Email-Worm.Win32.Tettona

Technické údaje

Jedná se o šíření viru červů prostřednictvím internetu, který je připojen k infikovaným e-mailům. Červ má také backdoor rutinu.

Červ samotný je soubor Windows PE EXE o délce přibližně 35 kilobajtů (komprimovaný programem Petite, dekomprimovaný formát – asi 75 kilobajtů), napsaný v jazyce Microsoft Visual C ++.

Texty a připojené názvy souborů v infikovaných zprávách jsou různé, závisí na aktuálním datu a podpoře v italštině:

Předměty jsou:

Neuvěřitelné .. neuvěřitelné .. Urgentní! (vedi allegato) Qualsiasi cosa fai, falla al meglio.

Tělo zprávy začíná písmenem "Dobrý den" nebo "Ciao", pak jsou:

 podívejte se na tento zajímavý soubor. okkio all'allegato ;-) devi assolutamente viz il file che ti ho allegato. apri subito l'allegato, e 'MOLTO interessante.

Tělo zprávy je doplněno o "A presto ..." nebo "Bye". text.

Přiložené soubory:

   tettona.exe   euro.exe   tattoo.exe

Červ se aktivuje z infikovaných e-mailů pouze v případě, že uživatel klikne na připojený soubor. Červ se pak instaluje do systému, běží rutinní a zadní vrátka.

Instalace

Během instalace se červ zkopíruje do adresáře systému Windows s názvem DLLMGR32.EXE a registruje tento soubor v klíči automatického spuštění registru systému:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun DllManager =% windir% dllmgr32.exe

Červ potom zobrazí falešnou chybovou zprávu:

 Chyba  VBRUN49.DLL nebyl nalezen!

Šíření

Chcete-li odeslat infikované zprávy, použije červ přímé připojení k výchozímu SMTP serveru, poté otevře databázi WAB (Windows Address Book) a odešle zprávy všem nalezeným adresám.

Zadní dveře

Zadní vrátka otevře spojení na portu 5001 a naslouchá "masteru". Potom zpracovává následující pokyny:

 "HELO" - odpověď s textem "Dobrý den, chlap" "SCAN" - skenuje všechny adresáře a hlásí dir / soubory tam (jako vzdálený příkaz DIR) "EXEC" - spustí zadaný soubor "UNINST" - odstraní se ze systému, včetně registru "Run". "VIEW" (Zobrazení) - zobrazuje zadaný soubor "master" "DOWN" - ke stažení na "master" zadaný soubor

Užitné zatížení

Dne 12. ledna se červ zobrazí hlášení:

 Ahoj,  Čau,  il tuo počítač � infettato dal virus Fral�.  Certo che devi essere proprio un pirlone,  per esserti fatto fregare dal mio stupidissimo červ.  Va b�, v�, ne preoccupare, oggi non sono ve vena di cattiverie,  ed � anche un giorno festivo na mě.  Buona giornata ..  pomocí 4nt4R35