كرم W32/Trojan.km :

این کرم 96256 بایتی به محض اجرا خودش را در مسیر زیر کپی می کند

%windir%\system32\ctfmona.exe

همچنین این کرم از درون خودش دو فایل به شکل زیر بیرون می آورد

%windir%\system32\ctfmonb.bmp
%windir%\system32\blackster.scr

که یکی از آنها عکس و دیگری Screen Saver است عکس مورد نظر ، که به شکل زیر است را بر روی Desktop می اندازد

Screen Saver سیستم را به شکل زیر تغییر می دهد به گونه ای که یک سری سوسک شروع به حرکت بر روی Desktop کرده و آن را می جود. :

این کرم خود را به شکل زير در رجيستری ثبت می‌کند تا با هر بار راه‌اندازی سيستم بطور خودکار اجرا شود :

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
ctfmona = C:\WINDOWS\System32\ctfmona.exe

ضمنا این کرم به منظور اعمال تغییرات بالا و تغییرات دیگر کلید های رجیستری زیر را تغییر می دهد

HKLM\Software\Microsoft\Software Notifier
InstallationID = 30ca1f71-3146-4d7b-a35f-3736e1cd05bd

HKCU\Control Panel\Colors
Background = 0 0 255

HKCU\Control Panel\Desktop
WallpaperStyle = 0

HKCU\Control Panel\Desktop
TileWallpaper = 0

HKCU\Control Panel\Desktop
Wallpaper = C:\WINDOWS\system32\ctfmonb.bmp

HKCU\Control Panel\Desktop
OriginalWallpaper = C:\WINDOWS\system32\ctfmonb.bmp

HKCU\Control Panel\Desktop
ConvertedWallpaper = C:\WINDOWS\system32\ctfmonb.bmp

HKLM\System\CurrentControlSet\Services\srservice
Start = 00000002

HKLM\System\CurrentControlSet\Services\sr
Start = 00000000

HKLM\System\CurrentControlSet\Services\sr
ImagePath = system32\DRIVERS\sr.sys

HKLM\Software\Microsoft\Windows NT\CurrentVersion\SystemRestore
DisableSR = 00000000

HKCU\Control Panel\Desktop
SCRNSAVE.EXE = C:\WINDOWS\system32\blackster.scr

از کارهای دیگر این کرم غیر فعال کردن System Restore است.

http://www.imenantivirus.com/encycf/W/W_00490.HTM

 آزمايشگاه تحقيقات ويروس‌های رايانه‌ا‌ی ايمن
شرکت مهندسی مهران رايانه

---

كرم W32/Sanvood :

این کرم 49152 بایتی ایرانی به محض اجرا خودش را در مسیر زیر کپی می کند

%windir%\system32\.exe
 %windir%\system32\Game.exe
%windir%\system32\pa1x.exe

این کرم خود را به شکل زير در رجيستری ثبت می‌کند تا با هر بار راه‌اندازی سيستم بطور خودکار اجرا شود :

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Kerneling = %windir%\system32\Game.exe

با نام های متفاوت از جمله موارد زیر خودش را در پوشه های مختلف کپی می کند
Game   Mp3   Picture   Video   Girl   XXX   Music   Program   Love   Sara

این کرم به گونه ای عمل می کند که بعد از وارد شدن به سیستم  پنجره شبیه به  زیر برای کاربر نمایش داده می شود .

ضمنا این کرم برای گمراه کردن کاربر ایکونی شبیه به Windows Media Player دارد
 
لینک خبر

 آزمايشگاه تحقيقات ويروس‌های رايانه‌ا‌ی ايمن
شرکت مهندسی مهران رايانه

---

كرم W32/Golmora :

این کرم ایرانی خودش را به شکل های زیر کپی می کند

Picture.exe
Mobile.exe
Boys.exe
Girls.exe
Video.exe
Film.exe
Rapid Share.exe
Yahoo Mail.exe
Google Earth.exe
Recorded Sounds.exe
Roya.exe
قاصدک.exe
Afshin.exe
سپيده.exe
Saeed.exe
Gol Morad.exe
Rap Music.exe
Classical Music.exe
Piano.exe
برره.exe
American Music.exe
C++.exe
Pascal.exe
Memary.exe
Shahrsazi.exe
ديني.exe
خواص ميوه ها.exe 
روانشناسي رنگها.exe
درمان اضطراب.exe
اگر پاک بودم....exe
فوايد نماز.exe
روش هاي پيشگيري از بارداري.exe
دختران آبادان.exe
Show.exe
Internet.exe
E-Books.exe
Learn to speak english.exe
Downloads.exe
پوست زيبايي داشته باشيم.exe
چگونه موهاي خوش حالت داشته باشيم؟.exe
وضعيت جامعه.exe
چرا دختران فراري مي شوند؟.exe
دوست خود را بهتر بشناسيد.exe
طالع بيني ماه تولد.exe
آيا عاشق هستيد يا دروغ مي گوييد؟.exe
عشق يا شهوت؟.exe
داستان هاي زيبا.exe
کودک درون.exe
نفوذ به کامپيوتر افراد.exe
Animal.exe
Windows.exe
Program files.exe
Documents and Settings.exe
svchost.exe
svchost                                                         .exe
ctfmon.exe
Nvcpl.exe
rundll32.exe
system32.exe
My Computer.exe
افزايش سرعت اينترنت.exe
کنترل کامپيوتر افراد از راه دور.exe
King2007                                                        .exe
Program                                                         .exe
عکس يانگم       .exe
فيلم                               .exe
recoverd program
Change to exe Pro
Adobe Photoshop 11                                              .exe
3D Max 8.0 Cracked                                              .exe
ACD See 10                                                      .exe
Norton Antivirus 2008                                           .exe
Node32 2008                                                     .exe
ديوان کامل حافظ.exe
چگونه مي توان روحاني شد؟.exe
روشهاي مخ زدن!.exe
آلبوم عکسهاي دختران ايراني.exe
پروژه عمران.exe
پروژه شهرسازي.exe
پروژه معماري.exe
24 ساعته ربات بسازيد.exe

عکس ميترا.exe
روشهاي داشتن اعتماد به نفس.exe
چگونه مطالعه کنيم؟.exe
چگونه حافظه عالي داشته باشيم؟.exe
دختران چه موجوداتي هستند؟                      .exe
انواع قرصهاي اکستازي .exe
زيباي خفته                                                      .exe
Recycler.exe
پروژه هاي آماده..exe
هر آنچه که مي خواهيد از بدن خود بدانيد! .exe
بدن سازي.exe
برنامه هاي موبايل .exe
بازي هاي جاوا براي موبايل                             .exe
MP3                                                             .exe
موزيک ملايم.exe
زنگهاي موبايل.exe
قورباغه را قورت دهيد!                                           .exe
سي دي کامل آموزش فتوشاپ                             .exe
 3D Max ;آموزش.exe
سوالات کارشناسي ارشد همه رشته ها.exe
کليپ هاي باحال موبايل                                      .exe
TP.exe
TC.exe
System Volume Information.exe
explore.exe
explore .exe
New Folder.exe
Project.exe

از دیگر كارهای اين ويروس اين است كه خودش را در ريشه همه درايوها با نام explore.exe كپی كرده و در كنار آن فايلی با نام Autorun.inf ايجاد می‌كند. اين عمل باعث می‌شود كه هر گاه كاربر بخواهد به هر شکلی وارد هر درايوی شود، فايل مربوط به كرم اجرا گردد. نوع Autorun ايجاد شده به گونه‌ايست كه اگر فايل explore.exe كه خود كرم است از روی سيستم پاك شده ولی فايل Autorun.inf باقی بماند، با دوبار كليك كردن بر روی نام درايو پنجره Open with نمايش داده می‌شود و كاربر نمی‌تواند وارد درايو شود. در اين حالت با كليك راست نمودن بر روی نام درايو و انتخاب گزينه Open نيز نمی‌توان وارد درايو شد. برای برطرف نمودن اين مشكل بايستی فايل زير را از روی سايت ايمن دانلود نموده و آن را بر روی سيستم خود اجرا نماييد:

http://www.imenantivirus.com/NoAutorun.zip

این ورم برای اجرای خود در هر بار راه اندازی کلید زیر را ایجاد می کند :

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
svchostc = c:\explore.exe

این ورم با استفاده از کلید های زیر از اجرای Task Manger و Regedit جلو گیری می کند ،

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System
disabletaskmgr = 0x1

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system
disableregistrytools = 0x1

این از طریق Cool Disk منتشر می کند.
برای بر طرف سازی اثرات تخريبی اين کرم می توانيد از برنامه ی زير  استفاده کنيد

http://www.imenantivirus.com/RegRepair.zip

آیکون این ورم شبیه فولدر است ممکن است توسط کاربر اجرا شود

پیامی به شکل زیر درون این کرم وجود دارد  :

این ورم ایرانی توسط ضد ویروس ایمن شناسایی و پاکسازی می شود

لینک خبر

آزمايشگاه تحقيقات ويروس‌های رايانه‌ا‌ی ايمن
شرکت مهندسی مهران رايانه

---

رم W32/Foova.ai :

این کرم ایرانی خودش را در مسیرهای زیر کپی می کند

C:\ChamranPartC.exe
D:\ChamranPartD.exe
%WinDir%\system32\Chamran.exe
%WinDir%\system32\Cmd-Nk27.exe
%WinDir%\system\Shell32B.exe
%WinDir%\Dl.exe
%WinDir%\Mastore32.dll
%Temp%\FooVA-X27.ExE
%Temp%\~DFC8EC.tmp
%Temp%\~DF4831.tmp

از کارهایی که ورم W32/Foova.ai بر روی سیستم انجام می دهد درون فایل زیر گزارشی از تکثیر این ورم تهیه می کند

%Temp%\Help-X27.txt

پیامی به شکل زیر نمایش می دهد

بر روی صفحه نمایش صفحه‌ای شبیه به شکل زیر نمایش می دهد

برای اجرای خود در هر بار راه اندازی کلید زیر را ایجاد می کند

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Yahoo! =%WinDir%\system\Shell32B.exe -BooT

با تبلیغ سایت hxxp://www.persiancod.com لینک های فریبنده زیر را نمایش می دهد

Fun - Sex And Love In This Pack
Fun - Sex And Love In This Site
For DL Sexy Site Use This Site
Israel Atack Or Iran Atack
Ye Dler Khob ba Sorate Ziad . Dl e Sh Kon
Anti Filter Ba Sorate Bala ... Ta Link Kharab NaShode DlKon
To in link Ye Harfie Ke Hamishe Mikhastam behet Bezanam
BaVar Kon Mitonam Dostesh Dashte Basham .. Bebin
Anti Virus e Virus Jadid Yahoo ....
Aks Hai Jaleb Yek Masol ! Midonam ke Bavaret Nemishe
Esmesh Ali Reza Hast Age Khasti Az Pack Ba Karash AshnaSHoo
Nazart Darbare In Chand Ta Aks Ba Hal Chie ?
Sexy - Sexy - Anal _Fuck_ In 1 Pack
Diaz ! No .Not .U BaD
Iran-Israel-USE-Iraq War Animat Picture
In Chi Hastesh !!Han? .. Dige Az In Aks Ha Baram Nafrest.. Fahmidi Ya Na ?! ...Ina
Ro Migam.Enkar Nakon .Barat Mote Asefam
Pliz DL Anti Yahoo Virus -->
Aks Jadidam Ro GoZashtam -- To Ham Akset Ro Bezar :)
I Love You .
Ye RooZ Be U Migam ..Ama Aval ino Nega Kon . Be Kasi HamNago
RooM Full Kon
Ba Har ID Khsti bia To Room
Kafet Mibore
Aks 4shanbe Sroi Az Raghse Mostarak DAr Shiraz
Eedam Arazel Dar Shiraz . Mostanad

با توجه به آنکه Icon این ورم شبیه Folder است ممکن است توسط کاربر اجرا شود که در صورت اجرای این ورم به صورت دستی فایل ورم پاک شده و پوشه‌ای با همان نام در آن مسیر ایجاد می شود

این ورم ایرانی توسط ضد ویروس ایمن شناسایی و پاکسازی می شود

لینک خبر

 آزمايشگاه تحقيقات ويروس‌های رايانه‌ا‌ی ايمن
شرکت مهندسی مهران رايانه

---