BU SERVİS, GOOGLE TARAFINDAN SAĞLANAN ÇEVİRİLER İÇEREBİLİR. GOOGLE, HERHANGİ BİR GARANTİ, GÜVENİLİRLİK VE TİCARİ ELVERİŞLİLİK, BELİRLİ BİR AMACA UYGUNLUK VE İHLAL ETMEME GARANTİLERİ DAHİL OLMAK ÜZERE AÇIK VEYA ZIMNİ GARANTİLER DE DAHİL OLMAK ÜZERE, AÇIK VEYA ZIMNİ TÜM GARANTİLERİ REDDEDER.

Kaspersky Lab web sitesi, Google Çeviri tarafından desteklenen çeviri yazılımı kullanılarak size kolaylık sağlamak amacıyla tercüme edilmiştir. Doğru bir çeviri sağlamak için makul çabalar sarf edilmiştir, ancak otomatik çeviri mükemmel değildir ve insan çevirmenlerinin yerini alması amaçlanmamıştır. Çeviriler, Kaspersky Lab web sitesinin kullanıcılarına bir hizmet olarak sunulur ve "olduğu gibi" sağlanır. İngilizce'den başka bir dile çevrilmiş herhangi bir çevirinin doğruluğu, güvenilirliği veya doğruluğu konusunda açık ya da zımni hiçbir garanti verilmemektedir. Çeviri yazılımı sınırlamaları nedeniyle bazı içerikler (görüntüler, videolar, Flash vb. Gibi) doğru bir şekilde çevrilemeyebilir.

Net-Worm.Win32.Randon

Sınıf Net-Worm
Platform Win32
Açıklama

Teknik detaylar

Randon , IRC kanalları ve paylaşılan kaynaklarla LAN'lar aracılığıyla dağıtılan bir Virüs Worm.

Bu solucan çalıştırıldığında, bileşenlerini Windows sistem dizinindeki zxz ve / veya zx alt dizinine yükler ve ana dosyasını ve mIRC istemcisini Windows kayıt defteri otomatik çalıştırma anahtarında (aşağıda) kaydeder:

HKLM SoftwareMicrosoftWindowsCurrentVersionRunupdateWins

Randon daha sonra yukarıdaki anahtarı yürütür ve HideWIndows yardımcı programıyla işlemi gizler. Randon, IRC sunucusuna bağlanır ve komut dosyalarını yürütür. DDoS saldırılarına ve IRC kanal taşmasına ek olarak, Randon diğer IRC istemcilerin 445 numaralı bağlantı noktasını tarar.

dağıtım
Açık bir bağlantı noktasının (445) algılanması üzerine solucan, uzak bilgisayardaki açık kaynakları bulmaya ve aşağıdaki şifrelerden birini kullanarak bağlanmaya çalışan sencs.bat ve incs.bat toplu dosyalarını çalıştırır:

"admin", "yönetici", "root", "admin", "test", "test123", "temp", 
"temp123", "pass", "şifre", "changeme"  
 

Bir bağlantı başarılı olursa solucan 445 numaralı bağlantı noktasında bir soket açar, Truva atı Truva atı TrojanDownloader.WIn32.APher.gen'i aktarır ve çalıştırır. Bu trojan, "www.q8kiss.net" adresinden solucanın 'tam' versiyonunun kendi kendine ayıklanan bir arşivini indirir ve sisteme yükler.

Ek bilgi
Randon solucanı aşağıdaki bileşenlerden oluşur:

Deta.exe – HideWindows yardımcı programı (WIn32 exe dosyası)
fControl.a – bir IRC betiği (port tarama ve infeksiyon uzak bilgisayarları)
IfCOntrol.a – bir IRC betiği (IRC-kanalları sel ve DDoS saldırıları (farklı adreslere ping))
incs.bat – BATCH dosyası (lan kaynakları şifre kırıcı)
Libparse.exe "PrcView" yardımcı programıdır (Win32 EXE dosyası)
psexec.exe "PsExec" yardımcı programıdır (Win32 EXE dosyası)
rcfg.ini – IRC INI dosyası (diğer komut dosyalarını yükleme)
rconnect.conf – yapılandırma dosyası
reader.w – IRC kanalları ile bağlantı kurmak için solucan tarafından kullanılan takma adların listesi
Sa.exe – TrojanDOwnloader.Win32.Apher
scontrol.a – yardımcı IRC komut dosyası.
sencs.bat – BAT dosyası (bu dosya TrojanDownloader yürütme gerçekleştirmek için uzak bilgisayara aktarılır)
systrey.exe – yeniden adlandırılmış mIRC istemcisi (Wind32 EXE dosyası).


Orijinaline link