Email-Worm.VBS.Challenge

Technical Details

Для своего распространения червь использует MS Outlook Express 5. В отличие от большинства червей этого класса он не прикрепляет к заражаемому письму дополнительный файл-вложение, а встраивает свое тело в письмо как скрипт.

Червь полностью работоспособен только в системах с установленным MS Outlook Express. В MS Outlook червь также активизируется и заражает систему, но распространяться дальше не может. Под другими почтовыми системами
работоспособность червя зависит от возможностей данной почтовой системы.

Распространиение

Принцип работы червя в общем аналогичен известному червю
«KakWorm», за исключением того, что данный червь не зависит от версии Windows и ее языка (KakWorm работает на английской и французской версиях Windows 95/98).

Червь приходит на компьютер в виде письма в HTML-формате. Тело письма содержит программу-скрипт, которая и является кодом червя. В результате при открытии или предварительном просмотре сообщения скрипт-программа не видна, т.к. скрипты никогда не отображаются в HTML документах (сообщениях, страницах и т.п.), но получает управление — и червь активизируется.

Червь поражает систему в три этапа:

1. Создает свою копию в дисковом файле в каталоге автозагрузки Windows (все программы из этого каталога автоматически запускаются при старте Windows).

2. Будучи запущенным из каталога автозагрузки червь копирует себя в системный каталог Windows и прописывается в системном реестре в секции авто-запуска. Затем удаляет свой первый экземпляр (копию) из каталога автозагрузки Windows.

3. В ключах реестра MS Outlook Express создает новую подпись для писем. Эта подпись ссылается на файл с кодом червя. С этого момента Outlook Express будет сам вставлять код червя во все отсылаемые письма.

Письма, имеющие формат RTF или «Plain text», не заражаются (и не могут быть заражены).

Защита

Периодическое сканирование дисков антивирусными сканерами не обеспечивает защиту от этой разновидности червей: каждый раз, когда открывается зараженное сообщение, вирус снова заражает систему. Кроме того, если включен предварительный просмотр сообщения, то достаточно просто выбрать зараженное сообщение в списке сообщений — и вирус опять активизируется.

1. Для защиты можно использовать антивирусные мониторы (on-access scanners). Антивирусные мониторы способны поймать червя в момент его записи на диск и предотвратить заражение системы, но в то же время они неспособны предотвратить активизацию скрипта из HTML-письма, т.к. HTML-скрипты выполняются непосредственно в системной памяти компьютера без сохранения их на диск.

Лучший способ — использовать совместно с антивирусными мониторами утилиты, проверяющие скрипт-программы непосредственно перед их выполнением (см. «AVP
Script Checker»). Эти программы предотвращают активизацию вредоносного скрипта, а значит гаантируют, что скрипт не сможет заразить или повредить систему.

2. Для записи своих файлов на диск червь использует брешь в защите виртуальной машины, исполняющей скрипты (Microsoft Virtual Machine). Компания Microsoft выпустила дополнение, которое устраняет эту брешь. Мы рекомендуем Вам посетить http://www.microsoft.com/technet/security/bulletin/MS00-075.asp и установить это дополнение. Это защитит Вас от многих скрипт-червей.