ايران ويج

یکی از شرکتهای معروف توزیع نرم افزار در کشور MRT است که البته ویندوز توزیع شده توسط این شرکت در بین کاربران ایرانی از محبوبیت خاصی برخوردار است و بسیاری این ویندوز را نصب کرده اند و حتی از آن راضی هم هستند.

اما اخیرا خبر رسیده است که این ویندوز به تروجان Backdoor.CWZ آلوده است و بنظر میرسد آلودگی این ویندوز به تروجان "بک دور سی دابلیو زد " از روی غفلت نبوده بلکه با توجه به خصوصیات و اعمالی که این تروجان انجام می دهد و همچنین پوشه ای که تروجان در آن قرار میگیرد(MRT Win2Farsi )کاملا عمدی است و ظاهرا دست اند کاران این شرکت قصد داشتند یه حال حسابی با این افراد بیچاره ای که این ویندوز را نصب کرده بودند بکنند.

این تروجان که میزان خطر آن "High" لحاظ شده ، اجازه دسترسی راه دور به سیستم شما بدون اطلاع کاربر را می دهد !

این تروجان اولین بار در اکتبر 2006 مشاهد شده و آخرین نسخه از آن مربوط به ماه مارس 2008 است .
در صورتیکه از ویندوز محصول ام آر تی را بر روی سیستم خود نصب کرده اید به مسیر C:\Program Files\MRT Win2Frasi رفته و در این پوشه در صورت وجود فایل Garmaseh.exe ، سیستم شما آلوده به این تروجان است.

نکته جالب توجه اینکه من این تروجان را با Kaspersky 7.0 و همچنین Nod32 که هردو آپدیت 3 آوریل 2008 بودند اسکن کردم و هیچکدام از ایندو موفق به شناسایی آن نشدند اما وقتی با آنتی ویروس بیت دیفندر BitDefender10 سیستم را اسکن کردم قادر به شناسایی این تروجان شدم و همچنین AVG 8.0 نیز موفق به شناسایی این تروجان شد .
AVG این تروجان را بانام Backdoor.BZD میشناسد .

نکته جالب عدم شناسایی این تروجان توسط سه آنتی ویروس معروف یعنی Kaspersky , McAfee ,Nod32
میباشد .
در دی وی دی عرضه شده توسط MRT بیش از 30 فایل آلوده به این ویروس وجود دارد .

طریقه حذف‌:

1. به مسیر C:\Program Files\MRT Win2Frasi رفته و فایل Garmaseh.exe را حذف کنید .

2. به پوشه C:\Windows\Temp‌ رفته و در آن فایل Winmrt.exe‌را حذف نمائید .

3. همچنین در صورت وجود فایل Garmaseh.exe در مسیر زیر

C:\WINDOWS\system32\GroupPolicy\Machine\Scripts\Shutdown

این فایل را حذف کنید .

4. به ویرواش رجیستری رفته (با درج regedit در پنجره Run) و در مسیر زیر

HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\ShellNoRoam\MUICache

متغیر

C:\Program Files\MRT Win2Farsi.com\Garmaseh.exe

را حذف کنید

[attachment=1435]

کد: 
Access Mode: Kernel (Ring0)

File Infection: Yes

Install Driver: Yes

Remote Access:Yes

Install Service:Yes

Kill Files:No

Service Name: aic32p

Execute Programs: 'TELNET.EXE' , 'NOTEPAD.EXE'

HIDEEN MODE:YES

SERVICE PATH:\??\C:\Windows\System32\Drivers\[Random name].sys

Registry Imported:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\aic32p

AVS Disabler:Yes

Kill Process:Yes

[cureit],[drweb],[onlinescan],[spywareinfo],[ewido.],[virusscan],[windowssecurity],[spywareguide],[bitdefender],[pandasoftware],[agnmitum],[virustotal],[sophos],[trendmicro],[etrust.co],[symantec],[mcafee],[f-secure],[Nod32],[kaspersky],[OnfDer].

Worm Type:Yes

Driver Size:8192 Bytes

RISK:HIGH

Finded strings in driver:

http://www.kjwre9fqwieluoi.info

http://kukutrustnet777.info

http://kjwre77638dfqwieuoi.info

and more...

[attachment=1435]

lord_viper

veyskarami