MSN Kabusu Worm_Fatso.A
7 Mart itibariyle Kore ve Amerikadan yayılmaya başlayan Worm_Fatso.A isimli solucan bilgisayarlarımıza MSN Messenger yoluyla veya eMule p2p dosya paylaşım programı aracılığıyla yerleşiyor.
Tipik hareketi, aktif olduğu bilgisayarda çalışan MSN Messenger programının tüm online kullanıcılarına bir link göndermesi ve bu linkin kabul edilmesi durumunda kendisini bu bilgisayara kopyalamasıdır.
Ayrıca eMule programı kullanan kullanıcılar da Incoming klasörlerinde solucan .exe’leriyle de karşılaşabilirler çünkü solucanın kendini çoğaltma yöntemlerinden biri de eMule.
Çoğu durumda arkadaşınızdan gelmekte olan bir .scr (screensaver) dosyasının akla ilk getirdiği düşünce “hoş bir ekran koruyucudur kesin” olması, bu solucanı yazmış olan programcının kullandığı en büyük güvenlik açığıdır çünkü bu program sistemdeki herhangi bir yama eksiği kaynaklı güvenlik açığından faydalanmamaktadır.
Solucanın çıkış amacı, Bropia solucanlarını yok etme amacıyla yazılmış Worm_Assiral.A solucanının yazarına övgüler(!) yağdırmaktır.
Assiral solucanın kendini SMTP gibi geleneksel bir yolla kopyalamaya çalışıp Bropia işlemciklerine saldırıda bulunmasını kendilerine hakaret olarak algılayan Bropia yazarları ortaya Worm_Fatso.A isimli solucanı çıkarmışlardır. Zaten solucanı bilgisayarınızda test amaçlı veya solucanın amacına uygun bir şekilde “yanlışlıkla” çalıştırmış iseniz göreceksiniz ki solucanın amacı sisteme zarar vermekten ziyade mümkün olduğu kadar çok bilgisayara yayılıp Larissa (Worm_Assiral.A) övgülerini geniş bir kitleye iletebilmektir. MSN Messenger’dan aşağıdaki gibi bir dosyayı almadan önce iki kez düşünün.
Trendmicro isimli firmanın Worm_Fatso.A olarak adlandırdığı solucandan kurtulmak için şu uygulanacak adımları şu ana başlıklarda toplayabiliriz:
Bilgisayarı Safe Mode’da açmak: Solucan, aktif olduğu sistemde kendini yokedebilecek temel programların çalıştırılmasına o an izin vermez ve bu niyetle çalıştırılan programları direk yok edecektir. Örneğin Task Manager veya Registry ekranları açılmayacaktır. Bunu önlemek için Bilgisayarımızı Safe Mode’da açıyoruz ve temizliğe bu modda devam ediyoruz.
- bilgisayarı tekrar başlatın
- POST sonrası F8 tuşuna basın
- listeden Safe Mode’u seçip devam edin
Önemli Not: Domain ortamında, solucandan etkilenmiş olan kullanıcı bir Domain User ise, bu durumda makinanın Ağ Desteği ile Güvenli Mod modunda açılması gerekmektedir. Aksi takdirde Güvenli Mod ile açılan makinaya lokal bir kullanıcı logon olacaktır ve dolayısıyla Registry’nin temizlenmesi işlemi zorlaşacaktır.
Solucan programcıklarının belirlenmesi: Solucanın en sık kullandığı programcıkların lspt.exe, formatsys.exe, serbw.exe, msmbw.exe olmasına karşın yine de sistemimizi güncel bir antivirus programıyla taramamız gerekmektedir.Tarama sonucunda bulunan dosya isimlerini bir yere not ediyoruz ve bu dosya isimlerini kullanarak aynı isimli prosesleri Task Manager yoluyla yok ediyoruz. Böylece solucan pasif duruma geliyor. Bu işlemi gerçekleştirdikten sonra dosyaları bulunduğu yerlerden silebiliriz. Silme işleminden önemli bir nokta bu dosyaların gizli dosya olarak kaydedildiğidir. Silmeden önce klasör seceneklerinden Gizli Dosyalar’ı görünür hale getirmeniz gerekiyor.
Solucanın otomatik çalışmasının engellenmesi: Solucanın kendini her sistem açılışında çalıştırtabilmesi için gereken kayıtlar Registry’de tanımlanmıştır ve bu her solucanın tipik hareketidir. Her Restart’da solucanın tekrar çalıştırmasını istemiyorsanız Registry’den şu aşağıdaki klasörlerde yer alan bazı değerleri silmeniz gerekiyor:
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Policies>Explorer>Run
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>RunServices
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Policies>Explorer>Run
bu lokasyonlardaki değerler sistemin her restart edilişinde solucanın kendini tekrar çalıştırmasına neden oluyor. Burda görebileceğiniz değerler ltwob, serpe veya avnort olacaktır. Bu değerler random belirlenmektedir. Bu değerlere denk gelen datalar ise yukarda belirtmiş olduğumuz dosya isimlerinin disk üzerindeki yerini göstermektedir. Tüm bu verileri siliyoruz ve böylece solucan her sistem açılışında otomatik çalıştırılamıyor. Ayrıca System Restore ile ilgili iki registry kaydının değiştirilmesi gerekmektedir, bunlar:
HKEY_LOCAL_MACHINE>Software>Policies>Microsoft>WindowsNT>SystemRestore lokasyonundaki DisableSR ve DisableConfig değerleridir. İkisinin de datasını 1 yapıyoruz.
HOSTS dosyasının temizlenmesi: Solucanı ilgilendiren bir başka nokta ise, kendisini temizleme amacıyla internet explorer’ını açıp symantec ve trendmicro’dan yardım almak isteyen kullanıcıyı sürekli aynı adrese göndermektir. Bilindiği üzere Windows altındaki DNS Client servisinin isim çözümleme aşamalarının başında Client Resolution Cache gelmektedir ve HOSTS dosyasındaki kayıtlar otomatik olarak Cache’e eklenmektedir. Dolayısıyla solucanımız çeşitli antivirus firmalarının web adreslerini basit bir hamleyle aynı çatı altında toplamaya çalışmıştır. HOSTS dosyasında dikkati çeken bazı isimler şunlardır: www.trendmicro.com, www.f-secure.com, www.avp.com, www.symantec.com, securityresponse.symantec.com, www.mcafee.com
Solucana ait temel dosyaların temizlenmesi:
British National Party.jpg
Crazy-Frog.Html
Message to n00b LARISSA.txt
isimli dosyaları %SystemRoot% altından silmeniz gerekmektedir ve yine bu dosyalar da +h attribute’una sahiptir. Bunların dışında yine %SystemRoot% lokasyonunda .scr ve .pif uzantılı gizli dosyalar da bulunmaktadır, Jenifer Lopez.scr gibi. Bunların da silinmesi gerekmektedir.
Bir de solucanın, Windows XP’deki CD yazma desteğinden faydalanmak istediğini gösteren otomatik olarak hazırladığı bir dosya grubu %USERPROFILE%\Local Settings\Application Data\Microsoft\CD Burning altında toplanmaktadır. Bu lokasyondan da autorun.inf isimli dosyayı silmeniz gerekmektedir.
Tüm bu işlemlerden sonra sistemi tekrardan bir virüs taramasından geçirmeniz tavsiye edilir ve tabiki tam bir tarama yapabilmek için System Restore’un kapatılması gerektiğini hatırlatırız (http://support.microsoft.com/default.aspx?scid=kb;%5BLN%5D;310405). Ayrıca makinanızda her zaman Administrative bir hesap kullanmaktansa sadece gerektiği zaman böyle bir hesap kullanmak veya Administrative bir hesap gerektiğinde çoğu durumda Run As ‘den faydalanıp sisteme sadece standart User haklarıyla oturum açmak, bu solucanların yapacağı sistem köküne dosya yazdırma gibi işlemleri engelleyecektir. Domain ortamında ise kullanıcıların default olarak standart Domain User olmaları bilgisayarlarına gelebilecek tehlikeleri engelleyecektir. Ve yine Domain ortamında, solucanın temizlenmesi gereken makinada da Son olarak XP Kullanıcılarından Service Pack 2 güncellemesini eksik etmemiş olanlar oturum açtıkları zaman solucan prosesinin çalıştırılması için izin istendiğini farkedeceklerdir, yani güncel olmakta fayda var.
Eklenme tarihi: 12.4.2005
