Kaspersky Threats

Hlavní třída: VirWare

Viry a červy jsou škodlivé programy, které se samy replikují v počítačích nebo prostřednictvím počítačových sítí, aniž by si uživatel uvědomoval; každá další kopie takových škodlivých programů je také schopna samoregistrace.

Škodlivé programy, které se šíří prostřednictvím sítí nebo infikují vzdálené počítače, pokud jim to pověřil "vlastník" (např. Backdoors) nebo programy, které vytvářejí více kopií, které nejsou schopné samoregistrace, nejsou součástí podtřídy Viruses and Worms.

Hlavní charakteristikou používanou k určení, zda je program klasifikován jako samostatné chování v podtřídě Viruses a Worms, je způsob, jakým se program šíří (tj. Jak škodlivý program šíří vlastní kopie prostřednictvím lokálních nebo síťových zdrojů).

Většina známých červů se šíří jako soubory odeslané jako přílohy e-mailů prostřednictvím odkazu na web nebo zdroj FTP prostřednictvím odkazu odeslaného v ICQ nebo IRC zprávě prostřednictvím P2P sdílení souborů atd.

Někteří červi se šíří jako síťové pakety; tyto přímo proniknou do paměti počítače a aktivuje se kód červů.

Worms používají k průniku vzdálených počítačů následující metody: sociální inženýrství (například e-mailová zpráva naznačující, že uživatel otevře připojený soubor), využívající chyby v konfiguraci sítě (například kopírování na plně přístupný disk) a využívání mezery v zabezpečení operačního systému a aplikací.

Viry lze rozdělit podle metody používané k infikování počítače:

souborů virů
viry zaváděcího sektoru
makro viry
virů skriptu
Každý program v rámci této podtřídy může mít další funkce trojan.

Je třeba také poznamenat, že mnoho červů používá více než jednu metodu k šíření kopií prostřednictvím sítí. Pravidla pro klasifikaci detekovaných objektů s více funkcemi by měla být použita pro klasifikaci těchto typů červů.

Třída: Email-Worm

Email-Worms se šíří e-mailem. Červ zasílá vlastní kopii jako přílohu k e-mailové zprávě nebo k odkazu na soubor na síťovém zdroji (např. URL na infikovaný soubor na ohrožených webových stránkách nebo webových stránkách vlastněných hackery).

V prvním případě se červový kód aktivuje při otevření (spuštěném) infikovaném přílohě. Ve druhém případě je kód aktivován, když se otevře odkaz na infikovaný soubor. V obou případech je výsledek stejný: aktivuje se kód červů.

Email-Worms používají řadu metod pro odesílání infikovaných e-mailů. Nejběžnější jsou:

pomocí přímého připojení k serveru SMTP pomocí e-mailového adresáře zabudovaného do kódu červa
pomocí služeb MS Outlook
pomocí funkcí systému Windows MAPI.
Email-Worms používají řadu různých zdrojů, aby našli e-mailové adresy, na které budou zasílány infikované e-maily:

adresář v aplikaci MS Outlook
databázi adres WAB
.txt soubory uložené na pevném disku: červa může identifikovat, které řetězce v textových souborech jsou e-mailové adresy
e-maily v doručené poště (některé e-mailové červy dokonce "odpověď" na e-maily nalezené ve doručené poště)
Mnoho e-mailových červů používá více než jeden ze zdrojů uvedených výše. Existují také další zdroje e-mailových adres, jako jsou například adresáře spojené s webovými e-mailovými službami.

Platfoma: VBS

Visual Basic Scripting Edition (VBScript) je skriptovací jazyk interpretovaný hostitelem Windows Script Host. VBScript je široce používán k vytváření skriptů v operačních systémech Microsoft Windows.

Popis

Technické údaje

Jedná se o rodinu internetových červů, které používají různé infekční technologie v závislosti na jejich verzích. Existují dva "základní" červy: "Lee.a" a "Lee.b". První se šíří prostřednictvím IRC kanálů a druhý používá MS Outlook k zasílání infikovaných e-mailů. Jiné červové verze jsou modifikacemi a / nebo kombinacemi těchto původních. Všechny červy jsou napsány v jazyku Visual Basic Script (VBS).

I-Worm.Lee.a

Jedná se o jednoduchý červ. Rozšiřuje se prostřednictvím IRC kanálů zasláním infikovaného souboru do počítačů připojených ke stejnému kanálu jako infikovaný počítač.

Když je červ aktivován uživatelem, zkopíruje se do systémové složky systému Windows s názvem "McAffe.vbs". Pak červa vyhledá adresář, na kterém je nainstalován klient mIRC, a v tomto adresáři vytvoří soubor "SCRIPT.INI", který obsahuje příkazy pro klient mIRC. Červ píše v tomto souboru příkazy k odeslání infikovaného souboru do každého počítače, který je připojen ke stejnému kanálu jako infikovaný počítač.

Po vytvoření souboru "SCRIPT.INI" vytvoří červa v systémovém registru značku, takže v následujícím případě červ nevytvoří soubor "SCRIPT.INI", pokud je tato značka přítomna.

Červ nemá rutinu užitečného zatížení.

I-Worm.Lee.b

Tento červa se šíří prostřednictvím e-mailu zasíláním infikovaných zpráv z infikovaných počítačů. Během šíření používá červa MS Outlook a odesílá se na všechny adresy uložené v adresáři MS Outlook. Výsledkem je, že infikovaný počítač odešle stejný počet zpráv na tolik adres, které jsou uloženy v seznamu kontaktů aplikace MS Outlook.

Virus funguje pouze v počítačích, na kterých je nainstalován Windows Scripting Host (WSH). V systémech Windwos 98 a Windows 2000 je ve výchozím nastavení nainstalována aplikace WHS. Chcete-li se šířit, červa přistupuje k aplikaci MS Outlook a používá své funkce a seznamy adres, které jsou k dispozici pouze v aplikaci Outlook 98/2000, takže se červ může šířit pouze v případě, že je nainstalována jedna z těchto verzí MS Oulook.

Šíření

Červ přijde do počítače jako e-mail s připojeným VBS souborem, který je sám červem. Zpráva v původní verzi červ obsahuje následující:

Předmět: Pošta od: Lee@Buxtehude.de

Tělo:
Nejlepší brána firewall pod Windows je ...> BlackIce.

BUGFIX des Monats:

Windoof 2000.
Du kannst Dich, který je na serveru Windoos 2000 Server als Gast einloggen.
Zugriff má na volné přízemí, kde jsou všechny denní data, na normální
Anwender keinen Zugriff obléká.
Wie zb. die Boot.ini ... ts..ts..ts

LEBENSHILFE ......:

99% alergie na PC Problémy, které se týkají Tastatur und Stuhl.
Zemřela, zemřela, tun. Zemře, nechte je, simuleren.
Ein Hacker je zřejmý příklad. Dann immer mit Absicht.
Wenn 2 sich 1 sind bez nicht 8 geben, dann sind es in 9 Monaten 3.

Euer Lee

Název souboru: Independance Day.vbs

Po aktivování uživatele (dvojitým kliknutím na přiložený soubor) se červa otevře MS Outlook, získá přístup do adresáře, získává všechny adresy odtud a posílá zprávy všem s připojenou kopií. Předmět zprávy, tělo a připojený název souboru jsou stejné jako výše.

Chcete-li zabránit odesílání duplicitních zpráv z již infikovaného počítače, vytvoří červ v registru systému značku. Červ neposílá zprávy, pokud je tato značka přítomna.

Červ nemá rutinu užitečného zatížení.

I-Worm.Lee.c

Tento variant červ je velmi blízko k variantě "Lee.b". Má několik změn a dodatků ve svém kódu:

Infikovaná zpráva obsahuje:

Předmět: Ncc1701e

Tělo:
Ahoj, toto je Ncc1701e mluvit se všemi Borgovými v Galaxii ..!
Musíš umřít ... Asimilace všem Terranienům ...
Název souboru: Picard.vbs

Když je červ aktivován, zkopíruje se do adresáře systému Windows s názvem "Picard.vbs" a registruje tento soubor v systémovém registru v sekci Automatické spuštění:

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunStartTrek = "wscript.exe Picard.vbs"

V důsledku toho se červ aktivuje po každém spuštění systému Windows.

Na začátek kódu se přidá řetězec komentářů:

'Worm vytvořil Lee z Německa

I-Worm.Lee.d

Toto je hybrid ze variant "Lee.a" a "Lee.b". Nakažená zpráva obsahuje:

Předmět: Pošta od: Osterhase@Ostern.de

Tělo:
Ahoj..
Koukni na tohle!
To je naše smrt ..
Jmenuji se Lee ..
Přišel jsem z Německa ..
A nenávidím Lucky2000 .. jsou ukradeny
můj názor Worm. Nenávidím také vévody z DVL
Moje oblíbená stránka jsou Coderz.Net..Thx: Evul to hostet
můj web ... Har Har Har ..

Ein Geiler Trick von mir .....
přes Telnet.

Als erstes geht ihr aud die Startseite von Windoof, dort auf den Muži # bod ausf # hren,
Dort gebt ihr> Telnet <ein und dr # ckt Návrat.
das Microschrott Terminal Telnet je připojen k síti Fenster
. Ihr baut jetzt eure Verbindung auf und geht auf verbinden,
Danach auf Netzwerk-system und gebt zbein:
mail.compuserve.com 25 (wenn ihr Compuserve verwendet,
entsprechendes gilt f # r T-Online, Aol oder bei welchen Poskytovatel ihr angemeldet seid.)
Der Server meldet sich dann mit einem Připojte an.
Ihr tippt dann "helo". Das Helo mu vykročil, byl danach kommt, ist rovný.
Jetzt schreibt ihr: Odeslat od:
Bill_Gates@Microsoft.com (nur als Beispiel) Ihr dr # ckt dann Návrat,
a schreibt den Em�f�nger: em�f�nger @ sein provider.de (přesné adresy e-mailu).
Und Wieder Return Taste a dann kommt die
Nachricht: 250 em�f�nger @ sein provider.de ... příjemce ok.
Jetzt nur "data" eintippen und Euren Text, den
die einen einen Punkt "." a chut noch ein mal auf die Návrat chuť.
Nedělní válka je dána schůzkou, která se děje v úterý ...: -) .....

Euer Lee
Přiložený název souboru: Osterhase.vbs

Vřelé má na konci kódu komentářový řetězec:

'Osterhase@Ostern.de od Lee

I-Worm.Lee.e

Stejně jako "Lee.d", ale také se registruje v registru systému v sekci Autostart:

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunLee = "wscript.exe Ds9.vbs"

V důsledku toho se červ aktivuje po každém spuštění systému Windows.

Nakažená zpráva obsahuje:

Předmět: Ahoj zkontrolovat ...
Tělo: Dobrý den .. Vaše hra končí
Přiložený název souboru: Ds9.vbs

I-Worm.Lee.f

Jedná se o mírnou polymorfní variantu "Lee.c". Obsahuje rutinu, která náhodně mění názvy proměnných v kódu škůdců.