English
Russian
Japanese
LatAm
Türkiye
Brasil
France
Český
Deutschland
CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.
Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.
Email-Worm.Win32.Toil
| Classe | Email-Worm |
| Plateforme | Win32 |
| Description |
Détails techniquesIl s'agit d'un virus qui se propage via Internet relié à un courrier électronique infecté et qui infecte des applications Win32 sur des ordinateurs locaux et des ressources réseau. Il utilise la bibliothèque {"Win32.InvictusDLL": Win32_InvictusDLL} pour infecter des fichiers. La structure des fichiers infectés apparaît comme suit: � ================== � � infecté � � hébergeur de fichiers � � � � -------------------- �� ��polymorphic code �� �� INVICTUS �� �� �� � + ------------------- + � INVbody INVICTUS.DLL �� � + ------------------- + � ��worm corps �� ----L -------------------- � L ================= - Lorsqu'un fichier infecté est lancé, le flux de contrôle est transmis au code polymorphe de la bibliothèque INVICTUS – soit immédiatement, si le point d'entrée du programme pointe directement sur le code du virus, ou en fonction de la structure de l'hôte. " a été utilisé. Ce code décrypte et crée, sur un disque, la bibliothèque INVICTUS.DLL dans un dossier% SYSTEM% et le code du ver dans un dossier% TEMP% avec un nom de fichier aléatoire, puis lance le ver. Le fichier du ver est une application Windows (fichier PE EXE) d'une longueur d'environ 8 Ko, écrite en assembleur. Installation Lorsque le ver est lancé, il s'installe dans le système, puis active sa routine d'envoi de messages électroniques et d'infection des fichiers Win32, ainsi que la routine de charge utile. Lors de l'installation, le ver se copie dans un répertoire Windows avec un nom de fichier arandom et écrit les valeurs suivantes dans SYSTEM.INI: [boot] shell = Explorer.exe% nom de ver% Ceci est fait pour que le ver ne se lance pas au démarrage de Windows (seulement sous Windows 9x / ME). Diffusion Le ver utilise un moteur de recherche "ICQ White pages" pour trouver des adresses e-mail. Il envoie une requête de recherche au moteur, puis extrait les adresses électroniques des résultats de la recherche (à partir d'une page HTML contenant les résultats de la recherche). Les mots pour la requête de recherche sont choisis dans la liste suivante:
Le ver envoie des messages infectés à tous les e-mails trouvés. Le ver utilise une connexion directe à un serveur SMTP, qui est sélectionné par le ver. Les messages infectés contiennent un corps vide et son sujet est sélectionné dans la liste suivante:
Nom de pièce jointe : BINLADEN_BRASIL.EXE Le ver utilise une faille de sécurité IFRAME dans Microsoft Internet Explorer dans ses messages, il peut donc se lancer automatiquement lors de l'affichage d'un message infecté. Infecter des fichiers sur des disques locaux Le ver infecte les fichiers suivants dans un répertoire Windows:
En outre, le ver trouve tous les programmes dans l'application Windows (la plupart des applications lancées sur l'ordinateur sont enregistrées ici) et les infecte. Ensuite, le ver trouve une copie lancée de EXPLORER.EXE, le ferme et infecte le fichier. Infecter des fichiers sur les ressources réseau Le ver énumère les ressources réseau (disques distants et répertoires) et s'y connecte. Il essaie de se copier sur les ressources réseau avec un nom de fichier aléatoire dans les répertoires suivants:
et s'enregistre dans un système distant pour démarrer automatiquement avec Windows (Windows 9x / ME uniquement). Routine de charge utile Selon le compteur aléatoire, le ver dessine la chaîne suivante un nombre aléatoire de fois avec une couleur aléatoire:
et affiche une boîte de message:
Ensuite, le ver "dort" pendant 10 secondes, et dérange le contenu de l'écran. Autre Le ver essaie de trouver et de fermer les fenêtres suivantes:
Le ver crée la clé de registre suivante:
et définit ses valeurs de sorte qu'il permet un accès complet au lecteur C: à partir d'un réseau local. Le ver supprime la clé de registre suivante:
et la valeur de registre suivante:
Le ver écrit tous les mots de passe réseau mis en cache dans% WINDOWS% BinLaden.ini. Le ver contient le texte suivant:
|
Lien vers l'original |
|
| Découvrez les statistiques de la propagation des menaces dans votre région |
