Viren | Spyware
Myfip.K
Mit diesen Internet-Aufstellungsorten können Sie das Myfip.K Virus entfernen:
entfernen Myfip.K virus
Wenn W32.Myfip.K durchgeführt wird, führt es die folgenden Tätigkeiten durch:Verursacht das "fjsy" Mutex, damit nur eine Version der Endlosschraube auf dem angesteckten Computer durchgeführt wird.
Downloadet eine Akte, die ip.domain, vom Gebiet net918.meibu.com mit ftp genannt wird.
Diese Akte enthält den Bedienernamen, username, und Kennwort, welches die Endlosschraube für zukünftigen ftp Zugang benötigt.
Addiert einen der folgenden Werte:
"Verteiltes Dateisystem" = "Dfsvc.exe"
"Verteiltes Dateisystem" = "kernel32dll.exe"
zum Registerschlüssel:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
damit die Endlosschraube jedesmal durchgeführt wird, beginnt Windows.
Kopien selbst, wie Iloveyou.txt.exe zu irgendwelchen Netzanteilen, die es auf dem angesteckten Computer findet.
Wenn der Netzanteil Authentisierung erfordert, versucht die Endlosschraube, mit dem username "Verwalter" und eins der folgenden Kennwörter anzumelden:
Verwalter
Verwalter
Verwalter
admin
Admin
administrator123
admin123456
administrator123456
administratorpasswd
adminpasswd
adminpwd
pwd
adminpasswd
Kennwort
Kennwort
123
1234
12345
123456
1234567
12345678
123456789
654321
54321
111
000000
passwd
Passwd
00000000
0007
007
007007
0246
0249
!@$%
!@$%^
!@$%^&
!@$%^&*
Wurzel
Dämon
Sortierfach
System
adm
Langspielplatte
niemand
noaccess
Freiheit
1a2b3c
1p2o3i
1q2w3e
1qw23e
1sanjose
2004
2222
369
4444
Liebe
Geschlecht
Gott
4runner
777
7777
888888
911
99999999
@$%^&
a12345
a1b2c3
a1b2c3d4
aaa
aaaaaa
abby
ABC
abc123
abcd
abcd1234
abcde
abcdef
abcdefg
Zugang
Tätigkeit
aktiv
Adam
mypc
mypc123
admin123
pw123
mypass
mypass123
asdf
asdfg
asdfgh
asdfghjk
asdfjkl
asdfjkl;
Hacker
zxcvb
zxcvbnm
xxx
xxxx
@@@
###
***
Test
test1
test123
Telekommunikation
Temperatur
Rechnung
Superman
Unterstützung
Super
ssssss
PAS
Frühling
sprite
Geist
Scheiße
reizvoll
stieg
nett
ppp
Schürzenheld
Planet
Pizza
Pentium
Durchlauf
Job
newpass
morris
loveyou
kim
Sturm
fuckyou
Bumsen
fgh
dgj
Doc.
luftgetriebener Generator
warez
mp3
frei
Gast
Schrotflinte
Zugang
adm
Plädoyer
Antriebskraft
QWERTY
ytrewq
Stellt einige der folgenden Akten her, wenn die Endlosschraube erfolgreich an einen Netzanteil anschließt:
%System%\temp.txt
%System%\Dfsvc.exe
%System%\dltksvc.exe
%System%\kernel32dll.exe
Anmerkung: %System% ist eine Variable, die auf das System Heft sich bezieht. Durch Rückstellung ist dieses C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000) oder C:\Windows\System32 (Windows.xp).
Registriert die Akte dltksvc.exe, wie ein Service "verteilte Verbindung aufspürenverlängerungen" nannte.
Dieser Service läßt Dfsvc.exe mit Verwalterprivilegien laufen.
Suchen nach Akten mit den folgenden Verlängerungen und schickt sie zum ftp server, das in der Akte ip.domain genau geschildert wird:
DOC
DWG
SCH
PCB
DWT
DWF
MAX
Die Endlosschraube ignoriert Akten deren Weg nicht irgendwelche der folgenden Zeichenketten enthält:
Winnt
Windows
I386
Programm-Akten
Alle Benutzer
Recycler
System Volumen-Informationen
Inetpub
Dokumente und Einstellungen
Wutemp
Meine Musik
Spritzt seinen Code in explorer.exe ein, um sicherzugehen, daß die Endlosschraube Wiederanläufe jedesmal einer seiner Prozesse getötet wird.
Symantec Sicherheit Antwort regt alle Benutzer und Verwalter an, die folgende grundlegende Sicherheit "beste Praxis" zu befolgen:
Stellen Sie ab und entfernen Sie nicht benötigte Dienstleistungen. Durch Rückstellung bringen viele Betriebssysteme zusätzliche Dienstleistungen, die nicht, wie ein ftp server, telnet kritisch sind, und ein web server an. Diese Dienstleistungen sind Alleen des Angriffs. Wenn sie entfernt werden, haben gemischte Drohungen weniger Alleen des Angriffs und Sie haben wenige durch Fleckenupdates beizubehalten Dienstleistungen.
Wenn eine gemischte Drohung einen oder mehr Vermittlungsdienste ausnutzt, sperren Sie oder blockieren Sie Zugang zu, jene Dienstleistungen, bis ein Flecken angewendet ist.
Halten Sie immer Ihre Fleckenniveaus aktuell, besonders auf Computern, die allgemeine Dienstleistungen bewirten und durch die Brandmauer, wie HTTP, ftp, Post und DNS Dienstleistungen zugänglich sind (zum Beispiel, sollten alle Windows-basierten Computer den gegenwärtigen angebrachten Service-Satz haben). Zusätzlich wenden Sie bitte alle mögliche Sicherheit Updates an, die in dieser Darstellung, in verläßlichen Sicherheit Nachrichten oder auf Verkäufer Netzaufstellungsorten erwähnt werden.
Erzwingen Sie eine Kennwortpolitik. Komplizierte Kennwörter bilden es schwierig, Kennwortakten auf verglichenen Computern zu knacken. Dieses hilft, Beschädigung zu verhindern oder zu begrenzen, wenn ein Computer verglichen wird.
Bauen Sie Ihren email Bediener zusammen, um email zu blockieren oder zu entfernen, das Akte Zubehöre enthält, die allgemein benutzt werden, um Viren, wie vbs, bat, exe, pif und scr Akten zu verbreiten.
Lokalisieren Sie angesteckte Computer schnell, um Ihre Organisation weiter sich vergleichen zu verhindern. Führen Sie eine gerichtliche Analyse durch und stellen Sie die Computer mit verläßlichen Mitteln wieder her.
Bilden Sie Angestellte, um aus Zubehöre nicht zu öffnen, es sei denn sie sie erwarten. Auch führen Sie nicht Software durch, die vom Internet downloadet wird, es sei denn es auf Viren abgelichtet worden ist. Eine verglichene Web site einfach besichtigen kann Infektion verursachen, wenn bestimmte Datenbanksuchroutineverwundbarkeit nicht ausgebessert wird.
Die folgenden Anweisungen betreffen alle gegenwärtigen und neuen Symantec antivirus Produkte, einschließlich Symantec AntiVirus und Norton AntiVirus Produktserien.
Sperren Sie System Wiederherstellung (Windows Me/XP).
Aktualisieren Sie die Virusdefinitionen.
Beginnen Sie den Computer im sicheren Modus oder IM VGA Modus wieder.
Lassen Sie einen vollen System Scan laufen und löschen Sie alle Akten, die als W32.Myfip.K ermittelt werden.
Löschen Sie den Wert, der dem Register hinzugefügt wurde.
Für spezifische Details über jeden dieser Schritte, lesen Sie die folgenden Anweisungen.
1. System Wiederherstellung (Windows Me/XP) sperren
Wenn Sie Windows ich oder Windows.xp laufen lassen, empfehlen wir, daß Sie vorübergehend System Wiederherstellung abstellen. Windows Me/XP benutzt diese Funktion, die durch Rückstellung ermöglicht wird, um die Akten auf Ihrem Computer wieder herzustellen, falls sie beschädigt werden. Wenn ein Virus, eine Endlosschraube oder ein Trojan einen Computer ansteckt, kann System Wiederherstellung das Virus, die Endlosschraube oder das Trojan auf dem Computer unterstützen.
Windows verhindert äußere Programme, einschließlich antivirus Programme, an ändernder System Wiederherstellung. Folglich können antivirus Programme oder Werkzeuge nicht Drohungen im System Wiederherstellung Heft entfernen. Infolgedessen hat System Wiederherstellung das Potential der Wiederherstellung einer angesteckten Akte auf Ihrem Computer, selbst nachdem Sie die angesteckten Akten von allen anderen Positionen gesäubert haben.
Auch ein Virusscan kann eine Drohung im System Wiederherstellung Heft ermitteln, obwohl Sie die Drohung entfernt haben.
Für Anweisungen in, wie man System Wiederherstellung, lesen Sie Ihre Windows Unterlagen oder einen der folgenden Artikel abstellt:
",wie man Windows ich System Wiederherstellung sperrt oder ermöglicht"
",wie man abstellt oder Windows.xp System Wiederherstellung einschaltet"
Anmerkung: Wenn Sie vollständig das Abbauverfahren beendet sind und erfüllt sind, das die Drohung entfernt worden ist, re-enable System Wiederherstellung durch nach die Anweisungen in den vorher erwähnten Dokumenten.
Zu zusätzlicher Information und einer Alternative zur Sperrung von von Windows sehe ich System Wiederherstellung, den Microsoft Wissensbasisartikel, "Antivirus Werkzeuge kann nicht angesteckte Akten im _ Wiederherstellung Heft säubern," Artikel Identifikation: Q263455.
2. Die Virusdefinitionen aktualisieren
Symantec Sicherheit Antwort prüft völlig alle Virusdefinitionen auf Qualitätssicherung, bevor sie zu unseren Bedienern bekanntgegeben werden. Es gibt zwei Möglichkeiten, die neuesten Virusdefinitionen zu erreichen:
Laufendes LiveUpdate, das die einfachste Weise ist, Virusdefinitionen zu erreichen: Diese Virusdefinitionen werden zu den LiveUpdate Bedienern sobald jede Woche (normalerweise an Mittwoch) bekanntgegeben, es sei denn es einen Hauptvirusausbruch gibt. Um festzustellen ob Definitionen für diese Drohung durch LiveUpdate vorhanden sind, beziehen Sie sich die auf Virus-Definitionen (LiveUpdate).
Downloading der Definitionen mit dem intelligenten Updater: Die intelligenten Updater Virusdefinitionen werden täglich bekanntgegeben. Sie sollten die Definitionen von der Symantec Sicherheit Warteweb site downloaden und sie manuell anbringen. Um festzustellen ob Definitionen für diese Drohung durch das intelligente Updater vorhanden sind, beziehen Sie sich die auf Virus-Definitionen (intelligentes Updater).
Die intelligenten Updater Virusdefinitionen sind vorhanden: Gelesen ",wie man Virusdefinition einordnet mit dem intelligenten Updater "für ausführliche Anweisungen aktualisiert.
3. Den Computer im sicheren Modus oder IM VGA Modus wiederbeginnen
Schließen Sie den Computer und stellen Sie den Strom ab. Warten Sie mindestens 30 Sekunden, und beginnen Sie dann den Computer im sicheren Modus oder IM VGA Modus wieder.
Für Windows 95 beginnen 98, ich, 2000 oder XP Benutzer, den Computer im sicheren Modus wieder. Für Anweisungen lesen Sie das Dokument, ",wie man anstellt den Computer im sicheren Modus."
Für Windows NT beginnen 4 Benutzer, den Computer im VGA Modus wieder.
3. Auf ablichten und die angesteckten Akten löschen
Starten Sie Ihr Symantec antivirus Programm und überprüfen Sie, ob es zusammengebaut wird, um alle Akten abzulichten.
Für Norton AntiVirus Verbraucherprodukte: Lesen Sie das Dokument, ",wie man Norton AntiVirus zusammenbaut, um alle Akten abzulichten."
Für Symantec AntiVirus Unternehmenprodukte: Lesen Sie das Dokument, ",wie man überprüft, daß ein Symantec korporatives antivirus Produkt eingestellt ist, um alle Akten abzulichten."
Lassen Sie einen vollen System Scan laufen.
Wenn irgendwelche Akten ermittelt werden, wie mit W32.Myfip.K angesteckt, Klicken Löschung.
Anmerkung: Wenn Ihr Symantec antivirus Produkt berichtet, daß es nicht eine angesteckte Akte löschen kann, kann Windows die Akte benutzen. Um dieses zu regeln, lassen Sie den Scan im sicheren Modus laufen. Für Anweisungen lesen Sie das Dokument, ",wie man anstellt den Computer im sicheren Modus." Sobald Sie im sicheren Modus wiederbegonnen haben, lassen Sie den Scan wieder laufen.
(nachdem die Akten gelöscht sind, können Sie den Computer im sicheren Modus lassen und mit Abschnitt 4 fortfahren. Wenn das getan wird, beginnen Sie den Computer im normalen Modus.) wieder
4. Den Wert aus dem Register löschen
Wichtig: Symantec empfiehlt stark, daß Sie das Register unterstützen, bevor Sie irgendwelche Änderungen an ihm vornehmen. Falsche Änderungen am Register können dauerhaften Datenverlust oder verdorbene Akten ergeben. Ändern Sie nur die angegebenen Schlüssel. Lesen Sie das Dokument, ",wie man eine Unterstützung vom Windows Register," für Anweisungen bildet.
Klicken Sie Anfang > GelaufenAn.
Schreiben Sie regedit
Klicken Sie dann O.K..
Steuern Sie zum Schlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
In der rechten Scheibe löschen Sie die irgendwelche der folgenden Werte:
"Verteiltes Dateisystem" = "Dfsvc.exe"
"Verteiltes Dateisystem" = "kernel32dll.exe"
Nehmen Sie den Register-Herausgeber heraus.