Email-Worm.Win32.Redesi

Hlavní třída: VirWare

Viry a červy jsou škodlivé programy, které se samy replikují v počítačích nebo prostřednictvím počítačových sítí, aniž by si uživatel uvědomoval; každá další kopie takových škodlivých programů je také schopna samoregistrace.

Škodlivé programy, které se šíří prostřednictvím sítí nebo infikují vzdálené počítače, pokud jim to pověřil "vlastník" (např. Backdoors) nebo programy, které vytvářejí více kopií, které nejsou schopné samoregistrace, nejsou součástí podtřídy Viruses and Worms.

Hlavní charakteristikou používanou k určení, zda je program klasifikován jako samostatné chování v podtřídě Viruses a Worms, je způsob, jakým se program šíří (tj. Jak škodlivý program šíří vlastní kopie prostřednictvím lokálních nebo síťových zdrojů).

Většina známých červů se šíří jako soubory odeslané jako přílohy e-mailů prostřednictvím odkazu na web nebo zdroj FTP prostřednictvím odkazu odeslaného v ICQ nebo IRC zprávě prostřednictvím P2P sdílení souborů atd.

Někteří červi se šíří jako síťové pakety; tyto přímo proniknou do paměti počítače a aktivuje se kód červů.

Worms používají k průniku vzdálených počítačů následující metody: sociální inženýrství (například e-mailová zpráva naznačující, že uživatel otevře připojený soubor), využívající chyby v konfiguraci sítě (například kopírování na plně přístupný disk) a využívání mezery v zabezpečení operačního systému a aplikací.

Viry lze rozdělit podle metody používané k infikování počítače:

souborů virů
viry zaváděcího sektoru
makro viry
virů skriptu
Každý program v rámci této podtřídy může mít další funkce trojan.

Je třeba také poznamenat, že mnoho červů používá více než jednu metodu k šíření kopií prostřednictvím sítí. Pravidla pro klasifikaci detekovaných objektů s více funkcemi by měla být použita pro klasifikaci těchto typů červů.

Třída: Email-Worm

Email-Worms se šíří e-mailem. Červ zasílá vlastní kopii jako přílohu k e-mailové zprávě nebo k odkazu na soubor na síťovém zdroji (např. URL na infikovaný soubor na ohrožených webových stránkách nebo webových stránkách vlastněných hackery).

V prvním případě se červový kód aktivuje při otevření (spuštěném) infikovaném přílohě. Ve druhém případě je kód aktivován, když se otevře odkaz na infikovaný soubor. V obou případech je výsledek stejný: aktivuje se kód červů.

Email-Worms používají řadu metod pro odesílání infikovaných e-mailů. Nejběžnější jsou:

pomocí přímého připojení k serveru SMTP pomocí e-mailového adresáře zabudovaného do kódu červa
pomocí služeb MS Outlook
pomocí funkcí systému Windows MAPI.
Email-Worms používají řadu různých zdrojů, aby našli e-mailové adresy, na které budou zasílány infikované e-maily:

adresář v aplikaci MS Outlook
databázi adres WAB
.txt soubory uložené na pevném disku: červa může identifikovat, které řetězce v textových souborech jsou e-mailové adresy
e-maily v doručené poště (některé e-mailové červy dokonce "odpověď" na e-maily nalezené ve doručené poště)
Mnoho e-mailových červů používá více než jeden ze zdrojů uvedených výše. Existují také další zdroje e-mailových adres, jako jsou například adresáře spojené s webovými e-mailovými službami.

Platfoma: Win32

Win32 je rozhraní API v operačních systémech Windows NT (Windows XP, Windows 7 atd.), Které podporují provádění 32bitových aplikací. Jedna z nejrozšířenějších programovacích platforem na světě.

Popis

Technické údaje

Jedná se o internetový červ, který se šíří prostřednictvím e-mailových zpráv pomocí aplikace Microsoft Outlook.

Když je spuštěn červ, zkopíruje se na následující místa:

C: Si.exe
C: ReDe.exe
c: Disk.exe
c: Common.exe
c: UserConf.exe

Poté se odesílá všem příjemcům adresáře Outlook adresy oběti.

Není-li aplikace Microsoft Outlook na počítači oběti přítomna, nemůže se červ šířit.

Předmět zpráv odeslaných červem je vybrán náhodně ze seznamu předem definovaných řetězců.

Přiložený soubor je vždy jeden z následujících:

Si.exe
Common.exe
UserConf.exe
ReDe.exe
Disk.exe

Resedi.a

Pokud byl červ spuštěn poprvé v počítači, zobrazí se zpráva:

Název : Microsoft Windows Update
Zpráva : Vaše Windows Update byla úspěšná.

Pokud je aktuální datum 11. listopadu 2001 a krátký formát Windows je buď mm / dd / rr, nebo dd / mm / rr, červ zapíše několik příkazů na autoexec.bat, takže v systému Windows 9x bude jednotka C: restartování.

Červ zapíše následující klíč registru a spustí se automaticky se systémem Windows:

HKLMSoftwareMicrosoftWindowsCurrentVersionRunRede

Červ zasílá e-mailové zprávy, které mají následující obsah:

Předmět je jedním z následujících:
FW: Aktualizace zabezpečení společnosti Microsoft.
FW: Aktualizace zabezpečení společnosti Microsoft.
FW: oddělení IT o stavu HIGH ALERT.
FW: Důležité zprávy od společnosti Microsoft.
FW: Zastavte počítačové viry teroristů.
FW: Teroristé uvolňují počítačový virus.
FW: Odpověď od společnosti Microsoft Corp.
FW: Teroristická nouzová situace. Poslední virus může vymazat disk během několika minut.
FW: Microsoft Update. Konečný kandidát.
FW: Nový počítačový virus.

Tělo zprávy:

Prostě jsem to obdržel v mém e-mailu
Kontaktoval jsem Microsoft a říkají, že je to skutečné!

-----Původní zpráva-----
Z: Microsoft Support Desk [mailto: Support@microsoft.com]
Odesláno: 17. října 2001 15:21
Předmět: Aktualizace zabezpečení

Vzhledem k nedávnému výskytu e-mailových šíření počítačových virů společnost Microsoft Corp vydala bezpečnostní opravu. Použijte prosím připojený soubor k počítači se systémem Windows, abyste zastavili další šíření nebo tyto škodlivé programy. Podpořte podporu společnosti Microsoft

Tělo červu obsahuje následující řetězce:

Uvědomte si Trojnásobný zákon, třikrát špatný a třikrát dobrý.
Když je nešťastná strach, noste modrou hvězdu na obočí.
Skutečně v lásce musíte být někdy, aby vaše láska nebyla pro tebe falešná.
Tato slova Wiccan Rede splňují: "Nikomu neškodíte, dělejte to, co chcete.
Rede (c) Si 2001 ... heh, chtít moje telefonní číslo taky?!?
Nemocný ze všech třetích světových git rozšiřuje červy. Čas na trochu velšské věci :)

Resedi.b

Předmět zpráv odeslaných červem je jeden z následujících:

Kev dává velkým orgasmům ladeez! - Kev
peklo přichází pro u, u bude nasát do bezedné jámy! - Gaz
Vědci nalezli stopy viru HIV u kravského mléka ... tady je důkaz - Will
Jo. Chytil jsem rybu - šest
Nechci nic napsat, ale Si mě šikanuje. - Jim
Chci žít v dřevěném domě - Arwellu
Michelle mi ještě dluží �10 ... hovno! - Si
Proč mám jen syrové a cibulové lupínky? Nesnáším je !! - Si
Nový typ varianty Lager / Weed ...... tříděný!
Můj otec se nezajímal o mé výsledky zkoušky - Michelle

Tělo zprávy : heh. Řeknu ti, že tohle je ořechy! Musíte to zkontrolovat!

Při odesílání zpráv zobrazuje červ následující zprávu:

Název :% cesta k souboru %% název_souboru% není platná aplikace Win32.
Zpráva :% cesta k souboru %% název_souboru% není platná aplikace Win32.

Zobrazit více

Zjistěte statistiky zranitelností šířících se ve vaší oblasti statistics.securelist.com