Email-Worm.VBS.Newlove

Technical Details

Крайне опасный вариант вируса-червя «LoveLetter». Также, как и «LoveLetter», является VBS-файлом и написан на языке Visual Basic Sctipt. Распространяется в электронных письмах и при активизации рассылает себя с зараженных компьютеров. При своем распространении червь использует почтовую систему Microsoft Outlook и рассылает себя по всем адресам, которые хранятся в адресной книге Outlook. В результате пораженный компьютер рассылает столько зараженных писем, сколько адресов хранится в адресной книге.

Червь попадает на компьютер в виде «пустого» письма (в письме нет никакого текста) с прикрепленным VBS-файлом, который, собственно, и является телом червя. Имя вложенного файла имеет длину до 30 символов и является случайным. Имя дополнено «ложным расширением», которое также выбирается случайно из вариантов:

Doc, Xls, Mdb, Bmp, Mp3, Txt, Jpg, Gif, Mov, Url, Htm, Txt

«Настоящее» расширение имени вложения — «Vbs», например:

VPAVQXCUUNGUFLTJSLNAUTQZXJUG.Bmp.Vbs
QKUPLSXOOIBPAGNENGIVPN.Mp3.Vbs
TNXSOVARRLESDJQHQJLYSQNWV.Mdb.Vbs
HBLHCJOFFZS.Mdb.Vbs
MGQMHOTKKEXLWCJAJ.Doc.Vbs
SMXSNUZRRKDRCJQGPIKXRQNWU.Mdb.Vbs
CWGCXE.Mp3.Vbs

В зависимости от настроек системы настоящее расширение вложенного файла («.Vbs») может быть не показано.

Тема письма состоит из символов «FW:» и имени вложенного файла без расширения «Vbs», например:

FW: VPAVQXCUUNGUFLTJSLNAUTQZXJUG.Bmp
FW: QKUPLSXOOIBPAGNENGIVPN.Mp3
FW: TNXSOVARRLESDJQHQJLYSQNWV.Mdb
FW: HBLHCJOFFZS.Mdb
FW: MGQMHOTKKEXLWCJAJ.Doc
FW: SMXSNUZRRKDRCJQGPIKXRQNWU.Mdb
FW: CWGCXE.Mp3
FW: ZTE.Htm

Распространение

При активизации (если пользователь открывает прикрепленный файл) червь получает доступ к MS Outlook, открывает адресную книгу, достает оттуда все адреса и рассылает по ним письма с прикрепленной к ним своей копией.

Разрушительное воздействие

Затем червь ищет все файлы на всех доступных дисках и портит их — переименовывает с расширением «Vbs» и записывает в них свою копию (например, «COMMAND.COM» -> «COMMAND.COM.VBS»).

Таким образом, «жизненный цикл» червя выглядит примерно следующим образом: червь попадает на компьютер, запускается пользователем (например, двойным щелчком мыши по вложенному файлу), затем рассылает свои копии по всем адресам адресной книги Outlook и уничтожает все файлы на всех доступных дисках.

Другие особенности

Червь использует полиморфик-алгоритм, меняющий тело червя при каждом заражении — червь дописывает в свой текст случайные строки-комментарии. При этом количество этих строк и, соответственно, размер червя растет от «поколения к поколению», например: 110Kb, 248Kb, 403Kb, 585Kb, 805Kb, 1040Kb и т.д.

При этом «чистый» код червя занимает около 5Kb.