Clase de padre: VirWare
Los virus y gusanos son programas maliciosos que se auto replican en computadoras o redes de computadoras sin que el usuario lo sepa; cada copia subsiguiente de dichos programas maliciosos también puede auto-replicarse. Los programas maliciosos que se propagan a través de redes o infectan máquinas remotas cuando el "propietario" les ordena hacerlo (p. Ej., Puertas traseras) o programas que crean copias múltiples que no pueden autorreplicarse no forman parte de la subclase Virus y gusanos. La principal característica utilizada para determinar si un programa está clasificado como un comportamiento separado dentro de la subclase Viruses and Worms es cómo se propaga el programa (es decir, cómo el programa malicioso distribuye copias de sí mismo a través de recursos locales o de red). como archivos enviados como archivos adjuntos de correo electrónico, a través de un enlace a un recurso web o FTP, a través de un enlace enviado en un mensaje ICQ o IRC, a través de redes de intercambio de archivos P2P, etc. Algunos gusanos se propagan como paquetes de red; estos penetran directamente en la memoria de la computadora y el código del gusano se activa. Los gusanos usan las siguientes técnicas para penetrar computadoras remotas y lanzar copias de sí mismos: ingeniería social (por ejemplo, un mensaje de correo electrónico que sugiere que el usuario abre un archivo adjunto), explotando errores de configuración de red (como copiar a un disco totalmente accesible) y explotando lagunas en el sistema operativo y la seguridad de las aplicaciones. Los virus se pueden dividir de acuerdo con el método utilizado para infectar una computadora: virus de archivos virus de sector de arranque virus de macros virus de script Cualquier programa dentro de esta subclase puede tener funciones de troyano adicionales. También se debe tener en cuenta que muchos gusanos usan más de un método para distribuir copias a través de redes. Las reglas para clasificar objetos detectados con funciones múltiples se deben usar para clasificar estos tipos de gusanos.Clase: Email-Worm
Email-Worms esparcidos por correo electrónico. El gusano envía una copia de sí mismo como un archivo adjunto a un mensaje de correo electrónico o un enlace a su archivo en un recurso de red (por ejemplo, una URL a un archivo infectado en un sitio web comprometido o un sitio web propiedad de hackers). En el primer caso, el código del gusano se activa cuando se abre (inicia) el archivo adjunto infectado. En el segundo caso, el código se activa cuando se abre el enlace al archivo infectado. En ambos casos, el resultado es el mismo: el código del gusano está activado. Email-Worms utiliza una variedad de métodos para enviar correos electrónicos infectados. Los más comunes son: el uso de una conexión directa a un servidor SMTP utilizando el directorio de correo electrónico integrado en el código del gusano utilizando los servicios de MS Outlook utilizando las funciones de Windows MAPI. Email-Worms utiliza varias fuentes diferentes para encontrar las direcciones de correo electrónico a las que se enviarán los correos electrónicos infectados: la libreta de direcciones en MS Outlook una base de datos WAB. Archivos .txt almacenados en el disco duro: el gusano puede identificar qué cadenas en los archivos de texto son direcciones de correo electrónico correos electrónicos en la bandeja de entrada (algunos Email-Worms incluso "responden" a los correos electrónicos que se encuentran en la bandeja de entrada) Muchos Email-Worms usan más de una de las fuentes mencionadas anteriormente. También hay otras fuentes de direcciones de correo electrónico, como libretas de direcciones asociadas con servicios de correo electrónico basados en la web.Más información
Plataforma: Win32
Win32 es una API en sistemas operativos basados en Windows NT (Windows XP, Windows 7, etc.) que admite la ejecución de aplicaciones de 32 bits. Una de las plataformas de programación más extendidas en el mundo.Descripción
Detalles técnicos
Este es un gusano de virus que se propaga a través de correos electrónicos infectados e infecta archivos EXE de Windows en las computadoras. Las rutinas del gusano tienen errores y, en algunos casos, detienen la computadora y / o corrompen los archivos al infectarlos.
El código del gusano tiene las cadenas de texto "copyright":
(c) Vecna
Vecna es un punk rocker ahora ...
Ejecutar archivo infectado
El gusano puede ingresar a una computadora a través de correos electrónicos infectados de la red local o de cualquier otro archivo infectado que se ejecute.
Cuando se inicia el gusano, extrae de un archivo infectado su código "principal" (es decir, código de virus "puro" - archivo EXE de Win32 PE de 9,5 Kb de tamaño), lo guarda en el directorio TEMP de Windows con un nombre seleccionado al azar (por ejemplo , LNBAMKON.EXE, MMCAAHAN.EXE) y ejecuta ese archivo.
Cuando el código "principal" del virus obtiene control, mueve su archivo al directorio de Windows al que se hace referencia en la clave del Registro:
HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerShell Carpetas
Inicio común =% startup%
El nombre del directorio% startup% depende de la versión de Windows, por ejemplo:
Documentos y configuracionesTodos los usuarios Menú de inicioProgramasStartup
% WindowsDir% All UsersStart MenuProgramsStartup
El gusano se mueve a ese directorio% startup% con un nombre aleatorio que tiene ocho dígitos seleccionados al azar y una extensión .EXE, por ejemplo:
00544102.EXE
17060133.EXE
37154273.EXE
El gusano ejecuta entonces esa copia en el directorio "Inicio" y borra la primera copia en el directorio TEMP de Windows, por ejemplo:
C: VIRUS.EXE - se ejecuta el archivo infectado
C: WINDOWSTEMPMMCAAHAN.EXE - Se crea y ejecuta la primera copia
C: WINDOWSAll UsersStart MenuProgramsStartup 0544102.EXE - esta es la 2da copia, se crea aquí y se ejecuta. La primera copia se elimina entonces.
Debido a un error, en algunos casos, el gusano se bloquea en el medio de este proceso, y la primera copia se deja en el directorio TEMP.
Cuando se completa el proceso de "mover archivos", el gusano instala un gancho "oculto" y ejecuta las rutinas de propagación de infección y correo electrónico.
Infección
La rutina de infección cuando se obtiene el control, busca un archivo ejecutable .EXE y .SCR de Windows en todas las unidades locales y de red, y las infecta. Al infectar, obtiene un bloque del archivo intermedio, lo comprime y almacena los datos comprimidos y el código del gusano en el archivo para que la longitud del archivo no aumente.
El gusano también usa un motor de mutación polimórfica para hacer que el proceso de detección y desinfección sea más complejo.
Difusión de correo electrónico
Para propagarse, el gusano se conecta a un servidor de correo SMTP y envía mensajes infectados a las direcciones de correo electrónico. Tanto el nombre del servidor SMTP como las direcciones de correo electrónico, el gusano se obtiene de los archivos de datos WAB (libreta de direcciones de Windows).
Los mensajes infectados son de formato HTML y tienen campos:
De: "Mondo bizarro" [mourning@obituary.org]
Asunto: Joey está muerto, hombre ... :-(
Texto: un homenaje a Joey Ramone (1951-2001)
Adjunte: ramones.mp3.exe
El gusano utiliza una de las vulnerabilidades de seguridad (identificador de vulnerabilidad: CAN-2001-0154) que se encontraron en MS Windows en 2001. El resultado de esta infracción es la posibilidad de generar un archivo EXE adjunto sin la acción de un usuario. Cuando se abre un correo electrónico infectado para lectura o vista previa, el archivo EXE del gusano se ejecuta automáticamente.
Microsoft ya lanzó un parche que elimina esta vulnerabilidad. Puede encontrar información adicional aquí: http://www.microsoft.com/technet/security/bulletin/MS01-020.asp
Sigilo
El gusano enlaza las llamadas al sistema Windows FindFile y FindProcess (FindFirstFileA, FindNextFileA, Process32First, Process32Next). El gusano procesa estas llamadas para que su copia en el directorio "inicio" (ver arriba) no sea reportada. Como resultado, el archivo de gusano no está visible en las listas de archivos y procesos.
Leer más
Conozca las estadísticas de las vulnerabilidades que se propagan en su región statistics.securelist.com