English
Russian
Japanese
LatAm
Türkiye
Brasil
France
Český
Deutschland
Tato služba může obsahovat Google překlady. Společnost Google odmítá veškerou odpovědnost za překlad, doslovný i předpokládaný, včetně veškerých záruk aktuálnosti, spolehlivosti a veškerých záruk předpokládané zobchodovatelnosti, vhodnosti pro daný účel a neporušení práv.
Web Kaspersky Lab byl přeložen překládacím softwarem založeným na Google Translate. Bylo vynaloženo přiměřené úsilí, aby byl zajištěn přesný překlad, avšak žádný automatický překlad není dokonalý a není určen k nahrazení lidských překladatelů. Překlady jsou poskytovány jako služba uživatelům webových stránek a jsou poskytovány „tak jak jsou“. Neexistuje žádná záruka jakéhokoliv druhu, na vyjádřený nebo předpokládaný překlad, na přesnost nebo správnost překladů. Některý obsah (například obrázky, videa, Flash atd.) Nemusí být přesně přeložen z důvodu omezení překladového softwaru.
Email-Worm.Win32.MTX
| Třída | Email-Worm |
| Platfoma | Win32 |
| Popis |
Technické údajeJedná se o šíření viru červů v systémech Win32. Virus infikuje spustitelné soubory Win32, pokouší se odesílat e-mailové zprávy infikovaným připojeným souborem a také nainstaluje backdoor komponentu, která stahuje a rozštěpí "pluginy" na postiženého systému. Červ způsobil globální epidemii od září do října 2000. Virus má neobvyklou strukturu. Skládá se ze tří různých komponent, které jsou spouštěny jako samostatné programy (Virus, e-mailový červ a Backdoor). Virus je hlavní součást a udržuje programy červů a backdoor ve svém kódu v komprimované podobě. Během infekce systému virus extrahuje a rozmnožuje je: Struktura virů� =============== - � Virus � -> nainstaluje do systému systém Worm a Backdoor, � instalace � pak najde a infikuje spustitelné soubory Win32 � a infekce � � rutiny � � --------------- � � Červí kód � -> se extrahuje do souboru a běží jako samostatný program � (komprimované) � � --------------- � � Backdoor kód � -> je extrahován do souboru a spouštěn jako samostatný program � (komprese) � L =============== - Infikovaný soubor EXE� =============== - � Kód souboru � � a data � � � � =============== � � Virus kód: � � --------------- � �� Instalace �� A infekce � + ------------- + � �� Červ �� � + ------------- + � �� Backdoor �� �L -------------- � L =============== - Červový kód neobsahuje všechny potřebné rutiny k infikování systému a je odeslán jako připojený v infikované e-mailové zprávě (viz níže). Červ potřebuje "pomoc" z komponenty virů a je odeslán jako infikovaný virem (soubor červa je infikován virem jako obyčejný soubor a poté odeslán). Důvod pro takovou metodu je nejasný, ale pravděpodobně komponenty byly napsány různými lidmi. Součást Virus obsahuje textové řetězce:
Součást červ obsahuje textové řetězce:
Backdoor obsahuje text:
Součást virůVirus používá technologii "Entry Point Obscuring" při infikování souboru. To znamená, že virus neovlivní soubor ve svém vstupním kódu, nýbrž umístí instrukci "Jump Virus" někde uprostřed oddílu kódu souboru, čímž je detekce a dezinfekce složitější. V důsledku toho je virus aktivován pouze v případě, že pobočka odpovídajícího postiženého programu dostane kontrolu. Virus je také šifrován, takže nejprve se dešifruje, když jeho kód získá kontrolu. Virus poté vyhledá potřebné funkce Win32 API skenováním jádra Win32. Za tímto účelem se virus pokusí o adresy Win9x, WinNT a Win2000. Virus pak vyhledává antivirové programy, které jsou aktivní v systému, a vystupuje v případě, že některý z nich je detekován. Seznam antivirových programů, na které se virus zaměřuje, se zobrazuje takto:
Poté virus nainstaluje své součásti do systému. Jsou dekomprimovány nainstalovány do adresáře systému Windows a poté rozděleny. Jsou vytvořeny tři soubory a mají skryté atributy a následující názvy:
Virus pak infikuje soubory EX EXE spustitelných souborů Win32 v adresářích aktuálních, dočasných a Windows a poté ukončí. ČervPro zasílání infikovaných zpráv využívá červa technologii, která byla poprvé nalezena v "Happy" internetovém červi (aka Happy99, aka SKA). Červ zasahuje soubor WSOCK32.DLL v adresáři systému Windows připojením součásti svého kódu na konec souboru a zapojením rutiny "odeslat" WSOCK32.DLL. Výsledkem je, že červa monitoruje všechna data, která jsou odesílána z postiženého počítače na Internet. Obvykle je soubor WSOCK32.DLL používán v okamžiku, kdy spustí červa a je uzamčen pro zápis. Chcete-li tomu zabránit, používá červ standardní metodu: vytvoří kopii původního WSOCK32.DLL s názvem WSOCK32.MTX, ovlivní tuto kopii a poté zapíše "nahradit původní soubor infikovaným" do souboru WININIT.INI:
kde "C: WINDOWSSYSTEM" je název adresáře systému Windows a může se lišit v závislosti na názvu nainstalovaného adresáře systému Windows. Po dalším restartování nahradí infikovaný WSOCK32 původní a červ získá přístup k datům, které jsou odesílány z infikovaného počítače. Červ věnuje pozornost internetovým stránkám (webům, ftpům), které jsou navštěvovány, stejně jako e-mailovým zprávám odesílaným z počítače. Velmi viditelné chování viru je způsobeno tím, že zabraňuje možnosti návštěvy několika internetových stránek, stejně jako zakazuje odesílání zpráv do stejných domén (jde o antivirové doménové jména). Virus je detekuje čtyřmi písmeny, které se objevují takto:
Červ také neumožňuje odesílání e-mailových zpráv do těchto domén:
Červ také zachycuje odeslané e-mailové zprávy a pokouší se odeslat duplicitní zprávu s infikovanou přílohou na stejnou adresu (stejně jako "Happy" červa to dělá). Výsledkem je, že adresa oběti by měla obdržet dvě zprávy: nejprve je původní zpráva napsaná odesílatelem; za druhé, přichází zpráva s prázdným předmětem a textem a připojeným souborem, který má jedno z jména, které červec zvolí v závislosti na aktuálním datu:
Jako připojený soubor používá červa soubor WIN32.DLL, který byl spuštěn komponentou viru. Poznámka: Červ neklesne do souboru WIN32.DLL, ale tento soubor použije k připojení k odeslaným zprávám. Takže "čistý červ" se nedokáže šířit víc než jednou: když běží na oběti, červa infikuje WSOCK32.DLL, ale nebude moci odesílat další kopie. Chcete-li "tento problém vyřešit", odesílá červa infikovanou kopii (WIN32.DLL je součást červů infikovaná virem, viz výše). Známá modifikace červů má chybu v rozšiřujícím se rutinním a e-mailovém serveru a v mnoha případech selhává příjem postižených zpráv z infikovaného počítače. Navzdory tomu, že systém má vytáčené připojení nebo poštovní server je dostatečně rychlý, červ zasílá své kopie bez problémů. Zadní dveřeSpuštěn, součást Backdoor vytvoří nový klíč v systémovém registru, který označuje, že zařízení je již infikováno:
V případě, že tento klíč existuje, Backdoor přeskočí instalační postup. Jinak se sám zaregistruje v sekci automatického spuštění:
kde% WinDir% je adresář Windows. Backdoor zůstává aktivní v systému Windows jako skrytá aplikace (služba) a spouští rutinu, která se připojuje k některému internetovému serveru, získává soubory odtud a spouští je v systému. Takže Backdoor může infikovat systém jinými viry nebo nainstalovat trojské programy nebo více funkční zadní vrátka. Tato součást ve známé verzi viru také obsahuje chybu, která způsobuje standardní zprávu systému Windows o chybě v aplikaci, když se zadní vrátka pokusí o přístup na internetovou stránku. |
Odkaz na originál |
|
| Zjistěte statistiky hrozeb šířících se ve vašem regionu |