CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.

Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.

Email-Worm.Win32.Toil

Classe Email-Worm
Plateforme Win32
Description

Détails techniques

Il s'agit d'un virus qui se propage via Internet relié à un courrier électronique infecté et qui infecte des applications Win32 sur des ordinateurs locaux et des ressources réseau. Il utilise la bibliothèque {"Win32.InvictusDLL": Win32_InvictusDLL} pour infecter des fichiers.

La structure des fichiers infectés apparaît comme suit:

  � ================== � 
  � infecté � 
  � hébergeur de fichiers � 
  � � 
  � -------------------- �� 
  ��polymorphic code �� 
  �� INVICTUS �� 
  �� �� 
  � + ------------------- + � 
 INVbody INVICTUS.DLL �� 
  � + ------------------- + � 
  ��worm corps �� 
 ----L -------------------- � 
 L ================= -

Lorsqu'un fichier infecté est lancé, le flux de contrôle est transmis au code polymorphe de la bibliothèque INVICTUS – soit immédiatement, si le point d'entrée du programme pointe directement sur le code du virus, ou en fonction de la structure de l'hôte. " a été utilisé. Ce code décrypte et crée, sur un disque, la bibliothèque INVICTUS.DLL dans un dossier% SYSTEM% et le code du ver dans un dossier% TEMP% avec un nom de fichier aléatoire, puis lance le ver.

Le fichier du ver est une application Windows (fichier PE EXE) d'une longueur d'environ 8 Ko, écrite en assembleur.

Installation

Lorsque le ver est lancé, il s'installe dans le système, puis active sa routine d'envoi de messages électroniques et d'infection des fichiers Win32, ainsi que la routine de charge utile.

Lors de l'installation, le ver se copie dans un répertoire Windows avec un nom de fichier arandom et écrit les valeurs suivantes dans SYSTEM.INI:

[boot] shell = Explorer.exe% nom de ver% Ceci est fait pour que le ver ne se lance pas au démarrage de Windows (seulement sous Windows 9x / ME).

Diffusion

Le ver utilise un moteur de recherche "ICQ White pages" pour trouver des adresses e-mail. Il envoie une requête de recherche au moteur, puis extrait les adresses électroniques des résultats de la recherche (à partir d'une page HTML contenant les résultats de la recherche). Les mots pour la requête de recherche sont choisis dans la liste suivante:

MPB
sexe
histoire
mp3
copains
avion
ferrari
orgasme
relation amicale
Merde
amour
des sports
fête
chatte
Etats-Unis
l'audio

Le ver envoie des messages infectés à tous les e-mails trouvés. Le ver utilise une connexion directe à un serveur SMTP, qui est sélectionné par le ver.

Les messages infectés contiennent un corps vide et son sujet est sélectionné dans la liste suivante:

Ben Laden toillete papier !!
Sadam Hussein & BinLaden DANS L'AMOUR
Bush baise Ben Laden à peine <: P
Oussama Ben Laden est-il MAUVAIS?
Etats-Unis contre la Convention de Genève?
Le courrier de Anthrax est vrai (pas une blague)
Armes biologiques: prévenir!
Enfoncer un mollah à Islamabad
O papel higienico de Ben Laden!
Sadam e BinLaden apaixonados
Bush fudendo Ben Laden <: P
Ser� que o Oussama � mal-amado?
EUA agride conven�ao de genova?
Antraz pelo correio (verdade)
Armas biologicas: Previna-se!
Fudendo à mulâtres à Islamabad
Bin Landen Toalettpapper
Sadam Hussein et BinLaden �rf�r�lsk
ade Bush knullar Ben Laden h�rt <: P
Osr Oussama Ben Laden inte �lskad?
États-Unis d'Amérique Geneve �verenskom melsen?
Anthrax brevet spécifique (det �r inget sk�mt)
Biologiska vapen: F�rhindra!
Knulla en musulman à Islamabad
papier toillette Ben Laden
Sadam & BinLaden EN AMOUR
Bush nique � donf Bin Laden <: P
Oussama Ben Laden Mal Aimé?
Usa contre la convention de Geneve?
Le courrier Anthrax existe vraiment
Arme Biologique: Pr�ventions!
Baiser un mullah � Islamabad
Xarti toualetas Bin Landen !!
Hussein et Ben Laden, ERASTES
O Bush gamaei agria ton Ben Laden
Einai o Osama apotuximenos ston erwta?
Amerikh enantia sto synedrio tis Gênes?
H épistoles moi Antraka, einai gegonos
Biologika wpla: Prostasie!
Gamontas ena Moula sto Islamabad

Nom de pièce jointe : BINLADEN_BRASIL.EXE

Le ver utilise une faille de sécurité IFRAME dans Microsoft Internet Explorer dans ses messages, il peut donc se lancer automatiquement lors de l'affichage d'un message infecté.

Infecter des fichiers sur des disques locaux

Le ver infecte les fichiers suivants dans un répertoire Windows:

HH.EXE
NETSTAT.EXE
CALC.EXE

En outre, le ver trouve tous les programmes dans l'application Windows (la plupart des applications lancées sur l'ordinateur sont enregistrées ici) et les infecte. Ensuite, le ver trouve une copie lancée de EXPLORER.EXE, le ferme et infecte le fichier.

Infecter des fichiers sur les ressources réseau

Le ver énumère les ressources réseau (disques distants et répertoires) et s'y connecte. Il essaie de se copier sur les ressources réseau avec un nom de fichier aléatoire dans les répertoires suivants:

GAGNER
WIN2000
WIN2K
WINNT
LES FENÊTRES
WINXP

et s'enregistre dans un système distant pour démarrer automatiquement avec Windows (Windows 9x / ME uniquement).

Routine de charge utile

Selon le compteur aléatoire, le ver dessine la chaîne suivante un nombre aléatoire de fois avec une couleur aléatoire:

ALA DIO GOTT ZÉRO JEOVA KRISHNA OXALA DIEU DIEU SHIVA TUPA DIOS DEUS

et affiche une boîte de message:

Ensuite, le ver "dort" pendant 10 secondes, et dérange le contenu de l'écran.

Autre

Le ver essaie de trouver et de fermer les fenêtres suivantes:

Antiviral Toolkit Pro
Moniteur AVP
Norton AntiVirus
Alarme de zone
Liberté
Avconsol
McAfee VirusScan
Vshwin32

Le ver crée la clé de registre suivante:

HKLMSoftwareMicrosoftWindowsCurrentVersionNetworkLanManBinLaden

et définit ses valeurs de sorte qu'il permet un accès complet au lecteur C: à partir d'un réseau local.

Le ver supprime la clé de registre suivante:

HKLMSystemCurrentControlSetServicesVxDNAVAP

et la valeur de registre suivante:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
Norton Auto-Protect

Le ver écrit tous les mots de passe réseau mis en cache dans% WINDOWS% BinLaden.ini.

Le ver contient le texte suivant:

Greetz: Alevirus, Anaktos, Satanicoder, Ultras, Vecna, Z0mbie, tous les ppl dans #vxers
Et bien sûr, Oussama Ben Laden. Garde le bon boulot avec Antrhax, mec!
irc.undernet.org | #vxers
www.nbk.hpg.com.br
www.coderz.net/mtxvx
Codé par NBK [MATRiX]
Tous les HATS USA brésiliens … Essayez d'obtenir Amazon FROM US


Lien vers l'original