MYDoom Virüsünün Getirdikleri

W32/Mydoom Virüs Tanımı : Toplu e-posta atan bir virustür. Aşağıdaki özelliklerde geliyor:
Kimden (From): Konu(Subject): test hi hello Mail Delivery System Mail Transaction Failed Server Report Status Error Metin (Body):

W32/Mydoom
Virüs Tanımı :

Toplu e-posta atan bir virüstür.

Aşağıdaki özelliklerde geliyor:
Kimden (From):
Konu(Subject):

* test
* hi
* hello
* Mail Delivery System
* Mail Transaction Failed
* Server Report
* Status
* Error

Metin (Body):
Eklenti (Attachment):

* doc.bat
* document.zip
* message.zip
* readme.zip
* text.pif
* hello.cmd
* body.scr
* test.htm.pif
* data.txt.exe
* file.scr

Belirtiler:

* Aşağıdaki kayıt(registry) dosyalarının varlığı
* Anlamsız eklentinin içeriği

Etkileme Yöntemi:
E-posta eklentisinin çalıştırılıması sonucu kendi SMPT motoru yardımı ve P2P paylaşımları yoluyla yayılıyor.
Teknik özellikler:

Virüs çalıştırıldığında:

* aşağıdaki dosyaları yaratıyor.
o "shimgapi.dll" %System% dizininde.
o "Message" %temp% dizinde. Notepad tarafından açılan tamamen tesadüfi karakterlerden oluşmuş bir metindir.
o "taskmon.exe" %System% dizinde. Başka bir taskmon.exe varsa üzerine yazıyor.
* shimgapi.dll arka kapı olarak çalışan proxy programıdır.
* Shimgapi.dll EXPLORER.EXE tarafından çalıştırılması için aşağıdaki kayıt (registry key) anahtarları girilir:
o HKEY_CLASSES_ROOTCLSID{E6FB5E20-DE35-11CF-9C87-00AA005127ED}InProcServer32 "(Default)" = %SysDir%shimgapi.dll
* Windows açıldığında kod çalışması için aşağıdaki değeri;
TaskMon = %System%taskmon.exe
kayıt (registry) dosyasında belirtilen yerlere yazıyor;
o HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
* Aşağıdaki kayıt dosyalarının yaratır:
o HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionExplorerComDlg32Version
o HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerComDlg32Version
* Aşağıdaki dosyalardan e-posta adresleri topluyor.
o ".htm"
o ".sht"
o ".php"
o ".asp"
o ".dbx"
o ".tbb"
o ".adb"
o ".pl"
o ".wap"
o ".txt"
* Yukarda belirtilen yapıda e-postalar hazırlıyor ve topladığı e-posta adreslerine gönderiyor.
* Aşağıdaki sitelerden rastgele seçtiği birisine DoS (Denial of Service) saldırısı yapıyor.
o www.sco.com
* %KaZaA dizinine iki dosya daha yaratıyor.
o winamp5
o icq2004-final
o activation_crack

o strip-girl-2.0bdcom_patches
o rootkitXP
o office_crack
o nuke2004
* aşağıdaki uzantlarla
o pif
o scr
o bat
o exe

Kaynak: http://www.alperbalci.com/

İlgili Yazılar

Ücretsiz Metasploit Eğitimi

parsifal
23 Ekim 2009, 1 dakika okuma süresi

Backtrack geliştiricilerinin kurmuş olduğu Offensive Security grubunun, üzerinde zaman harcayarak hazırlamış oldukları ücretsiz eğitim serisininden bir yeni eğitim: Metasploit Unleashed - Mastering the Framework

ABD, DES`in yerini alacak olan algoritma olarak Rijndael`i seçti...

FZ
20 Ekim 2000, 1 dakika okuma süresi

Amerika Birleşik Devletleri`ndeki NIST (National Institute of Standards and Technology - Ulusal Standartlar ve Teknoloji Enstitüsü yani bir nevi TSE) ulusal standart güvenlik algoritmasi olarak (AES - American Encryption Standard) iki Belcikali bilgisayar bilimcisi tarafindan gelistirilen Rijndael kod isimli şifreleme algoritmasını seçti.

SecureProgramming.com: Güvenli Programlama Teknikleri

FZ
15 Eylül 2003, 1 dakika okuma süresi

Süper bir uygulama geliştitiriyorsunuz, keskin bir C/C++ (ya da Java, PHP, vs.) programcısı olduğunuzu düşünüyorsunuz, uygulamanızı diğerleri ile de paylaşıyor ve bununla gurur duyuyorsunuz.

Birkaç gün sonra defalarca ıncığına cıncığına dek test ettiğiniz uygulamadaki açıklar SecurityFocus gibi sitelerde yayınlanıyor... Klasik ve kulağa tanıdık gelen bir senaryo değil mi?

Ciddi anlamda uygulama geliştiren ve abuk sabuk güvenlik açıklarına yazılımlarında yer vermek istemeyen programcıların, Secure Programming Cookbook for C and C++ kitabının yazarları tarafından kamuya açılan http://www.secureprogramming.com sitesini ziyaret etmelerinde fayda var.

Fazlamesai bir zavallıyı takdim eder...

sundance
24 Nisan 2003, 2 dakika okuma süresi

Bugün irc.freenode'daki #fazlamesai kanalında arkadaşlarla sohbet ederken, kanalın müdavimlerinden Xybernaut'un nickine benzeyen nickli biri bana özelden mesaj attı, bu ve ardından gelişen zavallı muhabbeti okumanızı isterim. Görün bakın ülkemizde social engineering ne kadar zavallı durumlarda, ne salaklar var :)


Xyber[busy]] cc varmi elinde ?

[sundance] cc ne be ?

[sundance] kredi kartı mı ?

[Xyber[busy]] kredi karti

[sundance] var nolcak ?

[Xyber[busy]] bilgileri ver az

[Xyber[busy]] cok lazim

[Xyber[busy]] neyse oderim

[sundance] :)) haaa, sen benden kaçak kredi karti numarası istedin ?

[sundance] vay çakal vay, rezil etmez miyim ben seni simdi FM camiasına :))

CryptoAPI ile Verilerimizi Güvenlik Altına Alalım (ama nasıl?)

anonim
7 Nisan 2003, 13 dakika okuma süresi

21. yüzyılda yaşadığımızı göz önüne alarak artık hepimizin mümkün olduğunca Telnet yerine SSH, FTP yerine SFTP ve HTTP yerine HTTPS kullanarak verilerimizin Internet üzerinde bir noktadan bir noktaya ulaştırılması sırasında yol üzerinde pusuya yatmış karanlık şahıslar tarafından ele geçirilmesini engellediğimizi sanıyorum. Eğer bunu yapmıyorsanız, bu karanlık şahıslara fırsat verdiğiniz için er ya da geç Nasreddin Hoca'nın başına gelen "Peki ama hırsızın hiç mi suçu yok?" durumuna düşmeniz kaçınılmazdır...