Tato služba může obsahovat Google překlady. Společnost Google odmítá veškerou odpovědnost za překlad, doslovný i předpokládaný, včetně veškerých záruk aktuálnosti, spolehlivosti a veškerých záruk předpokládané zobchodovatelnosti, vhodnosti pro daný účel a neporušení práv.

Web Kaspersky Lab byl přeložen překládacím softwarem založeným na Google Translate. Bylo vynaloženo přiměřené úsilí, aby byl zajištěn přesný překlad, avšak žádný automatický překlad není dokonalý a není určen k nahrazení lidských překladatelů. Překlady jsou poskytovány jako služba uživatelům webových stránek a jsou poskytovány „tak jak jsou“. Neexistuje žádná záruka jakéhokoliv druhu, na vyjádřený nebo předpokládaný překlad, na přesnost nebo správnost překladů. Některý obsah (například obrázky, videa, Flash atd.) Nemusí být přesně přeložen z důvodu omezení překladového softwaru.

Email-Worm.Win32.Sonic

Třída Email-Worm
Platfoma Win32
Popis

Technické údaje

Jedná se o vícesložkový počítač s vícenásobným infekčním počítačem, který infikuje stroje Win32 a rozšiřuje e-mailové zprávy jako připojený soubor EXE. Červ má několik komponent a je schopen sám se "vylepšit" z internetového webu.

Existují dva hlavní součásti šneku: Loader a Hlavní součást.

Loader je soubor EXE systému Windows o velikosti přibližně 25 kB (je komprimován nástrojem pro kompresi souborů UPX PE EXE, který dekomprimuje přibližně 70 kB). Když je načtena aktivována v počítači (je spuštěna z e-mailu), registruje se jako skrytý proces (služba), zkopíruje se do systémového adresáře systému Windows s názvem GDI32.EXE a registruje se v automatickém spuštění klíč registru systému:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
GDI = WinSystemGDI32.EXE

kde "WinSystem" je název systému Windows. Výsledkem je, že červa Loader je spuštěna při každém spuštění systému Windows. Všimněte si, že v tomto adresáři jsou standardní součásti systému Windows: GDI.EXE a GDI32.DLL. Červ používá název GDI32.EXE k maskování ve standardním prostředí Windows.

Chcete-li svou činnost skrýt, pak červ zobrazí chybovou zprávu:

Název_souboru n'est pas une app Win32 valid.

kde FileName je skutečný název souboru, ze kterého byl červ spuštěn.

Červ aktivuje hlavní postup, který získá a provede hlavní komponentu. Na webovou stránku http://www.geocities.com/olivier1548/ získává několik souborů:

  • LASTVERSION.TXT – textový soubor s číslem nejnovější verze červů k dispozici. Pokud neexistuje žádná nová verze, červ se ukončí.
  • nn.ZIP – nejnovější verze červa Hlavní součást, "nn" je definována v LASTVERSION.TXT.
  • GATEWAY.ZIP – poslední verze komponenty Loader.

Soubory nn.ZIP a GATEWAY.ZIP nejsou vlastně archivy, ale šifrovaný soubor Windows EXE. Červa Loader je dešifruje, kopíruje do adresáře Windows a spouští. V důsledku toho je v počítači aktivován hlavní komponent.

Hlavní součást červ je soubor Windows EXE o velikosti 40 kB (je komprimován nástrojem pro kompresi souborů UPX PE EXE, který dekomprimuje velikost 120 kB). Je nainstalován do adresáře systému Windows s názvem GDI32A.EXE a je registrován v systémovém registru podobným způsobem, jak je popsáno výše pro zavaděč virů. Hlavní součásti pak v závislosti na některých podmínkách otevřete adresář Windows, získáte adresy Inet a odesílete infikované e-mailové zprávy. Ve známé verzi červi mají tyto zprávy:

Předmět: Vyberte si jed
Přiložený název souboru: girls.exe

Hlavní součást červ má také možnost Backdoor sledovat infikovaný počítač a provozovat jeho zdroje ze vzdáleného hostitelského počítače.


Odkaz na originál