W32.Ahker.D@mm
Aliassen: Email-Worm.Win32.Anker.d [Kaspersky Lab], WORM_AHKER.D [Trend Micro]
Eigenschappen
Ahker is een virus wat zich verspreidt via e-mail. Het onderwerp van de mail zal steeds verschillend zijn, maar de bijlage zal wel steeds 'patch.zip' zijn.
Het virus zal bestanden overschrijven, beveiligings instellingen lager instellen en het Hosts bestand aanpassen zodat het niet meer mogelijk is om bijvoorbeeld pagina's van antivirusbedrijven te bezoeken. Daarnaast zal het virus het bestand 'hal.dll' infecteren.
Een eventuele besmetting is te herkennen aan de aanwezigheid van het bestand 'CCAPP.EXE' in de standaard Windows map. Dit zal meestal de map c:\windows zijn, maar c:\winnt is ook mogelijk.
Verwijder instructie's
1 - Herstel de schade aan het bestand 'hal.dll'. Dit kun je doen door de MS-DOS prompt te openen en het commando
sfc /scannow
te typen. Druk daarna op 'enter' en plaats de Windows cd-rom als daarom gevraagt wordt.
2 - Gebruikers van Windows Me en Windows XP moeten de optie Systeem Herstellen uit zetten.
3 - Start de pc op in de veilige modus.
4 - Het hosts bestand moet worden aangepast. Dit kun je doen door het op te zoeken met de Windows Verkenner, en je kunt het vinden in de map c:\windows. Klik het bestand aan met de rechter muisknop en klik dan op 'openen met' en selecteer vervolgens het programma Kladblok of Notepad. Verwijder dan de volgende regels:
127.0.0.1 avp.com
127.0.0.1 ca.com
127.0.0.1 customer.symantec.com
127.0.0.1 dispatch.mcafee.com
127.0.0.1 download.mcafee.com
127.0.0.1 f-secure.com
127.0.0.1 grisoft.com
127.0.0.1 kaspersky-labs.com
127.0.0.1 kaspersky.com
127.0.0.1 liveupdate.symantec.com
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 mast.mcafee.com
127.0.0.1 mcafee.com
127.0.0.1 my-etrust.com
127.0.0.1 nai.com
127.0.0.1 networkassociates.com
127.0.0.1 rads.mcafee.com
127.0.0.1 secure.nai.com
127.0.0.1 securityresponse.symantec.com
127.0.0.1 sophos.com
127.0.0.1 symantec.com
127.0.0.1 trendmicro.com
127.0.0.1 update.symantec.com
127.0.0.1 updates.symantec.com
127.0.0.1 us.mcafee.com
127.0.0.1 viruslist.com
127.0.0.1 www.avp.com
127.0.0.1 www.ca.com
127.0.0.1 www.f-secure.com
127.0.0.1 www.grisoft.com
127.0.0.1 www.kaspersky.com
127.0.0.1 www.mcafee.com
127.0.0.1 www.my-etrust.com
127.0.0.1 www.nai.com
127.0.0.1 www.networkassociates.com
127.0.0.1 www.sophos.com
127.0.0.1 www.symantec.com
127.0.0.1 www.trendmicro.com
127.0.0.1 www.viruslist.com
LET OP: De regel waar '127.0.0.1 local host' bij staat mag niet verwijderd worden.
5 - Start de pc op de normale manier op en zorg er voor dat je virusscanner zo veel mogelijk up to date is.
6 - Draai een volledige systeemscan en verwijder de geïnfecteerde bestanden die gevonden worden. Mocht er een actief bestand gevonden worden dan is het mogelijk dat dit niet verwijderd kan worden door je virusscanner en moet je de pc nogmaals in de veilige modus opstarten.
7 - Pas het register aan door op 'start' te klikken en daarna op 'uitvoeren'. Type dan in de balk het woord 'regedit' (zonder de ' tekens) en druk dan op 'enter'. De register editor zal dan openen. Let op: Maak geen fouten bij het werken in het register. Dit is het 'hart' van je pc en als daar dingen verkeerd gedaan worden is het mogelijk dat de pc niet (goed) meer werkt. Je moet op zoek naar de sleutel
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
en door de sleutel aan te klikken met de linker muisknop kun je aan de rechterkant van het scherm de waarden zien die in de sleutel zitten. Verwijder daar de volgende waarde:
"Norton Auto-Protect" = "ccApp.exe"
Dit kun je doen door de betreffende waarde aan te klikken met de rechter muisknop en daarna te klikken op 'verwijderen'. Ga dan naar de sleutel
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
en verwijder ook daar dezelfde waarde. Verwijder vervolgens de waarde
"EnableFirewall" = "1"
uit de sleutels
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile
HKEY_CURRENT_USER\Software\Policies\Microsoft\WindowsFirewall\DomainProfile
HKEY_CURRENT_USER\Software\Policies\Microsoft\WindowsFirewall\StandardProfile
Daarna moet je op zoek naar de sleutels
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\WindowsUpdate\AU
en
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU
om daar de waarden
"AUOptions" = "1"
en
"NoAutoUpdate" = "1"
te verwijderen. Vervolgens moet je op zoek naar de sleutels
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\security center
HKEY_CURRENT_USER\Software\Microsoft\security center
om daar de waarden
"AntiVirusDisableNotify" = "1"
"FirewallDisableNotify" = "1"
"UpdatesDisableNotify" = "1"
te verwijderen. Daarna moet je naar de sleutel
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
om daar de waarden
"DisallowRun" = "1"
en
"NoRun" = "1"
te verwijderen. Ga daarna naar de sleutels
HKEY_CURRENT_USER\Software\Microsoft\Windows_NT\CurrentVersion\systemrestore
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows_NT\CurrentVersion\systemrestore
om daar de waarde
"DisableSR" = "1"
te verwijderen. Verwijder daarna de waarden
"DisableRegistryTools" = "0"
en
"DisableTaskMgr" = "1"
uit de sleutel
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\System
Als laatste moet je in de sleutel
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun
de volgende waarden verwijderen:
"1" = "regedit.exe"
"10" = "ALUNOTIFY.exe"
"11" = "norton.exe"
"12" = "DAP.exe"
"2" = "notepad.exe"
"3" = "wordpad.exe"
"4" = "write.exe"
"5" = "wuauclt.exe"
"6" = "wupdmgr.exe"
"7" = "msnmsgr.exe"
"8" = "LUALL.exe"
"9" = "AUPDATE.exe"
8 - Sluit daarna de register editor en de eventueel andere open staande programma's af, start de pc opnieuw op en draai een volledige systeemscan om te controleren of het virus daadwerkelijk verwijderd is.
Maatregelen
1 - Zorg er voor dat je virusscanner up to date is zodat hij ook dit virus kan herkennen.
2 - Open geen mail die je niet verwacht, maar verwijder die ongelezen van het systeem.
Bron: Symantec, Trend Micro
Copyright 2006 Virushelp
| |
