Email-Worm.VBS.Talorm

Родительский класс: VirWare

Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:

• файловые;
• загрузочные;
• макровирусы;
• скриптовые.

Любой представитель данной категории может дополнительно содержать троянский функционал. Также следует отметить, что многие компьютерные черви используют более одного способа распространения своей копии по сетям.

Класс: Email-Worm

Размножаются по каналам электронной почты. При этом червь отсылает свою копию в виде вложения в электронное письмо или ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, ссылку (URL) на зараженный файл, расположенный на взломанном или хакерском веб-сайте). В первом случае код червя активизируется при открытии (запуске) зараженного вложения, во втором — при открытии ссылки на зараженный файл. В обоих случаях результат одинаков — активизируется код червя. Для отправки зараженных сообщений почтовые черви используют различные способы. Наиболее распространены: • прямое подключение к SMTP-серверу, с использованием встроенной в код червя почтовой библиотеки; • использование сервисов MS Outlook; • использование функций Windows MAPI. Почтовые черви используют различные источники для поиска почтовых адресов, на которые будут рассылаться зараженные письма: • адресная книга MS Outlook; • адресная база WAB; • файлы текстового формата на жестком диске: выделяют в них строки, являющиеся адресами электронной почты; • письма, которые находятся в почтовом ящике (при этом некоторые почтовые черви «отвечают» на обнаруженные в ящике письма). Многие почтовые черви используют сразу несколько из перечисленных источников. Бывают и другие источники адресов электронной почты, например адресные книги почтовых сервисов с web-интерфейсом.

Подробнее

Платформа: VBS

VBS (VBScript, Visual Basic Scripting Edition) – скриптовый язык программирования, созданный корпорацией Microsoft. Широко используется при создании скриптов в операционной системе Windows.

Описание

Technical Details

Вирус-червь. Распространяется через Интернет в виде файлов, прикрепленных к зараженным письмам, и по IRC-каналам. Червь является CHM-файлов (сжатый HTML-файл) имеет размер около 17K.

Зараженные письма содержат следующие параметры:

Заголовок выбирается случайно из вариантов:

  Fotos de Thalia
  Free Pics
  Fotos XXX de Thalia
  Fotos Exitantes de Thalia

Текст выбирается случайно из вариантов:

  Checa estas fotos de Thalia
  Hola que tal? ya viste las super fotos exitantes de Thalia
  Como tas! aqui te mando unas fotos de Thalia
  Para mis mejores Amigos fotos de Thalia
  Fotos XXX de Thalia
  unas fotos bien padres de Thalia
  Imagenes insolitas de Thalia
  Apuesto a que no has visto desnuda a Thalia
  HOLA! TE RETO A CHECAR ESTAS FOTOS BIEN CHIDAS DE Thalia
  Fotos Exitantes de la cantante Thalia

Имя вложения: Thalia.chm

Червь активизируется только, если пользователь сам запускает зараженный файл (при двойном щелчке на вложении). Затем червь инсталлирует себя в систему и запускает процедуры своего распространения.

Затем червь записывает в ключ системного реестра новое значение:

HKLMSoftwareMicrosoftWindowsCurrentVersionRegisteredOwner = Thalia"

и выводит сообщение:

I LOVE!!!!
I love Thalia

Инсталляция

При инсталляции червь копирует свой CHM-файл в каталог Windows с именем "Thalia.CHM" и регистрирует этот файл в ключе автозапуска системного реестра:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun Thalia = %WinDir%Thalia.CHM

Рассылка писем

При рассылке зараженных писем червь подключается к MS Outlook и рассылает себя по всем адресам, обнаруженным в адресной книге.

Заражение mIRC

Червь проверяет наличие подкаталога mIRC в каталоге "Program Files" и, если такой обнаружен, записывает в него новый управляющий файл "script.ini", в который записываются команды передачи CHM-файла червя всем пользователям, подключающимся к зараженному каналу.

Смотрите также

Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com