه شنبه 30 بهمن 1386
HD DVD مبارزه را به رقیب خود Blu-ray واگذار می‌كند یکشنبه 28 بهمن 1386
لیست کامل آخرین پستها