خبايا دودة Conficker أعرف المزيد عنه

تم تحميل الصفحة في 0,5651923 ثانية
خبايا دودة Conficker أعرف المزيد عنه
الحالة
مغلق و غير مفتوح للمزيد من الردود.
إنضم
16 فبراير 2009
المشاركات
2,145
الإعجابات
489
النقاط
0
السلام عليكم ورحمة الله وبركاته


خبايا دودة Conficker الشهيرة, أغلبنا ان لم يكن الجميع قد سمع بهذه الدودة الذي ضربت الكثير من الأجهزة حول العالم والتي سببت قلق كبير للشركات خصوصاً التي تعمل بأنظمة ويندوز وشركات الأمن المعلوماتي.. الغريب في الأمر أن الأغلبية لا يعلم أي شيء عن هذه الدودة وما تعمل, لكن اليوم سوف نتناول طريقة عمل دودة Conficker من خلال بحث صغير قمت به.


-------------------------------------------------------------------
-------------------------------------------------------------------





الطريف في الأمر أن مبرمجي هذه الدودة يقومون بعمل نسخة/اصدار جديد كل فترة, جعلتني أشعر أنها برنامج أو تطبيق يتم تطويرة كل فترة ليقدم خدمة أفضل,لكن هذه الدودة يتم تطويرها كل فترة لتزيد الضرر أكثر من السابق!!




-------------------------------------------------------------------
-------------------------------------------------------------------




أولاً يجب أن نعلم أن الدودة معروفة بكثير من الأسماء مثل:

Win32/Conficker.D
Win32/Conficker.C
Win32/Conficker.A
Win32/Conficker.B-Both
W32/Confick-G
Trojan.Win32.Pakes.ngs



وهي تعمل على أغلب اصدارت ويندوز مثل:

Windows 95, 98, 2000, ME, NT, XP, Vista, Server 2003/2008...

لم يتم تجربتها على ويندوز 7 ولكن من المؤكد أنها تعمل علية.






-------------------------------------------------------------------
-------------------------------------------------------------------




ماتقوم به هذه الدودة الشهيرة هو عمل انهيار للنظام بشكل بطيء فهي تعمل على محاربة النظام من كل النواحي (هارد وير, سوفت وير) وتقوم بايقاف أغلب الخدمات في نظام ويندوز مثل مدير المهام, الريجستري, حجب أشهر المواقع مثل
Google, Yahoo, Facebook, Msn, Microsoft...

وبقية المواقع المشهورة وتقوم أيضا بحجب أشهر مواقع الأمن المعلوماتي وعند محاولة زيارة موقع من المواقع المشهورة تظهر لك رسالة تخبرك بأنك ليس متصل بالانترنت, وتقوم بايقاف عمل برامج مكافحة الفيروسات مثل
Kaspersky, Norton, Mcafee...

بالاضافة لقيامها بتعطيل الجدار الناري الخاص بالويندوز, نظام الحماية والتحديثات التلقائية وتقوم أيضا باستهلاك كبير لموارد الجهاز ولا تستغرب ان رأيت متصفح الانترنت أو أي برنامج آخر قام بتشغيل نفسة تلقائياً وتم الأتصال بأحد المواقع المشهورة..!










-------------------------------------------------------------------
-------------------------------------------------------------------



تنتشر الدودة بعدة أماكن في نظام ويندوز وتتمركز في المسارات التالية:

بالنسبة لنظام Windows 2000/NT تتمركز في المسار:

C:\Winnt\System32

أما في نظام Windows ME/98 والاصدارات الأقدم تتمركز في المسار:

C:\Windows\System

وأخيرا في نظام Windows XP/Vista/Server في المسار:

C:\Windows\System32

وتقوم الدودة بنسخ نفسها للمجلدات التالية:

Program Files\Windows NT
Program Files\Windows Media Player
Program Files\Internet Explorer
Program Files\Movie Maker








-------------------------------------------------------------------
-------------------------------------------------------------------





ملاحظة: المسارات هذه هي المسارات الافتراضية في الويندوز ويمكن تعديلها عند تركيب النظام بواسطة Sys.Admin, لكن هذه الدودة ذكية نوعاً ما فهي لا تعتمد على المسار الأفتراضي بل تعتمد على المسار الموجود فية النظام مثلاً أن كان النظام على البارتشن D أو غيره وتحتوي الدودة على مولد صغير لتوليد اسماء للملفات فهي في كل مرة تنسخ نفسها باسم مختلف, مما يصعب الأمر على مدير النظام من معرفة أن كان هذا الملف سليم أم لا .. الشيء الثاني أن الدودة تقوم باخفاء الملفات هذه وتغير الـ privileges او الصلاحيات لها بحيث أنها تمنع المستخدم من الوصول لها وتقوم أيضاً بانشاء ملفات و تسجيلات خاصة بها في الـ Registry .. وتنشئ أيضا خدمات خاصة بها بأسماء مختلفة مثل:

App, Audio, DM, ER, Event, help, Ias, Lanman, Net, Ntms, Ras, Remote, W32,win,Wmdm,Serv,Server,Service,Svc...









-------------------------------------------------------------------
-------------------------------------------------------------------




وعلى سبيل المثال قد تجد للدودة مدخلات في الـ Registry على هذا الشكل:



HKLM\SYSTEM\CurrentControlSet\Services\IrSvc\Start = 00000002
HKLM\SYSTEM\CurrentControlSet\Services\IrSvc\Error Control = 00000000
HKLM\SYSTEM\CurrentControlSet\Services\IrSvc\Image Path = "%Root%\system32\svchost.exe -k netsvcs"
HKLM\SYSTEM\CurrentControlSet\Services\IrSvc\Objec tName = "LocalSystem"
HKLM\SYSTEM\CurrentControlSet\Services\IrSvc\Descr iption = ""
HKLM\SYSTEM\CurrentControlSet\Services\IrSvc\Param eters\ServiceDll = "%System%\"
HKLM\SYSTEM\CurrentControlSet\Services\IrSvc\Displ ayName = "Component Task
HKLM\SYSTEM\CurrentControlSet\Services\IrSvc\Type = 00000020"







-------------------------------------------------------------------
-------------------------------------------------------------------




كما تقوم الدودة بحذف المجلدات التالية من الـ Registry:

HKLM\Software\Microsoft\Windows\CurrentVersion\exp lorer\****lServiceObjects\{FD6905CE-952F-41F1-9A6F-135D9C6622CC}
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot
HKLM\Software\Microsoft\Windows\CurrentVersion\Run \Windows Defender



فتعطل Windows Security Center بالاضافة لـ Windows Defender وتمنع المستخدم من استخدام الوضع الآمن Safe mode كما تحذف جميع نقاط الاستعادة في نظام ويندوز بحيث تمنع المستخدم من استرجاع وضع النظام لوقت سابق هذا بالاضافة لتعطيل العديد من الخدمات ومنع بعض البرامج من العمل في النظام مثل:



autoruns, confick, downad, filemon, gmer, hotfix, ms08-06, procexp, procmon, regmon, sysclean, tcpview, unlocker, wireshark...







-------------------------------------------------------------------
-------------------------------------------------------------------




كما تقوم الدودة بأستخدام الـ Windows API's التالية .. لتراقب اتصالك وتمنعك من تصفح المواقع الحماية:

Query_Main
DnsQuery_W
DnsQuery_UTF8
DnsQuery_A
sendto

بالطبع هيه تقوم بذالك لكي تمنع من متابعة مواقع الأمن المعلوماتي, لمراجعة أخر الأخبار الأمنية, تحميل أدوات أمنية, تحميل التحديثات وتقوم أيضاً بتنقيح الروابط والمواقع التي تحاول فتحها في المتصفح, مثل:

avg.
kav.
msft.
sans.
anti-
avast
conficker
defender
dr***
etrust
f-secure
kaspersky
malware
mcafee
microsoft
nod32
norton
onecar
panda
symantec
wilderssecurity
windowsupdate


وهنا أذا قمت بطلب رابط يحتوي على ماسبق, لن تستطيع المواصلة وسوف يتم منعك من تصفح محتوى الموقع!






-------------------------------------------------------------------
-------------------------------------------------------------------






أما من يسأل عن سبب هذا الانتشار الكبير للدودة يعود السبب لوجود ثغرة خطيرة تم اكتشافها في نظام ويندوز (MS08-067) تسمح باختراق النظام عن بعد عن طريق استغلال ثغرة Buffer overflow في احدى خدمات النظام, لذلك أنصح بتحديث النظام بأسرع مايمكن وللأسف حتى الأن لا أستطيع أن أقول لكم اعتمدو على مكافح فيروسات معين .. فالدودة تتحدث باستمرار وتقوم بايقاف عمل مضاد الفيروسات وتمنع تحديثه! ولكن ان رأيت في الجهاز شيء من ماقيل سابقاً, عليك أن تتأكد من سلامة الجهاز.. فالأمر خطير ولا يستهان به.
 
إنضم
30 أغسطس 2008
المشاركات
1,999
الإعجابات
114
النقاط
0
رد: خبايا دودة Conficker أعرف المزيد عنه

يعطيك الف عافية ياغلاهم والف شكر لك :32:
 

elfaris1

Beginner Developer
rank
إنضم
21 أغسطس 2008
المشاركات
75
الإعجابات
4
النقاط
8
العمر
30
رد: خبايا دودة Conficker أعرف المزيد عنه

والله لسه الافيرا مكتشف الفيرس الان على الجهاز

شكرا اخوى على المعلومات

على فكره الفيرس بينتشر بامتداد png صوره اتخذو الحظر

:3::3::3::3:
 
إنضم
16 فبراير 2009
المشاركات
2,145
الإعجابات
489
النقاط
0
رد: خبايا دودة Conficker أعرف المزيد عنه

شكرا اخوى elfares1
 
إنضم
2 مارس 2007
المشاركات
285
الإعجابات
4
النقاط
0
رد: خبايا دودة Conficker أعرف المزيد عنه

مشكور اخوي على الخبر الحلو

الدوده هذي لم تحظى بالانتشار كاخواتها

انا اتوقع بسبب انه اعلن عنها بدري والمكافحات اخذت الاحتياط اللازم

وكمان اخذت صوت كبير على الاعلام

لو تكتم عليها كان عدمت الاجهزه لانها قويه جدا وكان انتشرت انتشار واسع اكثر من اخواتها
 

Dr.viurs

ExpErt DeveloPer
rankrankrankrankrankrank
إنضم
8 نوفمبر 2006
المشاركات
4,343
الإعجابات
501
النقاط
0
رد: خبايا دودة Conficker أعرف المزيد عنه

يعطيك الف عافيه جاري التقييم
 
إنضم
29 سبتمبر 2008
المشاركات
199
الإعجابات
1
النقاط
0
رد: خبايا دودة Conficker أعرف المزيد عنه

شكـر على المعلومات المفيدهـ ,,

جآري اخذ الحيطه والحذر :):29:
 
إنضم
16 فبراير 2009
المشاركات
2,145
الإعجابات
489
النقاط
0
رد: خبايا دودة Conficker أعرف المزيد عنه

شكرا اخوى ( التقييم) dr.virus
 
الحالة
مغلق و غير مفتوح للمزيد من الردود.

الأعضاء النشطين حاليآ الذين يشاهدون هذا الموضوع (1 عضو و 0 ضيف)

خيارات الاستايل

نوع الخط
مودك
اخفاء السايدر بار OFF
توسيط المنتدى OFF
فصل الأقسام OFF
الأقسام الفرعية OFF
عرض المشاركات
حجم الخط
معلومات العضو OFF
إخفاء التوقيع OFF

إرجاع خيارات الإستايل