Hlavní třída: VirWare
Viry a červy jsou škodlivé programy, které se samy replikují v počítačích nebo prostřednictvím počítačových sítí, aniž by si uživatel uvědomoval; každá další kopie takových škodlivých programů je také schopna samoregistrace.Škodlivé programy, které se šíří prostřednictvím sítí nebo infikují vzdálené počítače, pokud jim to pověřil "vlastník" (např. Backdoors) nebo programy, které vytvářejí více kopií, které nejsou schopné samoregistrace, nejsou součástí podtřídy Viruses and Worms.
Hlavní charakteristikou používanou k určení, zda je program klasifikován jako samostatné chování v podtřídě Viruses a Worms, je způsob, jakým se program šíří (tj. Jak škodlivý program šíří vlastní kopie prostřednictvím lokálních nebo síťových zdrojů).
Většina známých červů se šíří jako soubory odeslané jako přílohy e-mailů prostřednictvím odkazu na web nebo zdroj FTP prostřednictvím odkazu odeslaného v ICQ nebo IRC zprávě prostřednictvím P2P sdílení souborů atd.
Někteří červi se šíří jako síťové pakety; tyto přímo proniknou do paměti počítače a aktivuje se kód červů.
Worms používají k průniku vzdálených počítačů následující metody: sociální inženýrství (například e-mailová zpráva naznačující, že uživatel otevře připojený soubor), využívající chyby v konfiguraci sítě (například kopírování na plně přístupný disk) a využívání mezery v zabezpečení operačního systému a aplikací.
Viry lze rozdělit podle metody používané k infikování počítače:
souborů virů
viry zaváděcího sektoru
makro viry
virů skriptu
Každý program v rámci této podtřídy může mít další funkce trojan.
Je třeba také poznamenat, že mnoho červů používá více než jednu metodu k šíření kopií prostřednictvím sítí. Pravidla pro klasifikaci detekovaných objektů s více funkcemi by měla být použita pro klasifikaci těchto typů červů.
Třída: Email-Worm
Email-Worms se šíří e-mailem. Červ zasílá vlastní kopii jako přílohu k e-mailové zprávě nebo k odkazu na soubor na síťovém zdroji (např. URL na infikovaný soubor na ohrožených webových stránkách nebo webových stránkách vlastněných hackery).V prvním případě se červový kód aktivuje při otevření (spuštěném) infikovaném přílohě. Ve druhém případě je kód aktivován, když se otevře odkaz na infikovaný soubor. V obou případech je výsledek stejný: aktivuje se kód červů.
Email-Worms používají řadu metod pro odesílání infikovaných e-mailů. Nejběžnější jsou:
pomocí přímého připojení k serveru SMTP pomocí e-mailového adresáře zabudovaného do kódu červa
pomocí služeb MS Outlook
pomocí funkcí systému Windows MAPI.
Email-Worms používají řadu různých zdrojů, aby našli e-mailové adresy, na které budou zasílány infikované e-maily:
adresář v aplikaci MS Outlook
databázi adres WAB
.txt soubory uložené na pevném disku: červa může identifikovat, které řetězce v textových souborech jsou e-mailové adresy
e-maily v doručené poště (některé e-mailové červy dokonce "odpověď" na e-maily nalezené ve doručené poště)
Mnoho e-mailových červů používá více než jeden ze zdrojů uvedených výše. Existují také další zdroje e-mailových adres, jako jsou například adresáře spojené s webovými e-mailovými službami.
Platfoma: VBS
Visual Basic Scripting Edition (VBScript) je skriptovací jazyk interpretovaný hostitelem Windows Script Host. VBScript je široce používán k vytváření skriptů v operačních systémech Microsoft Windows.Popis
Technické údaje
Tento červ je napsán v jazyce Java Script, který pro šíření používá MS Outlook Express. Červ se nepřipojí ke zprávám jako běžné viry červů, ale vkládá své tělo do zprávy jako skriptovací program.
Červ pracuje pouze na angličtině a francouzštině. Také nefunguje v případě, že je systém Windows nainstalován v adresáři jiném než "C: WINDOWS".
Červ je plně kompatibilní pouze s MS Outlook Express. V aplikaci MS Outlook je červ aktivován a infikuje systém, ale není schopen se dále rozšiřovat, protože cílí na aplikaci MS Outlook Express pouze k šíření svých kopií. V jiných e-mailových systémech funkce červa závisí na vlastnostech tohoto systému.
Při napadení systému vytvoří červ s další kopií tři další soubory. Za prvé, dva z nich se používají k infikování systému a poslední se používá k šíření kódu červů prostřednictvím infikovaného e-mailu:
1. KAK.HTA ve složce spuštění systému Windows
2. náhodně pojmenovaný soubor .HTA ve složce systému Windows
3. Soubor KAK.HTM ve složce Windows
Červ má rutinu užitečného zatížení. V 1. měsíci po 17:00 se zobrazí následující zpráva:
Kagou-Anti-Kro $ často říká!
což nutí Windows opustit.
Šíření
Červ přijde do počítače jako e-mailová zpráva ve formátu HTML. Tělo zprávy obsahuje skript (program Java script), který je samotným červem. Tento program se nezobrazuje na obrazovce, protože v dokumentech HTML se programy skriptů nikdy nezobrazují. Výsledkem je, že při otevření infikované zprávy (nebo při náhledu) se zobrazí pouze tělo zprávy a není viditelný žádný červový kód, ale skript je automaticky spouštěn poštou a červ dostane kontrolu.
Červ infikuje systém a šíří se ve třech krocích.
1. Červ vytvoří svou kopii jako soubor disku ve složce spouštěcího systému Windows (automatické spuštění).
2. Když je spuštěn ze složky spouštěcího systému Windows, přesune se do adresáře systému Windows, registruje novou kopii v systémovém registru v sekci automatického spuštění a odebere první kopii ze spouštěcí složky Windows.
3. Červ přistupuje do sekce registru MS Outlook Express a registruje červovu kopii jako výchozí podpis. Aplikace Outlook Express potom automaticky odešle kód červa prostřednictvím všech odeslaných zpráv.
Červ potřebuje tyto kroky, protože v první fázi je schopen získat přístup pouze k diskovým souborům, nikoliv ke systémovému registru, takže je třeba je spouštět ze souboru disku (ze zóny "Místní intranet") pro úpravu klíčů registru. Červ potom vymaže kopii ze složky spouštěcího systému Windows, aby se skryl a všechny programy tam jsou viditelné v nabídce StartProgramsStartup.
Šíření: krok 1 - běží z infikované zprávy
Po aktivaci infikované zprávy získá červ přístup k místnímu disku počítače. Aby se zabránilo ochraně zabezpečení (místní přístup k diskům je zakázán ve výchozím nastavení), červa používá bezpečnostní porušení s názvem "Zabezpečení zabezpečení TypeLib". Červ vytváří objekt ActiveX označený jako bezpečný pro skriptování a má schopnost psát soubory na disk. Pomocí tohoto objektu ActiveX získá červ písemný přístup k disku.
Červ potom vytvoří soubor KAK.HTA a umístí tam svůj vlastní kód. Tento soubor je umístěn v adresáři spouštění systému Windows a v důsledku toho bude spuštěn při příštím spuštění systému Windows.
Komentář:
Soubor HTA je aplikace HTML - typ souboru, který se objeví po instalaci
Internet Explorer 5.0. Soubory HTA obsahují běžný text HTML se skripty
uvnitř, ale když je popraven, běží jako samostatná aplikace - bez
shell prostředí aplikace Internet Explorer. Poskytuje možnost psaní silných
aplikace používající běžné skripty uvnitř HTML.
Při vytváření souboru KAK.HTA červ neurčuje skutečnou cestu k adresáři systému Windows a vždy předpokládá, že systém Windows je nainstalován ve složce "C: WINDOWS". Červ se proto nemůže šířit v systému, ve kterém byl systém Windows nainstalován v jiném adresáři než "C: WINDOWS". Červ zkouší dvě varianty složky spouštěcího systému Windows, do které má kopii umístit:
MENUD� ~ 1PROGRA ~ 1D�MARR ~ 1 (výchozí název ve francouzské verzi systému Windows)
STARTM ~ 1ProgramsStartUp (výchozí název v angličtině verze systému Windows)
V případě, že má spouštěcí adresář Windows jiný název (v jiné lokalizaci systému Windows), červ nemůže zapsat do tohoto souboru svůj soubor a nemůže se dále šířit.
Rozložení: krok 2 - běží z KAK.HTA
Po restartování systému Windows je aktivován soubor "KAK.HTA" ze spouštěcího adresáře systému Windows. Program skriptu uvnitř tohoto souboru vytvoří stejný soubor HTA v adresáři systému Windows. Tento soubor má jméno závislé na systému (například "9A4ADF27.HTA"). Červ potom modifikuje systémový registr, aby spustil tento soubor při každém spuštění systému Windows. V případě, že uživatel změní výchozí podpis aplikace Outlook Express, skript v tomto souboru obnoví součásti a nastavení registru červa; tj. systém znovu infikuje.
Skript "KAK.HTA" pak vytvoří soubor "KAK.HTM", který obsahuje pouze kód červa uvnitř (tato HTML stránka nemá žádný text, který by zobrazoval jiný než čistý skript červ). Tento soubor se později používá k infikování zpráv.
Nakonec skript připojí k příkazům "C: AUTOEXEC.BAT", které odstraní "KAK.HTA" ze spouštěcího adresáře, protože je již nepotřebuje.
Šíření: krok 3 - odesílání infikovaných zpráv
Stejný skript ("KAK.HTA") pak upravuje systémový registr. Vytvoří nový podpis aplikace Outlook Express odkazující na soubor "KAK.HTM" a nastaví tento podpis jako výchozí podpis v aplikaci Outlook Express. Počínaje okamžikem, kdy aplikace Outlook Express sestaví zprávu, vloží infikovaný podpis do zprávy (obsah souboru "KAK.HTM").
Červ je schopen šířit pouze prostřednictvím HTML zpráv (a to jsou MS Outlook Express) výchozí nastavení. Zprávy RTF a "Plain text" nejsou infikovány a nemohou být infikovány.
Ochrana
Problémem je, že pravidelné antivirové skenování pomocí skenerů na vyžádání neposkytuje ochranu proti tomuto typu červů. Při každém otevření infikované zprávy v aplikaci Outlook se červ znovu zobrazí. Kromě toho, pokud aplikace Outlook Express nakonfiguruje zobrazení podokna náhledu, postačí pouze vybrat infikovanou zprávu ze seznamu, který má být aktivován.
1. Chcete-li se chránit, je možné používat skenery, které mají přístup, zachytit červ v okamžiku, kdy se sám zapíše na disk. Skenery, které jsou přístupné, však nemohou zabránit aktivaci červa, protože skripty v e-mailových zprávách HTML se provádějí přímo v systémové paměti, nejsou uloženy a spouštěny z disku.
Nejlepším způsobem akcí je použití antivirových nástrojů, které kontrolují programy skriptu těsně před jejich spuštěním (viz "AVP Script Checker"). Takové programy mohou zabránit aktivaci červa a infekci systému.
2. Chcete-li napsat vlastní soubor na disk, použije červa Internet Explorer 5.0. Společnost Microsoft vydala aktualizaci, která eliminuje chybu zabezpečení "Scriptlet.Typelib". Důrazně doporučujeme navštívit stránku http://support.microsoft.com/support/kb/articles/Q240/3/08.ASP a nainstalovat tuto aktualizaci.
3. Pokud neplánujete používat v práci žádné HTML aplikace (soubory HTA), existuje další způsob, jak zabránit infekci virem tohoto typu (červy a viry, které používají soubory HTA k šíření). Pro rozšíření .HTA je nutné odstranit přidružení souboru. Chcete-li to provést, musíte postupovat podle několika kroků:
1. Poklepejte na ikonu "Tento počítač" na ploše.
2. V zobrazeném okně zvolte nabídku "Zobrazit" -> "Možnosti ...".
3. Na kartě "Typy souborů" v seznamu "Typ registrovaných souborů" vyberte položku "Aplikace HTML".
4. Klikněte na tlačítko "Odebrat" a potvrďte akci.
5. Zavřete dialogové okno s možnostmi.
Zobrazit více
Zjistěte statistiky zranitelností šířících se ve vaší oblasti statistics.securelist.com