Searching
..

Click anywhere to stop

Tato služba může obsahovat Google překlady. Společnost Google odmítá veškerou odpovědnost za překlad, doslovný i předpokládaný, včetně veškerých záruk aktuálnosti, spolehlivosti a veškerých záruk předpokládané zobchodovatelnosti, vhodnosti pro daný účel a neporušení práv.

Web Kaspersky Lab byl přeložen překládacím softwarem založeným na Google Translate. Bylo vynaloženo přiměřené úsilí, aby byl zajištěn přesný překlad, avšak žádný automatický překlad není dokonalý a není určen k nahrazení lidských překladatelů. Překlady jsou poskytovány jako služba uživatelům webových stránek a jsou poskytovány „tak jak jsou“. Neexistuje žádná záruka jakéhokoliv druhu, na vyjádřený nebo předpokládaný překlad, na přesnost nebo správnost překladů. Některý obsah (například obrázky, videa, Flash atd.) Nemusí být přesně přeložen z důvodu omezení překladového softwaru.

Email-Worm.Win32.Ligon

Třída Email-Worm
Platfoma Win32
Popis

Technické údaje

Jedná se o Win32 e-mailový červ. Červ má dvě složky:

  • Hlavní: aplikace Win32 (soubor PE EXE) o velikosti 360 kB a napsané v Delphi.
  • Pomocník: program skriptu VBS, který hodlá šířit červ přes místní síť.

    Hlavní součást červu se odesílá na jiné počítače připojené k e-mailům jako soubor EXE, který může mít 16 různých názvů (viz níže). Během šíření používá MAPI připojení k e-mailu.

    Hlavní součást také přenese další pomocníka skriptu VBS (lokální síťový červ) na lokální disk a spustí jej.

    Hlavní součást

    Když se infikovaný soubor spustí (je aktivován uživatelem z infikované zprávy nebo z jakéhokoli jiného zdroje), červ se do adresáře Windows zkopíruje pomocí "PCpower.exe" a do systémového adresáře systému Windows se názvem "MyLinong.exe" . Červ potom přenese soubor "MyLinong.VBS" (pomocník VBS) do adresáře systému Windows.

    Tyto soubory jsou poté registrovány v klíčích automatického spuštění registru systému:

    HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun
    PCPower =% windir% PCpower.exe
    MyLinong =% winsystemdir% MyLinong.exe
    Linong =% winsystemdir% MyLinong.vbs

    Soubory EXE jsou dvě červené kopie a Windows je aktivován při každém restartu. Soubor VBS je program skriptů VisualBasic (viz níže).

    Šíření

    Chcete-li se šířit, červa skenuje Inbox pro 50 prvních zpráv, získává zprávy, které mají alespoň jeden připojený soubor a odpoví na infikovanou zprávu. Infikovaná zpráva má soubor Předmět, tělo a připojený soubor, který je náhodně vybrán ze 16 variant:

    Přiložené názvy souborů:

    CFusion.Exe
    PatchFusion.exe
    MyLinong.Exe
    Osvětlete noc.exe
    StarMild.exe
    Kiss.Exe
    Sexy.Exe
    Popeye.exe
    Olive.exe
    BullBull.exe
    Moly.exe
    Lovely.exe
    868879.exe
    help.exe
    BillGate
    Mikropos

    Předměty:

    Informace z CFusion
    Patch vašeho kontrastu
    Stále si pamatuju
    Osvětlit noc
    Man Choice
    Polib mě
    Sexy model
    Popeye Cartoon
    Olive & Popeye
    Psi MyGirlFriend
    Psi mojí přítelkyně
    Sladká Krásná
    Heslo
    Potřebovat pomoc
    Účtovat
    Mikropos

    Tělesa zpráv:

    Můžete aktualizovat své Cfusion Online zdarma
    Jste připraveni opravit váš Cfusion, prosím aktualizujte
    Je to moje sexy Linong
    Osvětlení Night PARTY …
    Jste muž nebo ženy. Toto je sponzor z našeho webu Výběr člověka
    100 způsob, jak políbit vaše Girlfriend nebo vašeho přítele
    Viděli jste někdy sexy dívky jako ona
    Nový Popeye Nový Cartoon NetWork
    Olivový a Popeye Cartoon
    Hezký pes…
    Dobrý pes a inteligentní psi
    Můj přítel Icq Sladký a krásný
    Zde Seznam webových stránek Nude Password. Všechny z nich jsou stále aktivní, a jen málo z nich je heslo smrti
    Potřebuješ pomoc ? získat peníze přes internet. Nápovědu můžete přečíst
    Účtovat..
    Nový Mikropos Software od společnosti Mikropos Network

    Užitné zatížení

    Červ vytváří následující adresáře:

    "C: Linong Miluju U tak mnoho Linongův navěky Moje láska% n"

    kde% n jsou čísla od 0 do 500 (v některých případech červ nedokáže vytvořit adresáře, takže horní limit čísla adresáře může být menší než 500).

    Červ zobrazuje následující zprávy:

  • dne 25. června:

    Zpráva od mne
    Šťastné narozeniny na MyLinong
    Stále mě zapamatuj …

  • 22. července:

    Dnes vám chci ještě jednou říct
    MÁ LÁSKY U TAKO MUŽÍ LINONG
    Hej uživatel, prosím, pomoz mi, abych řekl světu
    Že ji miluju tolik

  • 14. listopadu:

    Hi..Nong .. Miluju tě Tak moc.
    Ale dnes musíme říci GoodBye Forever
    Čekám U v dalším životě a pamatuji, že tě miluji tolik

    VBS Helper

    Jedná se o modifikaci e-mailového červu VBS "I-Worm.Linong" a pracuje jako pomocník pro hlavní součást EXE.

    Pokud je spuštěn systémem Windows (protože je registrován v klíči Run = registru), získá IP adresu lokálního počítače a pak prohlédne podsítku (například pokud IP lokálního počítače je 10.10.10.1, červ se pokusí připojit ke všem počítačům pomocí adres 10.10.10.n, kde 'n' je číslo od 1 do 254).

    V případě, že existují stroje s takovými adresami, červ se pokusí získat přístup k jejich jednotkám C: a zkopíruje je do následujících adresářů:

    "C:"
    "C: windowsstartm ~ 1programsstartup"
    "C: okna"
    "C: windowsstart menuprogramsstartup"

    (v této rutině se vyskytuje chyba a červ nedokáže tuto funkci provést).

    Červ se pak pokusí odeslat svoji součást EXE z infikovaných počítačů se zprávami obsahujícími následující informace:

    Předmět: Jedna z těchto zpráv
    Tělo: Pravdivý příběh ….
    Připojit: mylinong.exe

    (tato rutina má také chybu a červ se nerozšíří).

    Červ potom, stejně jako "I-Worm.Linong", provádí následující:

  • vytvoří 600 prázdných adresářů �: LINONG I LOVE MY FOLDER% n (kde% n je číslo od 1 do 600)
  • vytváří své kopie s následujícími názvy:

    % windows% mylinong.txt.shs
    % windows% SYSTEMKern32Lin.vbs
    % windows% Vbrun32DLL.vbs
    % windows% SYSTEMmylinong.TXT.vbs

  • a registruje neexistující soubor v registru systému:

    HKLMSoftwareMicrosoftWindowsCurrentVersionRunServices Vbrun32DLL =% windows% Win32DLL.vbs

    Červ potom vytvoří soubor HTA a otevře jej, což v důsledku toho zobrazí text:

    Miluji tě
    Linong
    Jsi láskou mé lásky, 5173n1n3ty31gh7
    Téměř jeden rok .. slečno U
    01 * 29 ** 879
    01 * 29 ** 868
    * – *


  • Odkaz na originál
    Zjistěte statistiky hrozeb šířících se ve vašem regionu