Email-Worm.VBS.Nobelman

Родительский класс: VirWare

Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:

• файловые;
• загрузочные;
• макровирусы;
• скриптовые.

Любой представитель данной категории может дополнительно содержать троянский функционал. Также следует отметить, что многие компьютерные черви используют более одного способа распространения своей копии по сетям.

Класс: Email-Worm

Размножаются по каналам электронной почты. При этом червь отсылает свою копию в виде вложения в электронное письмо или ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, ссылку (URL) на зараженный файл, расположенный на взломанном или хакерском веб-сайте). В первом случае код червя активизируется при открытии (запуске) зараженного вложения, во втором — при открытии ссылки на зараженный файл. В обоих случаях результат одинаков — активизируется код червя. Для отправки зараженных сообщений почтовые черви используют различные способы. Наиболее распространены: • прямое подключение к SMTP-серверу, с использованием встроенной в код червя почтовой библиотеки; • использование сервисов MS Outlook; • использование функций Windows MAPI. Почтовые черви используют различные источники для поиска почтовых адресов, на которые будут рассылаться зараженные письма: • адресная книга MS Outlook; • адресная база WAB; • файлы текстового формата на жестком диске: выделяют в них строки, являющиеся адресами электронной почты; • письма, которые находятся в почтовом ящике (при этом некоторые почтовые черви «отвечают» на обнаруженные в ящике письма). Многие почтовые черви используют сразу несколько из перечисленных источников. Бывают и другие источники адресов электронной почты, например адресные книги почтовых сервисов с web-интерфейсом.

Подробнее

Платформа: VBS

VBS (VBScript, Visual Basic Scripting Edition) – скриптовый язык программирования, созданный корпорацией Microsoft. Широко используется при создании скриптов в операционной системе Windows.

Описание

Technical Details

Вирус-червь, создающий свои копии на локальных дисках и доступных для записи сетевых ресурсах. Программа является скриптом Java Script (HTML-файл). Имеет размер 4612 байт.

Payload

Код червя активизируется при просмотре зараженной HTML-страницы в браузере с разрешенным запуском активного содержимого.

Для заражения компьютера червь использует следующие способы:

• Ищет незараженные HTML-файлы (характеризуются отсутствием строки «» в начале файла) в следующих каталогах:

  %WinDir%
  %System%
  %Temp%

  После чего дописывает в начало найденных файлов свое тело.
• Ищет следующие каталоги, принадлежащие клиентам P2P-сетей:

  C:Program FilesKMDMy Shared Folder
  C:Program FilesKaZaAMy Shared Folder
  C:Program FilesKaZaA LiteMy Shared Folder
  C:Program FilesMorpheusMy Shared Folder
  C:Program FilesGroksterMy Grokster
  C:Program FilesBearShareShared
  C:Program FilesEdonkey2000Incoming
  C:ProgrammeKMDMy Shared Folder
  C:ProgrammeKaZaAMy Shared Folder
  C:ProgrammeKaZaA LiteMy Shared Folder

  И копирует в найденные каталоги свое тело под именем «%Template%.jpg.html», где «%Template%» — случайная комбинация из следующих слов:

  Hot
  Teen
  Sexy
  Fuckin
  Wet
  Super
  Black
  XXX
  Dildo
  Asian
  Pussy
  Lesbian
  SexParty
  Bitches
  Ass

При каждом запуске червя выполняется копирование пяти его экземпляров.

Removal instructions

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:

1. Используя любой текстовый редактор (например, «Блокнот»), проверить все файлы с расширением «.HTML» на наличие строки «» в их начале в следующих каталогах:

   %WinDir%
   %System%
   %Temp%

   Если такие файлы существуют, заменить их незараженными из резервной копии.
2. Удалить следующие файлы (если они существуют):

   C:Program FilesKMDMy Shared Folder%Template%.jpg.html
   C:Program FilesKaZaAMy Shared Folder%Template%.jpg.html
   C:Program FilesKaZaA LiteMy Shared Folder%Template%.jpg.html
   C:Program FilesMorpheusMy Shared Folder%Template%.jpg.html
   C:Program FilesGroksterMy Grokster%Template%.jpg.html
   C:Program FilesBearShareShared%Template%.jpg.html
   C:Program FilesEdonkey2000Incoming%Template%.jpg.html
   C:ProgrammeKMDMy Shared Folder%Template%.jpg.html
   C:ProgrammeKaZaAMy Shared Folder%Template%.jpg.html
   C:ProgrammeKaZaA LiteMy Shared Folder%Template%.jpg.html

3. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Смотрите также

Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com