Email-Worm.Win32.BadtransII

Hlavní třída: VirWare

Viry a červy jsou škodlivé programy, které se samy replikují v počítačích nebo prostřednictvím počítačových sítí, aniž by si uživatel uvědomoval; každá další kopie takových škodlivých programů je také schopna samoregistrace.

Škodlivé programy, které se šíří prostřednictvím sítí nebo infikují vzdálené počítače, pokud jim to pověřil "vlastník" (např. Backdoors) nebo programy, které vytvářejí více kopií, které nejsou schopné samoregistrace, nejsou součástí podtřídy Viruses and Worms.

Hlavní charakteristikou používanou k určení, zda je program klasifikován jako samostatné chování v podtřídě Viruses a Worms, je způsob, jakým se program šíří (tj. Jak škodlivý program šíří vlastní kopie prostřednictvím lokálních nebo síťových zdrojů).

Většina známých červů se šíří jako soubory odeslané jako přílohy e-mailů prostřednictvím odkazu na web nebo zdroj FTP prostřednictvím odkazu odeslaného v ICQ nebo IRC zprávě prostřednictvím P2P sdílení souborů atd.

Někteří červi se šíří jako síťové pakety; tyto přímo proniknou do paměti počítače a aktivuje se kód červů.

Worms používají k průniku vzdálených počítačů následující metody: sociální inženýrství (například e-mailová zpráva naznačující, že uživatel otevře připojený soubor), využívající chyby v konfiguraci sítě (například kopírování na plně přístupný disk) a využívání mezery v zabezpečení operačního systému a aplikací.

Viry lze rozdělit podle metody používané k infikování počítače:

souborů virů
viry zaváděcího sektoru
makro viry
virů skriptu
Každý program v rámci této podtřídy může mít další funkce trojan.

Je třeba také poznamenat, že mnoho červů používá více než jednu metodu k šíření kopií prostřednictvím sítí. Pravidla pro klasifikaci detekovaných objektů s více funkcemi by měla být použita pro klasifikaci těchto typů červů.

Třída: Email-Worm

Email-Worms se šíří e-mailem. Červ zasílá vlastní kopii jako přílohu k e-mailové zprávě nebo k odkazu na soubor na síťovém zdroji (např. URL na infikovaný soubor na ohrožených webových stránkách nebo webových stránkách vlastněných hackery).

V prvním případě se červový kód aktivuje při otevření (spuštěném) infikovaném přílohě. Ve druhém případě je kód aktivován, když se otevře odkaz na infikovaný soubor. V obou případech je výsledek stejný: aktivuje se kód červů.

Email-Worms používají řadu metod pro odesílání infikovaných e-mailů. Nejběžnější jsou:

pomocí přímého připojení k serveru SMTP pomocí e-mailového adresáře zabudovaného do kódu červa
pomocí služeb MS Outlook
pomocí funkcí systému Windows MAPI.
Email-Worms používají řadu různých zdrojů, aby našli e-mailové adresy, na které budou zasílány infikované e-maily:

adresář v aplikaci MS Outlook
databázi adres WAB
.txt soubory uložené na pevném disku: červa může identifikovat, které řetězce v textových souborech jsou e-mailové adresy
e-maily v doručené poště (některé e-mailové červy dokonce "odpověď" na e-maily nalezené ve doručené poště)
Mnoho e-mailových červů používá více než jeden ze zdrojů uvedených výše. Existují také další zdroje e-mailových adres, jako jsou například adresáře spojené s webovými e-mailovými službami.

Platfoma: Win32

Win32 je rozhraní API v operačních systémech Windows NT (Windows XP, Windows 7 atd.), Které podporují provádění 32bitových aplikací. Jedna z nejrozšířenějších programovacích platforem na světě.

Popis

Technické údaje

Jedná se o červ, který se šíří pod systémy Win32. Virus pošle e-mailové zprávy s připojenými infikovanými soubory, stejně jako nainstaluje špionážní komponentu Trojan, aby ukradl informace z infikovaných systémů. Červ byl objeven v divočině v listopadu 2001.

Červ samotný je spustitelný soubor Win32 (soubor PE EXE). Byla nalezena ve volné přírodě v komprimované podobě a měla velikost přibližně 29 kB. Po dekompresi se délka souboru červa stává asi 60 kB.

Červ se skládá ze dvou hlavních komponent, Worm a Trojan. Komponenta "Worm" pošle infikované zprávy a součást "Trojan" odešle informace (uživatelské informace, data RAS, hesla uložená v mezipaměti, protokol klávesnice) z infikovaných počítačů na zadanou e-mailovou adresu. Také udržuje ve svém kódu kódovací program "keylogger" a instaluje ho do systému, zatímco infikuje nový stroj.

Zablokování systému

Při spuštění infikovaného souboru (když uživatel klepne na připojený soubor a aktivuje ho, nebo pokud červ získá kontrolu nad bezpečnostním porušením IFRAME), červový kód získá kontrolu. Za prvé, klesá (nainstaluje) své součásti do systému a registruje v systémovém registru.

Instalovaný název souboru trojan, cílový adresář a klíč registru jsou volitelné. Jsou uloženy v zašifrované podobě v souboru Trojan na konci souboru. Hacker si je může nakonfigurovat dříve, než je pošle na počítač oběti nebo před jeho uvedením na webový server.

Červ přichází do systému také další dodatečnou klávesnicí (soubor Win32 DLL) a poté použije k špehování textu zadaného klávesnicí. Název souboru DLL je také volitelný.

Další volitelné funkce:

- červ vypustí původní infikovaný soubor po dokončení instalace
- velikost souboru protokolu klávesnice

Šíření

Chcete-li odeslat infikované zprávy, použije červeň přímé připojení k serveru SMTP. E-mailové adresy obětí jsou získány dvěma různými způsoby:

# 1. Červ scanuje * .HT * a * .ASP soubory a extrahuje e-mailové adresy odtud
# 2. Červ, který používá funkce MAPI, čte všechny e-maily z příchozího pole a získá e-mailové adresy odtud.

Potom zasílá červ infikované zprávy. Tělo zprávy obsahuje formát HTML a používá IFRAME k narušení infikované přílohy na zranitelných počítačích.

Políčka zpráv jsou následující:

Od: - originálního odesílatele nebo falešné adresy, náhodně vybrané z:

"Anna"
"JITKA"
"Rita Tulliani"
"Tina"
"Kelly Andersen"
"Andy"
"Linda"
"Mon S"
"Joanna"
"JESSICA BENAVIDES"
"Správce"
"Admin"
"Podpěra, podpora"
"Monika Prado"
"Mary L. Adamsová"
"Anna"
"JITKA"
"Tina"

Původní adresa odesílatele je trochu pozměněna: znak "_" je vložen před e-mailovou adresu, například:

"John K. Smith" "Vasja Pupkin" - původní adresa

"John K. Smith" <_john123@yahoo.com> "Vasja Pupkin" <_vasyap@rambler.ru> - poslal červ

Předmět : prázdný nebo "Re:" nebo "Re:", po kterém následuje původní předmět ze skutečné zprávy o doručené poště (viz # 2 výše)
Tělo : prázdné
Příloha : náhodně vybraný "filename + ext1 + ext2" kde:

"Název souboru":

 Karta Pics (nebo PICS) (nebo karta) obrázky (nebo IMAGES) Me_nude (nebo ME_NUDE) README Sorry_about_yesterday New_Napster_Site info news_doc (nebo NEWS_DOC) dokumenty (nebo DOCS) HAMSTER Humor (nebo HUMOR) Jste tlustá! (nebo YOU_ARE_FAT!) zábava (nebo FUN) stuff SEARCHURL SETUP S3MSONG "ext1": .DOC .ZIP .MP3 "ext2": .scr, .pif

Například: "info.DOC.scr"

Červ neposílá infikované zprávy dvakrát na stejnou adresu. Chcete-li to provést, ukládá všechny infikované e-maily do adresáře systému Windows v souboru PROTOCOL.DLL a zkontroluje obsah tohoto souboru před odesláním nové zprávy.

Spyware Trojan

Tato rutina ukládá ukradené informace do souboru protokolu (s volitelným názvem) a šifruje tyto informace pomocí klíče (také volitelného). Po určité době jsou tyto informace odeslány na jedno z několika náhodně vybraných e-mailových adres. Seznam těchto adres je uveden níže; seznam obsahuje 22 adres a e-mailových serverů; a tyto zprávy jsou odesílány (e-mail + server):

 ZVDOHYIK@yahoo.com mx2.mail.yahoo.com udtzqccc@yahoo.com mx2.mail.yahoo.com DTCELACB@yahoo.com mx2.mail.yahoo.com I1MCH2TH@yahoo.com mx2.mail.yahoo.com WPADJQ12@yahoo.com mx2.mail.yahoo.com fjshd@rambler.ru mail5.rambler.ru smr@eurosport.com mail.ifrance.com bgnd2@canada.com mail.canada.com muwripa@fairesuivre.com fs.cpio.com rmxqpey@latemodels.com inbound.latemodels.com.criticalpath.net eccles@ballsy.net inbound.ballsy.net.criticalpath.net suck_my_prick@ijustgotfired.com mail.monkeybrains.net suck_my_prick4@ukr.net mail.ukr.net thisisno_fucking_good@usa.com usa-com.mr.outblaze.com S_Mentis@mail-x-change.com mail-fwd.rapidsite.net YJPFJTGZ@excite.com mta.excite.com JGQZCD@excite.com mta.excite.com XHZJ3@excite.com mta.excite.com OZUNYLRL@excite.com mta.excite.com tsnlqd@excite.com mta.excite.com cxkawog@krovatka.net imap.front.ru ssdn@myrealbox.com smtp.myrealbox.com

Nalezeno v divočině

Tato verze červů, která se objevila v divočině 24. listopadu 2001, má následující možnosti:

Instaluje se do adresáře systému Windows s názvem KERNEL32.EXE a registruje jej v následujícím klíči registru:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnce Kernel32 = kernel32.exe

Chybí klávesovou háčku s názvem KDLL.DLL. Informace o protokolu jsou uloženy v adresáři systému Windows s názvem CP_25389.NLS.

Zobrazit více

Zjistěte statistiky zranitelností šířících se ve vaší oblasti statistics.securelist.com