Worm/Brontok.A Zararlısı Temizliği

Zararlinin sistemde bıraktığı etkiler
açıklamalar ve resimler ile belirtilmiş
temizlik bölümüne de bu konuda yer
verilmiştir.

Zararlı İsimleri : (Brontok.A, W32/Rontokbro.gen@MM,
W32.Rontokbro@mm,W32/Rontokbro, Worm Rontokbro,
Worm/Rontokbro,Worm.Rontokbro,Worm/Brontok.a,
Email-Worm.Win32.Brontok.a,Email-Worm.Win32.Brontok.q,
Win32.HLLM.Generic.440 )

Zararlinin Etkileri

1- Sistemde aşağıdaki dosyaları oluşturuyor (boyutu 41-42 veya 44 kb olan )
Özellikle Belgelerim klasöründe girdiğiniz klasörlere, girdiğiniz klasör adında bir .exe dosyası ekliyor.Ve bu .exe dosyasının simgesi klasör şeklinde oluyor.

eksplorasi.pif
smss.exe
services.exe
lsass.exe
csrss.exe
inetinfo.exe
winlogon.exe
Empty.pif
WowTumpeh.com
Kullanıcı Adı's Setting.scr
bronstab.exe

C:\Documents and Settings\Kullanıcı Adı\Belgelerim\Belgelerim.exe
C:\Documents and Settings\Kullanıcı Adı\Belgelerim\Müziğim\Müziğim.exe
C:\Documents and Settings\Kullanıcı Adı\Belgelerim\Resimlerim\Resimlerim.exe
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\csrss.exe
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\inetinfo.exe
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\lsass.exe
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\services.exe
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\smss.exe
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\winlogon.exe
C:\Documents and Settings\Kullanıcı Adı\Local Settings\temp\Rar$EX00.718\bronstab.exe
C:\Documents and Settings\Kullanıcı Adı\Start Menu\Programlar\Başlangıç\Empty.pif
C:\Documents and Settings\Kullanıcı Adı\Templates\WowTumpeh.com
C:\WINDOWS\eksplorasi.exe
C:\WINDOWS\ShellNew\bronstab.exe
C:\WINDOWS\system32\Kullanıcı Adı's Setting.scr

2- Denetim Masası'nda Klasör Seçenekleri Menüsü'nü gizliyor.
Kayıt Defteri'ne eklediği aşağıdaki girdi yüzünden:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\
Explorer\NoFolderOptions -> Bad: (1) Good: (0)
Bu nedenle Gizli dosyalar görülemeyip, zararlinin sistemde biraktigi dosyalar silinemiyor.

3-Kayıt Defteri'ne(regedit) erişimi engelliyor.
Kayıt Defteri'ne eklediği aşağıdaki girdi yüzünden:
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableRegistryTools"=dword:1

4- İnternet'ten .exe uzantılı dosya indirmeye kalkarsaniz bilgisayarınızı yeniden başlatıyor.

5- Bilgisayarınızdaki aşağıdaki uzantılara sahip dosyaları arayarak bulduğu e-mail adreslerine spam mailler gönderiyor.
Uzantılar:

• asp
• cfm
• csv
• doc
• eml
• html
• php
• txt
• wab

6- C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data klasöründe aşağıdaki dosya ve klasörleri oluşturuyor.

C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\Loc.Mail.Bron.Tok
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\Bron.tok-10-9
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\Ok-SendMail-Bron-tok
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\ListHost10.txt
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\Kosong.Bron.Tok.txt
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\GDIPFONTCACHEV1.dat
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\Update.10.Bron.Tok.bin
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\Bron.tok.A10.em.bin


7-Arada bir aşağıdaki sayfa açılıyor.
Bu dosya açılıyor.
( C:\Documents and Settings\Kullanıcı Adı\Belgelerim\Resimlerim\about.Brontok.A.html )

BRONTOK.A[10] [16]
-- Hentikan kebobrokan di negeri ini --

1. Penjarakan Koruptor, Penyelundup, Tukang Suap, & Bandar NARKOBA
( Send to "NUSAKAMBANGAN")

2. Stop Free Sex, Aborsi, & Prostitusi
( Go To HELL )

3. Stop pencemaran lingkungan, pembakaran hutan & perburuan liar.

4. SAY NO TO DRUGS !!!



-- KIAMAT SUDAH DEKAT --

Terinspirasi oleh:
Elang Brontok (Spizaetus Cirrhatus) yang hampir punah

[ By: HVM31 ]
-- JowoBot #VM Community --
!!! Akan Kubuat Mereka (VM lokal yg cengeng & bodoh) Terkapar !!!

8-Kayıt Defterine aşağıdaki girdileri ekliyor.

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"Bron-Spizaetus" = "%Windir%\ShellNew\bronstab.exe"

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"Tok-Cirrhatus" = "C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\smss.exe" [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] "Shell"="Explorer.exe C:\WINDOWS\eksplorasi.pif"

Bu girdiler Hijackthis raporunda aşağıdaki gibi görünüyor.

F2 - REG:system.ini: Shell=Explorer.exe "C:\WINDOWS\eksplorasi.exe'
O4 - HKLM\..\Run: [Bron-Spizaetus] "C:\WINDOWS\ShellNew\bronstab.exe"

O4 - HKCU\..\Run: [Tok-Cirrhatus] "C:\Documents and Settings\Turkk\Local Settings\Application Data\smss.exe"
O4 - Startup: Empty.pif = ?

----- TEMİZLİK ----

1- Masaüstünden Bilgisayarım'a sağ tıklayıp, Özellikler bölümünden resimdeki gibi yapıp tamam diyerek Sistem Geri Yüklemeyi Kapatın (Böylece Eski geri yükleme noktalarınız silinecektir zaten şu an oraya da virus bulaşmış durumda ve burayı böyle yaparak temizlemeliyiz.)



Aşağıdaki tüm işlemlerin yaptıktan sonra yine yukardaki bölümden yukardaki kutucuğu bu sefer boş bırakıp tamam deyince sistem geri yüklemeyi tekrar açmış olacaksınız.

2-İlk olarak aşağıdan Dr.Web Cure It! adlı temizlikte kullanacağımız programı indirin.
Zararlı .exe dosyası indirilirken bilgisayarı kapattığı için aşağıdan sizin için .zip olarak upload ettiğimiz dosyayı indirin. (48 mb)

http://rapidshare.com/files/409826647/cureit.zip

Dr.Web Cure It! Kurulum gerektirmez.Ücretsizdir.

Dosyayı .zip'ten masaüstüne çıkarıp çalıştırın.



Sol üst taraftan Tam Tarama seçeneği seçip sağ taraftan başlat simgesine ( play tuşu ) basıp taramayı başlatın.
Tarama disklerinizin büyüklüğüne göre 1-2 saat sürebilir iptal etmeyin.

Gelen ilk zararlı uyarısında Tümüne Hayır diyin.Böylece tarama bitene kadar bulduğu her zararlıda program soru sormayacak.Tarama tamamlandığında tüm zararlı topluca sileceğiz.



Tarama tamamlandığında Tümünü seç deyip ardından sil deyip biraz bekleyin.Programı kapatın.
Hemen bir uyarı gelecek.



Evet diyerek bilgisayarınızı yeniden başlatın.

İlk aşama bitti.
Dr.Web Cure It! ile aşağıdaki dosyalar silinmiş olacak.

C:\Documents and Settings\Kullanıcı Adı\Belgelerim\Belgelerim.exe
C:\Documents and Settings\Kullanıcı Adı\Belgelerim\Müziğim\Müziğim.exe
C:\Documents and Settings\Kullanıcı Adı\Belgelerim\Resimlerim\Resimlerim.exe
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\csrss.exe
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\inetinfo.exe
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\lsass.exe
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\services.exe
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\smss.exe
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\winlogon.exe
C:\Documents and Settings\Kullanıcı Adı\Local Settings\temp\Rar$EX00.718\bronstab.exe
C:\Documents and Settings\Kullanıcı Adı\Start Menu\Programlar\Başlangıç\Empty.pif
C:\Documents and Settings\Kullanıcı Adı\Templates\WowTumpeh.com
C:\WINDOWS\eksplorasi.exe
C:\WINDOWS\ShellNew\bronstab.exe
C:\WINDOWS\system32\Kullanıcı Adı's Setting.scr

bu dosyalar temizlenirken bu registry girdileri de silinecek

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"Bron-Spizaetus" = "C:\WINDOWS\ShellNew\bronstab.exe\ShellNew\bronstab.exe"

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"Tok-Cirrhatus" = "C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\smss.exe"


Sizde daha fazla dosya bulması kuvvetle muhtemeldir.



3-Aşağıdan Hijackthis adlı programı indirin. ( 0.3 mb)

http://rapidshare.com/files/147386188/HiJackThis.zip

Çalıştırın.Gelen uyarılara evet diyin.

Do a system scan only seçeneğini seçip 10 saniye bekleyin.

Gelen ekranda aşağıdaki girdiler ile ilgili kutucukları resimdeki gibi işaretleyip alt taraftan fix checked deyin.

İşaretleyip ardından Fix Checked diyeceğiniz girdiler :

F2 - REG:system.ini: Shell=Explorer.exe

O1 - Hosts: bölümündeki tüm girdileri işaretleyin.

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1



Bu işlemin ardından Kayıt Defteri'ne erişememe sorunu düzelecek.

4- Başlat > Çalıştır > regedit yazıp enter'layarak Kayıt Defteri Yöneticisi'ne girin.
Aşağıdaki girdiyi bulun.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions
Burada değer şu anda 1 olarak gözüküyor.

Resimdeki gibi bunu 0 yapip tamam deyin.

Bilgisayarınızı yeniden başlatın.

Denetim Masası > Klasör Seçenekleri menüsü geri geldi.

Klasör Seçenekleri > Görünüm > Gizli Dosyaları Göster seçeneğini işaretleyerek tamam deyin.


5- C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data klasörü içinde yer alan aşağıdaki dosya ve klasörleri el ile silin.

Silinecek Klasörler:
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\Loc.Mail.Bron.Tok
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\Bron.tok-10-9
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\Ok-SendMail-Bron-tok

Silinecek Dosyalar
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\ListHost10.txt
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\Kosong.Bron.Tok.txt
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\GDIPFONTCACHEV1.dat
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\Update.10.Bron.Tok.bin
C:\Documents and Settings\Kullanıcı Adı\Local Settings\Application Data\Bron.tok.A10.em.bin

6- Aşağıdaki html dosyasını silin.
C:\Documents and Settings\Kullanıcı Adı\Belgelerim\Resimlerim\about.Brontok.A.html

7- Aşağıdan ATF Cleaner'ı indirin. (49 kb)
http://www.atribune.org/public-beta/ATF-Cleaner.exe

Resimdeki gibi tüm seçenekleri işaretleyin. Ardından Empty Selected deyip biraz bekleyin.
Gelen uyarıya evet Tamam deyin.Ve programı kapatın.

Buraya E-mail adresinizi girerek;virustemizligi.com'da yayınlanan her konunun mail'inize gelmesini sağlayabilirsiniz.

E-Mail Adresiniz: