● كرم VBS/Onthefly
كرم مذكور یك اسكریپت مبتنی بر Visual Basic است كه با استفاده از برنامهی Microsoft Outlook گسترش مییابد. سرعت شیوع این ویروس بسیار بالاست به طوری كه میتواند در چند ساعت در اكثر كامپیوترهای متصل به اینترنت پخش شود. اما با این وجود هنوز چنین امكانی نیافته است. بیشترین شیوع این كرم در آمریكای شمالی گزارش شده است.
كرم مذكور در زمرهی ویروس Melissa كه در سال ۱۹۹۹ بیشترین شیوع را داشت طبقهبندی میشود. اما با این وجود از ویروسهایی چون Love Letter كوچكتر است و قادر به اِعمال هیچگونه تخریب مستقیمی نیست.
این كرم به صورت E-mail از طریق برنامهی Outlook ارسال میشود. معمولاً E-mail ارسال شده دارای بخشهای زیر است: موضوع Here you have,;o) ، محتوای Hi:Check This! و پیوست AnnaKournikova.jpg.vbs است.
وقتی كاربری بر روی پیوست كرم كلیك میكند، كرم مذكور اجرا میشود. در ابتدا این كرم كلید زیر را به رجیستری اضافه میكند:
HKEY-CURRENT-USERSoftwareOnTheFly="Worm made with Vbswg ۱.۵۰b"
سپس خود را با نام ثابت "AnnaKournikova.jpg.vbs" در فهرست ویندوز كپی كرده و به تمام آدرسهایی كه در كتابچهی آدرس مییابد ارسال مینماید.
چندی پیش این كرم توانست مرورگر وب را باز كند و به یك سایت هلندی وصل شود. پس از این اتصال، شركت F-Secure ضدویروسی را تألیف كرد كه قادر است فعالیت كرم مذكور را قبل از توزیع شناسایی كند. البته به شرطی كه كاربران همواره نسخهی به روز شدهی این ضدویروس را بر روی سیستم خود داشته باشند.
این كرم با نامهای VBS/VBSWG، VBS/VBSWG.K، VBS/VBSWG.L، VBS/VBSWG.M و VBS/VBSWG.N نیز شناخته میشود.
● ویروس Bubble Boy
این ویروس كه یك بار در سال ۱۹۹۹ ظاهر و توسط ضدویروسهای آن زمان مهار شد، مجدداً در شبكههای اینترنتی دیده شده است. آنچه از ظاهر این ویروس به نظر میرسد این است كه ویروس جدید Bubble Boy توسط Zulu ی آرژانتینی كه قبلاً آن را نوشته بود توزیع شده است. از این ویروس فعلاً خرابی و آسیب خاصی گزارش نشده است.
ویروس مذكور به صورت E-mail (بدون پیوست) ارسال شده و برای توزیع خود از آسیبپذیری برنامهی Internet Explorer استفاده میكند. این ویروس در نسخههای انگلیسی و اسپانیایی برنامهی Outlook Microsoft میتواند فعال شود. كاربرانی كه E-mailهای آلوده به این ویروس را دریافت میكنند تنها با باز كردن و یا حتی مشاهدهی پیش نمایش آن E-mail ؛ سیستم خود را آلوده میكنند.
اگرچه همیشه به كاربران توصیه میشود پیوستهای مشكوك را باز نكنند اما در مورد ویروس Bubble Boy باید بگوییم از پیوست مشكوك خبری نیست. موضوع E-mail آلوده به این ویروس Bubble Boy is Back! و محتوای پیغام شامل متن زیر است:The Bubble Boy incident, Pictures and Sounds این ویروس دارای لینكی به یك صفحهی غیرفعال وب با آدرس زیر است:
www.towns.com/d=orms/tom/bblboy.htm
با وجود این كه Bubble Boy خرابیهایی چون حذف و یا تغییر فایلها را به همراه ندارد ولی این ویروس قادر است همچون ویروس Melissa خود را به آدرس تمام افرادی كه در كتابچهی آدرس Outlook مییابد پست كند.
مدتی است كه متخصصین در حال بررسی این موضوع هستند كه چرا وقتی یك ویروس وارد سیستمی میشود میتواند خود را به آدرسهای موجود پست كند. آنان ضعف را از برنامههایی مانند Outllook یا Eudora Pro میدانند كه عمل خواندن و تبدیل كد HTML را در E-mail انجام میدهند. از آنجایی كه این برنامهها فرمتهای وب مانند موجود در E-mail را میپذیرند به كدهای مخربی كه تحت این فرمتها ارسال میشوند امكان اجرا شدن میدهند. این كدها حتی در برنامهی Outlook Express قبل از آن كه پیغام باز شود در كادر پیشنمایش E-mail اجرا میشوند.
همانطور كه گفتیم این ویروس پیوست ندارد و كاربران معمولاً چنین E-mailهایی را ایمن میشناسند و به راحتی آن را باز میكنند.
بیخبر از آن كه كد ویروسBubble Boy در درون خود E-mail جای گرفته است. به همین دلیل روش برخورد با چنین ویروسهایی دشوارتر از انواعی است كه از طریق پیوست ارسال میشوند و حقیقت آن است كه به كاربران نمیتوان گفت E-mailهایشان را باز نكنند تا متخصصین روشهایی برای هوشمند كردن برنامههای خوانندهی E-mail بیابند تا از مخرب بودن كدهای HTML قرار گرفته در E-mail آگاه شده و از اجرای آنها خودداری كنند.
اگرچه به روز كردن ضدویروسها میتواند از ورود ویروسهای جدید جلوگیری كند اما همیشه ویروسنویسان یك قدم جلوتر از شركتهای ضدویروس هستند یعنی تا ویروس جدیدی خود را نشان ندهد شركتهای ضدویروس نمیتوانند برنامهی ضدویروسی را كه حاوی شناسههای كد آن ویروس باشد بنویسند.
● این ویروس چگونه عمل میكند؟
این ویروس كاربران برنامهی Microsoft Outlook را كه از مرورگر IE استفاده میكنند هدف قرار میدهد. اگر تنظیمات امنیتی موجود در برنامهی IE بر روی ویژگی High قرار داده شوند این ویروس نمیتواند اجرا شود. همچنین ویروس مذكور در ویندوز NT غیرفعال است.
آنچه متخصصین میگویند این است كه ویروس مذكور برای گسترش خود از نقص موجود در فنآوری Active X شركت میكروسافت استفاده میكند. ویروس Boy Bubble با اسكریپتی كه در بدنهی E-mail قرار میدهد، دو كنترل Active X را (كه typelib. و Eyedog نام دارند) فراخوانده و از آنها برای دسترسی به كامپیوتر یك كاربر استفاده میكند.
كاربرانی كه Patch شركت میكروسافت را برای رفع نقص موجود در برنامهی Internet Explorer خود دریافت كردهاند از این ویروس در امان هستند. البته این بدان معنا نیست كه آنها در برابر سایر ویروسهای مبتنی بر كد HTML ایمن باشند.
● كرم KLEZ.H
این كرم مقیم در حافظه، نوعی كرم KLEZ.A است و با استفاده از AMTP به تولید مثل پرداخته و از طریقE-mail توزیع میشود. E-mailهای آلوده به این كرم موضوع ثابتی ندارند.
با توجه به نحوهی اجرا، ویروس مذكور میتواند فایلها را تخریب كرده و در كلید AutoRun از رجیستری سیستم یك ورودی جدید ایجاد كرده و به خراب كردن فایلهای .EXE بپردازد. این كرم فایلهای موردنظر خود را به صورت رمزی شده(فشرده شده) در آورده و پسوند فایلها را تغییر میدهد. همچنین خصوصیات Read Only (فقط خواندنی)، Hidden(پنهان)، System و Archive (بایگانی) مربوط به فایلهای آسیب دیده را تغییر میدهد. به این ترتیب كرم مذكور خود را در محتوای اصلی فایلهای آسیبدیده كپی میكند.
این كرم اندازهی فایل تخریب شده را تغییر داده و به اندازهی فایل خود در میآورد. برای این كار به انتهای فایل آسیبدیده محتواهایی را میافزاید. این ویروس جلوی پردازشهای ضدویروسی را گرفته و با استفاده از روتین Antivirus Retaliation آنها را غیرفعال میكند. البته در ویندوز NT چون رابط API وجود ندارد این ویروس قادر به غیر فعال كردن پردازشهای ویروسی نیست، زیرا برای غیرفعال كردن پردازشهای ضدویروسی؛ ویروس مذكور از رابط API استفاده میكند.
● راهحل حذف خودكار
برای حذف خودكار كرم KLEZ.H باید ابزار Fix-Worm-Klez-۴.۰۴.Zip را از شركت Trend Micro گرفته و بارگذاری كنید.
۱) حذف دستیدر ویندوز ۹۵
▪ كامپیوتر را راهاندازی كنید.
▪ وقتی پیغام Starting Windows ۹۵ را دیدید بلافاصله كلید F۸ را فشار دهید.
۲) در ویندوز۹۸ و Me
▪ كامپیوتر را راهاندازی كنید.
▪ كلید Ctrl را پایین نگه دارید تا منویی كه حالتهای راهاندازی را نشان میدهد ظاهر شود.
▪ Safe Mode را انتخاب كنید و كلید Enter را فشار دهید.
۳) در ویندوز XP
▪ كامپیوتر را راهاندازی كنید.
▪ وقتی منوی"Press Select Operating to Start" ظاهر شد كلید F۸ را فشار دهید. در نسخهی حرفهای ویندوز XP ممكن است این منو ظاهر نشود. اگر چنین شد سیستم را مجدداً راهاندازی كنید.
▪ وقتی عمل "Power-On Selft Test"انجام شد مجدداً كلید F۸ را فشار دهید.
▪ از منوی Windows Advanced Options گزینهی Safe Mode را كلیك كنید.
۴) در ویندوز ۲۰۰۰
▪ سیستم را راهاندازی كنید.
▪ وقتی نوار Starting Windows را در پایین صفحه دیدید كلید F۸ را فشار دهید.
▪ از منوی Windows ۲۰۰۰ Advanced Options گزینهی Safe Mode را برگزینید.
پس از آن كه تمام سیستمهای بالا را با توجه به روشهایی كه گفته شد در حالت Safe Mode راهاندازی كردید اقدامات زیر را در ادامه انجام دهید:
۱) با ضدویروس Trend Micro یا هر ضدویروس دیگری كه بر روی سیستم خود دارید، سیستم را اسكن كنید. پس از آن كه عمل اسكن سیستم تمام شد نام تمام فایلهای آسیبدیده را یادداشت كنید. این فایلها معمولاً با نام WORM-KLEZ.H شناسایی میشوند. همچنین ممكن است نام آنها به صورت فایلهای WINK*.EXE به نمایش درآید. (علامت * معرف كاراكترهای گوناگونی است كه به طور تصادفی در نام این فایلها دیده میشود.)
۲) از منوی Start گزینهی Run را انتخاب نموده و در فیلد Open عبارت Regedit را تایپ كرده و كلید Enter را فشار دهید.
۳) از كادر سمت چپ به ترتیب گزینههای زیر را دوبار كلیك كنید:
HKEY-LOCAL-MACHINE
Software
Microsoft
Windows
Current Version
Run
۴) در كادر سمت راست به مقادیر زیر را پیدا كرده و آنها را حذف كنید:
"Wink* " = "% System % wink*.exe"
"WQK" = " % System % wqk.exe"
(علامت * معرف كاراكترهای مختلفی است كه به طور تصادفی در نام فایل دیده میشوند.)
۵) مجدداً به كادر سمت چپ برگشته و به ترتیب گزینههای زیر را دوبار كلیك نمایید.
HKEY-LOCAL-MACHINE
System
Current Control Set
Services
۶) تحت كلید Services زیر كلید Wink* را یافته و حذف كنید.
۷) برنامهی Registry Editor را ببندید.
۸) سیستم را مجدداً راهاندازی كنید.
۹) سیستم را با استفاده از ضدویروسTrend Micro یا هر ضدویروس دیگری كه بر روی سیستم دارید اسكن كرده و تمام فایلهایی كه به صورت WORM- KLEZ.H شناسایی میشوند را حذف كنید.
۱۰) از آنجایی كه این كرم از آسیبپذیری برنامههای Outlook Express و Outlook در ارتباط با كدهای HTML موجود E-mail استفاده میكند، لذا Patchهای جدید شركت میكروسافت را كه برای این برنامه عرضه شده گرفته و بارگذاری كنید.