Email-Worm.VBS.KakWorm

Technické údaje

Tento červ je napsán v jazyce Java Script, který pro šíření používá MS Outlook Express. Červ se nepřipojí ke zprávám jako běžné viry červů, ale vkládá své tělo do zprávy jako skriptovací program.

Červ pracuje pouze na angličtině a francouzštině. Také nefunguje v případě, že je systém Windows nainstalován v adresáři jiném než "C: WINDOWS".

Červ je plně kompatibilní pouze s MS Outlook Express. V aplikaci MS Outlook je červ aktivován a infikuje systém, ale není schopen se dále rozšiřovat, protože cílí na aplikaci MS Outlook Express pouze k šíření svých kopií. V jiných e-mailových systémech funkce červa závisí na vlastnostech tohoto systému.

Při napadení systému vytvoří červ s další kopií tři další soubory. Za prvé, dva z nich se používají k infikování systému a poslední se používá k šíření kódu červů prostřednictvím infikovaného e-mailu:

1. KAK.HTA ve složce spuštění systému Windows
2. náhodně pojmenovaný soubor .HTA ve složce systému Windows
3. Soubor KAK.HTM ve složce Windows

Červ má rutinu užitečného zatížení. V 1. měsíci po 17:00 se zobrazí následující zpráva:

Kagou-Anti-Kro $ často říká!

což nutí Windows opustit.

Šíření

Červ přijde do počítače jako e-mailová zpráva ve formátu HTML. Tělo zprávy obsahuje skript (program Java script), který je samotným červem. Tento program se nezobrazuje na obrazovce, protože v dokumentech HTML se programy skriptů nikdy nezobrazují. Výsledkem je, že při otevření infikované zprávy (nebo při náhledu) se zobrazí pouze tělo zprávy a není viditelný žádný červový kód, ale skript je automaticky spouštěn poštou a červ dostane kontrolu.

Červ infikuje systém a šíří se ve třech krocích.

1. Červ vytvoří svou kopii jako soubor disku ve složce spouštěcího systému Windows (automatické spuštění).

2. Když je spuštěn ze složky spouštěcího systému Windows, přesune se do adresáře systému Windows, registruje novou kopii v systémovém registru v sekci automatického spuštění a odebere první kopii ze spouštěcí složky Windows.

3. Červ přistupuje do sekce registru MS Outlook Express a registruje červovu kopii jako výchozí podpis. Aplikace Outlook Express potom automaticky odešle kód červa prostřednictvím všech odeslaných zpráv.

Červ potřebuje tyto kroky, protože v první fázi je schopen získat přístup pouze k diskovým souborům, nikoliv ke systémovému registru, takže je třeba je spouštět ze souboru disku (ze zóny "Místní intranet") pro úpravu klíčů registru. Červ potom vymaže kopii ze složky spouštěcího systému Windows, aby se skryl a všechny programy tam jsou viditelné v nabídce StartProgramsStartup.

Šíření: krok 1 – běží z infikované zprávy

Po aktivaci infikované zprávy získá červ přístup k místnímu disku počítače. Aby se zabránilo ochraně zabezpečení (místní přístup k diskům je zakázán ve výchozím nastavení), červa používá bezpečnostní porušení s názvem "Zabezpečení zabezpečení TypeLib". Červ vytváří objekt ActiveX označený jako bezpečný pro skriptování a má schopnost psát soubory na disk. Pomocí tohoto objektu ActiveX získá červ písemný přístup k disku.

Červ potom vytvoří soubor KAK.HTA a umístí tam svůj vlastní kód. Tento soubor je umístěn v adresáři spouštění systému Windows a v důsledku toho bude spuštěn při příštím spuštění systému Windows.

Komentář:

Soubor HTA je aplikace HTML – typ souboru, který se objeví po instalaci
Internet Explorer 5.0. Soubory HTA obsahují běžný text HTML se skripty
uvnitř, ale když je popraven, běží jako samostatná aplikace – bez
shell prostředí aplikace Internet Explorer. Poskytuje možnost psaní silných
aplikace používající běžné skripty uvnitř HTML.

Při vytváření souboru KAK.HTA červ neurčuje skutečnou cestu k adresáři systému Windows a vždy předpokládá, že systém Windows je nainstalován ve složce "C: WINDOWS". Červ se proto nemůže šířit v systému, ve kterém byl systém Windows nainstalován v jiném adresáři než "C: WINDOWS". Červ zkouší dvě varianty složky spouštěcího systému Windows, do které má kopii umístit:

MENUD� ~ 1PROGRA ~ 1D�MARR ~ 1 (výchozí název ve francouzské verzi systému Windows)
STARTM ~ 1ProgramsStartUp (výchozí název v angličtině verze systému Windows)

V případě, že má spouštěcí adresář Windows jiný název (v jiné lokalizaci systému Windows), červ nemůže zapsat do tohoto souboru svůj soubor a nemůže se dále šířit.

Rozložení: krok 2 – běží z KAK.HTA

Po restartování systému Windows je aktivován soubor "KAK.HTA" ze spouštěcího adresáře systému Windows. Program skriptu uvnitř tohoto souboru vytvoří stejný soubor HTA v adresáři systému Windows. Tento soubor má jméno závislé na systému (například "9A4ADF27.HTA"). Červ potom modifikuje systémový registr, aby spustil tento soubor při každém spuštění systému Windows. V případě, že uživatel změní výchozí podpis aplikace Outlook Express, skript v tomto souboru obnoví součásti a nastavení registru červa; tj. systém znovu infikuje.

Skript "KAK.HTA" pak vytvoří soubor "KAK.HTM", který obsahuje pouze kód červa uvnitř (tato HTML stránka nemá žádný text, který by zobrazoval jiný než čistý skript červ). Tento soubor se později používá k infikování zpráv.

Nakonec skript připojí k příkazům "C: AUTOEXEC.BAT", které odstraní "KAK.HTA" ze spouštěcího adresáře, protože je již nepotřebuje.

Šíření: krok 3 – odesílání infikovaných zpráv

Stejný skript ("KAK.HTA") pak upravuje systémový registr. Vytvoří nový podpis aplikace Outlook Express odkazující na soubor "KAK.HTM" a nastaví tento podpis jako výchozí podpis v aplikaci Outlook Express. Počínaje okamžikem, kdy aplikace Outlook Express sestaví zprávu, vloží infikovaný podpis do zprávy (obsah souboru "KAK.HTM").

Červ je schopen šířit pouze prostřednictvím HTML zpráv (a to jsou MS Outlook Express) výchozí nastavení. Zprávy RTF a "Plain text" nejsou infikovány a nemohou být infikovány.

Ochrana

Problémem je, že pravidelné antivirové skenování pomocí skenerů na vyžádání neposkytuje ochranu proti tomuto typu červů. Při každém otevření infikované zprávy v aplikaci Outlook se červ znovu zobrazí. Kromě toho, pokud aplikace Outlook Express nakonfiguruje zobrazení podokna náhledu, postačí pouze vybrat infikovanou zprávu ze seznamu, který má být aktivován.

1. Chcete-li se chránit, je možné používat skenery, které mají přístup, zachytit červ v okamžiku, kdy se sám zapíše na disk. Skenery, které jsou přístupné, však nemohou zabránit aktivaci červa, protože skripty v e-mailových zprávách HTML se provádějí přímo v systémové paměti, nejsou uloženy a spouštěny z disku.

Nejlepším způsobem akcí je použití antivirových nástrojů, které kontrolují programy skriptu těsně před jejich spuštěním (viz "AVP Script Checker"). Takové programy mohou zabránit aktivaci červa a infekci systému.

2. Chcete-li napsat vlastní soubor na disk, použije červa Internet Explorer 5.0. Společnost Microsoft vydala aktualizaci, která eliminuje chybu zabezpečení "Scriptlet.Typelib". Důrazně doporučujeme navštívit stránku http://support.microsoft.com/support/kb/articles/Q240/3/08.ASP a nainstalovat tuto aktualizaci.

3. Pokud neplánujete používat v práci žádné HTML aplikace (soubory HTA), existuje další způsob, jak zabránit infekci virem tohoto typu (červy a viry, které používají soubory HTA k šíření). Pro rozšíření .HTA je nutné odstranit přidružení souboru. Chcete-li to provést, musíte postupovat podle několika kroků:

1. Poklepejte na ikonu "Tento počítač" na ploše.
2. V zobrazeném okně zvolte nabídku "Zobrazit" -> "Možnosti …".
3. Na kartě "Typy souborů" v seznamu "Typ registrovaných souborů" vyberte položku "Aplikace HTML".
4. Klikněte na tlačítko "Odebrat" a potvrďte akci.
5. Zavřete dialogové okno s možnostmi.