Email-Worm.Win32.BadtransII

Technické údaje

Jedná se o červ, který se šíří pod systémy Win32. Virus pošle e-mailové zprávy s připojenými infikovanými soubory, stejně jako nainstaluje špionážní komponentu Trojan, aby ukradl informace z infikovaných systémů. Červ byl objeven v divočině v listopadu 2001.

Červ samotný je spustitelný soubor Win32 (soubor PE EXE). Byla nalezena ve volné přírodě v komprimované podobě a měla velikost přibližně 29 kB. Po dekompresi se délka souboru červa stává asi 60 kB.

Červ se skládá ze dvou hlavních komponent, Worm a Trojan. Komponenta "Worm" pošle infikované zprávy a součást "Trojan" odešle informace (uživatelské informace, data RAS, hesla uložená v mezipaměti, protokol klávesnice) z infikovaných počítačů na zadanou e-mailovou adresu. Také udržuje ve svém kódu kódovací program "keylogger" a instaluje ho do systému, zatímco infikuje nový stroj.

Zablokování systému

Při spuštění infikovaného souboru (když uživatel klepne na připojený soubor a aktivuje ho, nebo pokud červ získá kontrolu nad bezpečnostním porušením IFRAME), červový kód získá kontrolu. Za prvé, klesá (nainstaluje) své součásti do systému a registruje v systémovém registru.

Instalovaný název souboru trojan, cílový adresář a klíč registru jsou volitelné. Jsou uloženy v zašifrované podobě v souboru Trojan na konci souboru. Hacker si je může nakonfigurovat dříve, než je pošle na počítač oběti nebo před jeho uvedením na webový server.

Červ přichází do systému také další dodatečnou klávesnicí (soubor Win32 DLL) a poté použije k špehování textu zadaného klávesnicí. Název souboru DLL je také volitelný.

Další volitelné funkce:

– červ vypustí původní infikovaný soubor po dokončení instalace
– velikost souboru protokolu klávesnice

Šíření

Chcete-li odeslat infikované zprávy, použije červeň přímé připojení k serveru SMTP. E-mailové adresy obětí jsou získány dvěma různými způsoby:

# 1. Červ scanuje * .HT * a * .ASP soubory a extrahuje e-mailové adresy odtud
# 2. Červ, který používá funkce MAPI, čte všechny e-maily z příchozího pole a získá e-mailové adresy odtud.

Potom zasílá červ infikované zprávy. Tělo zprávy obsahuje formát HTML a používá IFRAME k narušení infikované přílohy na zranitelných počítačích.

Políčka zpráv jsou následující:

Od: – originálního odesílatele nebo falešné adresy, náhodně vybrané z:

"Anna"
"JITKA"
"Rita Tulliani" "Tina"
"Kelly Andersen"
"Andy"
"Linda"
"Mon S"
"Joanna"
"JESSICA BENAVIDES"
"Správce"
"Admin"
"Podpěra, podpora"
"Monika Prado"
"Mary L. Adamsová"
"Anna" "JITKA"
"Tina"

Původní adresa odesílatele je trochu pozměněna: znak "_" je vložen před e-mailovou adresu, například:

"John K. Smith" "Vasja Pupkin" – původní adresa

"John K. Smith" <_john123@yahoo.com> "Vasja Pupkin" <_vasyap@rambler.ru> – poslal červ

Předmět : prázdný nebo "Re:" nebo "Re:", po kterém následuje původní předmět ze skutečné zprávy o doručené poště (viz # 2 výše)
Tělo : prázdné
Příloha : náhodně vybraný "filename + ext1 + ext2" kde:

"Název souboru":

 Karta Pics (nebo PICS) (nebo karta)
 obrázky (nebo IMAGES) Me_nude (nebo ME_NUDE)
 README Sorry_about_yesterday
 New_Napster_Site info
 news_doc (nebo NEWS_DOC) dokumenty (nebo DOCS)
 HAMSTER Humor (nebo HUMOR)
 Jste tlustá! (nebo YOU_ARE_FAT!) zábava (nebo FUN)
 stuff SEARCHURL
 SETUP S3MSONG

 "ext1": .DOC .ZIP .MP3
 "ext2": .scr, .pif

Například: "info.DOC.scr"

Červ neposílá infikované zprávy dvakrát na stejnou adresu. Chcete-li to provést, ukládá všechny infikované e-maily do adresáře systému Windows v souboru PROTOCOL.DLL a zkontroluje obsah tohoto souboru před odesláním nové zprávy.

Spyware Trojan

Tato rutina ukládá ukradené informace do souboru protokolu (s volitelným názvem) a šifruje tyto informace pomocí klíče (také volitelného). Po určité době jsou tyto informace odeslány na jedno z několika náhodně vybraných e-mailových adres. Seznam těchto adres je uveden níže; seznam obsahuje 22 adres a e-mailových serverů; a tyto zprávy jsou odesílány (e-mail + server):

 ZVDOHYIK@yahoo.com mx2.mail.yahoo.com
 udtzqccc@yahoo.com mx2.mail.yahoo.com
 DTCELACB@yahoo.com mx2.mail.yahoo.com
 I1MCH2TH@yahoo.com mx2.mail.yahoo.com
 WPADJQ12@yahoo.com mx2.mail.yahoo.com
 fjshd@rambler.ru mail5.rambler.ru
 smr@eurosport.com mail.ifrance.com
 bgnd2@canada.com mail.canada.com
 muwripa@fairesuivre.com fs.cpio.com
 rmxqpey@latemodels.com inbound.latemodels.com.criticalpath.net
 eccles@ballsy.net inbound.ballsy.net.criticalpath.net
 suck_my_prick@ijustgotfired.com mail.monkeybrains.net
 suck_my_prick4@ukr.net mail.ukr.net
 thisisno_fucking_good@usa.com usa-com.mr.outblaze.com
 S_Mentis@mail-x-change.com mail-fwd.rapidsite.net
 YJPFJTGZ@excite.com mta.excite.com
 JGQZCD@excite.com mta.excite.com
 XHZJ3@excite.com mta.excite.com
 OZUNYLRL@excite.com mta.excite.com
 tsnlqd@excite.com mta.excite.com
 cxkawog@krovatka.net imap.front.ru
 ssdn@myrealbox.com smtp.myrealbox.com

Nalezeno v divočině

Tato verze červů, která se objevila v divočině 24. listopadu 2001, má následující možnosti:

Instaluje se do adresáře systému Windows s názvem KERNEL32.EXE a registruje jej v následujícím klíči registru:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnce Kernel32 = kernel32.exe

Chybí klávesovou háčku s názvem KDLL.DLL. Informace o protokolu jsou uloženy v adresáři systému Windows s názvem CP_25389.NLS.