Tato služba může obsahovat Google překlady. Společnost Google odmítá veškerou odpovědnost za překlad, doslovný i předpokládaný, včetně veškerých záruk aktuálnosti, spolehlivosti a veškerých záruk předpokládané zobchodovatelnosti, vhodnosti pro daný účel a neporušení práv.

Web Kaspersky Lab byl přeložen překládacím softwarem založeným na Google Translate. Bylo vynaloženo přiměřené úsilí, aby byl zajištěn přesný překlad, avšak žádný automatický překlad není dokonalý a není určen k nahrazení lidských překladatelů. Překlady jsou poskytovány jako služba uživatelům webových stránek a jsou poskytovány „tak jak jsou“. Neexistuje žádná záruka jakéhokoliv druhu, na vyjádřený nebo předpokládaný překlad, na přesnost nebo správnost překladů. Některý obsah (například obrázky, videa, Flash atd.) Nemusí být přesně přeložen z důvodu omezení překladového softwaru.

Email-Worm.Win32.Myba

Třída Email-Worm
Platfoma Win32
Popis

Technické údaje

Jedná se o šíření internetového červa prostřednictvím e-mailu a odesílání infikovaných zpráv z infikovaných počítačů. Během šíření používá červa MS Outlook a odesílá se na všechny adresy, které jsou uloženy v adresáři MS Outlook.

Červ samotný je aplikace Win32 napsaná v jazyce VisualBasic. Zdá se, že červový kód je založen na červi VBS typu "I-Worm.LoveLetter" ( červové rutiny a jejich názvy vypadají velmi podobně jako "Loveletter") a zdá se, že tento červ byl vytvořen přizpůsobením zdroje "Loveletter" VBS do jazyka VisualBasic.

Při spuštění (pokud uživatel klepne na připojený infikovaný soubor), červ odešle své kopie e-mailem, nainstaluje se do systému a provede destruktivní akce.

Červ vysílá jako e-mailové zprávy s připojeným EXE souborem, tedy samotným červem.

Zpráva se zobrazí takto:

Předmět: Moje dítě pic !!!
Tělo zprávy: Je to moje animovaná fotka!
Název souboru: mybabypic.exe

Po aktivování uživatele (dvojitým kliknutím na přiložený soubor) se červa otevře MS Outlook, získá přístup do adresáře, získává všechny adresy odtud a posílá zprávy všem s připojenou kopií. Předmět zprávy, tělo a připojený název souboru jsou stejné jako výše.

Červ se také instaluje do systému. Vytváří jeho kopie v adresáři systému Windows s následujícími názvy:

WINKERNEL32.EXE, MYBABYPIC.EXE, WIN32DLL.EXE, CMD.EXE, COMMAND.EXE

a registruje se v části Automatické spuštění systému Windows v systémovém registru:

HKLMSoftwareMicrosoftWindowsCurrentVersionRunmybabypic =% WinSystem% mybabypic.exe
HKLMSoftwareMicrosoftWindowsCurrentVersionRunWINKernel32 =% WinSystem% WINKernel32.exe
HKLMSoftwareMicrosoftWindowsCurrentVersionRunServices =% WinSystem% Win32DLL.exe

kde% WinSystem% je systémový adresář systému Windows. V důsledku toho se červ opět aktivuje při každé spuštění systému Windows.

Červ vytváří také následující klíč registru:

HKCUSoftwareBugger
Výchozí hodnota = HACK [2K]
Odesláno pošty =% číslo%

kde% number% je číslo od 0 do 3 a závisí na procesu, který červ provádí nebo dokončil: instalace, šíření a aktivace rutiny užitečného zatížení.

Rutina užitečného zatížení je poměrně velká. V závislosti na datu a čase systému, červ:

  • zapíná / vypíná tlačítka NumLock, CapLock a ScrollLock
  • pošle do vyrovnávací paměti klávesnice následující zprávu:

    .IM_BESIDES_YOU_

  • propojuje web http://www.youvebeenhack.com a odešle jeden z těchto textů:

    FROM BUGGER
    HAPPY VALENTINES DAY FROM BUGGER
    HAPPY HALLOWEEN od BUGGER

Červ také poškozuje a / nebo ovlivňuje další soubory. Skenuje podadresářové stromy na všech dostupných jednotkách, uvádí všechny soubory a v závislosti na příponu názvu souboru provádí jednu z následujících akcí:

VBS, VBE: Červ zničí obsah těchto souborů.

JS, JSE, CSS, WSH, SCT, HTA, PBL, CPP, PAS, C, H: červ vytvoří nový soubor s původním názvem souboru plus příponu ".EXE" původní soubor; tj. červ přepsá tyto soubory kódem a přejmenuje je s rozšířením EXE. Například "TEST.CPP" se stává "TEST.EXE".

JPG, JPEG: červ dělá to samé jako výše, ale přidá příponu ".EXE" k úplnému názvu souboru (přejmenování na ".EXE"). Například "PIC1.JPG" se stává "PIC1.JPG.EXE".

MP2, MP3, M3U: červ vytvoří nový soubor s příponou ".EXE" (pro "SONG.MP2", červ vytvoří soubor "SONG.MP2.EXE"), zapíše tam svůj kód a nastaví soubor atribut "skrytý" pro původní soubor.


Odkaz na originál