CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.

Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.

Email-Worm.Win32.Aliz

Classe Email-Worm
Plateforme Win32
Description

Détails techniques

C'est un virus-virus qui se propage via Internet, attaché à des e-mails infectés. Le ver lui-même est un fichier Windows PE EXE d'environ 4 Ko et écrit en assembleur. Le code de ver principal est compressé par un algorithme de compression de données aPLib intégré, de sorte que le code de ver d'origine est d'environ 6Kb.

Les messages infectés contiennent:

Sujet : différent (voir ci-dessous)
Corps : message HTML vide
Attacher : whatever.exe

Le sujet est construit aléatoirement à partir de variantes (str1 + str2 + … + str5):

 str1
 ----

 Fw:
 Fw: Re:

puis:

 str2 str3 str4 str5
 ---- ---- ---- ----

 Cool site web à vérifier !!      
 Beau site pour vous!       
 Photos chaudes j'ai trouvé :-)     
 quelques URL à voir?!      
 Images drôles ici hehe ;-)
 choses étranges - vérifiez-le              
 funky mp3s                                
 grande merde                                
 Musique intéressante                               
 beaucoup d'info                                

Pour s'exécuter à partir d'un message infecté, le ver utilise une faille de sécurité (vulnérabilité IFRAME, similaire à celle utilisée par le ver "Nimda" ). Ainsi, le ver peut être activé à partir d'un courrier électronique infecté simplement en lisant ou en prévisualisant le message.

Lorsqu'un fichier infecté est exécuté, la routine de décompression prend le contrôle, décompresse le code du ver principal dans la mémoire et y saute. Le code principal envoie ensuite des messages infectés aux adresses de messagerie trouvées dans WAB (Carnet d'adresses Windows). Pour envoyer des e-mails, le ver se connecte au serveur SMTP par défaut.

Le ver ne s'installe pas dans le système et n'est plus activé (sauf cas où un utilisateur clique à nouveau sur un e-mail joint).

Le ver n'a aucune routine de charge utile et ne se manifeste d'aucune façon.

La routine d'envoi d'e-mails contient des erreurs faibles et il semble que le ver ne puisse pas se propager sous de nombreuses configurations client-serveur de messagerie.

La chose la plus intéressante à propos du ver est le fait que la routine d'activation et de propagation (c'est la routine principale) est complète dans à peu près 3K de code exécutable.

Le ver contient le texte suivant:

::: iworm.alizee.by.mar00n! ikx2oo1 :::
en tapant ce texte je me rends compte que ce texte a été ajouté sur de nombreux sites de description d'av, parce que ce ver idiot pourrait être facilement un hype. Je me demande quelle av revendications [nom de l'entreprise] a arrêté le ver à haut risque avant qu'il pourrait échapper! ou merde comme ça. heh, ou ils boycottent mon virus à cause de ce texte. eh bien, il est assez facile pour les pauvres av d'ajouter ce ver; car il a été seulement publié comme source dans coderz # 2 … btw, loveletter * 2 puissance pure win32asm et seulement un fichier exe 4k. heh, vbs kiddies, phear win32asm. 🙂 thx à: bourdon! 29a, asmodée! ikx. salue à: starzer0! ikx, t-2000! ir, ultras! mtx & sweet gigaoctet … btw, burgemeester van sneek: ik zoek nog een baantje … (alignmentfillingtext)


Lien vers l'original