کرم Delbot-O

● توضیحات :
Delbot-O یك كرم IRC با قابلیت درپشتی می باشد كه به مهاجم اجازه می دهد به سیستم دسترسی داشته باشد .
این كرم می تواند نرم افزارهای جدیدی را دانلود ، نصب و سپس اجرا كند .
كرم Delbot-O با اولین اجرا خودش را در <System>crsss.exe كپی می كند ،كه با اجرای crsss.exe مدخل زیر در رجیستری ایجاد می شود :
HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun
Win۳۲ Security Service
Systemcrsss.exe
Delbot-O از طریق شبكه های share شده با پسوردهای ضعیف و كامپیوترهایی با آسیب پذیری Symantec (SYM۰۶-۰۱۰) منتشر می شود .
▪ توصیه ها :
۱) به روز كردن آنتی ویروس
۲) روش پاك سازی دستی توسط آنتی ویروس سوفوس برای Windows NT مدل ۴.۵x و Windows NT/۲۰۰۰/XP/۲۰۰۳ مدل ۴.۱x و پایین تر :
برای حذف یك تروجان كارهای زیر را انجام دهید :
▪ همه ی برنامه های خود را ببندید .
▪ مراحل Start|Programs| SophosAnti-Virus را بگذرانید وبرنامه آنتی ویروس را اجرا كنید .
▪ تب Immediate; و سپس درایو مورد نظر را انتخاب كنید.
▪ به Options|Configuration رفته و تب Disinfection یا Action; را انتخاب كرده سپسInfected filesوبعد از آن Deleteرا انتخاب كنید و در آخرOK. را بزنید .
▪ برای اجرا كردن پویش،scan یا دكمهGO را بزنید .
▪ فایل های مورد نظر را پاك كنید ، سپس یك پویش دیگر را اجرا كنید تا مطمئن شوید پاك سازی صورت گرفته است.
▪ به Options|Configuration برگردید و تب ;Disinfection; یا Action; انتخاب كرده سپس Infected files وبعد از آن ;Delete; را انتخاب كنید و در آخرOK. را بزنید .
▪ كاپیوتر را Reboot كرده و پویش نهایی را اجرا كنید تا كاملا مطمئن شوید پاك ساری صورت گرفته است .
● روش پاك سازی به صورت دستی :
ابتدا تمامی داده خود را در سیستم تغییر داده و یك كپی از آنها تهیه كنید.
پسورد Administrator را دوباره تغییر دهید و یك نگاهی به مسایل امنیتی شبكه خود بیندازید.
در taskbar دكمه start را بزنید و منوی run را اجرا كنید و در آن Regedit را بنویسید و دكمه ok را كلیك كنید تا صفحه ویرایشگر رجیستری شما باز شود . فراموش نكنید كه قبل از دستكاری رجیستری یك نسخه پشتیبان از آن تهیه كنید .
برای تهیه نسخه پشتیبان از رجیستری خود ؛ در منوی Registry روی گزینهExport Registry File و در پنل Export range گزینه All را انتخاب كرده و سپس دكمه Save را كلیك كنید تا نسخه پشتیبان از رجیستری شما تهیه شود.
حال در مدخلHKEY_LOCAL_MACHINEرجیستری زیر مدخلهای:
HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun
Win۳۲ Security Service
Systemcrsss.exe
هر مدخلی كه به فایلی اشاره می كرد حذف كنید.
سپس رجیستری خود را ببندید و دوباره سیستم خود را راه اندازی كنید.

منبع : مشورت مهندسی شبکه و راهبری تحقیقات همکاران سیستم