Класс
Email-Worm
Платформа
VBS

Родительский класс: VirWare

Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:
  • файловые;
  • загрузочные;
  • макровирусы;
  • скриптовые.
Любой представитель данной категории может дополнительно содержать троянский функционал. Также следует отметить, что многие компьютерные черви используют более одного способа распространения своей копии по сетям.

Класс: Email-Worm

Размножаются по каналам электронной почты. При этом червь отсылает свою копию в виде вложения в электронное письмо или ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, ссылку (URL) на зараженный файл, расположенный на взломанном или хакерском веб-сайте). В первом случае код червя активизируется при открытии (запуске) зараженного вложения, во втором — при открытии ссылки на зараженный файл. В обоих случаях результат одинаков — активизируется код червя. Для отправки зараженных сообщений почтовые черви используют различные способы. Наиболее распространены: • прямое подключение к SMTP-серверу, с использованием встроенной в код червя почтовой библиотеки; • использование сервисов MS Outlook; • использование функций Windows MAPI. Почтовые черви используют различные источники для поиска почтовых адресов, на которые будут рассылаться зараженные письма: • адресная книга MS Outlook; • адресная база WAB; • файлы текстового формата на жестком диске: выделяют в них строки, являющиеся адресами электронной почты; • письма, которые находятся в почтовом ящике (при этом некоторые почтовые черви «отвечают» на обнаруженные в ящике письма). Многие почтовые черви используют сразу несколько из перечисленных источников. Бывают и другие источники адресов электронной почты, например адресные книги почтовых сервисов с web-интерфейсом.

Подробнее

Платформа: VBS

VBS (VBScript, Visual Basic Scripting Edition) – скриптовый язык программирования, созданный корпорацией Microsoft. Широко используется при создании скриптов в операционной системе Windows.

Описание

Technical Details

Интернет-червь распространяющийся в письмах электронной почты. Для своего распространения червь использует MS Outlook 98/2000 и MS Word 2000.

Червь приходит на компьютер в виде письма электронной почты в формате HTML. Тема и содержание письма пустые, но оно содержит скрипт который автоматически выполняется при просмотре письма. Этот скрипт открывает окно Internet Explorer со ссылкой на интернет сайт.

Страничка, загружаемая с этого сайта, содержит другой скрипт, открывающий документ Microsoft Word расположенный на этом же сайте. Макрос в этом документе является основной частью червя. Чтобы избежать предупреждения о наличии макросов в документе червь использует дыру в защите называемую "Office 2000 UA Control Vulnerability", с помощью которой червь отключает встроенную защиту от макро-вирусов в Microsoft Word. (Более подробную информацию о "Office 2000 UA Control Vulnerability" можно найти здесь: http://www.microsoft.com/technet/security/bulletin/ms00-034.asp)

Макрос в документе Microsoft Word автоматически запускается при открытии документа. Этот макрос получает доступ к Microsoft Outlook, берет из его адресной адреса и посылает по ним письмо, идентичное тому что описано выше. Таким образом, сам червь как бы находится всегда в одном месте - на интернет сайте, а от компьютера к компьютеру рассылаеются только ссылки на него.

Т.к. червь рассылает только ссылку на сайт, то как только сайт становится недоступен (закрыт), червь теряет способность распространяться.

Макрос в документе дополнительно создает в системном каталоге Windows файл "littledavinia.vbs". И прописывает его в системном реестре таким образом, чтобы этот файл запускался при каждом старте системы. Скрипт содержащийся в этом файле портит все файлы на всех дисках заменяя их содержимое и добавляя расширение ".html". Если попытаться запустить измененный скриптом файл выводится собщение:

VBScript: Onel2 - Melilla
Hola, tu nombre es [имя пользователя].
Tu email es [email-адрес пользователя].
Yo soy Onel2, y vivo en Melilla
una ciudad del norte de Africa.
Estoy enamorado de una chica llamada Davinia.
Ella es la mas guapa del mundo.
Es como una diosa.
Igual que yo me contagie de amor
de Davinia, tus archivos se van a
contagiar de amor de esta pagina
Davinia(chica) y Davinia(virus) rompen corazones y archivos.
littledavinia version 1.1 esta en camino... 

 [Abort] [Retry] [Ignore]

Компанния Microsoft выпустила дополнение которое устраняет брешь в защите ("Office 2000 UA Control" vulnerability). Мы рекомендуем Вам посетить http://officeupdate.microsoft.com/2000/downloadDetails/Uactlsec.htm и установить это дополнение.

Смотрите также

Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com

Нашли неточность в описании этой уязвимости? Дайте нам знать!
Kaspersky IT Security Calculator:
Оцените ваш профиль кибербезопасности
Узнать больше
Встречай новый Kaspersky!
Каждая минута твоей онлайн-жизни заслуживает топовой защиты.
Узнать больше
Confirm changes?
Your message has been sent successfully.