Tato služba může obsahovat Google překlady. Společnost Google odmítá veškerou odpovědnost za překlad, doslovný i předpokládaný, včetně veškerých záruk aktuálnosti, spolehlivosti a veškerých záruk předpokládané zobchodovatelnosti, vhodnosti pro daný účel a neporušení práv.

Web Kaspersky Lab byl přeložen překládacím softwarem založeným na Google Translate. Bylo vynaloženo přiměřené úsilí, aby byl zajištěn přesný překlad, avšak žádný automatický překlad není dokonalý a není určen k nahrazení lidských překladatelů. Překlady jsou poskytovány jako služba uživatelům webových stránek a jsou poskytovány „tak jak jsou“. Neexistuje žádná záruka jakéhokoliv druhu, na vyjádřený nebo předpokládaný překlad, na přesnost nebo správnost překladů. Některý obsah (například obrázky, videa, Flash atd.) Nemusí být přesně přeložen z důvodu omezení překladového softwaru.

Email-Worm.Win32.Dumaru

Detekováno 09/25/2003
Třída Email-Worm
Platfoma Win32
Popis

Tato rodina emailových červů obsahuje I-Worm.Dumaru.b, I-Worm.Dumaru.c. Rozšiřuje se prostřednictvím Internetu ve formě souboru připojeného k infikovaným zprávám. Instaluje na infikovaném počítači různé součásti trojských koní.

Červ se aktivuje pouze v případě, že uživatel spustí infikovaný soubor dvojitým kliknutím na přílohu. Po spuštění infikovaného souboru se červ instaluje do systému a spustí proceduru replikace.

Červ je soubor Windows PE EXE komprimovaný pomocí UPX. Velikost komprimovaného souboru je přibližně 9 kB a velikost dekomprimovaného souboru přibližně 32 kB.

Instalace
Červ se zkopíruje pod názvy load32.exe a vxdmgr32.exe do systémového adresáře systému Windows a registruje jeden soubor v klíči Auto-run v systémovém registru:

 HKLMSoftwareMicrosoftWindowsCurrentVersionRun



  load32 =% windir %% systém% load32.exe 

Červ vytvoří vlastní kopii v adresáři Windows s názvem dllreg.exe a nainstaluje do tohoto umístění soubor winrdv.exe (přibližně 8KB), který je řízen pomocí IRC. Kaspersky Anti-Virus detekuje tuto součást jako Backdoor.Dumador.c (Backdoor.Small.d). Toto se použije pro připojení k autorovi červu přes IRC, aby bylo možné přijímat příkazy.

Odesílání zpráv
Červ hledá soubory * .TBB, * .ABD, * DBX, * .HTML, * .HTM, * .WAB ve všech adresářích na všech dostupných lokálních discích. Detekuje řádky, které jsou v těchto souborech e-mailovými adresami a odesílá na tyto adresy infikované zprávy.
Červ vytváří také soubor winload.log v adresáři Windows a zapisuje e-mailové adresy, kterým jsou do tohoto souboru zasílány infikované zprávy.

Nakažené zprávy mají adresu Odeslat jako: security@microsoft.com

Předmět zprávy:

Tuto opravu okamžitě použijte!

Tělo zprávy:

Vážení přátelé, použijte tuto opravu aplikace Internet Explorer. V Internetu je nyní nebezpečný virus! Více než 500 000 již bylo nakaženo!

Příloha:

patch.exe

Pro zasílání zpráv používá červa přímé připojení k serveru SMTP, přičemž poskytuje adresu návratu admin@duma.gov.ru. To znamená, že na tuto adresu bude zasláno upozornění, že byl červ detekován ve zprávách.

Infekce souborů
Červ infikuje spustitelné soubory v kořenových adresářích všech dostupných lokálních disků od C: do Z :. K tomu používá alternativní datové toky NTFS, metoda, která byla nejprve použita v roce 2000 pro virus Stream.


Odkaz na originál