Tato služba může obsahovat Google překlady. Společnost Google odmítá veškerou odpovědnost za překlad, doslovný i předpokládaný, včetně veškerých záruk aktuálnosti, spolehlivosti a veškerých záruk předpokládané zobchodovatelnosti, vhodnosti pro daný účel a neporušení práv.
Web Kaspersky Lab byl přeložen překládacím softwarem založeným na Google Translate. Bylo vynaloženo přiměřené úsilí, aby byl zajištěn přesný překlad, avšak žádný automatický překlad není dokonalý a není určen k nahrazení lidských překladatelů. Překlady jsou poskytovány jako služba uživatelům webových stránek a jsou poskytovány „tak jak jsou“. Neexistuje žádná záruka jakéhokoliv druhu, na vyjádřený nebo předpokládaný překlad, na přesnost nebo správnost překladů. Některý obsah (například obrázky, videa, Flash atd.) Nemusí být přesně přeložen z důvodu omezení překladového softwaru.
Třída | Email-Worm |
Platfoma | Win32 |
Popis |
Technické údajeJedná se o internetový červ (virus typu červ), který se šíří prostřednictvím e-mailů, IRC kanálů, infikuje soubory v lokálních počítačích a šíří se do lokální sítě. Také ukradne systémová hesla (soubory PWL) z infikovaných počítačů, stejně jako mnoho neškodných a nebezpečných rutin. Samotný červ je o velikosti 80kb ve formátu Win32 (PE EXE – Portable Executable) napsaný programem Delphi, "čistý" kód červa zaujímá přibližně 20 kB a zbytek je kód knihovny Delphi, data a různé informace programu. Červ přijde jako e-mail s falešnou zprávou (viz níže) a připojeným souborem PKZIP.EXE, který je samotným programem červů. Když je červ spuštěn, instaluje se do systému, infikuje soubory na místní jednotce, infikuje dostupné logické jednotky, infikuje nainstalovaný klient mIRC a odesílá infikované e-maily pomocí poštovního systému Eudora. Instalace do systémuPro instalaci do systému se červeň zkopíruje názvem KERNEL.EXE do adresáře systému Windows (na počítačích Win95 / 98) nebo do systémového adresáře systému Windows (na WinNT) a zaregistruje se v klíči automatického spuštění registru systému :
Červa má také další instalační rutinu, která nainstaluje červové kopie do všech dostupných jednotek. Tato rutina je popsána níže. Infikování počítačeČerv je schopen infikovat asi 40 souborů v počítači a infikuje ne více než čtyři soubory na každém spuštění. Červ infikuje soubory v adresáři Windows:
Červ potom infikuje programy, které jsou přiřazeny klíči registru:
Během infekce jednotlivých souborů používá červa metodu doprovodných infekcí: přejmenuje soubor obětí s náhodným pojmenováním osm bajtů a příponou .EXE (například: GTGUQPPA.EXE, XOHSKVXQ.EXE atd.) A umístí se jménem původní soubor. V důsledku toho bude kopie červa provedena pokaždé, když uživatel nebo systém spustí infikovaný soubor. Chcete-li vrátit kontrolu zpět do hostitelského souboru, červa uloží názvy souborů v klíči registru HKCUAppEventsSchemesApps.DefaultSystemStartWindows, například:
Tyto informace lze použít k dezinfekci počítače. Chcete-li zjistit již infikované soubory, červa používá soubor FileVersion, který je uložen v zdrojích souborů PE EXE. V infikovaných souborech je tato proměnná nastavena na "1.3.5.7". Zablokování lokálních a síťových jednotekČerv se také zkopíruje a "registruje" dostupné logické jednotky: vyměnitelné, pevné a síťové. Během načítání vyměnitelných souborů červa vyhledá soubor AUTOEXEC.BAT, přidá instrukci k spuštění souboru PKZIP.EXE při načítání z jednotky a zkopíruje se do jednotky s názvem souboru PKZIP.EXE. Po nakazení pevných disků hledá červec soubor PKZIP.EXE v kořenových adresářích na těchto jednotkách a zkopíruje se tímto jménem, pokud se takový soubor neopustí. Chcete-li tento soubor spustit, vytvoří worm soubor AUTORUN.INF na jednotce a zapíše blok instrukcí tam, aby spustil soubor PKZIP.EXE (kopii šifru) na další Windows hvězdicovou kopii:
Během infikování vzdálené jednotky červa nejdříve zkontroluje tuto jednotku na písemné povolení. K tomu vytvoří červa soubor TEMP9385.058 a odstraní jej. V případě, že během operace nedošlo k žádným chybám, červa pokračuje v rozšiřování na jednotku. Kopíruje se tam s názvem PKZIP.EXE a vytvoří soubor AUTORUN.INF stejným způsobem jako při ovlivňování pevných jednotek v místním počítači. Navíc červ hledá adresáře Windows a WinNT na jednotce a zaregistruje svou kopii PKZIP.EXE v souboru Win.ini v příkazu [run] "run". Tato operace také způsobuje spuštění černých kopií při příštím spuštění systému Windows. Zatímco infikuje síťové jednotky, červ také ničí několik spustitelných souborů, pokud existují, a přepíše je kopií:
Zablokování klienta mIRC a šíření prostřednictvím IRC kanálůTato rutina je spuštěna v závislosti na systémovém čase, ne vždy při spuštění infikovaných souborů. Hledá mIRC klienta nainstalovaný v systému pomocí přístupu k souboru mIRC skriptu v adresářích:
Pokud takové soubory neexistují, červa opustí rutinní infekci. V opačném případě přepíše soubor SCRIPT.INI příkazem, který odešle soubor C: PKZIP.EXE všem, kteří vstupují do postiženého kanálu. Odesílání infikovaných e-mailůTato rutina se provádí v závislosti na systémovém čase a rutině infekce mIRC. Nejdříve získá červený název adresáře Eudora přístupem klíče registru: SoftwareQualcommEudoraCommandLine. Červ potom skenuje databázi odchozích e-mailů Eudora (soubory OUT.MBX), odtud získává adresy a ukládá je do seznamu, kam bude zaslána infikovaná zpráva. Zdá se, že červ také přidává do tohoto seznamu e-mailovou adresu "support@microsoft.com". Červ potom připraví soubor C: USER.MSG, který bude použit pro inicializaci systému Eudora sendmail. Červ píše tam všechny potřebné údaje k odeslání zprávy s infikovaným připojením:
Červ otevře soubor C: USER.MSG pomocí funkce systému Windows, která aktivuje službu Eudora sendmail. K ukrácení souborů heselBěhem instalace do systému a napadení souborů vyhledává červ také soubory hesel systému Windows (soubory PWL), přečte data hesel a připojí se k infikovanému souboru. Červ neposílá hesla na libovolnou internetovou adresu, ale pouze je přidává k infikovaným souborům. Výsledkem je, že odcizené hesla opouštějí počítač pouze v případě, že červa šíří své kopie na internetové nebo IRC kanály. Rutiny užitečného zatíženíČerv má mnoho rutin užitečných zatížení, které jsou aktivovány v závislosti na datu a čase systému. Červ podle těchto rutin: – Zastaví počítač spuštěním neomezeného počtu závitů. – Přepsá klíč registru .DEFAULTSoftwareMicrosoftRegEdt32Settings s hodnotou "AutoRefresh = 0". – Změní nastavení aplikace Internet Explorer. Přepsáním klíčů registru SOFTWAREMicrosoftInternet ExplorerMain červy nastaví "Start Page" na "http://www.whitehouse.com/" a "Vyhledat stránku" na "http://www.bigboobies.com" a zakáže mezipaměť pro internet aktualizace. Přepisem klíčů registru softwaru SOFTWAREMicrosoftInternet ExplorerSearchUrl a SOFTWAREMicrosoftInternet ExplorerTypedURLs červa nastaví webovou stránku "http://www.gayextreme.com/queer/handle-it.html" na první místo naposledy použitých webových stránek; nastaví "SearchURL" na "http://www.fetishrealm.com/fatgirls/pic3.htm"; – Přepsáním souborů klíčů registru SoftwareMirabilisICQBookmarks:
– Vymaže všechna tlačítka z
– Nastavuje nastavení systému Windows:
– Vytvoří soubory C: POEM1.TXT nebo C: POEM2.TXT, zapíše jeden z těchto textů (viz níže) a otevře je pomocí programu NOTEPAD.EXE. Texty vypadají následovně:
Rutiny zatížení červa také vymažou nebo upravují různá nastavení systému Windows, minimalizují nastavení zálohování a skenování, vymažou zálohu registru atd. |
Odkaz na originál |
|
Zjistěte statistiky hrozeb šířících se ve vašem regionu |