BU SERVİS, GOOGLE TARAFINDAN SAĞLANAN ÇEVİRİLER İÇEREBİLİR. GOOGLE, HERHANGİ BİR GARANTİ, GÜVENİLİRLİK VE TİCARİ ELVERİŞLİLİK, BELİRLİ BİR AMACA UYGUNLUK VE İHLAL ETMEME GARANTİLERİ DAHİL OLMAK ÜZERE AÇIK VEYA ZIMNİ GARANTİLER DE DAHİL OLMAK ÜZERE, AÇIK VEYA ZIMNİ TÜM GARANTİLERİ REDDEDER.

Kaspersky Lab web sitesi, Google Çeviri tarafından desteklenen çeviri yazılımı kullanılarak size kolaylık sağlamak amacıyla tercüme edilmiştir. Doğru bir çeviri sağlamak için makul çabalar sarf edilmiştir, ancak otomatik çeviri mükemmel değildir ve insan çevirmenlerinin yerini alması amaçlanmamıştır. Çeviriler, Kaspersky Lab web sitesinin kullanıcılarına bir hizmet olarak sunulur ve "olduğu gibi" sağlanır. İngilizce'den başka bir dile çevrilmiş herhangi bir çevirinin doğruluğu, güvenilirliği veya doğruluğu konusunda açık ya da zımni hiçbir garanti verilmemektedir. Çeviri yazılımı sınırlamaları nedeniyle bazı içerikler (görüntüler, videolar, Flash vb. Gibi) doğru bir şekilde çevrilemeyebilir.

Email-Worm.HTML.Jer

Sınıf Email-Worm
Platform HTML
Açıklama

Teknik detaylar

Bu, IRC kanallarına yayılan ve e-posta yoluyla yayılmayı amaçlayan bir Internet solucanıdır, ancak kodundaki hatalar nedeniyle başarısız olur.

Kurulum

Solucan yazar tarafından www.geocities.com adresindeki bir sayfada yer almıştır. Sayfanın başlığı:

"<< 40 GÜN KADIN YATAKTA BAŞLADI".

2 Temmuz 2000'de, bu sayfa hakkındaki bilgiler IRC kanallarına duyuruldu ve ilk gün için bu sayfada 1000'den fazla hit vardı. Neyse ki, solucan, e-posta bulaşma rutininde bir hata oluşturdu ve çok uzaklara yayılmadı.

"Jer" solucanı, ilkel, ancak bilgisayarlara nüfuz etmenin çok etkili bir yolunu kullanır. Bir Web sitesi, bir kullanıcı virüslü bir HTML sayfası açtıktan sonra otomatik olarak çalıştırılan bir komut dosyası programı (solucanın kendisi) içerir. Daha sonra bir kullanıcı, bu bilinmeyen komut dosyasını kabul edip etmemek için sistemden bir uyarı alır. Bu yöntem "akıl ihlalleri" denen şeyden yararlanır: Bu sinir bozucu mesajı önlemek için bir kullanıcı "evet" cevabını verir. Bu andan sonra, solucan bilgisayara aktarılacak.

Virüs bulaşan HTML sayfası VBS komut dosyasını gövdesinde içerir. Bu sayfayı açtıktan sonra, betik otomatik olarak yürütülür ve solucan kontrol kazanır. Windows sistem dizinindeki virüslü HTML sayfasının bir kopyasını JER.HTM adıyla oluşturur ve bunu otomatik başlatma bölümünde sistem kayıt defterine kaydeder:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunGinSenG = "JER.HTM"

Sonuç olarak, her Windows başlangıcında solucan otomatik olarak yürütülür.

Yayma

Solucan daha sonra C: MIRC dizinine gider ve (eğer böyle bir dizin varsa), mIRC istemcisinin komutlarını içeren bir "SCRIPT.INI" dosyası oluşturur. Solucan bu dosyaya virüslü bir JER.HTM dosyasını virüslü bilgisayarla aynı kanala bağlanan her bilgisayara göndermek için bir dizi komut yazıyor. Ayrıca, bu komut dosyası, virüslü bilgisayarın yerel diskine belirli bir komut sözcüğü anahtar sözcüğünü yazmış olan IRC kullanıcısına erişim sağlar.

Taşıma kapasitesi

Solucan, sistem kayıt defterinde bazı değişiklikler yapar:

  • Masaüstünü devre dışı bırakır
  • "Bul" iletişim kutusunu devre dışı bırakır
  • Ağ özellikleri iletişim kutusunu devre dışı bırakır
  • "Başlat" menüsünden "Kapat" ı kaldırır

Solucan ayrıca Windows kayıt bilgilerini değiştirir:

Sahibi: Seni Seviyorum, Min
Organizasyon: GinsengBoy-2000

uzaklaştırma

Sistem ayarlarını geri yüklemek için, orijinal kayıt defteri değerlerinin geri yüklenmesi gerekir.

Not: Kayıt Defteri Düzenleyicisi'ni kullanarak yalnızca deneyimli kullanıcıların kayıt defteri anahtarlarını düzeltmesi önerilir. Yanlış erişim, Windows'u yeniden yüklemenizi gerektirebilecek ciddi sorunlara neden olabilir. Kayıt defterini düzenlemeyle ilgili bilgi için Kayıt Defteri Düzenleyicisi'ndeki (REGEDIT.EXE) Anahtarları ve Değerleri Değiştirme başlıklı çevrimiçi Yardım konusuna bakın.

Aşağıdaki anahtarların kayıt defterinden kaldırılması gerekir:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunGinSenG

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoDesktop

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoFind

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionPoliciesNetworkNoNetSetup

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoClose

Aşağıdaki tuşların uygun değerlere değiştirilmesi gerekiyor:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionVersion – Windows sürümü (örneğin, "Windows 98").

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRegisteredOwner – Kullanıcı adı (Windows Kayıtlı)

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRegisteredOrganizasyon – Kuruluş adı (Windows kayıtlı)


Orijinaline link