Tato služba může obsahovat Google překlady. Společnost Google odmítá veškerou odpovědnost za překlad, doslovný i předpokládaný, včetně veškerých záruk aktuálnosti, spolehlivosti a veškerých záruk předpokládané zobchodovatelnosti, vhodnosti pro daný účel a neporušení práv.
Web Kaspersky Lab byl přeložen překládacím softwarem založeným na Google Translate. Bylo vynaloženo přiměřené úsilí, aby byl zajištěn přesný překlad, avšak žádný automatický překlad není dokonalý a není určen k nahrazení lidských překladatelů. Překlady jsou poskytovány jako služba uživatelům webových stránek a jsou poskytovány „tak jak jsou“. Neexistuje žádná záruka jakéhokoliv druhu, na vyjádřený nebo předpokládaný překlad, na přesnost nebo správnost překladů. Některý obsah (například obrázky, videa, Flash atd.) Nemusí být přesně přeložen z důvodu omezení překladového softwaru.
Třída | Email-Worm |
Platfoma | VBS |
Popis |
Technické údajeTento červ je napsán v jazyce Java Script, který pro šíření používá MS Outlook Express. Červ se nepřipojí ke zprávám jako běžné viry červů, ale vkládá své tělo do zprávy jako skriptovací program. Červ pracuje pouze na angličtině a francouzštině. Také nefunguje v případě, že je systém Windows nainstalován v adresáři jiném než "C: WINDOWS". Červ je plně kompatibilní pouze s MS Outlook Express. V aplikaci MS Outlook je červ aktivován a infikuje systém, ale není schopen se dále rozšiřovat, protože cílí na aplikaci MS Outlook Express pouze k šíření svých kopií. V jiných e-mailových systémech funkce červa závisí na vlastnostech tohoto systému. Při napadení systému vytvoří červ s další kopií tři další soubory. Za prvé, dva z nich se používají k infikování systému a poslední se používá k šíření kódu červů prostřednictvím infikovaného e-mailu:
Červ má rutinu užitečného zatížení. V 1. měsíci po 17:00 se zobrazí následující zpráva:
což nutí Windows opustit. ŠířeníČerv přijde do počítače jako e-mailová zpráva ve formátu HTML. Tělo zprávy obsahuje skript (program Java script), který je samotným červem. Tento program se nezobrazuje na obrazovce, protože v dokumentech HTML se programy skriptů nikdy nezobrazují. Výsledkem je, že při otevření infikované zprávy (nebo při náhledu) se zobrazí pouze tělo zprávy a není viditelný žádný červový kód, ale skript je automaticky spouštěn poštou a červ dostane kontrolu. Červ infikuje systém a šíří se ve třech krocích. 1. Červ vytvoří svou kopii jako soubor disku ve složce spouštěcího systému Windows (automatické spuštění). 2. Když je spuštěn ze složky spouštěcího systému Windows, přesune se do adresáře systému Windows, registruje novou kopii v systémovém registru v sekci automatického spuštění a odebere první kopii ze spouštěcí složky Windows. 3. Červ přistupuje do sekce registru MS Outlook Express a registruje červovu kopii jako výchozí podpis. Aplikace Outlook Express potom automaticky odešle kód červa prostřednictvím všech odeslaných zpráv. Červ potřebuje tyto kroky, protože v první fázi je schopen získat přístup pouze k diskovým souborům, nikoliv ke systémovému registru, takže je třeba je spouštět ze souboru disku (ze zóny "Místní intranet") pro úpravu klíčů registru. Červ potom vymaže kopii ze složky spouštěcího systému Windows, aby se skryl a všechny programy tam jsou viditelné v nabídce StartProgramsStartup. Šíření: krok 1 – běží z infikované zprávyPo aktivaci infikované zprávy získá červ přístup k místnímu disku počítače. Aby se zabránilo ochraně zabezpečení (místní přístup k diskům je zakázán ve výchozím nastavení), červa používá bezpečnostní porušení s názvem "Zabezpečení zabezpečení TypeLib". Červ vytváří objekt ActiveX označený jako bezpečný pro skriptování a má schopnost psát soubory na disk. Pomocí tohoto objektu ActiveX získá červ písemný přístup k disku. Červ potom vytvoří soubor KAK.HTA a umístí tam svůj vlastní kód. Tento soubor je umístěn v adresáři spouštění systému Windows a v důsledku toho bude spuštěn při příštím spuštění systému Windows. Komentář:
Při vytváření souboru KAK.HTA červ neurčuje skutečnou cestu k adresáři systému Windows a vždy předpokládá, že systém Windows je nainstalován ve složce "C: WINDOWS". Červ se proto nemůže šířit v systému, ve kterém byl systém Windows nainstalován v jiném adresáři než "C: WINDOWS". Červ zkouší dvě varianty složky spouštěcího systému Windows, do které má kopii umístit:
V případě, že má spouštěcí adresář Windows jiný název (v jiné lokalizaci systému Windows), červ nemůže zapsat do tohoto souboru svůj soubor a nemůže se dále šířit. Rozložení: krok 2 – běží z KAK.HTAPo restartování systému Windows je aktivován soubor "KAK.HTA" ze spouštěcího adresáře systému Windows. Program skriptu uvnitř tohoto souboru vytvoří stejný soubor HTA v adresáři systému Windows. Tento soubor má jméno závislé na systému (například "9A4ADF27.HTA"). Červ potom modifikuje systémový registr, aby spustil tento soubor při každém spuštění systému Windows. V případě, že uživatel změní výchozí podpis aplikace Outlook Express, skript v tomto souboru obnoví součásti a nastavení registru červa; tj. systém znovu infikuje. Skript "KAK.HTA" pak vytvoří soubor "KAK.HTM", který obsahuje pouze kód červa uvnitř (tato HTML stránka nemá žádný text, který by zobrazoval jiný než čistý skript červ). Tento soubor se později používá k infikování zpráv. Nakonec skript připojí k příkazům "C: AUTOEXEC.BAT", které odstraní "KAK.HTA" ze spouštěcího adresáře, protože je již nepotřebuje. Šíření: krok 3 – odesílání infikovaných zprávStejný skript ("KAK.HTA") pak upravuje systémový registr. Vytvoří nový podpis aplikace Outlook Express odkazující na soubor "KAK.HTM" a nastaví tento podpis jako výchozí podpis v aplikaci Outlook Express. Počínaje okamžikem, kdy aplikace Outlook Express sestaví zprávu, vloží infikovaný podpis do zprávy (obsah souboru "KAK.HTM"). Červ je schopen šířit pouze prostřednictvím HTML zpráv (a to jsou MS Outlook Express) výchozí nastavení. Zprávy RTF a "Plain text" nejsou infikovány a nemohou být infikovány. OchranaProblémem je, že pravidelné antivirové skenování pomocí skenerů na vyžádání neposkytuje ochranu proti tomuto typu červů. Při každém otevření infikované zprávy v aplikaci Outlook se červ znovu zobrazí. Kromě toho, pokud aplikace Outlook Express nakonfiguruje zobrazení podokna náhledu, postačí pouze vybrat infikovanou zprávu ze seznamu, který má být aktivován. 1. Chcete-li se chránit, je možné používat skenery, které mají přístup, zachytit červ v okamžiku, kdy se sám zapíše na disk. Skenery, které jsou přístupné, však nemohou zabránit aktivaci červa, protože skripty v e-mailových zprávách HTML se provádějí přímo v systémové paměti, nejsou uloženy a spouštěny z disku. Nejlepším způsobem akcí je použití antivirových nástrojů, které kontrolují programy skriptu těsně před jejich spuštěním (viz "AVP Script Checker"). Takové programy mohou zabránit aktivaci červa a infekci systému. 2. Chcete-li napsat vlastní soubor na disk, použije červa Internet Explorer 5.0. Společnost Microsoft vydala aktualizaci, která eliminuje chybu zabezpečení "Scriptlet.Typelib". Důrazně doporučujeme navštívit stránku http://support.microsoft.com/support/kb/articles/Q240/3/08.ASP a nainstalovat tuto aktualizaci. 3. Pokud neplánujete používat v práci žádné HTML aplikace (soubory HTA), existuje další způsob, jak zabránit infekci virem tohoto typu (červy a viry, které používají soubory HTA k šíření). Pro rozšíření .HTA je nutné odstranit přidružení souboru. Chcete-li to provést, musíte postupovat podle několika kroků:
|
Odkaz na originál |
|
Zjistěte statistiky hrozeb šířících se ve vašem regionu |