ESTE SERVIÇO PODE CONTER TRADUÇÕES FEITAS PELO GOOGLE. O GOOGLE SE ISENTA DE TODAS AS GARANTIAS RELACIONADAS ÀS TRADUÇÕES, EXPRESSAS OU IMPLÍCITAS, INCLUINDO QUALQUER RESPONSABILIDADE EM RELAÇÃO À PRECISÃO, CONFIABILIDADE E QUALQUER DEVER IMPLÍCITO SOBRE SUA COMERCIALIZAÇÃO, ADEQUAÇÃO PARA UM FIM ESPECÍFICO E NÃO-VIOLAÇÃO.

Para sua conveniência, o site da Kaspersky Lab foi traduzido com a utilização do software de tradução Google Tradutor. Foram realizados esforços razoáveis para o oferecimento de uma tradução precisa; entretanto, as traduções automatizadas não são perfeitas e tampouco pretendem substituir a tradução qualificada de especialistas. Essas traduções são fornecidas como um serviço para os usuários do site da Kaspersky Lab e são exibidas "como estão". Não há nenhuma garantia de qualquer tipo, seja expressa ou implícita, sobre a precisão, confiabilidade, ou exatidão de quaisquer traduções feitas do inglês para qualquer outro idioma. Alguns conteúdos (como imagens, vídeos, Flash, etc.) podem não estar corretamente traduzidos devido às limitações do programa de tradução.

Email-Worm.Win32.Cholera

Classe Email-Worm
Plataforma Win32
Descrição

Detalhes técnicos

Este é um vírus que se espalha pela Internet e pela rede local. Ele aparece como um arquivo "SETUP.EXE" anexado a uma mensagem de email que possui o assunto "Ok …" e o corpo da mensagem contém apenas um "sorriso":


🙂

Este arquivo anexado em si é um arquivo executável do Microsoft C ++ com aproximadamente 40Kb de comprimento. A maioria do código do arquivo é ocupada por bibliotecas e dados de tempo de execução C ++, e apenas cerca de 7Kb de seu código é um código de worm "puro".

O worm recebeu esse nome por causa da string de texto em seu código:


CH0LERA – Bacterium BioCoded por GriYo / 29A

Essa string, assim como outros dados do worm, são criptografados no corpo do worm.

Instalando no sistema

Quando o worm é executado pela primeira vez (sendo executado a partir de um anexo infectado), ele obtém seu nome de módulo e se instala no diretório do Windows com o nome RPCSRV.EXE. Para forçar o Windows a executar esse arquivo na próxima reinicialização, o worm grava uma instrução adicional "Run =" no arquivo WIN.INI no diretório Windows (em Win9x) ou modifica uma chave correspondente no registro do sistema (em WinNT) .

Para localizar o diretório do Windows, o worm não chama as funções correspondentes do Windows, mas verifica todas as unidades locais disponíveis, procura nomes de subdiretórios: WINDOWS, WIN95, WIN98, WIN, WINNT e, em seguida, procura um arquivo WIN.INI no diretório. Se esse arquivo estiver localizado, o worm se instalará no diretório.

Como resultado, o worm pode criar várias de suas cópias no mesmo computador e infectar todas as instalações do Windows. No caso de um carregador de inicialização múltipla ser instalado e existirem várias versões diferentes do Windows instaladas, esse truque permite que o vírus seja ativado em qualquer inicialização de cópia do Windows.

Para ocultar sua atividade, o worm exibe a mensagem falsa:

Setup Não é possível abrir o arquivo: ele não parece ser um arquivo válido. Se você baixou este arquivo, tente baixar o arquivo novamente. [ ESTÁ BEM ]

Além disso espalhando

Na próxima inicialização do Windows, a cópia do worm é ativada pelo comando Executar no arquivo WIN.INI. Ele assume o controle, registra-se na memória do Windows como um aplicativo oculto (serviço invisível) que também permite que o worm permaneça ativo sempre que um usuário efetua logoff. O worm então executa mais duas rotinas além da instalação. A primeira dessas novas rotinas espalha o worm pela rede local e a segunda envia mensagens de e-mail infectadas. A rotina de instalação também está ativa e o worm é capaz de infectar uma nova cópia do Windows se ela aparecer no computador. Todas as rotinas são executadas como encadeamentos do processo principal, portanto, fazem seu trabalho em paralelo.

A primeira das novas rotinas espalha a cópia do worm pela rede. Ele enumera todas as unidades de rede, verifica-as em diretórios do Windows, copia o arquivo RPCSRV.EXE do worm para lá e o registra no arquivo WIN.INI no mesmo diretório remoto. Como resultado, na próxima reinicialização, o worm em um computador remoto será ativado e se expandirá ainda mais.

A segunda rotina envia mensagens infectadas para os endereços da Internet. Para enviar sua cópia, o worm usa o protocolo SMTP e envia a si mesmo por conexão direta e, como resultado, o espalhamento do worm não depende do tipo de aplicativo de e-mail usado no sistema.

Uma vez por seis segundos, essa rotina enumera todas as janelas de programa ativas e procura por aplicativos da Internet: Outlook, Cutftp, Internet Explo, Telnet, Mirc. Se algum desses aplicativos estiver ativo, significa que o computador está conectado à Internet (isso é necessário por causa da conexão SMTP direta usada pelo worm).

O worm então obtém o endereço do servidor SMTP e os endereços de e-mail do usuário das chaves de registro do sistema, cria uma nova mensagem, anexa sua cópia ao nome SETUP.EXE e a envia.

Os endereços da Internet para onde o worm envia suas cópias são coletados dos arquivos de disco no diretório e nos subdiretórios do Windows. O worm verifica todos os arquivos lá, procura por arquivos com extensões .HTM, .TXT, .EML, .DBX, .MBX, .NCH, .IDX e, em seguida, verifica esses arquivos e obtém seqüências de caracteres semelhantes a endereços de e-mail a partir daí. A cada envio, o worm se envia para não mais de dez endereços.


Link para o original