CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.

Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.

Email-Worm.Win32.Fizzer

Classe Email-Worm
Plateforme Win32
Description

Détails techniques

Fizzer est un ver Internet qui se propage via les messages e-mail et les répertoires partagés KaZaa. Il contient également des fonctionnalités d'accès à distance "backdoor".

Installation

Lorsque le ver est lancé, il crée les fichiers suivants dans le répertoire Windows:

iservc.exe (copie du ver) initbak.dat (copie du ver) ProgOp.exe (composant du ver) iservc.dll (bibliothèque du keylogger utilisée par le ver) iservc.klg (contient des données de frappe enregistrées)

Le ver écrit également une clé de registre pour se lancer automatiquement au démarrage de Windows:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun SystemInit = (Chemin du répertoire Windows) iservc.exe

Sous Windows NT / 2000 / XP, le ver est capable de créer un service système, mais cette fonctionnalité est désactivée par son auteur.

Il s'enregistre également en tant que gestionnaire par défaut pour les fichiers avec l'extension ".TXT" – ce qui entraîne l'exécution du ver lors de l'ouverture de ces fichiers.

Réplication: KaZaa

Le ver se copie dans le répertoire de téléchargement de KaZaa avec des noms de fichiers aléatoires.

Réplication: E-mail

Le ver utilise son propre moteur SMTP pour envoyer ses copies. Les adresses de messagerie de destination sont générées ou extraites de manière aléatoire à partir des carnets d'adresses Outlook et Windows.

Les messages infectés ont différents sujets, corps et noms de pièces jointes sélectionnés. Ils sont générés à partir de plusieurs grandes listes de chaînes. Par exemple:

Sujet: Re:; (Pièce jointe: desktop.exe Corps: vous ne devez montrer cela à personne … Sujet: Re: Je pense que vous pourriez trouver cela amusant … Pièce jointe: Logan6.exe Corps: Faites-moi savoir ce que vous pensez de cela … Sujet: Fwd: pourquoi? Pièce jointe: Taylor83.com Corps: Aujourd'hui est un bon jour pour mourir …

Backdoor routine: IRC

Le ver contient une liste de canaux IRC auxquels il tente de se connecter pour recevoir des commandes d'accès distant d'un attaquant.

Backdoor routine: Autre

Le ver démarre les serveurs HTTP et Telnet et les lie aux ports préconfigurés pour fournir un accès distant à l'ordinateur.

Autre

Le ver capture toutes les frappes et les écrit dans le fichier nommé "iservc.klg" dans le répertoire Windows. Il essaie également de télécharger et d'installer sa version mise à jour à partir d'une page utilisateur geocities. Le ver tente de terminer les processus contenant les chaînes suivantes dans leurs noms:

ANTIV AVP F-PROT NAV NMAIN SCAN TASKM VIRUS VSHW VSS

La plupart des options, telles que les noms de clé de registre, les noms de serveur IRC et SMTP, les numéros de port et les séquences d'action sont préconfigurées dans un fichier de données spécial crypté et stocké dans les ressources du fichier EXE du ver.


Lien vers l'original