Yusufali اولین ویروس بومی ایرانی

این ویروس با بررسی كلماتی مانند Sex از باز كردن فایل ها یا سایت هایی در این زمینه جلوگیری می نماید, این در حالی است كه در بسیاری از سایت های پزشكی نیز از این كلمات استفاده شده است و كاربران آلوده به این ویروس قادر به استفاده از اطلاعات مفید این سایت ها نیستند

«...و در آینده‌ای نزدیك زیاد دور از ذهن نیست كه ویروس‌های محلی توسط برنامه‌نویسان ایرانی تولید شوند و به علت ویژگی‌هایی مانند استفاده از زبان فارسی و اطلاعات موجود از فرهنگ ایرانی، رایانه‌های هزاران كاربر ایرانی را در سرار جهان آلوده سازند و ضربه‌های غیرقابل جبرانی را به اطلاعات فارسی وارد كنند...»

(ایتنا - روزنامه ایران - پنجشنبه ۲۱ خردادماه ۱۳۸۳)

بررسی روش شروع به كار خودكار ویروس(StartUp Method):

در قدم اول پس از اجرای برنامه Documents.exe توسط كاربر یك نسخه از فایل برنامه ویروس به نام Systemdll.exe در زیر پوشه System۳۲ كپی می‌شود. ویروس با اضافه ساختن كلیدهای زیر به رجیستری قادر است تا پس از هر بار بوت شدن، خود را فعال سازد این كلیدها عبارتند از:

[HKEY_LOCAL_MACHINESoftwareMicrosoftWindows

CurrentVersionRun”LoadService”=””

[HKEY_LOCAL_MACHINESoftwareMicrosoftWindows

CurrentVersionRun”System۴۲۲۴۴۱۱”=”system۳۲systemdll.exe”

نكته : كلید اول به علت اشتباه برنامه‌نویس ویروس با هیچ مقداری پر نمی‌شود.

این ویروس در قدم بعد به جست‌وجوی فایلی به نام Systask.exe در پوشه System۳۲ می‌پردازد. در صورتی كه این فایل موجود بوده و فعال نباشد، آن را از پوشهSystem۳۲ حذف می‌نماید، هدف از انجام این عمل مشخص نیست.همچنین این ویروس پس از اجرا شدن به بررسی مقادیر كلیدهای زیر از رجیستری می‌پردازد:

[HKEY_LOCAL_MACHINESystemCurrentControlSet

ControlTerminal Server”TSAppCompat”]

مقدار عددی این كلید، وضعیت نوع فعالیت سرویس Terminal Server را مشخص می‌سازد كه در كدام یك از حالاتApplication یا Remote Administrators قرار دارد.

[HKEY_LOCAL_MACHINESystemCurrentControlSet

ControlTerminal Server”TSUserEnabled”]

---