English
Russian
Japanese
LatAm
Türkiye
Brasil
France
Český
Deutschland
CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.
Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.
Email-Worm.Win32.Hybris
| Classe | Email-Worm |
| Plateforme | Win32 |
| Description |
Détails techniquesC'est un ver Internet qui se propage aux messages électroniques. Le ver fonctionne uniquement sous les systèmes Win32. Le ver contient des composants (plugins) dans son code qui sont exécutés en fonction des besoins du ver, et ces composants peuvent être mis à jour à partir d'un site Web Internet. Les principales versions de ver sont cryptées avec une boucle de cryptage semi-polymorphique. Le ver contient les chaînes de texte:
Les cycles de vers La principale cible de ver sur un ordinateur est la bibliothèque WSOCK32.DLL. En infectant ce fichier, le ver:
Si le ver n'est pas capable d'infecter WSOCK32.DLL (au cas où il est utilisé et est verrouillé pour l'écriture), le virus crée une copie de cette bibliothèque (une copie de WSOCK32.DLL avec un nom aléatoire), l'infecte et écrit un Renommez l'instruction au fichier WININIT.INI. Par conséquent, WSOCK32.DLL sera remplacé par une image infectée lors du prochain démarrage de Windows. Le ver crée également sa copie avec un nom aléatoire dans le répertoire système Windows et l'enregistre dans la clé de Registre RunOnce: HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnce {Default} =% WinSystem% WormName
ou HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnce {Par défaut} =% WinSystem% WormName
où% WinSystem% est le répertoire système de Windows, et "WormName" est un nom aléatoire de huit symboles, par exemple:
Il n'y a qu'une seule raison possible d'enregistrer une copie de ver supplémentaire dans la clé de registre "RunOnce": dans le cas où WSOCK32.DLL n'a pas été infecté lors du premier ver, et sa copie infectée n'a pas été créée pour une raison quelconque la copie terminera la tâche lors du prochain redémarrage de Windows. WSOCK32.DLL infectéLe ver intercepte les fonctions Windows qui établissent une connexion réseau, y compris Internet. Le ver intercepte les données qui sont envoyées et reçues, et les analyse pour les adresses e-mail. Lorsqu'une / des adresse (s) est (sont) détectée (s), le ver attend pendant un certain temps et envoie un message infecté à cette / ces adresse (s). PluginsLa fonctionnalité du ver dépend des plugins qui sont stockés dans un corps de ver crypté avec un algorithme de chiffrement fort de type RSA avec une clé de 128 bits. Il y a jusqu'à 32 plugins qui peuvent être trouvés dans différentes versions de ver. Ces plugins effectuent différentes actions qui peuvent être mises à jour à partir d'une page Web:
donc la fonctionnalité complète du ver ne dépend que de son hôte capable de mettre à jour les plugins sur une page Web. Les plugins sur une page sont cryptés avec une crypto similaire à RSA. Le ver met également à jour ses plugins en utilisant le groupe de discussion alt.comp.virus. Le ver, actif sur une machine, se connecte à un serveur de news (en utilisant un des serveurs sélectionnés au hasard – il y a plus de 70 adresses dans la liste), convertit ses plugins en messages de newsgroups et les poste là. Les messages du ver ont un objet de type aléatoire, par exemple:
où les quatre premières corvées sont plugin "nom" et après quatre corvées sont une version "plugin" encodée. En plus de l'envoi, le ver lit ces messages depuis alt.comp.virus, obtient le plugin "name" et "version" et les compare avec les plugins actuellement utilisés par le ver. Dans le cas où le groupe de discussion a un message avec une version plus élevée du plugin, le ver l'extrait et remplace celui existant. Le ver utilise donc alt.comp.virus pour mettre à jour ses plugins. Le ver crée également ces plugins en tant que fichiers disque dans le répertoire système de Windows. Ils ont aussi un nom aléatoire, mais le ver continue à pouvoir y accéder. Les noms peuvent ressembler à ceci: BIBGAHNH.IBG Il existe plusieurs plugins connus qui: 1. Infecter toutes les archives ZIP et RAR sur tous les lecteurs disponibles de C: à Z :. Lors de l'infection, le ver renomme les fichiers EXE dans l'archive avec une extension .EX $ et ajoute sa copie avec une extension .EXE à l'archive (méthode d'infection associée). 2. Envoyez des messages avec des plugins encodés au groupe neews "alt.comp.virus", et obtenez de nouveaux plugins à partir de là. 3. Répandez le virus sur les machines distantes auxquelles est installé un cheval de Troie de porte dérobée SubSeven. Le plugin détecte de telles machines sur le Net, et en utilisant les commandes SubSeven, télécharge une copie de ver sur la machine et l'engendre là-dedans. 4. Chiffrez les copies de ver avec une boucle de chiffrement polymorphe avant d'envoyer la copie jointe à un courrier électronique. 5. En fonction de la date et de l'heure du système (les 16 et 24 septembre et à 59 minutes de chaque heure à partir de l'année 2001 – dans les plugins connus), l'effet "spirale" est exécuté. Le plugin crée un nom .EXE aléatoire de 8 octets dans le répertoire système Windows, décompresse le code EXE "effet spirale" et enregistre ce fichier dans le système:
6. Affecte les fichiers DOS EXE et Windows PE EXE. Le ver les affecte de sorte qu'ils deviennent des compte-gouttes de ver. Quand ils sont lancés, ils déposent le fichier EXE du ver dans le répertoire TEMP et l'exécutent. Tout en affectant DOS fichier EXE, le plugin ajoute le code du compte-gouttes et le corps de ver à la fin du fichier. Ces fichiers sont désinfectables. En affectant le fichier EXE de Windows PE, le plugin remplace la section de code de fichier pour obtenir un espace pour le code de ver, et écrit le code du compte de vers à cet espace (si sa taille est suffisante). Le plugin ne touche pas l'en-tête du fichier (y compris l'adresse du point d'entrée) et n'augmente pas la taille du fichier. En outre, il a une routine anti-CRC (chechsum) qui remplit des données spéciales dans le code de plugin de sorte que le CRC de fichier devient le même pour peu d'algorithmes de CRC couramment utilisés. Cela signifie que certains vérificateurs d'intégrité ne détecteront pas les modifications dans les fichiers concernés: la longueur du fichier et le CRC du corps de fichier restent les mêmes que sur un fichier propre. Lorsque ce fichier EXE PE est exécuté, le code du dropper supprime et active le ver, puis restaure (décompresse) la section de code et renvoie le contrôle au fichier hôte. 7. Sélectionnez aléatoirement un objet, un texte de message et un nom joint lors de l'envoi des copies de ver avec des messages électroniques: De:
Sujets:
Textes de message:
Joindre des noms:
Ainsi que (selon la version du plugin): Le message Sujet est une combinaison aléatoire de: Anna + sexe Raquel Darian sexy Xena chaud Xuxa le plus chaud Suzete cum éjaculation célèbre viol célébrité cornée cuir ... etc Joindre le nom:
Le nom de fichier joint peut également être un nom .EXE aléatoire huit octets, par exemple:
|
Lien vers l'original |
|
| Découvrez les statistiques de la propagation des menaces dans votre région |
