Classe pour les parents: VirWare
Les virus et les vers sont des programmes malveillants qui s'auto-répliquent sur des ordinateurs ou via des réseaux informatiques sans que l'utilisateur en soit conscient; chaque copie ultérieure de tels programmes malveillants est également capable de s'autoreproduire. Les programmes malveillants qui se propagent via des réseaux ou infectent des machines distantes lorsque le "propriétaire" (par exemple Backdoors) ou les programmes qui créent plusieurs copies qui ne peuvent pas s'auto-répliquer ne font pas partie de la sous-classe Virus and Worms. La caractéristique principale utilisée pour déterminer si un programme est classé comme un comportement distinct dans la sous-classe Virus and Worms est la manière dont le programme se propage (c'est-à-dire comment le programme malveillant répand des copies de lui-même via des ressources locales ou réseau). en tant que fichiers envoyés en pièces jointes, via un lien vers une ressource Web ou FTP, via un lien envoyé dans un message ICQ ou IRC, via des réseaux de partage de fichiers P2P, etc. Certains vers se propagent sous la forme de paquets réseau; ceux-ci pénètrent directement dans la mémoire de l'ordinateur et le code du ver est alors activé. Worms utilise les techniques suivantes pour pénétrer des ordinateurs distants et lancer des copies d'eux-mêmes: ingénierie sociale (par exemple, un message électronique suggérant que l'utilisateur ouvre un fichier joint), exploitation des erreurs de configuration réseau (par exemple copie sur disque entièrement accessible) failles dans la sécurité du système d'exploitation et des applications. Les virus peuvent être divisés en fonction de la méthode utilisée pour infecter un ordinateur: virus de fichiers virus du secteur de démarrage virus de script virus de virus Tous les programmes de cette sous-classe peuvent avoir des fonctions de Troie supplémentaires. Il convient également de noter que de nombreux vers utilisent plus d'une méthode pour diffuser des copies via des réseaux. Les règles de classification des objets détectés avec des fonctions multiples doivent être utilisées pour classer ces types de vers.Classe: Email-Worm
Email-Worms propagation par e-mail. Le ver envoie une copie de lui-même en pièce jointe à un message électronique ou un lien vers son fichier sur une ressource réseau (par exemple, une URL vers un fichier infecté sur un site Web compromis ou un site Web appartenant à un pirate). Dans le premier cas, le code du ver est activé lorsque la pièce jointe infectée est ouverte (lancée). Dans le second cas, le code est activé lorsque le lien vers le fichier infecté est ouvert. Dans les deux cas, le résultat est le même: le code du ver est activé. Email-Worms utilise une gamme de méthodes pour envoyer des emails infectés. Les plus courantes sont: l'utilisation d'une connexion directe à un serveur SMTP à l'aide du répertoire de messagerie intégré dans le code du ver en utilisant les services MS Outlook à l'aide des fonctions Windows MAPI. Email-Worms utilisent un certain nombre de sources différentes pour trouver les adresses email auxquelles les emails infectés seront envoyés: le carnet d'adresses dans MS Outlook une base de données d'adresses WAB .txt fichiers stockés sur le disque dur: le ver peut identifier les chaînes dans les fichiers texte Les e-mails adressent des e-mails dans la boîte de réception (certains e-mails peuvent même répondre aux e-mails trouvés dans la boîte de réception) De nombreux vers de messagerie utilisent plus d'une des sources répertoriées ci-dessus. Il existe également d'autres sources d'adresses électroniques, telles que les carnets d'adresses associés aux services de messagerie Web.Plus d'informations
Plateforme: Win32
Win32 est une API sur les systèmes d'exploitation Windows NT (Windows XP, Windows 7, etc.) qui prend en charge l'exécution des applications 32 bits. L'une des plateformes de programmation les plus répandues au monde.Description
Détails techniques
Il s'agit d'un virus qui se propage via Internet relié à un courrier électronique infecté et qui infecte des applications Win32 sur des ordinateurs locaux et des ressources réseau. Il utilise la bibliothèque {"Win32.InvictusDLL": Win32_InvictusDLL} pour infecter des fichiers.
La structure des fichiers infectés apparaît comme suit:
� ================== � � infecté � � hébergeur de fichiers � � � � -------------------- �� ��polymorphic code �� �� INVICTUS �� �� �� � + ------------------- + � INVbody INVICTUS.DLL �� � + ------------------- + � ��worm corps �� ----L -------------------- � L ================= -
Lorsqu'un fichier infecté est lancé, le flux de contrôle est transmis au code polymorphe de la bibliothèque INVICTUS - soit immédiatement, si le point d'entrée du programme pointe directement sur le code du virus, ou en fonction de la structure de l'hôte. " a été utilisé. Ce code décrypte et crée, sur un disque, la bibliothèque INVICTUS.DLL dans un dossier% SYSTEM% et le code du ver dans un dossier% TEMP% avec un nom de fichier aléatoire, puis lance le ver.
Le fichier du ver est une application Windows (fichier PE EXE) d'une longueur d'environ 8 Ko, écrite en assembleur.
Installation
Lorsque le ver est lancé, il s'installe dans le système, puis active sa routine d'envoi de messages électroniques et d'infection des fichiers Win32, ainsi que la routine de charge utile.
Lors de l'installation, le ver se copie dans un répertoire Windows avec un nom de fichier arandom et écrit les valeurs suivantes dans SYSTEM.INI:[boot] shell = Explorer.exe% nom de ver% Ceci est fait pour que le ver ne se lance pas au démarrage de Windows (seulement sous Windows 9x / ME).
Diffusion
Le ver utilise un moteur de recherche "ICQ White pages" pour trouver des adresses e-mail. Il envoie une requête de recherche au moteur, puis extrait les adresses électroniques des résultats de la recherche (à partir d'une page HTML contenant les résultats de la recherche). Les mots pour la requête de recherche sont choisis dans la liste suivante:
MPB
sexe
histoire
mp3
copains
avion
ferrari
orgasme
relation amicale
Merde
amour
des sports
fête
chatte
Etats-Unis
l'audio
Le ver envoie des messages infectés à tous les e-mails trouvés. Le ver utilise une connexion directe à un serveur SMTP, qui est sélectionné par le ver.
Les messages infectés contiennent un corps vide et son sujet est sélectionné dans la liste suivante:
Ben Laden toillete papier !!
Sadam Hussein & BinLaden DANS L'AMOUR
Bush baise Ben Laden à peine <: P
Oussama Ben Laden est-il MAUVAIS?
Etats-Unis contre la Convention de Genève?
Le courrier de Anthrax est vrai (pas une blague)
Armes biologiques: prévenir!
Enfoncer un mollah à Islamabad
O papel higienico de Ben Laden!
Sadam e BinLaden apaixonados
Bush fudendo Ben Laden <: P
Ser� que o Oussama � mal-amado?
EUA agride conven�ao de genova?
Antraz pelo correio (verdade)
Armas biologicas: Previna-se!
Fudendo à mulâtres à Islamabad
Bin Landen Toalettpapper
Sadam Hussein et BinLaden �rf�r�lsk
ade Bush knullar Ben Laden h�rt <: P
Osr Oussama Ben Laden inte �lskad?
États-Unis d'Amérique Geneve �verenskom melsen?
Anthrax brevet spécifique (det �r inget sk�mt)
Biologiska vapen: F�rhindra!
Knulla en musulman à Islamabad
papier toillette Ben Laden
Sadam & BinLaden EN AMOUR
Bush nique � donf Bin Laden <: P
Oussama Ben Laden Mal Aimé?
Usa contre la convention de Geneve?
Le courrier Anthrax existe vraiment
Arme Biologique: Pr�ventions!
Baiser un mullah � Islamabad
Xarti toualetas Bin Landen !!
Hussein et Ben Laden, ERASTES
O Bush gamaei agria ton Ben Laden
Einai o Osama apotuximenos ston erwta?
Amerikh enantia sto synedrio tis Gênes?
H épistoles moi Antraka, einai gegonos
Biologika wpla: Prostasie!
Gamontas ena Moula sto Islamabad
Nom de pièce jointe : BINLADEN_BRASIL.EXE
Le ver utilise une faille de sécurité IFRAME dans Microsoft Internet Explorer dans ses messages, il peut donc se lancer automatiquement lors de l'affichage d'un message infecté.
Infecter des fichiers sur des disques locaux
Le ver infecte les fichiers suivants dans un répertoire Windows:
HH.EXE
NETSTAT.EXE
CALC.EXE
En outre, le ver trouve tous les programmes dans l'application Windows (la plupart des applications lancées sur l'ordinateur sont enregistrées ici) et les infecte. Ensuite, le ver trouve une copie lancée de EXPLORER.EXE, le ferme et infecte le fichier.
Infecter des fichiers sur les ressources réseau
Le ver énumère les ressources réseau (disques distants et répertoires) et s'y connecte. Il essaie de se copier sur les ressources réseau avec un nom de fichier aléatoire dans les répertoires suivants:
GAGNER
WIN2000
WIN2K
WINNT
LES FENÊTRES
WINXP
et s'enregistre dans un système distant pour démarrer automatiquement avec Windows (Windows 9x / ME uniquement).
Routine de charge utile
Selon le compteur aléatoire, le ver dessine la chaîne suivante un nombre aléatoire de fois avec une couleur aléatoire:
ALA DIO GOTT ZÉRO JEOVA KRISHNA OXALA DIEU DIEU SHIVA TUPA DIOS DEUS
et affiche une boîte de message:
Ensuite, le ver "dort" pendant 10 secondes, et dérange le contenu de l'écran.
Autre
Le ver essaie de trouver et de fermer les fenêtres suivantes:
Antiviral Toolkit Pro
Moniteur AVP
Norton AntiVirus
Alarme de zone
Liberté
Avconsol
McAfee VirusScan
Vshwin32
Le ver crée la clé de registre suivante:
HKLMSoftwareMicrosoftWindowsCurrentVersionNetworkLanManBinLaden
et définit ses valeurs de sorte qu'il permet un accès complet au lecteur C: à partir d'un réseau local.
Le ver supprime la clé de registre suivante:
HKLMSystemCurrentControlSetServicesVxDNAVAP
et la valeur de registre suivante:
HKLMSoftwareMicrosoftWindowsCurrentVersionRun
Norton Auto-Protect
Le ver écrit tous les mots de passe réseau mis en cache dans% WINDOWS% BinLaden.ini.
Le ver contient le texte suivant:
Greetz: Alevirus, Anaktos, Satanicoder, Ultras, Vecna, Z0mbie, tous les ppl dans #vxers
Et bien sûr, Oussama Ben Laden. Garde le bon boulot avec Antrhax, mec!
irc.undernet.org | #vxers
www.nbk.hpg.com.br
www.coderz.net/mtxvx
Codé par NBK [MATRiX]
Tous les HATS USA brésiliens ... Essayez d'obtenir Amazon FROM USEn savoir plus
Découvrez les statistiques de la propagation des vulnérabilités dans votre région statistics.securelist.com
Vous avez trouvé une inexactitude dans la description de cette vulnérabilité ? Faites-le nous savoir !