Teþekkur: 
Beðeni: 
MSN Messenger Virüsü Nasýl Temizlenir ?
Son günlerde MSN üzerinden yayýlan bir virüs ortalýðý kasýp kavuruyor. Summer2008.zip adý verilen bu virüs, bulaþtýðý makinelerde kurulu MSN Messenger’lar aracýlýðýyla, baþka messenger sahiplerine virüs dosyalarý ekli anlýk iletiler gönderiyor. Eðer siz de, arkadaþýnýzýn birinden tatilden döndüðünü ve size tatil fotoðraflarýný yollamak istediðini söyleyen bir anlýk ileti alýrsanýz, dosyayý kabul etmeyin.
Eðer halihazýrda böyle bir hataya düþmüþseniz, ilk olarak messenger listenizdeki arkadaþlarýnýza durumu bildirin ve gönderilen dosyalarý açmamalarýný isteyin. 2. olarak antivirüs programýnýzý güvenli kipte çalýþtýrýn ve virüsü temizleyin.
Kaspersky antivirüs programý, virüsü Backdoor.Win32.IRCBot.acd (eski isim: IRC-Worm.Win32.Agent.a) ismiyle tanýyor.
Virüs WINDOWS dizininize images0XX.zip, photos0XX.zip, albumXX.zip, photoXX.zip, pictures0XX.zip, pictureXX.zip (XX yerine album39.zip, images091.zip gibi deðiþik sayýlar olacak þekilde) dosyalarýný atýyor.
Virüsten kurtulmanýn bir diðer yolu da, registry’den elle silmek olacaktýr.
Aþaðýdaki bilgiler C.I.S.R.T. (Chinese Internet Security Response Team) websitesinden alýnmýþ olup, uzman olmayanlar tarafýndan kullanýmý problemler doðurabilir. Bu adýmlarý izleyebileceðinizden emin deðilseniz, lütfen antivirüs programýnýzý kullanýn.
1. Adým
“Baþlat”->”Çalýþtýr”, “REGEDIT” yazarak registry editörünü açýn.
2. Adým
HKEY_LOCAL_MACHINESOFTWARE MicrosoftWindowsCurrentVersion ShellServiceObjectDelayLoad adresine gidin.
Sað panelden “printers”=”{CLSID}” yazýsýný silin.
( Silmeden önce lütfen {CLSID} kýsmýný kopyalayýn. )
3. Adým
HKEY_CLASSES_ROOTCLSID adresine gidin.
2. adýmdaki {CLSID} deðerini silin.
4. Adým
Makinenizi yeniden baþlatýn.
5. Adým
Aþaðýdaki dosyalarý temizleyin:
%System%notiffy.dll
%System%printers.exe
%userprofile%new.txt
%Windows%{string1}{rastgele numara}.zip (dosya boyutu:119KB)
Pek çok kullanýcýnýn bilgisayar sistemine zarar verdiði bildirilen bu virüs, kiþilerin listesindeki diðer insanlar tarafýndan gönderiliyor.
Listenizdeki kiþilerden gelecek türü bilinmeyen dosyalarý bilgisayarýnýza kaydetmemeye özen gösterin.
Sistem klasörlerine sýzýyor.
Bilgi Teknolojileri Güvenliði Danýþmaný Ömer Kurtulmuþ’tan aldýðýmýz bilgiye göre, MSN Messenger listesindeki kiþilerden gelen transfer aslýnda dosya deðil, bir Ýnternet linki. Çoðunlukla gelen link ve dosyalar “pif” ve “scr” uzantýlý oluyor. MSN üzerinden yayýlan bu virüs için antivirüs firmalarý saat 14:00 itibariyle güncel virüs imza dosyalarýný daðýtmaya baþladýlar. Daha bu virüsten etkilenmemiþ olanlarýn antivirüs yazýlýmlarýný güncellemeleri en önemli tedbir olacaktýr. Yeni virüs taným dosyalarýnda bu virüs, Serflog.A, Kelvir.B, Fatso.A vb. isimlerle tespit ediliyot.
Gelen dosya deðil link
Bu virüs, MSN Messenger üzerinden kontakt listenizde yer alan kiþilerden bir dosya veya Ýnternet sayfasý link’i olarak geliyor. Kullanýcý bu linke týkladýðýnda virüs dosyasý hemen aktif olmuyor, fakat gelen dosya çalýþtýrýldýðýnda aktif oluyor. Bulaþtýðý anda o bilgisayardaki MSN kayýtlarýnda yer alan herkese söz konusu link’i gönderiyor. Bu durum tespit edildiðinde ilk yapýlacak iþlem bilgisayarýn Ýnternet baðlantýsýný kesmek olmalýdýr. Böylelikle baþka birine virüsün yayýlmasý engellenmiþ olur.
Adým adým temizleme rehberi
E-Güvenlik Danýþmaný Ömer Kurtulmuþ’ta aldýðýmýz bilgiye göre, antivirüs yazýlýmlarý güncellenmeden virüs bulaþan PC’lerde artýk otomatik güncelleme özelliði çalýþmayacaðýndan, virüsün elle silinmesi gerekiyor. Eðer Ýnternet’ten bir temizleme programý indirilip kullanýlacaksa, MSN messenger programýnýn çalýþmadýðýna emin olunmalý.
Elle temizlemede izlenecek yöntemler ise þunlar:
1. Bilgisayarýnýzý restart edip güvenli kipte açýn (Açýlýþ anýnda tuþuna basarak güvenli kipi seçebilirsiniz.)
2. Baþlat menüsünden “çalýþtýr” (run) sekmesini týklayýp açýlan pencereye “regedit” yazarak enter’a basýn.
3. Regedit programý içinde aþaðýdaki alt anahtarlarý inceleyin ve bunlar içinde virüsle ilgili eklenmiþ yeni kayýtlarý silin:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentV ersionRun
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentV ersionRunServices
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentV ersionpolicie***plorerRun
HKEY_CURRENT_USERMicrosoftWindowsCurrentVersionRun
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVe rsionpolicie***plorerRun
Yukarýdaki kayýtlar içinde “serpe”, “avnort”, “ltwob” gibi tanýmlar var ise sisteminiz virüsten etkilenmiþ ve her açýlýþta kendisini tekrar çalýþtýrýyor demektir. Bu tanýmlarý silin.
4. “Bilgisayarým”ý açtýktan sonra “araçlar”dan dizin seçenekleri menüsünü açýn ve görüntü bölümündeki “gizli dosyalarý göster” seçeneðini seçin ve bilinen dosya tipleri için dosya uzantýsýný gösterme seçeneðindeki iþareti kaldýrýn. Böylelikle virüs’ün sistem içinde gizli dosya olarak kopyalanmýþ türevlerini görebileceksiniz.
5. Aþaðýdaki dizinlerde isimleri verilen dosyalarý bilgisayarýnýzdan silin.
C:windowssystem32formatsys.exe
C:windowssystem32serbw.exe
C:windowsmsmbw.exe
C:Crazy frog gets killed by train!.pif
C:Annoying crazy frog getting killed.pif
C:See my lesbian friends.pif
C:LOL that ur pic!.pif
C:My new photo!.pif
C:Me on holiday!.pif
C:The Cat And The Fan piccy.pif
C:How a Blonde Eats a Banana…pif
C:Mona Lisa Wants Her Smile Back.pif
C:Topless in Mini Skirt! lol.pif
C:Fat Elvis! lol.pif
C:Jennifer Lopez.scr
C:lspt.exe
Cocuments and SettingsLocal SettingsApplication DataMicrosoftCD Burningautorun.exe
C:British National Party.jpg
C:Crazy-Frog.Html
C:Message to n00b LARISSA.txt
6. C:WindowsSystem32Driversetc altýndaki hosts dosyasýný edit edin ve 64.233.167.104 veya benzeri IP adresleri için yeni tanýmlanmýþ adres bilgilerini silin.
Örnek içerik:
64.233.167.104 Bu Linki Görmeniz Ýçin SupersatForuma Uye Olmanýz Gerekmektedir.
64.233.167.104 Bu Linki Görmeniz Ýçin SupersatForuma Uye Olmanýz Gerekmektedir.
64.233.167.104 Bu Linki Görmeniz Ýçin SupersatForuma Uye Olmanýz Gerekmektedir.
64.233.167.104 Bu Linki Görmeniz Ýçin SupersatForuma Uye Olmanýz Gerekmektedir.
64.233.167.104 Bu Linki Görmeniz Ýçin SupersatForuma Uye Olmanýz Gerekmektedir.
64.233.167.104 Bu Linki Görmeniz Ýçin SupersatForuma Uye Olmanýz Gerekmektedir.
64.233.167.104 Bu Linki Görmeniz Ýçin SupersatForuma Uye Olmanýz Gerekmektedir.
Bu vb. antivirüs üreticilerinin adreslerini içeren satýrlarýn tümünü silin. Böylelikle antivirüs yazýlýmýnýz yeni güncellemeleri indirebilir hale gelecektir.
Yukarýdaki iþlemlerden sonra bilgisayarýnýzý yeniden baþlatýp antivirüs yazýlýmýný Ýnternet’e baðlanarak güncelleyin ve gözden kaçmýþ kalýntýlar olabileceðini düþünerek bilgisayarýnýzý virüs taramasýndan geçirin.
Yukarýdaki yöntem, “inTellect Bilgisayar” IT Güvenlik Uzmaný Ömer Kurtulmuþ’un verdiðin bilgilerden derlenmiþtir.
Þu adreslerden de detaylý bilgi alýnabilir:
Bu Linki Görmeniz Ýçin SupersatForuma Uye Olmanýz Gerekmektedir.
securityresponse.symantec.com/avcenter/venc/data/w32.bropia.html
not:alýntýdýr
Alýntý
Yer imleri