Email-Worm.VBS.KakWorm

Родительский класс: VirWare

Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:

• файловые;
• загрузочные;
• макровирусы;
• скриптовые.

Любой представитель данной категории может дополнительно содержать троянский функционал. Также следует отметить, что многие компьютерные черви используют более одного способа распространения своей копии по сетям.

Класс: Email-Worm

Размножаются по каналам электронной почты. При этом червь отсылает свою копию в виде вложения в электронное письмо или ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, ссылку (URL) на зараженный файл, расположенный на взломанном или хакерском веб-сайте). В первом случае код червя активизируется при открытии (запуске) зараженного вложения, во втором — при открытии ссылки на зараженный файл. В обоих случаях результат одинаков — активизируется код червя. Для отправки зараженных сообщений почтовые черви используют различные способы. Наиболее распространены: • прямое подключение к SMTP-серверу, с использованием встроенной в код червя почтовой библиотеки; • использование сервисов MS Outlook; • использование функций Windows MAPI. Почтовые черви используют различные источники для поиска почтовых адресов, на которые будут рассылаться зараженные письма: • адресная книга MS Outlook; • адресная база WAB; • файлы текстового формата на жестком диске: выделяют в них строки, являющиеся адресами электронной почты; • письма, которые находятся в почтовом ящике (при этом некоторые почтовые черви «отвечают» на обнаруженные в ящике письма). Многие почтовые черви используют сразу несколько из перечисленных источников. Бывают и другие источники адресов электронной почты, например адресные книги почтовых сервисов с web-интерфейсом.

Подробнее

Платформа: VBS

VBS (VBScript, Visual Basic Scripting Edition) – скриптовый язык программирования, созданный корпорацией Microsoft. Широко используется при создании скриптов в операционной системе Windows.

Описание

Technical Details

Этот интернет-червь написан на языке Java Script. Для своего распространения червь использует MS Outlook Express. В отличие от большинства червей этого класса он не прикрепляет к заражаемому письму дополнительный файл-вложение, а встраивает свое тело в письмо как скрипт.

Червь работает на английской и французской версиях Windows. Червь не работоспособен, если Windows установлена в каталог, отличный от "C:WINDOWS".

Червь полностью работоспособен только в системах с установленным MS Outlook Express. В MS Outlook червь также активизируется и заражает систему, но распространяться дальше не может. Под другими почтовыми системами работоспособность червя зависит от возможностей данной почтовой системы.

При заражении компьютера червь создает три файла. Первые два используются для заражения системы, третий - для дальнейшего распространения через сообщения электронной почты:

1. KAK.HTA в каталоге автозагрузки Windows
2. HTA-файл со случайным именем в системном каталоге Windows
3. KAK.HTM файл в каталоге Windows

1-го числа месяца после 17:00 червь выводит на экран сообщение:

Kagou-Anti-Kro$oft says not today !

после чего закрывает Windows.

Распространение

Червь приходит на компьютер в виде письма в HTML-формате. Тело письма содержит программу-скрипт на языке JavaScript, которая и является кодом червя. В результате при открытии или предварительном просмотре сообщения скрипт-программа не видна, т.к. скрипты никогда не отображаются в HTML-документах (сообщениях, страницах и т.п.), но получает управление - и червь активизируется.

Червь поражает систему в три этапа:

1. Создает свою копию в дисковом файле в каталоге автозагрузки Windows (все программы из этого каталога автоматически запускаются при старте Windows).
2. Будучи запущенным из каталога автозагрузки червь копирует себя в системный каталог Windows и прописывается в системном реестре в секции авто-запуска. Затем удаляет свой первый экземпляр (копию) из каталога автозагрузки Windows.
3. В ключах реестра MS Outlook Express создает новую подпись для писем. Эта подпись ссылается на файл с кодом червя. С этого момента Outlook Express будет сам вставлять код червя во все отсылаемые письма.

Такая "пошаговая" схема необходима червю потому, что на первом шаге (будучи запущенным из сообщения) червь может получить доступ к диску, но не к системному реестру. На втором шаге, когда червь запущен из дискового файла, он удаляет свой файл "KAK.HTA" из каталога автозагрузки Windows чтобы скрыть свое присутствие, т.к. все программы в каталоге автозагрузки видны в меню StartProgramsStartup Menu (СтартПрограммыАвтозагрузка).

Распространиение: этап 1 - червь активизируется из зараженного сообщения

При активизации из зараженного сообщения червь сначала получает доступ к локальному диску компьютера. Чтобы обойти защиту (доступ к диску из скриптов по умолчанию запрещен) червь использует брешь в защите, именуемую "TypeLib Security Vulnerability" - он создает ActiveX-объект, который отмечен как безопасный, но в то же время может создавать файлы на диске. Используя этот объект червь и создает свои файлы на локальном диске компьютера.

Затем червь создает файл "KAK.HTA" и помещает в него свой код. Этот файл будет исполнен при следующей загрузке Windows, т.к. червь создает его в каталоге автозагрузки Windows.

Комментарий:

HTA-файл (HTML Application) - тип файлов, появляющийся после установки MS Internet Explorer 5.0. HTA-файлы содержат обычный HTML-текст и скрипт-программы, но при запуске не вызывают оболочку Internet Explorer, а выполняются как отдельные приложения. Это дает возможность разрабатывать приложения, используя скрипт-программы.

При создании файлов червь не определяет истинного местоположения каталога Windows, а всегда предполагает, что Windows установлена в каталоге "C:WINDOWS". Поэтому червь не работает, если каталог Windows отличен от "C:WINDOWS". При записи в каталог автозагрузки червь пробует записать в два каталога автозагрузки:

MENUDг~1PROGRA~1DгMARR~1 (имя по умолчанию для французской версии Windows)
STARTM~1ProgramsStartUp (имя по умолчанию для английской версии Windows)

Если каталог автозагрузки Windows имеет другое имя (в другой локализации Windows), то червь не может записать свои файлы на диск и поэтому не может распространяться далее.

Распространиение: этап 2 - червь активизируется из файла KAK.HTA

При следующей перезагрузке Windows файл "KAK.HTA" в каталоге автозагрузки получает управление. Скрипт червя, записанный в этом файле, создает такой же HTA-файл в системном каталоге Windows. Этот файл имеет имя, зависящее от настроек системы (например "9A4ADF27.HTA"). Затем червь изменяет системный реестр так, чтобы созданный HTA-файл запускался при каждой загрузке Windows. Задача этого файла - заразить систему заново, если пользователь поменял "подпись по умолчанию" в Outlook Express (т.е. отправляемые письма перестают заражаться).

Затем скрипт в файле "KAK.HTA" создает HTML-файл "KAK.HTM", который содержит код червя (HTML-страница в этом файле не имеет текста, только код червя). Этот файл затем вставляется в отправляемые сообщения.

И, наконец, червь добавляет в файл "C:AUTOEXEC.BAT" команды, при перезагрузке системы удаляющие файл "KAK.HTA" из каталога автозагрузки - его роль теперь будет исполнять HTA-файл в системном каталоге Windows (см.выше).

Распространиение: этап 3 - рассылка зараженных писем

Скрипт червя меняет секции системного реестра, относящиеся к MS Outlook Express - меняется ключ "подпись по умолчанию". Червь записывает туда ссылку на свой файл "KAK.HTM".

В дальнейшем все письма, которые имеют формат HTML (это стандартный формат MS Outlook Express), будут автоматически дополняться подписью, содержащей код червя. Outlook Express каждый раз при создании новоего сообщения автоматически добавляет в него содержимое файла "KAK.HTM", т.е. скрипт-программу червя, а значит все отправляемые сообщения оказываются зараженными.

Письма, имеющие формат RTF или "Plain text", не заражаются (и не могут быть заражены).

Защита

Периодическое сканирование дисков антивирусными сканерами не обеспечивает защиту от этой разновидности червей: каждый раз, когда открывается зараженное сообщение, вирус снова заражает систему. Кроме того, если включен предварительный просмотр сообщения, то достаточно просто выбрать зараженное сообщение в списке сообщений - и вирус опять активизируется.

1. Для защиты можно использовать антивирусные мониторы (on-access scanners). Антивирусные мониторы способны поймать червя в момент его записи на диск и предотвратить заражение системы, но в то же время они неспособны предотвратить активизацию скрипта из HTML-письма, т.к. HTML-скрипты выполняются непосредственно в системной памяти компьютера без сохранения их на диск.

Лучший способ - использовать совместно с антивирусными мониторами утилиты, проверяющие скрипт-программы непосредственно перед их выполнением (см. "AVP Script Checker"). Эти программы предотвращают активизацию вредоносного скрипта, а значит гаантируют, что скрипт не сможет заразить или повредить систему.

2. Для записи своих файлов на диск червь использует брешь в защите Internet Explorer 5.0. Компания Microsoft выпустила дополнение, которое устраняет эту брешь ("Scriptlet.Typelib" security vulnerability). Мы рекомендуем Вам посетить http://support.microsoft.com/support/kb/articles/Q240/3/08.ASP и установить это дополнение.

3. Если Вы не планируете использовать HTML-приложения (HTA-файлы) в своей работе, есть еще один способ обезопасить себя от вирусов, использующих HTA-файлы для своего распространения. Для этого надо удалить ассоциацию к расширению "HTA". Для этого нужно выполнить следующие действия:

1. Открыть окно "My Computer(Мой компьютер)" дважды щелкнув на значке "My Computer(Мой компьютер)" на рабочем столе.
2. В меню выбрать пункт "View(Вид)" -> "Options...(Параметры...)".
3. На закладке "File Types(Типы файлов)" в списке "Registered file types (Зарегистрированные типы файлов)" выбрать "HTML Applicaton".
4. Щелкнуть на кнопке "Remove(Удалить)" и подтвердить действие.
5. Закрыть диалоговое окно настроек.

Смотрите также

Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com