Email-Worm.Win32.Dumaru

Tato rodina emailových červů obsahuje I-Worm.Dumaru.b, I-Worm.Dumaru.c. Rozšiřuje se prostřednictvím Internetu ve formě souboru připojeného k infikovaným zprávám. Instaluje na infikovaném počítači různé součásti trojských koní.

Červ se aktivuje pouze v případě, že uživatel spustí infikovaný soubor dvojitým kliknutím na přílohu. Po spuštění infikovaného souboru se červ instaluje do systému a spustí proceduru replikace.

Červ je soubor Windows PE EXE komprimovaný pomocí UPX. Velikost komprimovaného souboru je přibližně 9 kB a velikost dekomprimovaného souboru přibližně 32 kB.

Instalace
Červ se zkopíruje pod názvy load32.exe a vxdmgr32.exe do systémového adresáře systému Windows a registruje jeden soubor v klíči Auto-run v systémovém registru:

 HKLMSoftwareMicrosoftWindowsCurrentVersionRun



  load32 =% windir %% systém% load32.exe 

Červ vytvoří vlastní kopii v adresáři Windows s názvem dllreg.exe a nainstaluje do tohoto umístění soubor winrdv.exe (přibližně 8KB), který je řízen pomocí IRC. Kaspersky Anti-Virus detekuje tuto součást jako Backdoor.Dumador.c (Backdoor.Small.d). Toto se použije pro připojení k autorovi červu přes IRC, aby bylo možné přijímat příkazy.

Odesílání zpráv
Červ hledá soubory * .TBB, * .ABD, * DBX, * .HTML, * .HTM, * .WAB ve všech adresářích na všech dostupných lokálních discích. Detekuje řádky, které jsou v těchto souborech e-mailovými adresami a odesílá na tyto adresy infikované zprávy.
Červ vytváří také soubor winload.log v adresáři Windows a zapisuje e-mailové adresy, kterým jsou do tohoto souboru zasílány infikované zprávy.

Nakažené zprávy mají adresu Odeslat jako: security@microsoft.com

Předmět zprávy:

Tuto opravu okamžitě použijte!

Tělo zprávy:

Vážení přátelé, použijte tuto opravu aplikace Internet Explorer. V Internetu je nyní nebezpečný virus! Více než 500 000 již bylo nakaženo!

Příloha:

patch.exe

Pro zasílání zpráv používá červa přímé připojení k serveru SMTP, přičemž poskytuje adresu návratu admin@duma.gov.ru. To znamená, že na tuto adresu bude zasláno upozornění, že byl červ detekován ve zprávách.

Infekce souborů
Červ infikuje spustitelné soubory v kořenových adresářích všech dostupných lokálních disků od C: do Z :. K tomu používá alternativní datové toky NTFS, metoda, která byla nejprve použita v roce 2000 pro virus Stream.