MYDoom Virüsünün Getirdikleri

0
aRda_
W32/Mydoom Virüs Tanımı : Toplu e-posta atan bir virustür. Aşağıdaki özelliklerde geliyor:
Kimden (From): Konu(Subject): test hi hello Mail Delivery System Mail Transaction Failed Server Report Status Error Metin (Body):
W32/Mydoom
Virüs Tanımı :

Toplu e-posta atan bir virüstür.

Aşağıdaki özelliklerde geliyor:
Kimden (From):
Konu(Subject):

* test
* hi
* hello
* Mail Delivery System
* Mail Transaction Failed
* Server Report
* Status
* Error

Metin (Body):
Eklenti (Attachment):

* doc.bat
* document.zip
* message.zip
* readme.zip
* text.pif
* hello.cmd
* body.scr
* test.htm.pif
* data.txt.exe
* file.scr

Belirtiler:

* Aşağıdaki kayıt(registry) dosyalarının varlığı
* Anlamsız eklentinin içeriği

Etkileme Yöntemi:
E-posta eklentisinin çalıştırılıması sonucu kendi SMPT motoru yardımı ve P2P paylaşımları yoluyla yayılıyor.
Teknik özellikler:

Virüs çalıştırıldığında:

* aşağıdaki dosyaları yaratıyor.
o "shimgapi.dll" %System% dizininde.
o "Message" %temp% dizinde. Notepad tarafından açılan tamamen tesadüfi karakterlerden oluşmuş bir metindir.
o "taskmon.exe" %System% dizinde. Başka bir taskmon.exe varsa üzerine yazıyor.
* shimgapi.dll arka kapı olarak çalışan proxy programıdır.
* Shimgapi.dll EXPLORER.EXE tarafından çalıştırılması için aşağıdaki kayıt (registry key) anahtarları girilir:
o HKEY_CLASSES_ROOTCLSID{E6FB5E20-DE35-11CF-9C87-00AA005127ED}InProcServer32 "(Default)" = %SysDir%shimgapi.dll
* Windows açıldığında kod çalışması için aşağıdaki değeri;
TaskMon = %System%taskmon.exe
kayıt (registry) dosyasında belirtilen yerlere yazıyor;
o HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
* Aşağıdaki kayıt dosyalarının yaratır:
o HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionExplorerComDlg32Version
o HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerComDlg32Version
* Aşağıdaki dosyalardan e-posta adresleri topluyor.
o ".htm"
o ".sht"
o ".php"
o ".asp"
o ".dbx"
o ".tbb"
o ".adb"
o ".pl"
o ".wap"
o ".txt"
* Yukarda belirtilen yapıda e-postalar hazırlıyor ve topladığı e-posta adreslerine gönderiyor.
* Aşağıdaki sitelerden rastgele seçtiği birisine DoS (Denial of Service) saldırısı yapıyor.
o www.sco.com
* %KaZaA dizinine iki dosya daha yaratıyor.
o winamp5
o icq2004-final
o activation_crack

o strip-girl-2.0bdcom_patches
o rootkitXP
o office_crack
o nuke2004
* aşağıdaki uzantlarla
o pif
o scr
o bat
o exe

Kaynak: http://www.alperbalci.com/

İlgili Yazılar

Paralı Askerler 3.Dünya Savaşını`mı Başlattı ?

sundance

8 Mart günü yaklaşık 40 kadar Amerikan e-ticaret sitesi Rusya ve Ukrayna`dan kaynaklandığı tahmin edilen saldırılara uğradı.
Reuters`in verdiği habere göre saldırıya uğrayan sitelerin hepsi de Microsoft Windows NT işletim sistemindeki bir zayıflık yüzünden zarar gördüler. FBI`ın bildirdiğine göre sözkonusu problem 1998 yılında tespit edilmiş ve gerektiği gibi patchlenmiş.
Security Focus`un haberi oldukça ilginç detaylar içeriyor. Yaklaşık 1 milyon kullanıcının kredi kartı bilgileri Mafya`nın elinde tahminen.

Gizli anahtarlarınızı gizleyemezsiniz!

tongucyumruk

İngiliz ulusal güvenlik ajansı Home Office, 2000 yılında çıkan RIPA adlı yasanın üçüncü bölümündeki bugüne kadar kullanmaya başlamadğı hakkını kullanmak yönünde hazırlıklara başladı. Sözkonusu yasanın üçüncü bölümü İngiliz polisine ihtiyaç duyması halinde kişilerin açık anahtar tabanlı şifreleme uygulamalarında kullanılan gizli anahtarını isteme hakkını tanıyor. Gizli anahtarını teslim etmeyi reddedenler içinse hapis cezası öngörülüyor.

ATM PINlerine Karşı Yeni Bir Saldırı Şekli

FZ

Bankaların otomatik para çekme makinaları olarak kullandığımız ATM'lere karşı Decimalisation Table Attacks for PIN Cracking isimli bir saldırı yöntemi geliştirilmiş durumda.

Dreamcast kullanarak firewall nasıl delinir...

conan

Yaratıcılıkta sınır tanımayan hacker "dostlarımız", artık ebay`den 100$'ın altına bulunabilen Dreamcast`leri içine Linux yükleyerek şirketlerin sistemlerine giriyorlarmış. Dreamcast`i seçmelerinin asıl nedeni ucuz olması ve içinde ethernet bağlantısıyla gelmesi 1 2. Yöntem ise oldukça güzel :) Şirket içinde networke bir oyun makinası getirdim diyerekten aslında bir ayağı firewall dışında bir ayağı ise içeride olan bir hackbox sokmuş oluyorlar. Bu kutu içerisinde SSH, Web browsers gibi toollar ekleyerek de firewall bypass edilmiş bölgeye istedikleri bir yerden sızabiliyorlar. (Günümüzde tuvaletten bile network kablosu geçtiği düşünülürse basit bir ziyaretçi bile içeri bir box sokabilir hehe)

Network Penetrasyon Testleri Eğitimi / 17-18 Nisan

butch

Bu eğitim güvenlik dünyasında ismi duyulmuş çeşitli açık kaynak kodlu yazılımların en etkin şekilde kullanılarak efektif güvenlik testlerinin yapılabilmesini amaçlamaktadır. Eğitimde kullanılan araçların isimleri çok bilinmesine rağmen detay özellikleri ve etkin kullanımı genelde bilinmemektedir.

Eğitim sonrası katılımcılar herbiri kendi alanında en iyisi sayılabilecek bu araçları tüm detayları ile birlikte nerede nasıl kullanılacağını öğrenmiş olacaktır.

Diğer detaylar ve eğitim içeriğine bu adresten ulaşabilirsiniz.