CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.

Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.

Email-Worm.Win32.Suppl

Classe Email-Worm
Plateforme Win32
Description

Détails techniques

Ceci est un virus-ver qui se propage via les canaux Internet joints à des messages électroniques en tant que document SUPPL.DOC MS Word97. Il a été publié dans plusieurs groupes de discussion en septembre 1999. Ce document a été créé en utilisant l'édition russe MS Word97, ce qui signifie que le ver a une origine russe ou xUSSR.

Pour s'installer sur le système, le ver utilise une méthode qui ne fonctionne pas sous WinNT et, par conséquent, le ver peut infecter et se propager à partir des systèmes Win9x uniquement.

Le ver a une charge utile très dangereuse: dans une semaine après avoir infecté un ordinateur, le ver efface, sur les lecteurs locaux et distants, les fichiers avec les extensions suivantes:


DOC XLS TXT RTF DBF ZIP ARJ RAR

La méthode d'effacement est la même que celle utilisée par le ver "ZippedFiles" , et les fichiers endommagés ne sont pas récupérables.

Installation

Le document infecté a juste une macro Document_Open qui est exécutée automatiquement lorsque MS Word ouvre le document. Cette macro copie son document dans le répertoire système Windows avec le nom ANTHRAX.INI, puis supprime son composant DLL (stocké dans le document infecté) dans le même répertoire avec le nom DLL.TMP. Ce composant DLL est supprimé via un fichier DLL.LZH temporaire compressé.

Le ver ajoute ensuite des instructions de renommage au fichier WININIT.INI. Ces instructions renommez le WSOCK32.DLL avec le nom WSOCK33.DLL et remplacez le WSOCK32.DLL par la bibliothèque DLL.TMP du ver. Cette astuce oblige Windows à remplacer son WSOCK32.DLL par une copie de ver au prochain redémarrage de Windows.

Lors de l'initialisation de ses DLL, Windows charge les DLL infectées (ver) au lieu des DLL d'origine et, par conséquent, le ver accède aux fonctions réseau.

Diffusion

Au prochain redémarrage de Windows, le fichier WSOCK32.DLL infecté est chargé dans la mémoire du système et obtient le contrôle. Le ver à ce moment obtient l'accès et intercepte toutes les fonctions de bibliothèque nécessaires que la bibliothèque WSOCK32 d'origine fait. Pour tous sauf deux, le ver transmet simplement les requêtes aux fonctions d'origine et, à cet effet, le ver charge également le fichier WSOCK33.DLL (bibliothèque d'origine) dans la mémoire de Windows.

Les deux fonctions sont traitées par le virus: leurs noms sont "send" et "connect". En utilisant ces fonctions, le ver intercepte des e-mails provenant de l'ordinateur infecté et joint sa copie à ces e-mails en tant que fichier SUPPL.DOC.


Lien vers l'original