Email-Worm.Win32.Sidex

Technické údaje

Jedná se o virový červ, který se šíří prostřednictvím internetu připojeného k infikovanému e-mailu a infikuje místní síť. Červ samotný je soubor Windows PE EXE o délce 107 kB (komprimovaný PCShrink, dekomprimovaný 202 kB) a je napsán v Delphi.

Infikované zprávy obsahují:

Předmět : Stránky Pornos
Body : Tudo bem te te enviando uma lista dos melhores sites porno da, br> uma olhada depois me avisa c voce gostou at ma ma Um Abra��o Do
seu melhor amigo 😉
Příloha : SitesDeSexo.doc.exe

Červ aktivuje infikovaný e-mail pouze tehdy, když uživatel klikne na připojený soubor. Červ se pak instaluje do systému, spouští rutinní rozložení a užitečné zatížení.

Instalace

Během instalace se červ zapisuje do adresáře systému Windows s názvem VxBrasil.exe a zaregistruje tento soubor v příkazu automatického spuštění v následujícím souboru WIN.INI:

[windows] spustit =% SystemDir% VxBrasil.exe

kde % SystemDir% je systémový adresář systému Windows.

Šíření

Chcete-li odeslat infikované zprávy, používá červ funkci MAPI systému Windows a "odpovědi" na zprávy z e-mailových schránek.

Lokální síť

Červ vyhledá sdílené jednotky v síti, vyhledá adresáře se souborem WIN.INI a poté se tam sama zkopíruje názvem "666hacked.exe" a zaregistruje tuto kopii v souboru Win.ini ve stejném "windows / run" klíči jako výše.

jiný

Červ instaluje na infikovaný počítač i backdoor Trojan ("Backdoor.DRA"). K tomu získává kód backdoor ze svých zdrojů, ukládá je do souborů C: ALEVIRUS.EXE a C: BACK.EXE a spouští je.

Červ vytváří soubor dekoy C: SitesDeSexo.doc a zapíše následující text:

Estes s touto stránkou melhores de SEXO da internet confira 🙂

Červ píše seznam porno stránek a otevře tento soubor.