|
 |
|
 |
| |
 Virusul la moda printre posesorii de site-uri - "Yahoo! counter starts here" - Win32/Daonol
In ultima perioada multe din site-urile romanesti (in general forumuri, blog-uri, cms-uri) au fost infectate cu acest virus. Din pacate foarte multi anti-virusi nu gasesc acest virusi nici la ora actuala. Se stie ca doar antivirusii de la Kaspersky, Sophos si Microsoft il gasesc, deasemenea Google toolbar notifica vizitatorii cand viziteaza pagina infectata.
Virusul infecteaza posesorii site-urilor in primul rand. Dupa ce calculatorul victimei este infectat, virusul intercepteaza orice parola de FTP care este folosita si trimite aceste parole in general catre servere din Polonia prin SMTP, de unde sunt folosite pentru ca virusul sa se conecteze cu acel cont FTP si sa infecteze fisierele de index pe care le gaseste, adaugand paginii normale un java script de genul:
<script language=javascript>
<!-- Yahoo! Counter starts here -->
if(typeof(yahoo_counter)!=typeof(1))eval(unescape('%%65.#.....c`h2F%3C/|%64|i`%76!%3E').replace(/@|#|&|/g,""));var yahoo_counter=1;
<!-- counter end -->
</script>
Am modificat scriptul de mai sus sa nu fie chiar virusul in cauza, virusul are mult mai multe caractere fara sens. Scriptul de mai sus, despacheteaza acel sir de caractere haotice, si lanseaza ceea ce a rezultat ulterior. Rezultatul, se foloseste de bugurile de securitate din Internet Explorer, pentru a incerca sa infecteze la randul lui calculatorul celui care viziteaza pagina. In cazul in care reuseste sa infecteze calculatorul vizitatorului, deasemenea intercepteaza la randul lui parolele FTP pe care le trimite prin email. In plus se pare ca insereaza in rezultatele uneori motoare de cautare gen Google, Yahoo etc si rezultate aiurea catre site-uri diferite (cu care cei care au facut virusul probabil au incercat sa faca bani). Doua iframe-uri au fost gasite pana acum catre 78. 157. 142. 58 si 209 .85 .171 .9 de unde virusul lua rezultatele pentru cautari.
Cum se scapa de acest virus?
Virusul a fost facut foarte inteligent. Dezinfectia trebuie facuta cu foarte mare atentie, pentru ca poate afecta calculatorul infectat. Informatiile de mai jos sunt pur informative, daca incercati sa il curatati manual si gresiti ceva sau nu va mai porneste calculatorul este riscul dvs.
Virusul este defapt in fisierul sysaudio.sys, in directorul %sysdir% (directorul system32). Mare atentie, sa nu il confundati cu %sysdir%driverssysaudio.sys care defapt este un fisier legitim si care este folosit de catre sistemul de operare Windows.
Pentru a gasi exact numele fisierului dati click pe start->Run->regedit si accesati cheia:
HKLMsoftwaremicrosoftwindows ntcurrentversiondrivers32
Acolo veti gasi cele doua chei responsabile pentru lansarea virusului gen "aux"="sysaudio.sys" sau "aux2"="sysaudio.sys"
Valori normale pentru aceste chei daca ar fi folosite sunt wdmaud.drv sau mmdrv.dll, ctwdm32.dll si multe altele, in nici un caz "sysaudio.sys"
Versiunile mai noi ale virusului apar in loc de "sysaudio.sys" ca divx.nls sau ntnet.drv
In general pasii pentru a scapa de acest virus:
1. Instalati Mozilla Firefox il puteti gasi [aici], chiar daca nu il folositi ulterior, sa il puteti folosi cat scapati de virus. Folositi doar Firefox, pana ati scapat complet de virus, pentru ca nu este afectat.
2. Accesati site-ul dvs. Uneori s-ar putea sa nu se incarce total sau sa se incarce foarte greu(pentru ca incearca sa incarce rezultatele de spam de pe serverele care nu mai functioneaza). Chiar daca nu s-a incarcat pagina complet, dati click dreapta pe pagina si View source.
3. Cautati in sursa paginii siteului "Yahoo! counter starts here". Daca gasiti un java script ca cel de mai sus, site-ul este infectat.
4. Dezinfectati calculatorul personal de pe care lucrati. Puteti incerca sa folositi un anti-virus din cei din lista de mai sus, sau sa il dezinfectati manual. Dati un reboot dupa ce l-ati dezinfectat.
5. Schimbati parola FTP cu care accesati contul FTP pentru administrarea site-ului.
6. Faceti download la site, faceti un backup apoi editati-l cu un editor text, scoateti acel bloc java script cu virusul din pagini. Asigurati-va ca nici un fisier nu mai contine acel bloc java script.
7. Faceti upload la site, stergand fisierele existente.
Informatiile de mai sus au fost compilate de catre system administratori de la trei firme de gazduire diferite. Pot fi impartiale, deoarece virusul nu este foarte cunoscut in detaliu inca. Microsoft a numit acest virus Win32/Daonol, Sophos Troj/Inject-DG iar Kaspersky Rootkit.Win32.Agent.fby |
  Article ©2009-01-11 01:09:41 Gazduire & Web Hosting & Inregistrare domenii: stiri, informatii, anunturi, manuale, howtoShare |
|
 |
|
 |
You need to login first |
 |
epayment.ro
