Hauptgruppierung: VirWare
Viren und Würmer sind bösartige Programme, die sich auf Computern oder in Computernetzwerken replizieren, ohne dass der Benutzer dies bemerkt. Jede nachfolgende Kopie solcher Schadprogramme kann sich auch selbst replizieren.Schädliche Programme, die sich über Netzwerke ausbreiten oder entfernte Maschinen infizieren, wenn dies vom "Eigentümer" (z. B. Hintertüren) verlangt wird, oder Programme, die mehrere Kopien erstellen, die sich nicht selbst replizieren können, gehören nicht zur Unterklasse Viren und Würmer.
Das Hauptmerkmal, das verwendet wird, um zu bestimmen, ob ein Programm als separates Verhalten innerhalb der Unterklasse Viren und Würmer klassifiziert ist, ist, wie sich das Programm verbreitet (dh wie das bösartige Programm Kopien von sich über lokale oder Netzwerkressourcen verbreitet).
Die meisten bekannten Würmer verteilen sich als Dateien, die als E-Mail-Anhänge gesendet werden, über einen Link zu einer Web- oder FTP-Ressource, über einen Link in einer ICQ- oder IRC-Nachricht, über P2P-Filesharing-Netzwerke usw.
Einige Würmer verbreiten sich als Netzwerkpakete; diese dringen direkt in den Computerspeicher ein und der Wurmcode wird dann aktiviert.
Würmer verwenden die folgenden Techniken, um entfernte Computer zu durchdringen und Kopien von sich selbst zu starten: Social Engineering (z. B. eine E-Mail-Nachricht, die darauf hinweist, dass der Benutzer eine angehängte Datei öffnet), Ausnutzen von Netzwerkkonfigurationsfehlern (z. B. Kopieren auf eine voll zugängliche Festplatte) Lücken in der Betriebssystem- und Anwendungssicherheit.
Viren können nach der Methode aufgeteilt werden, die zum Infizieren eines Computers verwendet wird:
Dateiviren
Boot-Sektor-Viren
Makroviren
Skriptviren
Jedes Programm in dieser Unterklasse kann zusätzliche Trojanerfunktionen haben.
Es sollte auch beachtet werden, dass viele Würmer mehr als eine Methode verwenden, um Kopien über Netzwerke zu verbreiten. Die Regeln zum Klassifizieren erkannter Objekte mit mehreren Funktionen sollten verwendet werden, um diese Arten von Würmern zu klassifizieren.
Kategorie: Email-Worm
E-Mail-Würmer verbreiten sich per E-Mail. Der Wurm sendet eine Kopie von sich selbst als Anhang an eine E-Mail-Nachricht oder einen Link zu seiner Datei auf einer Netzwerkressource (z. B. eine URL zu einer infizierten Datei auf einer kompromittierten Website oder einer Hacker-eigenen Website).Im ersten Fall wird der Wurmcode aktiviert, wenn der infizierte Anhang geöffnet (gestartet) wird. Im zweiten Fall wird der Code aktiviert, wenn der Link zur infizierten Datei geöffnet wird. In beiden Fällen ist das Ergebnis dasselbe: Der Wurmcode ist aktiviert.
Email-Würmer verwenden eine Reihe von Methoden, um infizierte E-Mails zu versenden. Die häufigsten sind:
Verwenden einer direkten Verbindung zu einem SMTP-Server mithilfe des E-Mail-Verzeichnisses, das in den Code des Wurms integriert ist
Verwenden von MS Outlook-Diensten
Verwenden von Windows MAPI-Funktionen.
Email-Würmer verwenden eine Reihe verschiedener Quellen, um E-Mail-Adressen zu finden, an die infizierte E-Mails gesendet werden:
das Adressbuch in MS Outlook
eine WAB-Adressdatenbank
.txt-Dateien, die auf der Festplatte gespeichert sind: Der Wurm kann feststellen, welche Zeichenfolgen in Textdateien E-Mail-Adressen sind
E-Mails im Posteingang (einige E-Mail-Würmer "antworten" sogar auf E-Mails im Posteingang)
Viele E-Mail-Würmer verwenden mehr als eine der oben aufgeführten Quellen. Es gibt auch andere Quellen für E-Mail-Adressen, z. B. Adressbücher für webbasierte E-Mail-Dienste.
Mehr Informationen
Plattform: Win32
Win32 ist eine API auf Windows NT-basierten Betriebssystemen (Windows XP, Windows 7 usw.), die die Ausführung von 32-Bit-Anwendungen unterstützt. Eine der am weitesten verbreiteten Programmierplattformen der Welt.Beschreibung
Technische Details
Dies ist ein Virus-Wurm, der sich unter Win32-Systemen verbreitet. Der Virus infiziert ausführbare Win32-Dateien, versucht, E-Mail-Nachrichten mit infizierten angehängten Dateien zu senden, und installiert eine Backdoor-Komponente zum Herunterladen und Erstellen von "Plugins" auf einem betroffenen System. Der Wurm verursachte eine weltweite Epidemie von September bis Oktober 2000.
Das Virus hat eine ungewöhnliche Struktur. Es besteht aus drei verschiedenen Komponenten, die als eigenständige Programme ausgeführt werden (Virus, E-Mail-Wurm und Backdoor). Der Virus ist die Hauptkomponente und hält die Wurm- und Backdoor-Programme in seinem Code in komprimierter Form. Während das System infiziert wird, extrahiert und erzeugt das Virus sie:
Virus-Struktur
� =============== - � Der Virus � -> installiert Wurm und Backdoor im System, � Installation � findet und infiziert anschließend ausführbare Win32-Dateien � und Infektion � � Routinen � � --------------- � � Worm code � -> wird in die Datei extrahiert und als eigenständiges Programm ausgeführt � (komprimiert) � � --------------- � � Backdoor-Code � -> wird in die Datei extrahiert und als eigenständiges Programm ausgeführt � (komprimiert) � L ============= -
Infizierte EXE-Datei
� =============== - � Dateicode � � und Daten � � � � =============== � � Virencode: � � --------------- � �� Installation�� ��und Infektion�� � + ------------- + � �� Wurm �� � + ------------- + � �� Hintertür �� �L -------------- � L ============= -
Der Wurm-Code enthält nicht alle notwendigen Routinen, um das System zu infizieren. Er wird als Attach in einer infizierten E-Mail-Nachricht gesendet (siehe unten). Der Wurm benötigt "Hilfe" von der Virus-Komponente und wird als infiziert durch den Virus gesendet (die Wurm-Datei wird vom Virus als gewöhnliche Datei infiziert und dann gesendet). Der Grund für eine solche Methode ist unklar, aber wahrscheinlich wurden die Komponenten von verschiedenen Personen geschrieben.
Die Virus-Komponente enthält die Textstrings:
SABI�.b ViRuS
Software zur Verfügung gestellt von [MATRiX] VX TeAm: Ultras, Mort, NBK, LOrd DArk, Del_Armg0, Anaktos
Greetz: Alle VX-Typen in #virus und Vecna helfen uns
Besuch uns in:
http://www.coderz.net/matrix
Die Wurmkomponente enthält die Textstrings:
Software zur Verfügung gestellt von [MATRiX] VX-Team:
Ultras, Mort, Nbk, LOrd DArk, Del_Armg0, Anaktos
Greetz:
Alle VX-Typ auf # Virus-Kanal und Vecna
Besuchen Sie uns: www.coderz.net/matrix
Die Hintertür enthält den Text:
Software vom [MATRiX] Team:
Ultras, Mort, Nbk, LOrd DArk, Del_Armg0, Anaktos
Greetz:
Vecna 4 Quellcodes und Ideen
Die Viruskomponente
Der Virus verwendet die "Entry Point Obscuring" -Technologie, während er eine Datei infiziert. Das bedeutet, dass der Virus die Datei nicht an seinem Eingangscode beeinflusst, sondern einen "Jump Virus" -Befehl irgendwo in der Mitte des Dateicode-Abschnitts platziert, um Erkennungs- und Desinfektionsverfahren komplexer zu machen. Daher wird der Virus nur aktiviert, wenn der Zweig eines entsprechenden betroffenen Programms die Kontrolle erhält.
Der Virus ist auch verschlüsselt, also entschlüsselt er sich zuerst, wenn sein Code die Kontrolle erlangt. Der Virus sucht dann nach den erforderlichen Win32-API-Funktionen, indem er den Win32-Kernel scannt. Um dies zu tun, versucht der Virus die Adressen Win9x, WinNT und Win2000.
Der Virus sucht dann nach Antivirenprogrammen, die im System aktiv sind, und beendet das Programm, falls einer von ihnen entdeckt wird. Die Liste der Antivirenprogramme, denen das Virus Aufmerksamkeit schenkt, sieht folgendermaßen aus:
AntiViral Toolkit Pro
AVP-Monitor
Vsstat
Webscanx
Avconsol
McAfee VirusScan
Vshwin32
Zentral ist McAfee VirusScan
Als nächstes installiert der Virus seine Komponenten auf dem System. Sie werden dekomprimiert in das Windows-Verzeichnis installiert und anschließend erzeugt. Es sind drei Dateien erstellt worden, und sie haben einen versteckten Attributsatz und die folgenden Namen:
IE_PACK.EXE - reiner Wurmcode
WIN32.DLL - Wurmcode, der vom Virus infiziert ist (oben als "Infizierte Datei")
MTX_.EXE - Backdoor-Code
Der Virus infiziert anschließend ausführbare PEEXE-Dateien von Win32 in aktuellen, temporären und Windows-Verzeichnissen und wird anschließend beendet.
Wurm
Um infizierte Nachrichten zu versenden, verwendet der Wurm Technologien, die zum ersten Mal im Internet-Wurm "Happy" (aka Happy99, aka SKA) gefunden wurden.
Der Wurm wirkt sich auf die WSOCK32.DLL-Datei im Windows-Systemverzeichnis aus, indem eine Komponente des Codes an das Ende der Datei angehängt und die WSOCK32.DLL-Routine "send" angehängt wird. Der Wurm überwacht daraufhin alle Daten, die von einem betroffenen Computer an das Internet gesendet werden.
Normalerweise wird die WSOCK32.DLL-Datei in dem Moment verwendet, in dem der Wurm startet und zum Schreiben gesperrt ist. Um dies zu vermeiden, verwendet der Wurm eine Standardmethode: Er erstellt eine Kopie der ursprünglichen WSOCK32.DLL mit einem WSOCK32.MTX-Namen, wirkt sich auf diese Kopie aus und schreibt dann "Ersetze ursprüngliche Datei mit infiziert" in die WININIT.INI-Datei:
NUL = C: WINDOWSSYSTEMWSOCK32.DLL
C: WINDOWSSYSTEMWSOCK32.DLL = D: WINDOWSSYSTEMWSOCK32.MTX
Dabei steht "C: WINDOWSSYSTEM" für den Namen des Windows-Systemverzeichnisses und kann abhängig vom Namen des installierten Windows-Verzeichnisses abweichen.
Beim nächsten Neustart ersetzt der infizierte WSOCK32 den ursprünglichen und der Wurm erhält Zugriff auf Daten, die vom infizierten Rechner gesendet werden. Der Wurm achtet auf besuchte Internetseiten (Web, ftp) sowie auf E-Mail-Nachrichten, die von einem Computer gesendet werden.
Das sehr sichtbare Verhalten des Virus beruht auf der Tatsache, dass es die Möglichkeit des Besuchs mehrerer Internet-Sites verhindert und das Senden von Nachrichten an dieselben Domains verhindert (sie sind Anti-Virus-Domainnamen). Der Virus erkennt sie anhand von Kombinationen aus vier Buchstaben, die wie folgt aussehen:
Nii.
Nai.
avp.
f-se
Mapl
pand
Soph
ndmi
eine Gebühr
Yenn
Lywa
tbav
Yman
Der Wurm erlaubt auch nicht das Senden von E-Mail-Nachrichten an diese Domänen:
wildlist.o *
il.esafe.c *
Perfektes *
complex.is *
HiServ.com *
hiserv.com *
metro.ch *
beyond.com *
Mcafee.com *
Pandasoftw *
Erdverbindung
inexar.com *
komkom.co. *
meditrade. *
mabex.com *
cellco.com *
symantec.c *
erfolgreich*
inframp.n *
newell.com *
singnet.co *
bmcd.com.a *
bca.com.nz *
Trend Micro*
sophos.com *
maple.com. *
netsales.n *
f-sicher.c *
Der Wurm fängt auch E-Mail-Nachrichten ab, die gesendet werden, und versucht, eine doppelte Nachricht mit einem infizierten Anhang an die gleiche Adresse zu senden (dasselbe wie der Wurm "Happy"). Als Ergebnis sollte eine Opferadresse zwei Nachrichten erhalten: erstens ist die ursprüngliche Nachricht, die von einem Absender geschrieben wurde; zweitens kommt eine Nachricht mit einem leeren Betreff und Text und einer angehängten Datei, die einen der Namen hat, die vom Wurm abhängig vom aktuellen Datum ausgewählt werden:
README.TXT.pif
I_wanna_see_YOU.TXT.pif
MATRiX_Screen_Saver.SCR
LOVE_LETTER_FOR_YOU.TXT.pif
NEW_playboy_Screen_saver.SCR
BILL_GATES_PIECE.JPG.pif
TIAZINHA.JPG.pif
FEITICEIRA_NUA.JPG.pif
Geocities_Free_sites.TXT.pif
NEW_NAPSTER_site.TXT.pif
METALLICA_SONG.MP3.pif
ANTI_CIH.EXE
INTERNET_SECURITY_FORUM.DOC.pif
ALANIS_Screen_Saver.SCR
READER_DIGEST_LETTER.TXT.pif
WIN_ $ 100_NOW.DOC.pif
IS_LINUX_GOOD_ENOUGH! .TXT.pif
QI_TEST.EXE
AVP_Updates.EXE
SEICHO-NO-IE.EXE
YOU_are_FAT! .TXT.pif
FREE_xxx_sites.TXT.pif
I_am_sorry.DOC.pif
Me_nude.AVI.pif
Sorry_about_yesterday.DOC.pif
Protect_your_credit.HTML.pif
JIMI_HMNDRIX.MP3.pif
HANSON.SCR
FUCKING_WITH_DOGS.SCR
MATRiX_2_is_OUT.SCR
zipped_files.EXE
BLINK_182.MP3.pif
Als angehängte Datei verwendet der Wurm die Datei WIN32.DLL, die von der Viruskomponente gelöscht wurde.
Hinweis: Der Wurm löscht die WIN32.DLL-Datei nicht, sondern verwendet diese Datei, um sie an gesendete Nachrichten anzuhängen. Der "reine Wurm" kann sich also nicht mehr als einmal verbreiten: Wird der Wurm auf einer Opfermaschine ausgeführt, infiziert er WSOCK32.DLL, kann aber seine Kopien nicht weiter senden. Um dieses Problem zu beheben, sendet der Wurm seine infizierte Kopie (WIN32.DLL ist eine Wurm-Komponente, die von einer Virus-Komponente infiziert ist, siehe oben).
Die bekannte Wurm-Modifikation hat einen Fehler in ihrer Verbreitungsroutine, und der E-Mail-Server empfängt in vielen Fällen keine betroffenen Nachrichten von dem infizierten Computer. Trotzdem, wenn das System eine DFÜ-Verbindung hat oder der Mail-Server schnell genug ist, sendet der Wurm seine Kopien ohne Probleme.
Hintertür
Wenn sie ausgeführt wird, erstellt eine Backdoor-Komponente einen neuen Schlüssel in der Systemregistrierung, der anzeigt, dass der Computer bereits infiziert ist:
HKLMSoftware [MATRIX]
Wenn dieser Schlüssel vorhanden ist, überspringt die Backdoor den Installationsvorgang. Ansonsten registriert es sich im Auto-Run-Bereich:
HKLMSoftwareMicrosoftWindowsCurrentVersionRun
SystemBackup =% WinDir% MTX_.EXE
Wo% WinDir% ist Windows-Verzeichnis.
Die Backdoor bleibt dann in Windows als versteckte Anwendung (Dienst) aktiv und führt eine Routine aus, die sich mit einem Internetserver verbindet, Dateien von dort abruft und sie im System erzeugt. So kann die Backdoor das System mit anderen Viren infizieren oder Trojaner-Programme oder funktionalere Backdoors installieren.
Diese Komponente in der bekannten Virus-Version hat auch einen Fehler, der standardmäßig eine Windows-Nachricht über einen Fehler in der Anwendung verursacht, wenn eine Hintertür versucht, auf eine Internet-Site zuzugreifen.
Mehr erfahren
Informieren Sie sich über die Statistiken der in Ihrer Region verbreiteten Sicherheitslücken statistics.securelist.com