Hlavní třída: VirWare
Viry a červy jsou škodlivé programy, které se samy replikují v počítačích nebo prostřednictvím počítačových sítí, aniž by si uživatel uvědomoval; každá další kopie takových škodlivých programů je také schopna samoregistrace.Škodlivé programy, které se šíří prostřednictvím sítí nebo infikují vzdálené počítače, pokud jim to pověřil "vlastník" (např. Backdoors) nebo programy, které vytvářejí více kopií, které nejsou schopné samoregistrace, nejsou součástí podtřídy Viruses and Worms.
Hlavní charakteristikou používanou k určení, zda je program klasifikován jako samostatné chování v podtřídě Viruses a Worms, je způsob, jakým se program šíří (tj. Jak škodlivý program šíří vlastní kopie prostřednictvím lokálních nebo síťových zdrojů).
Většina známých červů se šíří jako soubory odeslané jako přílohy e-mailů prostřednictvím odkazu na web nebo zdroj FTP prostřednictvím odkazu odeslaného v ICQ nebo IRC zprávě prostřednictvím P2P sdílení souborů atd.
Někteří červi se šíří jako síťové pakety; tyto přímo proniknou do paměti počítače a aktivuje se kód červů.
Worms používají k průniku vzdálených počítačů následující metody: sociální inženýrství (například e-mailová zpráva naznačující, že uživatel otevře připojený soubor), využívající chyby v konfiguraci sítě (například kopírování na plně přístupný disk) a využívání mezery v zabezpečení operačního systému a aplikací.
Viry lze rozdělit podle metody používané k infikování počítače:
souborů virů
viry zaváděcího sektoru
makro viry
virů skriptu
Každý program v rámci této podtřídy může mít další funkce trojan.
Je třeba také poznamenat, že mnoho červů používá více než jednu metodu k šíření kopií prostřednictvím sítí. Pravidla pro klasifikaci detekovaných objektů s více funkcemi by měla být použita pro klasifikaci těchto typů červů.
Třída: Virus
Viry se replikují na prostředcích místního počítače.Na rozdíl od červů, viry nepoužívají síťové služby k šíření nebo pronikání do jiných počítačů. Kopie viru dosáhne vzdálených počítačů pouze v případě, že infikovaný objekt je z nějakého důvodu nesouvisející s virální funkcí aktivován na jiném počítači. Například:
když infikuje dostupné disky, virus proniká do souboru umístěného na síťovém zdroji
virus se zkopíruje na vyměnitelné úložné zařízení nebo infikuje soubor na vyměnitelném zařízení
uživatel pošle e-mail s infikovanou přílohou.
Platfoma: VBS
Visual Basic Scripting Edition (VBScript) je skriptovací jazyk interpretovaný hostitelem Windows Script Host. VBScript je široce používán k vytváření skriptů v operačních systémech Microsoft Windows.Popis
Technické údaje
Další červ podobný Melissovi. Rozšiřuje se prostřednictvím e-mailu pomocí klienta MS Outlook. Hlavní rozdíl mezi těmito dvěma červy je ten, který je napsán v jazyce Visual Basic Script namísto makro jazyka MS Office. Většina kódu je šifrována, aby analýza byla obtížnější.
Virus přichází do počítače jako e-mailová zpráva s připojeným souborem "MONOPOLY.VBS". Když tento soubor (obsahující VBScript) je spuštěn, vytvoří obrazový soubor "MONOPOLY.JPG" ve dočasné složce. Vytvoří také další dva soubory "MONOPOLY.WSH" a "MONOPOLY.VBE". Soubor VBE obsahuje šifrované VBScript a spouští soubor WSH.
Při spuštění VBE se zobrazí zpráva:
Bill Gates je vinen monopol. Zde je důkaz
Pak se zobrazí obrázek z obrazového souboru. Obrázek ukazuje tvář Billa Gatesa na herní desce Monopoly.
Rutina šíření červů je velmi blízká rutině viru "Melissa" . Červ zasílá každou adresu z adresáře aplikace Outlook. Zpráva obsahuje přiložený soubor "MONOPOLY.VBS".
Předmět:Bill Gates vtipText:Bill Gates je vinen monopol. Zde je důkaz. :-)
Warm také pošle další zprávu na následující adresy:
monopoly@mixmail.com, monpooly@telebot.com, mooponly@ciudad.com.ar,mloponoy@usa.net, yloponom@gnwmail.com
V této zprávě červ odešle seznam názvů a adres z adresáře aplikace Outlook, souborů ICQ UIN a informací získaných v registru systému Windows:
- Registrované uživatelské jméno a organizace
- Název síťového počítače
- DVD region
- Kód země a oblasti
- Jazyk
- Windows verze
- Úvodní stránka aplikace Internet Explorer
Po tom všem červ modifikuje systémový registr:
"HKEY_LOCAL_MACHINESoftwareOUTLOOK.Monopoly" = "True"
Tímto způsobem červa označuje počítač a nebude příště odesílat zprávy z tohoto počítače.
Demonstrace virů:
monopoly.jpg |
Zobrazit více
Zjistěte statistiky zranitelností šířících se ve vaší oblasti statistics.securelist.com