Hauptgruppierung: VirWare
Viren und Würmer sind bösartige Programme, die sich auf Computern oder in Computernetzwerken replizieren, ohne dass der Benutzer dies bemerkt. Jede nachfolgende Kopie solcher Schadprogramme kann sich auch selbst replizieren.Schädliche Programme, die sich über Netzwerke ausbreiten oder entfernte Maschinen infizieren, wenn dies vom "Eigentümer" (z. B. Hintertüren) verlangt wird, oder Programme, die mehrere Kopien erstellen, die sich nicht selbst replizieren können, gehören nicht zur Unterklasse Viren und Würmer.
Das Hauptmerkmal, das verwendet wird, um zu bestimmen, ob ein Programm als separates Verhalten innerhalb der Unterklasse Viren und Würmer klassifiziert ist, ist, wie sich das Programm verbreitet (dh wie das bösartige Programm Kopien von sich über lokale oder Netzwerkressourcen verbreitet).
Die meisten bekannten Würmer verteilen sich als Dateien, die als E-Mail-Anhänge gesendet werden, über einen Link zu einer Web- oder FTP-Ressource, über einen Link in einer ICQ- oder IRC-Nachricht, über P2P-Filesharing-Netzwerke usw.
Einige Würmer verbreiten sich als Netzwerkpakete; diese dringen direkt in den Computerspeicher ein und der Wurmcode wird dann aktiviert.
Würmer verwenden die folgenden Techniken, um entfernte Computer zu durchdringen und Kopien von sich selbst zu starten: Social Engineering (z. B. eine E-Mail-Nachricht, die darauf hinweist, dass der Benutzer eine angehängte Datei öffnet), Ausnutzen von Netzwerkkonfigurationsfehlern (z. B. Kopieren auf eine voll zugängliche Festplatte) Lücken in der Betriebssystem- und Anwendungssicherheit.
Viren können nach der Methode aufgeteilt werden, die zum Infizieren eines Computers verwendet wird:
Dateiviren
Boot-Sektor-Viren
Makroviren
Skriptviren
Jedes Programm in dieser Unterklasse kann zusätzliche Trojanerfunktionen haben.
Es sollte auch beachtet werden, dass viele Würmer mehr als eine Methode verwenden, um Kopien über Netzwerke zu verbreiten. Die Regeln zum Klassifizieren erkannter Objekte mit mehreren Funktionen sollten verwendet werden, um diese Arten von Würmern zu klassifizieren.
Kategorie: Email-Worm
E-Mail-Würmer verbreiten sich per E-Mail. Der Wurm sendet eine Kopie von sich selbst als Anhang an eine E-Mail-Nachricht oder einen Link zu seiner Datei auf einer Netzwerkressource (z. B. eine URL zu einer infizierten Datei auf einer kompromittierten Website oder einer Hacker-eigenen Website).Im ersten Fall wird der Wurmcode aktiviert, wenn der infizierte Anhang geöffnet (gestartet) wird. Im zweiten Fall wird der Code aktiviert, wenn der Link zur infizierten Datei geöffnet wird. In beiden Fällen ist das Ergebnis dasselbe: Der Wurmcode ist aktiviert.
Email-Würmer verwenden eine Reihe von Methoden, um infizierte E-Mails zu versenden. Die häufigsten sind:
Verwenden einer direkten Verbindung zu einem SMTP-Server mithilfe des E-Mail-Verzeichnisses, das in den Code des Wurms integriert ist
Verwenden von MS Outlook-Diensten
Verwenden von Windows MAPI-Funktionen.
Email-Würmer verwenden eine Reihe verschiedener Quellen, um E-Mail-Adressen zu finden, an die infizierte E-Mails gesendet werden:
das Adressbuch in MS Outlook
eine WAB-Adressdatenbank
.txt-Dateien, die auf der Festplatte gespeichert sind: Der Wurm kann feststellen, welche Zeichenfolgen in Textdateien E-Mail-Adressen sind
E-Mails im Posteingang (einige E-Mail-Würmer "antworten" sogar auf E-Mails im Posteingang)
Viele E-Mail-Würmer verwenden mehr als eine der oben aufgeführten Quellen. Es gibt auch andere Quellen für E-Mail-Adressen, z. B. Adressbücher für webbasierte E-Mail-Dienste.
Mehr Informationen
Plattform: Win32
Win32 ist eine API auf Windows NT-basierten Betriebssystemen (Windows XP, Windows 7 usw.), die die Ausführung von 32-Bit-Anwendungen unterstützt. Eine der am weitesten verbreiteten Programmierplattformen der Welt.Beschreibung
Technische Details
Allgemeine Charakteristiken
Dieser Wurm kann nur mit chinesischen Windows-Versionen arbeiten und verbreitet sich selbst, indem er infizierte E-Mail-Nachrichten sendet. Der Wurm besteht aus zwei Komponenten: einem Skriptprogramm und einer Windows PE EXE-Datei. Die erste Komponente (Skript) wird in infizierten E-Mails gesendet, infiziert den Computer, lädt dann eine EXE-Komponente herunter und führt sie aus, die die Infektion vervollständigt und die Wurmkopien weiter verbreitet.
Installation
Der Wurm kommt als HTML-Nachricht mit einem darin enthaltenen JavaScript-Programm an. Dieses Skript wird automatisch beim Öffnen einer Nachricht verarbeitet und der Wurmcode erhält die Kontrolle.
Hinweis:
Internetbrowser und E-Mail-Clients verfügen über integrierte Sicherheitsmechanismen, die verhindern, dass in Nachrichten eingebettete Skriptprogramme auf Datenträgerdateien und Systemressourcen zugreifen (der Wurm muss sich selbst verbreiten - siehe unten). Um das System von einer E-Mail-Nachricht zu infizieren, muss der Wurm diese Schutzmaßnahmen vermeiden. Zu diesem Zweck wird eine Internet Explorer 5-Sicherheitsverletzung ausgenutzt - eine sogenannte "Scriptlet.Typelib-Schwachstelle" (siehe unten).
Der Wurm sucht dann nach dem Startverzeichnis - er sucht nach Windows-Verzeichnissen in der folgenden Reihenfolge:
C: WINDOWSStart MenuPrograms-T-�
C: WINDOWStart MenuPrograms-T-�
C: WINStart-Menüprogramme-T-�
C: WIN98Starten Sie MenuPrograms-T-�
C: WIN95Starten Sie MenuPrograms-T-�
C: WINDOWS.000Start MenuPrograms-T-�
C: WINDOWS.001Starten Sie MenuPrograms-T-�
D: WINDOWSStart MenuPrograms-T-�
D: WINDOWStart MenuPrograms-T-�
D: WINStart-Menüprogramme-T-�
D: WIN98Starten Sie MenuPrograms-T-�
D: WIN95Start Menüprogramme-T-�
D: WINDOWS.000Start MenuPrograms-T-�
D: WINDOWS.001Starten Sie MenuPrograms-T-�
Falls es auf der Maschine keine solchen Verzeichnisse gibt, kann der Wurm das System nicht infizieren und kann sich nicht weiter ausbreiten. Die letzten Zeichen in jeder Zeile sind chinesische Zeichenfolgen und können nicht unter einer anderen lokalen Windows-Version verwendet werden. Aus diesem Grund kann der Wurm nur chinesische Windows beeinflussen.
Wenn ein geeignetes Verzeichnis gefunden wurde, erstellt der Wurm die Datei "Microsoft Internet Explorer.hta" dort. Diese Datei enthält eine HTML-Anwendung, die das Skriptprogramm eines weiteren Wurms enthält. Da die Datei im Windows-Startverzeichnis erstellt wird, wird sie beim nächsten Windows-Start ausgeführt.
Einmal ausgeführt "Microsoft Internet Explorer.hta" -Skript erstellt MSIE.INI-Datei im Windows-Systemverzeichnis und speichert die lokale SMTP-Server-Adresse in dort (der Wurm erhält diese SMTP-Server-Adresse aus der Systemregistrierung).
Hinweis:
Der SMTP-Server ist ein Computer, der E-Nachrichten vom Computer empfängt. In Fällen, in denen ein eigenständiger PC oder E-Mail-Server vorhanden ist, ist dies die Adresse des Anbieters oder eine andere Adresse, die als Host-E-Mail-Server zum Senden und Empfangen von E-Mails verwendet wird.
Danach erstellt der Wurm den "System" -Ordner im Windows-Systemverzeichnis (zum Beispiel "C: WINDOWSSYSTEMsystem") und versucht, die MSIE.EXE-Datei aus dem Internet herunterzuladen. Um dies zu tun, verbindet sich der Wurm mit einem der zehn FTP-Sites mit dem Skript für das Standard-Dienstprogramm FTP.EXE. Wenn der Download fehlschlägt, geht der Wurm in eine Schleife und versucht sie alle drei Minuten zu wiederholen.
Wenn die Datei MSIE.EXE heruntergeladen wird, führt der Wurm sie aus (MSIE.EXE extrahiert das Archiv selbst) und erhält zwei weitere Dateien:
EXPLORER.EXE
MSWINSCK.OCX
EXPLORER.EXE ist die zweite Wurmkomponente (Windows EXE-Datei) und MSWINSCK.OCX ist eine Bibliothek, um auf Windows-Sockets zuzugreifen.
Der Wurm startet dann die Datei EXPLORER.EXE, die die E-Mail-Adressen erhält und infizierte Nachrichten mit dem Skriptprogramm des Wurms sendet, indem er das SMTP-Protokoll verwendet. Um die E-Mail-Adressen der Opfer zu erfassen, durchsucht der Wurm den Unterverzeichnisbaum auf allen Laufwerken, sucht nach * .NCH-, * .SNM-, * .DBX-Dateien (Mail-Datenbankdateien), durchsucht diese und sucht nach E-Mail-Adressen.
Die EXPLORER.EXE des Wurms führt auch zusätzliche Aktionen aus. Zuallererst löscht es "Spuren" seiner Skriptkomponente und löscht Dateien, die von ihm erstellt wurden: MSIE.HTA, MSIE.LST, MSBOOT.BAT, MSIE.EXE. Es registriert sich dann in der Datei WIN.INI in dem "run =" Befehl, um automatisch bei jedem Windows-Start ausgeführt zu werden.
Der Wurm benachrichtigt auch seinen Autor (oder möglichen Host) über seine Anwesenheit auf dem infizierten Computer. Dazu sendet er eine Nachricht an eine der folgenden Adressen:
leebill_001@yahoo.com
leebill_002@yahoo.com
...
leebill_023@yahoo.com
Es gibt 23 mögliche Adressen, und der Wurm wählt zufällig eine davon aus.
Nutzlast
Der Wurm hat eine "Hintertür" - Nutzlast, die auf einen entfernten Host "hört" und seine Befehle ausführt: ein Verzeichnis anzeigen, Datei öffnen / schließen / erstellen / ausführen / löschen usw
Demo-Versionen von Kaspersky AntiViral Toolkit Pro (AVP) zur Bekämpfung des Unicle-Wurms finden Sie auf der Website von Kaspersky unter http://www.kasperskylab.ru/eng/products/eval.asp.
Sie können die voll funktionsfähige Version von AntiViral Toolkit Pro online über das Internet unter der folgenden Adresse erwerben: http://www.kasperskylab.ru/eng/buy/default.asp
Wie schützt man sich gegen "Unicle" Wurm?
Microsoft hat ein Update veröffentlicht, das die Sicherheitsanfälligkeit "Scriptlet.TypeLib" beseitigt. Wir empfehlen dringend, dass Sie http://support.microsoft.com/support/kb/articles/Q240/3/08.ASP besuchen und dieses Update installieren.
Wenn Sie keine HTML-Anwendungen (HTA-Dateien) verwenden, gibt es eine andere Möglichkeit, eine Infektion durch Viren dieses Typs zu verhindern (die Würmer und Viren, die die Sicherheitslücke "Scriptlet.Typelib" verwenden). Sie müssen die Dateizuordnung für die Erweiterung .HTA entfernen. Um dies zu tun, müssen Sie die folgenden Schritte ausführen:
1. Doppelklicken Sie auf dem Desktop auf das Symbol "Arbeitsplatz".
2. Im erscheinenden Fenster wählen Sie das Menü "Ansicht" -> "Optionen ...".
3. Wählen Sie auf der Registerkarte "Dateitypen" im Listenfeld "Registrierte Dateitypen" den Eintrag "HTML Applicaton".
4. Klicken Sie auf "Entfernen" und bestätigen Sie die Aktion.
5. Schließen Sie das Dialogfeld Optionen.
Mehr erfahren
Informieren Sie sich über die Statistiken der in Ihrer Region verbreiteten Sicherheitslücken statistics.securelist.com