Hlavní třída: VirWare
Viry a červy jsou škodlivé programy, které se samy replikují v počítačích nebo prostřednictvím počítačových sítí, aniž by si uživatel uvědomoval; každá další kopie takových škodlivých programů je také schopna samoregistrace.Škodlivé programy, které se šíří prostřednictvím sítí nebo infikují vzdálené počítače, pokud jim to pověřil "vlastník" (např. Backdoors) nebo programy, které vytvářejí více kopií, které nejsou schopné samoregistrace, nejsou součástí podtřídy Viruses and Worms.
Hlavní charakteristikou používanou k určení, zda je program klasifikován jako samostatné chování v podtřídě Viruses a Worms, je způsob, jakým se program šíří (tj. Jak škodlivý program šíří vlastní kopie prostřednictvím lokálních nebo síťových zdrojů).
Většina známých červů se šíří jako soubory odeslané jako přílohy e-mailů prostřednictvím odkazu na web nebo zdroj FTP prostřednictvím odkazu odeslaného v ICQ nebo IRC zprávě prostřednictvím P2P sdílení souborů atd.
Někteří červi se šíří jako síťové pakety; tyto přímo proniknou do paměti počítače a aktivuje se kód červů.
Worms používají k průniku vzdálených počítačů následující metody: sociální inženýrství (například e-mailová zpráva naznačující, že uživatel otevře připojený soubor), využívající chyby v konfiguraci sítě (například kopírování na plně přístupný disk) a využívání mezery v zabezpečení operačního systému a aplikací.
Viry lze rozdělit podle metody používané k infikování počítače:
souborů virů
viry zaváděcího sektoru
makro viry
virů skriptu
Každý program v rámci této podtřídy může mít další funkce trojan.
Je třeba také poznamenat, že mnoho červů používá více než jednu metodu k šíření kopií prostřednictvím sítí. Pravidla pro klasifikaci detekovaných objektů s více funkcemi by měla být použita pro klasifikaci těchto typů červů.
Třída: Email-Worm
Email-Worms se šíří e-mailem. Červ zasílá vlastní kopii jako přílohu k e-mailové zprávě nebo k odkazu na soubor na síťovém zdroji (např. URL na infikovaný soubor na ohrožených webových stránkách nebo webových stránkách vlastněných hackery).V prvním případě se červový kód aktivuje při otevření (spuštěném) infikovaném přílohě. Ve druhém případě je kód aktivován, když se otevře odkaz na infikovaný soubor. V obou případech je výsledek stejný: aktivuje se kód červů.
Email-Worms používají řadu metod pro odesílání infikovaných e-mailů. Nejběžnější jsou:
pomocí přímého připojení k serveru SMTP pomocí e-mailového adresáře zabudovaného do kódu červa
pomocí služeb MS Outlook
pomocí funkcí systému Windows MAPI.
Email-Worms používají řadu různých zdrojů, aby našli e-mailové adresy, na které budou zasílány infikované e-maily:
adresář v aplikaci MS Outlook
databázi adres WAB
.txt soubory uložené na pevném disku: červa může identifikovat, které řetězce v textových souborech jsou e-mailové adresy
e-maily v doručené poště (některé e-mailové červy dokonce "odpověď" na e-maily nalezené ve doručené poště)
Mnoho e-mailových červů používá více než jeden ze zdrojů uvedených výše. Existují také další zdroje e-mailových adres, jako jsou například adresáře spojené s webovými e-mailovými službami.
Platfoma: Win32
Win32 je rozhraní API v operačních systémech Windows NT (Windows XP, Windows 7 atd.), Které podporují provádění 32bitových aplikací. Jedna z nejrozšířenějších programovacích platforem na světě.Popis
Technické údaje
Jedná se o Win32 e-mailový červ. Červ má dvě složky:
Hlavní součást červu se odesílá na jiné počítače připojené k e-mailům jako soubor EXE, který může mít 16 různých názvů (viz níže). Během šíření používá MAPI připojení k e-mailu.
Hlavní součást také přenese další pomocníka skriptu VBS (lokální síťový červ) na lokální disk a spustí jej.
Hlavní součást
Když se infikovaný soubor spustí (je aktivován uživatelem z infikované zprávy nebo z jakéhokoli jiného zdroje), červ se do adresáře Windows zkopíruje pomocí "PCpower.exe" a do systémového adresáře systému Windows se názvem "MyLinong.exe" . Červ potom přenese soubor "MyLinong.VBS" (pomocník VBS) do adresáře systému Windows.
Tyto soubory jsou poté registrovány v klíčích automatického spuštění registru systému:
HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun
PCPower =% windir% PCpower.exe
MyLinong =% winsystemdir% MyLinong.exe
Linong =% winsystemdir% MyLinong.vbs
Soubory EXE jsou dvě červené kopie a Windows je aktivován při každém restartu. Soubor VBS je program skriptů VisualBasic (viz níže).
Šíření
Chcete-li se šířit, červa skenuje Inbox pro 50 prvních zpráv, získává zprávy, které mají alespoň jeden připojený soubor a odpoví na infikovanou zprávu. Infikovaná zpráva má soubor Předmět, tělo a připojený soubor, který je náhodně vybrán ze 16 variant:
Přiložené názvy souborů:
CFusion.Exe
PatchFusion.exe
MyLinong.Exe
Osvětlete noc.exe
StarMild.exe
Kiss.Exe
Sexy.Exe
Popeye.exe
Olive.exe
BullBull.exe
Moly.exe
Lovely.exe
868879.exe
help.exe
BillGate
Mikropos
Předměty:
Informace z CFusion
Patch vašeho kontrastu
Stále si pamatuju
Osvětlit noc
Man Choice
Polib mě
Sexy model
Popeye Cartoon
Olive & Popeye
Psi MyGirlFriend
Psi mojí přítelkyně
Sladká Krásná
Heslo
Potřebovat pomoc
Účtovat
Mikropos
Tělesa zpráv:
Můžete aktualizovat své Cfusion Online zdarma
Jste připraveni opravit váš Cfusion, prosím aktualizujte
Je to moje sexy Linong
Osvětlení Night PARTY ...
Jste muž nebo ženy. Toto je sponzor z našeho webu Výběr člověka
100 způsob, jak políbit vaše Girlfriend nebo vašeho přítele
Viděli jste někdy sexy dívky jako ona
Nový Popeye Nový Cartoon NetWork
Olivový a Popeye Cartoon
Hezký pes...
Dobrý pes a inteligentní psi
Můj přítel Icq Sladký a krásný
Zde Seznam webových stránek Nude Password. Všechny z nich jsou stále aktivní, a jen málo z nich je heslo smrti
Potřebuješ pomoc ? získat peníze přes internet. Nápovědu můžete přečíst
Účtovat..
Nový Mikropos Software od společnosti Mikropos Network
Užitné zatížení
Červ vytváří následující adresáře:
"C: Linong Miluju U tak mnoho Linongův navěky Moje láska% n"
kde% n jsou čísla od 0 do 500 (v některých případech červ nedokáže vytvořit adresáře, takže horní limit čísla adresáře může být menší než 500).
Červ zobrazuje následující zprávy:
Zpráva od mne
Šťastné narozeniny na MyLinong
Stále mě zapamatuj ...
Dnes vám chci ještě jednou říct
MÁ LÁSKY U TAKO MUŽÍ LINONG
Hej uživatel, prosím, pomoz mi, abych řekl světu
Že ji miluju tolik
Hi..Nong .. Miluju tě Tak moc.
Ale dnes musíme říci GoodBye Forever
Čekám U v dalším životě a pamatuji, že tě miluji tolik
VBS Helper
Jedná se o modifikaci e-mailového červu VBS "I-Worm.Linong" a pracuje jako pomocník pro hlavní součást EXE.
Pokud je spuštěn systémem Windows (protože je registrován v klíči Run = registru), získá IP adresu lokálního počítače a pak prohlédne podsítku (například pokud IP lokálního počítače je 10.10.10.1, červ se pokusí připojit ke všem počítačům pomocí adres 10.10.10.n, kde 'n' je číslo od 1 do 254).
V případě, že existují stroje s takovými adresami, červ se pokusí získat přístup k jejich jednotkám C: a zkopíruje je do následujících adresářů:
"C:"
"C: windowsstartm ~ 1programsstartup"
"C: okna"
"C: windowsstart menuprogramsstartup"
(v této rutině se vyskytuje chyba a červ nedokáže tuto funkci provést).
Červ se pak pokusí odeslat svoji součást EXE z infikovaných počítačů se zprávami obsahujícími následující informace:
Předmět: Jedna z těchto zpráv
Tělo: Pravdivý příběh ....
Připojit: mylinong.exe
(tato rutina má také chybu a červ se nerozšíří).
Červ potom, stejně jako "I-Worm.Linong", provádí následující:
% windows% mylinong.txt.shs
% windows% SYSTEMKern32Lin.vbs
% windows% Vbrun32DLL.vbs
% windows% SYSTEMmylinong.TXT.vbs
HKLMSoftwareMicrosoftWindowsCurrentVersionRunServices Vbrun32DLL =% windows% Win32DLL.vbsČerv potom vytvoří soubor HTA a otevře jej, což v důsledku toho zobrazí text:
Miluji tě
Linong
Jsi láskou mé lásky, 5173n1n3ty31gh7
Téměř jeden rok .. slečno U
01 * 29 ** 879
01 * 29 ** 868
* - *
Zobrazit více
Zjistěte statistiky zranitelností šířících se ve vaší oblasti statistics.securelist.com