darby_b

W32.Darby.B

Aliassen: W32.HLLW.Darby, Worm.P2P.Darby.o [Kaspersky], WORM_DARBY.O [Trend Micro], W32/Darby.gen [McAfee]

Eigenschappen

Darby is een virus wat zich zal verspreiden via programma's als Kazaa, e-mail, IRC en gedeelde netwerkbronnen op een systeem. De eigenschappen zullen in alle gevallen verschillend zijn.
Het virus zal proberen om diverse programma's uit te schakelen die bedoeld zijn voor de beveiliging van je pc en daarnaast kan het mogelijk automatisch bestanden downloaden van een bepaalde website en deze uitvoeren.
Een eventuele besmetting is te herkennen aan de aanwezigheid van één of meerdere bestanden uit de onderstaande lijst:

NETRUNDLDRV
XPWIEKLIBl
WINDEFRAGUPD
IMAGE0X
KILLUSA
MICROROUTESTAT
DOSRUNDLDLL
CDGGROUPS386

De bestanden kunnen de .com, .exe, .pif, of .scr extensie hebben en zullen gevonden worden in de standaard System map van Windows. De exacte naam van deze map zal per Windowsversie verschillen, want onder Windows 95, 98 en Me zal het bijvoorbeeld om de map c:\windows\system gaan, terwijl het onder Windows NT en 2000 de map c:\winnt\system32 zal zijn. Onder Windows XP zal het gaan om de map c:\windows\system32.

Verwijder instructie's

1 - Gebruikers van Windows Me en Windows XP moeten de optie Systeem Herstellen uit zetten.

2 - Download em start een programmaatje van Symantec om de toegang tot het register te herstellen. Door hier te klikken kun je het direct downloaden.

3 - Download ook dit bestand. Pak het uit en sla het op de root van de C drive op, dus op c:\. Dit bestandje heb je later pas nodig.

4 - Zorg er voor dat je virusscanner zo veel mogelijk up to date is.

5 - Start de pc op in de veilige modus en draai een volledige systeemscan. Verwijder de geïnfecteerde bestanden die gevonden worden.

6 - Nu gaan we het programmaatje gebruiken wat je gedownload hebt bij stap 3. Klik hiervoor op Start en daarna op uitvoeren. Type vervolgens in de balk het commando

regedit -s C:\repair.reg

en klik dan op 'ok' of druk op 'enter'.

7 - Pas het register aan door op 'start' te klikken en daarna op 'uitvoeren'. Type dan in de balk het woord 'regedit' (zonder de ' tekens) en druk dan op 'enter'. De register editor zal dan openen.

Let op: Maak geen fouten bij het werken in het register. Dit is het 'hart' van je pc en als daar dingen verkeerd gedaan worden is het mogelijk dat de pc niet (goed) meer werkt. Je moet op zoek naar de sleutel

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

en door de sleutel aan te klikken met de linker muisknop kun je aan de rechterkant van het scherm de waarden zien die in de sleutel zitten. Verwijder daar de waarde

"[willekeurige geïnfecteerde bestandsnaam]" = "System_map\[willekeurige geïnfecteerde bestandsnaam]"

Dit kun je doen door de betreffende waarde aan te klikken met de rechter muisknop en daarna te klikken op 'verwijderen'. Ga daarna naar de sleutel

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Run

en verwijder ook daar dezelfde waarde. Sluit dan de register editor. en eventuele andere programma's en start de pc op de normale manier op.

8 - Gebruikers van Windows 95, 98 en Me moeten de bestanden win.ini, system.ini en autexec.bat nog controleren.
Win.ini: Gebruikers van Windows Me moeten wel eerst de map c:\windows\recent leeg maken omdat het mogelijk is dat daar een kopie van het bestand in staat.
Als je dit gedaan hebt kun je beginnen met het aanpassen van het bestand: Klik hiervoor op 'start' en daarna op 'uitvoeren'. Type dan in de balk

edit c:\windows\win.ini

en druk dan op 'enter' of klik op 'ok'. Er zal dan een DOS scherm openen. Let op: In de regel gaan we er vanuit dat Windows op de standaard manier is geïnstalleerd, dus als je Windows op een andere harde schijf (bijvoorbeeld D) hebt staan dan moet je dat uiteraard aanpassen. In het bestand zal de volgende regel staan:

load = systeem\bestandsnaam.exe

Deze regel moet je zo aanpassen dat alles na het = teken verwijderd wordt en het er dus zo

load =

uit komt te zien. Hetzelfde geldt voor de regel run =. Als je dat gedaan hebt klik je op 'bestand' en daarna op 'opslaan' en daarna klik je weer op 'bestand' maar daarna op 'afsluiten'.

System.ini: Gebruikers van Windows Me moeten weer eerst de map c:\windows\recent leeg maken omdat het mogelijk is dat daar een kopie van het bestand in staat.
Als je dit gedaan hebt kun je beginnen met het aanpassen van het bestand: Klik hiervoor op 'start' en daarna op 'uitvoeren'. Type dan in de balk

edit c:\windows\system.ini

en druk dan op 'enter' of klik op 'ok'. Er zal dan een DOS scherm openen. Let op: In de regel gaan we er vanuit dat Windows op de standaard manier is geïnstalleerd, dus als je Windows op een andere harde schijf (bijvoorbeeld D) hebt staan dan moet je dat uiteraard aanpassen. In het bestand zal de volgende regel staan:

shell = Explorer.exe geïnfecteerde_bestandsnaam

Deze regel moet je zo aanpassen dat alles na 'explorer.exe' verwijderd wordt en het er dus zo

shell = Explorer.exe

uit komt te zien. Als je dat gedaan hebt klik je op 'bestand' en daarna op 'opslaan' en daarna klik je weer op 'bestand' maar daarna op 'afsluiten'.

Autoexec.bat: Gebruikers van Windows Me moeten weer eerst de map c:\windows\recent leeg maken omdat het mogelijk is dat daar een kopie van het bestand in staat.
Als je dit gedaan hebt kun je beginnen met het aanpassen van het bestand: Klik hiervoor op 'start' en daarna op 'uitvoeren'. Type dan in de balk

edit c:\autoexec.bat

en druk dan op 'enter' of klik op 'ok'. Er zal dan een DOS scherm openen. Let op: In de regel gaan we er vanuit dat Windows op de standaard manier is geïnstalleerd, dus als je Windows op een andere harde schijf (bijvoorbeeld D) hebt staan dan moet je dat uiteraard aanpassen. In het bestand zal een regel staan die er ongeveer zo uit ziet:

@win System_map\[willekeurige geïnfecteerde bestandsnaam]

Deze regel moet je in zijn geheel verwijderen. Als je dat gedaan hebt klik je op 'bestand' en daarna op 'opslaan' en daarna klik je weer op 'bestand' maar daarna op 'afsluiten'.

9 - Start de pc opnieuw op en draai een volledige systeemscan om te controleren of het virus daadwerkelijk verwijderd is.

Maatregelen

1 - Zorg er voor dat je virusscanner zo veel mogelijk up to date is.

2 - Open geen mail die je niet verwacht, maar verwijder die ongelezen van het systeem.

3 - Scan alle bestanden die je gedownload hebt of zomaar van iemand gekregen hebt voor je ze gaat gebruiken.

Bron: McAfee, Trend Micro, Symantec

Copyright 2006 Virushelp