ESTE SERVIÇO PODE CONTER TRADUÇÕES FEITAS PELO GOOGLE. O GOOGLE SE ISENTA DE TODAS AS GARANTIAS RELACIONADAS ÀS TRADUÇÕES, EXPRESSAS OU IMPLÍCITAS, INCLUINDO QUALQUER RESPONSABILIDADE EM RELAÇÃO À PRECISÃO, CONFIABILIDADE E QUALQUER DEVER IMPLÍCITO SOBRE SUA COMERCIALIZAÇÃO, ADEQUAÇÃO PARA UM FIM ESPECÍFICO E NÃO-VIOLAÇÃO.

Para sua conveniência, o site da Kaspersky Lab foi traduzido com a utilização do software de tradução Google Tradutor. Foram realizados esforços razoáveis para o oferecimento de uma tradução precisa; entretanto, as traduções automatizadas não são perfeitas e tampouco pretendem substituir a tradução qualificada de especialistas. Essas traduções são fornecidas como um serviço para os usuários do site da Kaspersky Lab e são exibidas "como estão". Não há nenhuma garantia de qualquer tipo, seja expressa ou implícita, sobre a precisão, confiabilidade, ou exatidão de quaisquer traduções feitas do inglês para qualquer outro idioma. Alguns conteúdos (como imagens, vídeos, Flash, etc.) podem não estar corretamente traduzidos devido às limitações do programa de tradução.

Email-Worm.Win32.PrettyPark

Classe Email-Worm
Plataforma Win32
Descrição

Detalhes técnicos

Este é um vírus que se espalha pela Internet. Ele aparece como um utilitário PrettyPark anexado a um e-mail. Sendo executado, ele se instala no sistema e envia mensagens infectadas (com sua cópia anexada) para os endereços listados no Catálogo de Endereços do Windows, informa um usuário em algum canal de IRC sobre configurações e senhas do sistema e também pode ser usado como um Backdoor.

O worm em si é um arquivo executável do Windows PE com cerca de 37Kb de comprimento. Este arquivo é compactado por um utilitário WWPack32. Sendo descompactado, parece ser um arquivo EXE de 58Kb escrito em Delphi, o código "puro" no arquivo ocupa apenas 45Kb. Apesar desse tamanho pequeno para um aplicativo Delphi, o worm possui muitos recursos que o tornam um programa muito perigoso e rápido de propagação.

Quando o worm é executado no sistema pela primeira vez, ele procura pela cópia que já foi instalada na memória do sistema. O worm faz isso procurando por um aplicativo que tenha a legenda da janela "# 32770". Se não houver essa janela, o vírus se registrará como um aplicativo oculto (não visível na lista de tarefas) e executará sua rotina de instalação.

Durante a instalação no sistema, o worm copia seu arquivo para o diretório de sistema do Windows com o nome do arquivo FILES32.VXD e o registra no registro do sistema para ser executado toda vez que qualquer outro aplicativo for iniciado. O vírus faz isso criando uma nova chave no HKEY_CLASSES_ROOT, o nome da chave é exefileshellopencommand e está associado à cópia do worm com o arquivo FILES32.VXD que foi criado na pasta de sistema do Windows. Este arquivo tem uma extensão .VXD, mas não é um driver VxD Win95 / 98, mas sim um executável "verdadeiro" do Windows.

Em caso de erro durante a instalação, o worm ativa a proteção de tela SSPIPES.SCR (para ocultar sua atividade?). Se não houver tal arquivo encontrado, o worm tenta ativar o protetor de tela Canalisation3D.SCR.

O worm então inicia uma conexão de soquete (Internet) e executa suas rotinas que são ativadas: a primeira uma vez por 30 segundos e a outra uma vez por 30 minutos.

A primeira dessas rotinas, cada vez que é ativada, tenta conectar algum canal de bate-papo do IRC (veja a lista abaixo) e, por solicitações especiais, enviar uma mensagem para um usuário nesses canais. Desta forma, o autor do worm parece capturar estações afetadas para monitorá-las. A lista de servidores de IRC que o worm tenta conectar é a seguinte:


irc.twiny.net
irc.stealth.net
irc.grolier.net
irc.club-internet.fr
ircnet.irc.aol.com
irc.emn.fr
irc.anet.com
irc.insat.com
irc.ncal.verio.net
irc.cifnet.com
irc.skybel.net
irc.eurecom.fr
irc.easynet.co.uk

Sendo reconhecido pelo host (autor de vírus), o worm pode ser manipulado como um cavalo de Tróia Backdoor. Por um conjunto de comandos, ele envia uma configuração do sistema, uma lista de discos, informações de diretórios e informações confidenciais para o host remoto: senhas de acesso à Internet e números de telefone, nomes de login e senhas do Serviço de Acesso Remoto, números de ICQ, etc. O backdoor também é capaz de criar / remover diretórios, enviar / receber arquivos, deletá-los e executá-los, etc.

A segunda rotina, que é ativada uma vez por 30 minutos, abre o arquivo do Catálogo de Endereços do Windows, lê endereços da Internet e envia uma mensagem para eles. A mensagem pode ser enviada não apenas para endereços de e-mail particulares, mas também para conferências pela Internet, dependendo do conteúdo do Catálogo de Endereços. O campo Assunto da mensagem contém o texto:


C: CoolProgsPretty Park.exe

A mensagem em si não contém nada além de uma cópia anexada do worm.


Link para o original