Searching
..

Click anywhere to stop

Tato služba může obsahovat Google překlady. Společnost Google odmítá veškerou odpovědnost za překlad, doslovný i předpokládaný, včetně veškerých záruk aktuálnosti, spolehlivosti a veškerých záruk předpokládané zobchodovatelnosti, vhodnosti pro daný účel a neporušení práv.

Web Kaspersky Lab byl přeložen překládacím softwarem založeným na Google Translate. Bylo vynaloženo přiměřené úsilí, aby byl zajištěn přesný překlad, avšak žádný automatický překlad není dokonalý a není určen k nahrazení lidských překladatelů. Překlady jsou poskytovány jako služba uživatelům webových stránek a jsou poskytovány „tak jak jsou“. Neexistuje žádná záruka jakéhokoliv druhu, na vyjádřený nebo předpokládaný překlad, na přesnost nebo správnost překladů. Některý obsah (například obrázky, videa, Flash atd.) Nemusí být přesně přeložen z důvodu omezení překladového softwaru.

Email-Worm.Win32.BadtransII

Třída Email-Worm
Platfoma Win32
Popis

Technické údaje

Jedná se o červ, který se šíří pod systémy Win32. Virus pošle e-mailové zprávy s připojenými infikovanými soubory, stejně jako nainstaluje špionážní komponentu Trojan, aby ukradl informace z infikovaných systémů. Červ byl objeven v divočině v listopadu 2001.

Červ samotný je spustitelný soubor Win32 (soubor PE EXE). Byla nalezena ve volné přírodě v komprimované podobě a měla velikost přibližně 29 kB. Po dekompresi se délka souboru červa stává asi 60 kB.

Červ se skládá ze dvou hlavních komponent, Worm a Trojan. Komponenta "Worm" pošle infikované zprávy a součást "Trojan" odešle informace (uživatelské informace, data RAS, hesla uložená v mezipaměti, protokol klávesnice) z infikovaných počítačů na zadanou e-mailovou adresu. Také udržuje ve svém kódu kódovací program "keylogger" a instaluje ho do systému, zatímco infikuje nový stroj.

Zablokování systému

Při spuštění infikovaného souboru (když uživatel klepne na připojený soubor a aktivuje ho, nebo pokud červ získá kontrolu nad bezpečnostním porušením IFRAME), červový kód získá kontrolu. Za prvé, klesá (nainstaluje) své součásti do systému a registruje v systémovém registru.

Instalovaný název souboru trojan, cílový adresář a klíč registru jsou volitelné. Jsou uloženy v zašifrované podobě v souboru Trojan na konci souboru. Hacker si je může nakonfigurovat dříve, než je pošle na počítač oběti nebo před jeho uvedením na webový server.

Červ přichází do systému také další dodatečnou klávesnicí (soubor Win32 DLL) a poté použije k špehování textu zadaného klávesnicí. Název souboru DLL je také volitelný.

Další volitelné funkce:

– červ vypustí původní infikovaný soubor po dokončení instalace
– velikost souboru protokolu klávesnice

Šíření

Chcete-li odeslat infikované zprávy, použije červeň přímé připojení k serveru SMTP. E-mailové adresy obětí jsou získány dvěma různými způsoby:

# 1. Červ scanuje * .HT * a * .ASP soubory a extrahuje e-mailové adresy odtud
# 2. Červ, který používá funkce MAPI, čte všechny e-maily z příchozího pole a získá e-mailové adresy odtud.

Potom zasílá červ infikované zprávy. Tělo zprávy obsahuje formát HTML a používá IFRAME k narušení infikované přílohy na zranitelných počítačích.

Políčka zpráv jsou následující:

Od: – originálního odesílatele nebo falešné adresy, náhodně vybrané z:

"Anna"
"JITKA"
"Rita Tulliani" "Tina"
"Kelly Andersen"
"Andy"
"Linda"
"Mon S"
"Joanna"
"JESSICA BENAVIDES"
"Správce"
"Admin"
"Podpěra, podpora"
"Monika Prado"
"Mary L. Adamsová"
"Anna" "JITKA"
"Tina"

Původní adresa odesílatele je trochu pozměněna: znak "_" je vložen před e-mailovou adresu, například:

"John K. Smith" "Vasja Pupkin" – původní adresa

"John K. Smith" <_john123@yahoo.com> "Vasja Pupkin" <_vasyap@rambler.ru> – poslal červ

Předmět : prázdný nebo "Re:" nebo "Re:", po kterém následuje původní předmět ze skutečné zprávy o doručené poště (viz # 2 výše)
Tělo : prázdné
Příloha : náhodně vybraný "filename + ext1 + ext2" kde:

"Název souboru":

 Karta Pics (nebo PICS) (nebo karta) obrázky (nebo IMAGES) Me_nude (nebo ME_NUDE) README Sorry_about_yesterday New_Napster_Site info news_doc (nebo NEWS_DOC) dokumenty (nebo DOCS) HAMSTER Humor (nebo HUMOR) Jste tlustá! (nebo YOU_ARE_FAT!) zábava (nebo FUN) stuff SEARCHURL SETUP S3MSONG "ext1": .DOC .ZIP .MP3 "ext2": .scr, .pif

Například: "info.DOC.scr"

Červ neposílá infikované zprávy dvakrát na stejnou adresu. Chcete-li to provést, ukládá všechny infikované e-maily do adresáře systému Windows v souboru PROTOCOL.DLL a zkontroluje obsah tohoto souboru před odesláním nové zprávy.

Spyware Trojan

Tato rutina ukládá ukradené informace do souboru protokolu (s volitelným názvem) a šifruje tyto informace pomocí klíče (také volitelného). Po určité době jsou tyto informace odeslány na jedno z několika náhodně vybraných e-mailových adres. Seznam těchto adres je uveden níže; seznam obsahuje 22 adres a e-mailových serverů; a tyto zprávy jsou odesílány (e-mail + server):

 ZVDOHYIK@yahoo.com mx2.mail.yahoo.com udtzqccc@yahoo.com mx2.mail.yahoo.com DTCELACB@yahoo.com mx2.mail.yahoo.com I1MCH2TH@yahoo.com mx2.mail.yahoo.com WPADJQ12@yahoo.com mx2.mail.yahoo.com fjshd@rambler.ru mail5.rambler.ru smr@eurosport.com mail.ifrance.com bgnd2@canada.com mail.canada.com muwripa@fairesuivre.com fs.cpio.com rmxqpey@latemodels.com inbound.latemodels.com.criticalpath.net eccles@ballsy.net inbound.ballsy.net.criticalpath.net suck_my_prick@ijustgotfired.com mail.monkeybrains.net suck_my_prick4@ukr.net mail.ukr.net thisisno_fucking_good@usa.com usa-com.mr.outblaze.com S_Mentis@mail-x-change.com mail-fwd.rapidsite.net YJPFJTGZ@excite.com mta.excite.com JGQZCD@excite.com mta.excite.com XHZJ3@excite.com mta.excite.com OZUNYLRL@excite.com mta.excite.com tsnlqd@excite.com mta.excite.com cxkawog@krovatka.net imap.front.ru ssdn@myrealbox.com smtp.myrealbox.com

Nalezeno v divočině

Tato verze červů, která se objevila v divočině 24. listopadu 2001, má následující možnosti:

Instaluje se do adresáře systému Windows s názvem KERNEL32.EXE a registruje jej v následujícím klíči registru:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnce Kernel32 = kernel32.exe

Chybí klávesovou háčku s názvem KDLL.DLL. Informace o protokolu jsou uloženy v adresáři systému Windows s názvem CP_25389.NLS.


Odkaz na originál
Zjistěte statistiky hrozeb šířících se ve vašem regionu