یکشنبه نهم مهر ۱۳۹۱ ساعت 9:32 توسط موسسه ترسیم رایانه شرق | 
ویروسی با درجه خطر کم که عملکرد “اسب تروا” (Trojan) داشته و پس از آلوده کردن دستگاه می تواند به عنوان ابزاری جهت کنترل دستگاه قربانی از راه دور استفاده گردد. آخرین نمونه ی این اسب تروا در شهریور ماه سال جاری (1391) منتشر شده است. گونه هایی از این ویروس پیش از این (زمستان 1390) منتشر شده بود که علاوه بر اینکه اسب تروا بود، مانند ویروس های سنتی به فایلهای اجرایی (EXE) نیز می چسبید و بنابراین پروسه پاکسازی را پیچیده یا زمانبر می کرد. گونه مزبور در ایران هم مشاهده شد.

این ویروس با نامهای زیر توسط ضدویروسهای مختلف شناسایی می شود:

- McAfee          W32/Yaz.A
- AVG (GriSoft) Win32/Patched.HT
- avira             TR/YAZ.aumnb
- Kaspersky     Virus.Win32.Yaz.a
- BitDefender  Win32.Yaz.A
- Microsoft      Virus:Win32/Yaz.A
- Eset             Win32/Agent.OVQ virus
- Norman       W32/Yaz.A
- Sophos        W32/Yaz-A

اسب های تروا برنامه هایی هستند که بعنوان یک برنامه سودمند به کاربر معرفی می شوند و او هنگامی که تلاش می کند با اجرای آن از امکانات وعده داده شده استفاده کند، دستگاه خود را دچار آلودگی کرده و عواقب آن دیر یا زود گریبانش را می گیرد.

انتشار ویروس W32/Yaz.A نیز همانند سایر اسب های تروا با دریافت آن از اینترنت و اجرا بر روی دستگاه صورت می پذیرد. هرزنامه هایی که سعی می کنند که کاربر را تشویق به دریافت این اسب تروا کنند، کانالهای IRC، پوشه های به اشتراک گذاشته شده (Shared) در شبکه های نقطه به نقطه و گروه های خبری، همگی بسترهای مناسبی برای انتشار این اسب تروا هستند.

به محض آلودگی سیستم ویروس W32/Yaz.A فایلهای مخرب زیر را در دستگاه قربانی کپی می کند:

- %APPDATA%\pwrwin.exe
- %TEMP%\ctxmon.exe

این ویروس پس از مقیم شدن در حافظه تلاش می کند کد مخربی را از راه دور دریافت کرده و آنرا در پروسه های سیستمی و هر پروسه ای که پس آز آن در حافظه بار گذاری می شود، تزریق نموده و از این طریق باعث اجرای کد مورد نظر شود. به بیان دیگر ویروس W32/Yaz.A تلاش می کند خود را در بخشی از حافظه ی سیستم آلوده قراردهد که مربوط به یکی از پروسه های سیستمی و یا پروسه محافظت شده دیگری مانند Winlogon می باشد.  به این شکل ویروس می تواند خود را از چشم کاربر یا سایر نرم افزارهای دیگر پنهان کند.

از دیگر خرابکاری های این ویروس  تغییر مدخل های زیر در محضر خانه ی سیستم آلوده است که باعث می شود فایل های آلوده ی ctxmon.exe و pwrwin.exe که توسط ویروس در سیستم قرار گرفته اند، با هر بار راه اندازی مجدد سیستم اجرا شوند.

- HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\ATITOOL = %APPDATA%\pwrwin.exe
- HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\YAZZZ = %TEMP%\ctxmon.exe

مشخصات
رسانه خبری امنیت اطلاعات موسسه نرم افزاری ترسیم رایانه شرق
ارائه دهنده محصولات امنیتی ( آنتی ویروس ، اینترنت سکیوریتی ، توتال سکیوریتی ،فایروال )
www.tarsiem.ir
09203094689
telegram.me/tarsiemrayaneh
telegram.me/itmsecurity
tarsiem@yahoo.com

دریافت کد آمارگیر سایت

B L O G F A . C O M