Hlavní třída: VirWare
Viry a červy jsou škodlivé programy, které se samy replikují v počítačích nebo prostřednictvím počítačových sítí, aniž by si uživatel uvědomoval; každá další kopie takových škodlivých programů je také schopna samoregistrace.Škodlivé programy, které se šíří prostřednictvím sítí nebo infikují vzdálené počítače, pokud jim to pověřil "vlastník" (např. Backdoors) nebo programy, které vytvářejí více kopií, které nejsou schopné samoregistrace, nejsou součástí podtřídy Viruses and Worms.
Hlavní charakteristikou používanou k určení, zda je program klasifikován jako samostatné chování v podtřídě Viruses a Worms, je způsob, jakým se program šíří (tj. Jak škodlivý program šíří vlastní kopie prostřednictvím lokálních nebo síťových zdrojů).
Většina známých červů se šíří jako soubory odeslané jako přílohy e-mailů prostřednictvím odkazu na web nebo zdroj FTP prostřednictvím odkazu odeslaného v ICQ nebo IRC zprávě prostřednictvím P2P sdílení souborů atd.
Někteří červi se šíří jako síťové pakety; tyto přímo proniknou do paměti počítače a aktivuje se kód červů.
Worms používají k průniku vzdálených počítačů následující metody: sociální inženýrství (například e-mailová zpráva naznačující, že uživatel otevře připojený soubor), využívající chyby v konfiguraci sítě (například kopírování na plně přístupný disk) a využívání mezery v zabezpečení operačního systému a aplikací.
Viry lze rozdělit podle metody používané k infikování počítače:
souborů virů
viry zaváděcího sektoru
makro viry
virů skriptu
Každý program v rámci této podtřídy může mít další funkce trojan.
Je třeba také poznamenat, že mnoho červů používá více než jednu metodu k šíření kopií prostřednictvím sítí. Pravidla pro klasifikaci detekovaných objektů s více funkcemi by měla být použita pro klasifikaci těchto typů červů.
Třída: Email-Worm
Email-Worms se šíří e-mailem. Červ zasílá vlastní kopii jako přílohu k e-mailové zprávě nebo k odkazu na soubor na síťovém zdroji (např. URL na infikovaný soubor na ohrožených webových stránkách nebo webových stránkách vlastněných hackery).V prvním případě se červový kód aktivuje při otevření (spuštěném) infikovaném přílohě. Ve druhém případě je kód aktivován, když se otevře odkaz na infikovaný soubor. V obou případech je výsledek stejný: aktivuje se kód červů.
Email-Worms používají řadu metod pro odesílání infikovaných e-mailů. Nejběžnější jsou:
pomocí přímého připojení k serveru SMTP pomocí e-mailového adresáře zabudovaného do kódu červa
pomocí služeb MS Outlook
pomocí funkcí systému Windows MAPI.
Email-Worms používají řadu různých zdrojů, aby našli e-mailové adresy, na které budou zasílány infikované e-maily:
adresář v aplikaci MS Outlook
databázi adres WAB
.txt soubory uložené na pevném disku: červa může identifikovat, které řetězce v textových souborech jsou e-mailové adresy
e-maily v doručené poště (některé e-mailové červy dokonce "odpověď" na e-maily nalezené ve doručené poště)
Mnoho e-mailových červů používá více než jeden ze zdrojů uvedených výše. Existují také další zdroje e-mailových adres, jako jsou například adresáře spojené s webovými e-mailovými službami.
Platfoma: Win32
Win32 je rozhraní API v operačních systémech Windows NT (Windows XP, Windows 7 atd.), Které podporují provádění 32bitových aplikací. Jedna z nejrozšířenějších programovacích platforem na světě.Popis
Technické údaje
Jedná se o internetový červ (virus typu červ), který se šíří prostřednictvím e-mailů, IRC kanálů, infikuje soubory v lokálních počítačích a šíří se do lokální sítě. Také ukradne systémová hesla (soubory PWL) z infikovaných počítačů, stejně jako mnoho neškodných a nebezpečných rutin. Samotný červ je o velikosti 80kb ve formátu Win32 (PE EXE - Portable Executable) napsaný programem Delphi, "čistý" kód červa zaujímá přibližně 20 kB a zbytek je kód knihovny Delphi, data a různé informace programu.
Červ přijde jako e-mail s falešnou zprávou (viz níže) a připojeným souborem PKZIP.EXE, který je samotným programem červů. Když je červ spuštěn, instaluje se do systému, infikuje soubory na místní jednotce, infikuje dostupné logické jednotky, infikuje nainstalovaný klient mIRC a odesílá infikované e-maily pomocí poštovního systému Eudora.
Instalace do systému
Pro instalaci do systému se červeň zkopíruje názvem KERNEL.EXE do adresáře systému Windows (na počítačích Win95 / 98) nebo do systémového adresáře systému Windows (na WinNT) a zaregistruje se v klíči automatického spuštění registru systému :
SOFTWAREMicrosoftWindowsCurrentVersionRun SysClock = kernel.exe
Červa má také další instalační rutinu, která nainstaluje červové kopie do všech dostupných jednotek. Tato rutina je popsána níže.
Infikování počítače
Červ je schopen infikovat asi 40 souborů v počítači a infikuje ne více než čtyři soubory na každém spuštění. Červ infikuje soubory v adresáři Windows:
NOTEPAD.EXE, CALC.EXE, DEFRAG.EXE, SCANDSKW.EXE, WRITE.EXE, WINIPCFG.EXE,SCANREGW.EXE, DRWTSN32.EXE, NTBACKUP.EXE, REGEDT32.EXE, TASKMGR.EXE,USRMGR.EXE
Červ potom infikuje programy, které jsou přiřazeny klíči registru:
SOFTWAREClassesAccess.Application.8 shellopencommandSOFTWAREClassesAudioCD shellplaycommandSOFTWAREClassesAVIFile shellplaycommandSOFTWAREClassescdafile shellplaycommandSOFTWAREClassesChat shellopencommandSOFTWAREClientsNewsForte Agent shellopencommandSOFTWAREClassesExcel.Sheet.8 shellopencommandSOFTWAREClassesftp shellopencommandSOFTWAREClassesgiffile shellopencommandSOFTWAREClasseshlpfile shellopencommandSOFTWAREClassesEudora DefaultIconSOFTWAREClassesEudora shellopencommandSOFTWAREClassesMicrosoft Internet Mail Zpráva shellopencommandSOFTWAREClassesMicrosoft Internet News Zpráva shellopencommandSOFTWAREClassesMOVFile shellopencommandSOFTWAREClassesMsi.Package shellopencommandSOFTWAREClassespcANYWHERE32 shellopencommandSOFTWAREClassesQuickView shellopencommandSOFTWAREClassesRealPlayer.RAM.6 shellopencommandSOFTWAREClassesWinamp.File shellopencommandSOFTWAREClassesUnfinished Stáhnout shellopencommandSOFTWAREClassesUltraEdit-32 Dokument shellopencommandSOFTWAREKřídyWorkboard shellopencommandSOFTWAREClassesvcard_wab_auto_file shellopencommandSOFTWAREUlead SystemsUlead PhotoImpact4.0PathIeEdit.exeSOFTWAREKasperskyLabComponents102EXEName
Během infekce jednotlivých souborů používá červa metodu doprovodných infekcí: přejmenuje soubor obětí s náhodným pojmenováním osm bajtů a příponou .EXE (například: GTGUQPPA.EXE, XOHSKVXQ.EXE atd.) A umístí se jménem původní soubor. V důsledku toho bude kopie červa provedena pokaždé, když uživatel nebo systém spustí infikovaný soubor.
Chcete-li vrátit kontrolu zpět do hostitelského souboru, červa uloží názvy souborů v klíči registru HKCUAppEventsSchemesApps.DefaultSystemStartWindows, například:
C: WIN95calc.exe "gtguqppa.exe"C: WIN95mplayer.exe "xohskvxq.exe"atd
Tyto informace lze použít k dezinfekci počítače.
Chcete-li zjistit již infikované soubory, červa používá soubor FileVersion, který je uložen v zdrojích souborů PE EXE. V infikovaných souborech je tato proměnná nastavena na "1.3.5.7".
Zablokování lokálních a síťových jednotek
Červ se také zkopíruje a "registruje" dostupné logické jednotky: vyměnitelné, pevné a síťové. Během načítání vyměnitelných souborů červa vyhledá soubor AUTOEXEC.BAT, přidá instrukci k spuštění souboru PKZIP.EXE při načítání z jednotky a zkopíruje se do jednotky s názvem souboru PKZIP.EXE.
Po nakazení pevných disků hledá červec soubor PKZIP.EXE v kořenových adresářích na těchto jednotkách a zkopíruje se tímto jménem, pokud se takový soubor neopustí. Chcete-li tento soubor spustit, vytvoří worm soubor AUTORUN.INF na jednotce a zapíše blok instrukcí tam, aby spustil soubor PKZIP.EXE (kopii šifru) na další Windows hvězdicovou kopii:
[autorun]open = pkzip.exe
Během infikování vzdálené jednotky červa nejdříve zkontroluje tuto jednotku na písemné povolení. K tomu vytvoří červa soubor TEMP9385.058 a odstraní jej. V případě, že během operace nedošlo k žádným chybám, červa pokračuje v rozšiřování na jednotku. Kopíruje se tam s názvem PKZIP.EXE a vytvoří soubor AUTORUN.INF stejným způsobem jako při ovlivňování pevných jednotek v místním počítači. Navíc červ hledá adresáře Windows a WinNT na jednotce a zaregistruje svou kopii PKZIP.EXE v souboru Win.ini v příkazu [run] "run". Tato operace také způsobuje spuštění černých kopií při příštím spuštění systému Windows.
Zatímco infikuje síťové jednotky, červ také ničí několik spustitelných souborů, pokud existují, a přepíše je kopií:
Acrobat3ReaderAcrord32.exeEudora95Eudora.exeProgram FilesMicrosoft OfficeOfficeOutlook.exeProgram FilesInternet ExplorerIexplore.exeProgram FilesWinZipWinZip32.exeProgram FilesMicrosoft OfficeOfficeWinWord.exeProgram FilesNetscapeProgramNetscape.exe
Zablokování klienta mIRC a šíření prostřednictvím IRC kanálů
Tato rutina je spuštěna v závislosti na systémovém čase, ne vždy při spuštění infikovaných souborů. Hledá mIRC klienta nainstalovaný v systému pomocí přístupu k souboru mIRC skriptu v adresářích:
C: MIRCSCRIPT.INIC: MIRC32SCRIPT.INIC: Program FilesMIRCSCRIPT.INIC: Program FilesMIRC32SCRIPT.INI
Pokud takové soubory neexistují, červa opustí rutinní infekci. V opačném případě přepíše soubor SCRIPT.INI příkazem, který odešle soubor C: PKZIP.EXE všem, kteří vstupují do postiženého kanálu.
Odesílání infikovaných e-mailů
Tato rutina se provádí v závislosti na systémovém čase a rutině infekce mIRC. Nejdříve získá červený název adresáře Eudora přístupem klíče registru: SoftwareQualcommEudoraCommandLine. Červ potom skenuje databázi odchozích e-mailů Eudora (soubory OUT.MBX), odtud získává adresy a ukládá je do seznamu, kam bude zaslána infikovaná zpráva. Zdá se, že červ také přidává do tohoto seznamu e-mailovou adresu "support@microsoft.com".
Červ potom připraví soubor C: USER.MSG, který bude použit pro inicializaci systému Eudora sendmail. Červ píše tam všechny potřebné údaje k odeslání zprávy s infikovaným připojením:
Komu: seznam adres z souboru OUT.MBX plus "support@microsoft.com"Předmět: Zde je to, co u požadujetePřílohy X: c: pkzip.exe;Tělo zprávy:Požádali jste o to chvíli zpátky, takže tady jste.užívat si.
Červ otevře soubor C: USER.MSG pomocí funkce systému Windows, která aktivuje službu Eudora sendmail.
K ukrácení souborů hesel
Během instalace do systému a napadení souborů vyhledává červ také soubory hesel systému Windows (soubory PWL), přečte data hesel a připojí se k infikovanému souboru.
Červ neposílá hesla na libovolnou internetovou adresu, ale pouze je přidává k infikovaným souborům. Výsledkem je, že odcizené hesla opouštějí počítač pouze v případě, že červa šíří své kopie na internetové nebo IRC kanály.
Rutiny užitečného zatížení
Červ má mnoho rutin užitečných zatížení, které jsou aktivovány v závislosti na datu a čase systému. Červ podle těchto rutin:
- Zastaví počítač spuštěním neomezeného počtu závitů.
- Přepsá klíč registru .DEFAULTSoftwareMicrosoftRegEdt32Settings s hodnotou "AutoRefresh = 0".
- Změní nastavení aplikace Internet Explorer. Přepsáním klíčů registru SOFTWAREMicrosoftInternet ExplorerMain červy nastaví "Start Page" na "http://www.whitehouse.com/" a "Vyhledat stránku" na "http://www.bigboobies.com" a zakáže mezipaměť pro internet aktualizace.
Přepisem klíčů registru softwaru SOFTWAREMicrosoftInternet ExplorerSearchUrl a SOFTWAREMicrosoftInternet ExplorerTypedURLs červa nastaví webovou stránku "http://www.gayextreme.com/queer/handle-it.html" na první místo naposledy použitých webových stránek; nastaví "SearchURL" na "http://www.fetishrealm.com/fatgirls/pic3.htm";
- Přepsáním souborů klíčů registru SoftwareMirabilisICQBookmarks:
"Hlavní stránka" na "http://www.biggfantac.com/terra/index.html","Zákaznická podpora" na "http://www.pornoparty.net""Menu" na "http://www.gayextreme.com/queer/handle-it.html"
- Vymaže všechna tlačítka z
SOFTWAREMicrosoftWindowsCurrentVersionUninstall neboSOFTWAREMicrosoftWindowsCurrentVersionInternet SettingsZones
- Nastavuje nastavení systému Windows:
RegisteredOwner = "Idiot s virem"RegisteredOrganization a ProductID = "Virus Registry Rage L1999"
- Vytvoří soubory C: POEM1.TXT nebo C: POEM2.TXT, zapíše jeden z těchto textů (viz níže) a otevře je pomocí programu NOTEPAD.EXE. Texty vypadají následovně:
Vydělat tělu a mysli, co se drží a jde dála není smrtí smrtí;Budu vyčerpat egoismus a ukážu mu, že to všechno stojí, a já budubard osobnosti,A ukážu muže i ženu, že buď je stejnájiný,A ukážu, že v současnosti není žádná nedokonalost, anemůže být v budoucnu žádná,A ukážu, že co se stane s někým, na co se může obrátitkrásné výsledky,A ukážu, že se nic nemůže stát krásnější než smrt ...- Walt WhitmanNic božského neumírá. Všechno dobré je věčně reproduktivní. Krásapřírodní reformy samy v mysli a ne pro neplodné rozjímání,ale pro nové stvoření.Všichni muži jsou do určité míry ohromeni tváří světa; někteří mužidokonce i radost. Tato láska k kráse je Chuť. Jiní mají stejnou láskuv takovém přebytku, že se nespokojují s obdivováním, snaží se ztělesnitv nových formách. Tvorbou krásy je umění.- Ralph Waldo Emerson
Rutiny zatížení červa také vymažou nebo upravují různá nastavení systému Windows, minimalizují nastavení zálohování a skenování, vymažou zálohu registru atd.
Zobrazit více
Zjistěte statistiky zranitelností šířících se ve vaší oblasti statistics.securelist.com