vbs.Small.a Virüs Analizi


virusBahsi geçen virüs ( aslında bir worm) bir çok kişi tarafından temizlenememiş ve bazı antivirus ve virus analiz firmaları tarafından 1 ay gibi bir zaman içerisinde çözümlenebilmiştir. Virus çok hızlı bir şekilde usb diskler ,flash bellekler ve network paylaşımları tarafından yayılmaktadır. En önemli özelliği ise userinit.exe ye yerlesip winlogon da çalışabilmesidir.

Türevleri :  Virus.VBS.Small.a   VBS/Autorun.C@troj   VBS/Small.NAB  VBS_SMALL.JAJ

Kendisini registry e regleyerek çalışmaktadır. Uzantısından da belli olduğu gibi Visual Basic Script şeklinde kodlanmıştır. 483 ile 1368KB arasında farklı boyutlarda olabilmektedir. 

-autorun.bat
-autorun.vbs
-autorun.inf
-autorun.reg

.\autorun.bin %WinDir%\system32\autorun.bin c:\autorun.txt

Çalıştığında yukarıdaki dosyaları oluşturacaktır.

.\autorun.vbs %WinDir%\system32\autorun.vbs
%System%\system.

Bahsettiğimiz reg kaydı sayesinde autorun.vbs yi arar ve çalıştırır. Ramin 4 te 1 ini işgal edecektir.

Temizleme şekli :

Aşağıdaki dosyaları silerek işe başlayabilirsiniz.

c:\autorun.txt
.\autorun.bin .\autorun.vbs %WinDir%\system32\autorun.bin %WinDir%\system32\autorun.vbs
 

Registry den  aşağıdaki entryleri silerek kurtulabilirsiniz.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
autorun
sxs.exe

HKLMACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Userinit
userinit.exe,autorun.bat

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
ShowSuperHidden
dword:00000000
Hidden
dword:00000002

Hakkında ÖmerKARADENIZ
https://omerkaradeniz.wordpress.com/hakkimda/ https://www.linkedin.com/in/omerkaradeniz

3 Responses to vbs.Small.a Virüs Analizi

  1. Eser diyor ki:

    Bu wp de benim nasıl linkim yok bakem hemen düşünmeden söle ???

  2. admin diyor ki:

    Sizi Eklemeden olur mu hocam🙂

  3. Serhat AKINCI diyor ki:

    Olm Eser seninkide site mi🙂

Bir Cevap Yazın

Aşağıya bilgilerinizi girin veya oturum açmak için bir simgeye tıklayın:

WordPress.com Logosu

WordPress.com hesabınızı kullanarak yorum yapıyorsunuz. Log Out / Değiştir )

Twitter resmi

Twitter hesabınızı kullanarak yorum yapıyorsunuz. Log Out / Değiştir )

Facebook fotoğrafı

Facebook hesabınızı kullanarak yorum yapıyorsunuz. Log Out / Değiştir )

Google+ fotoğrafı

Google+ hesabınızı kullanarak yorum yapıyorsunuz. Log Out / Değiştir )

Connecting to %s

%d blogcu bunu beğendi: