Родительский класс: VirWare
Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:- файловые;
- загрузочные;
- макровирусы;
- скриптовые.
Класс: Email-Worm
Размножаются по каналам электронной почты. При этом червь отсылает свою копию в виде вложения в электронное письмо или ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, ссылку (URL) на зараженный файл, расположенный на взломанном или хакерском веб-сайте). В первом случае код червя активизируется при открытии (запуске) зараженного вложения, во втором — при открытии ссылки на зараженный файл. В обоих случаях результат одинаков — активизируется код червя. Для отправки зараженных сообщений почтовые черви используют различные способы. Наиболее распространены: • прямое подключение к SMTP-серверу, с использованием встроенной в код червя почтовой библиотеки; • использование сервисов MS Outlook; • использование функций Windows MAPI. Почтовые черви используют различные источники для поиска почтовых адресов, на которые будут рассылаться зараженные письма: • адресная книга MS Outlook; • адресная база WAB; • файлы текстового формата на жестком диске: выделяют в них строки, являющиеся адресами электронной почты; • письма, которые находятся в почтовом ящике (при этом некоторые почтовые черви «отвечают» на обнаруженные в ящике письма). Многие почтовые черви используют сразу несколько из перечисленных источников. Бывают и другие источники адресов электронной почты, например адресные книги почтовых сервисов с web-интерфейсом.Подробнее
Платформа: VBS
VBS (VBScript, Visual Basic Scripting Edition) – скриптовый язык программирования, созданный корпорацией Microsoft. Широко используется при создании скриптов в операционной системе Windows.Описание
Technical Details
Вирус-червь. Распространяется через Интернет в виде файлов, прикрепленных к зараженным письмам, и по IRC-каналам. Червь является CHM-файлов (сжатый HTML-файл) имеет размер около 17K.
Зараженные письма содержат следующие параметры:
Заголовок выбирается случайно из вариантов:
Fotos de Thalia Free Pics Fotos XXX de Thalia Fotos Exitantes de Thalia
Текст выбирается случайно из вариантов:
Checa estas fotos de Thalia Hola que tal? ya viste las super fotos exitantes de Thalia Como tas! aqui te mando unas fotos de Thalia Para mis mejores Amigos fotos de Thalia Fotos XXX de Thalia unas fotos bien padres de Thalia Imagenes insolitas de Thalia Apuesto a que no has visto desnuda a Thalia HOLA! TE RETO A CHECAR ESTAS FOTOS BIEN CHIDAS DE Thalia Fotos Exitantes de la cantante Thalia
Имя вложения: Thalia.chm
Червь активизируется только, если пользователь сам запускает зараженный файл (при двойном щелчке на вложении). Затем червь инсталлирует себя в систему и запускает процедуры своего распространения.
Затем червь записывает в ключ системного реестра новое значение:
HKLMSoftwareMicrosoftWindowsCurrentVersionRegisteredOwner = Thalia"и выводит сообщение:
I LOVE!!!!
I love Thalia
Инсталляция
При инсталляции червь копирует свой CHM-файл в каталог Windows с именем "Thalia.CHM" и регистрирует этот файл в ключе автозапуска системного реестра:
HKLMSoftwareMicrosoftWindowsCurrentVersionRun Thalia = %WinDir%Thalia.CHM
Рассылка писем
При рассылке зараженных писем червь подключается к MS Outlook и рассылает себя по всем адресам, обнаруженным в адресной книге.
Заражение mIRC
Червь проверяет наличие подкаталога mIRC в каталоге "Program Files" и, если такой обнаружен, записывает в него новый управляющий файл "script.ini", в который записываются команды передачи CHM-файла червя всем пользователям, подключающимся к зараженному каналу.
Смотрите также
Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com