Класс | Email-Worm |
Платформа | Win32 |
Описание |
Technical DetailsВирус-червь. Распространяется через Интернет в виде файлов, прикрепленных к зараженным письмам. Также содержит в себе программу-«шпиона». Был обнаружен в ноябре 2001 года. Червь является приложением Windows (PE EXE-файл), имеет размер около 29K упакован UPX, около 60K в распакованном виде). Состоит из двух основных частей: червь, рассылающий электронные письма, и троянец, ворующий пароли. Компонента-червь отсылает зараженные письма. Компонента-троянец отсылает с компьютера конфиденциальную информацию (имя пользователя, RAS-данные, кешированные пароли, текст, набираемый на клавиатуре). Эта компонента также создает на диске дополнительный DLL-файл (библиотеку), которая следит за клавиатурой (т.е. клавиатурный шпион). Заражение системы При запуске зараженного файла (если пользователь откроет вложение или если червю удается воспользоваться брешью защиты IFRAME) червь активизируется, устанавливает себя в систему и регистрируется в системном реестре.
Имя устанавливаемого файла-червя, каталог установки (Windows или WindowsSYSTEM) и ключ реестра являются опциональными и могут быть изменены злоумышленником перед рассылкой очередного варианта червя. Все эти значения Прочие переменные значения, которые могут быть изменены:
Рассылка писем Для отсылки писем червь использует соединение с SMTP-сервером. Электронные адреса, по которым рассылаются письма, выделяются червем двумя способами:
Червь отсылает письма в формате HTML. При этом в письмах используется брешь в защите Internet Explorer (IFRAME). В результате червь может автоматически активизироваться на незащищенных машинах. Поля сообщений следующие: From: — либо «настоящий» адрес пользователя, либо один из вариантов:
При этом «настоящий адрес» слегка модифицируется: перед ним вставляется символ подчеркивания «_». Например, вот так будут преобразованы адреса:
Заголовок: — пустой, или «Re:», или «Re:» с присоединенным текстом, который червь выделяет из Заголовка сообщения (при чтении сообщений через MAPI, см.выше). Тело письма: — пустое. Вложение: случайная комбинация «filename + ext1 + ext2» где: "Filename": Pics (or PICS ) Card (or CARD) images (or IMAGES) Me_nude (or ME_NUDE) README Sorry_about_yesterday New_Napster_Site info news_doc (or NEWS_DOC) docs (or DOCS) HAMSTER Humor (or HUMOR) YOU_are_FAT! (or YOU_ARE_FAT!) fun (or FUN) stuff SEARCHURL SETUP S3MSONG "ext1": .DOC .ZIP .MP3 "ext2": .scr, .pif Например, "info.DOC.scr" Червь не отсылает сообщения дважды на одинаковый адреса. Для этого он запоминает их в закодированном виде в файле PROTOCOL.DLL в системном каталоге Windows. Перед каждой отсылкой письма червь по этому файлу проверяет электронный адрес на его уникальность. Троянец-шпион Сохраняет украденную информацию в специальном файле (информация при этом шифруется) и периодически отсылает ее на один из случайно выбранных адресов. Ниже приведен список этих адресов и почтовых серверов, через которые идет отсылка (email + server): ZVDOHYIK@yahoo.com mx2.mail.yahoo.com udtzqccc@yahoo.com mx2.mail.yahoo.com DTCELACB@yahoo.com mx2.mail.yahoo.com I1MCH2TH@yahoo.com mx2.mail.yahoo.com WPADJQ12@yahoo.com mx2.mail.yahoo.com fjshd@rambler.ru mail5.rambler.ru smr@eurosport.com mail.ifrance.com bgnd2@canada.com mail.canada.com muwripa@fairesuivre.com fs.cpio.com rmxqpey@latemodels.com inbound.latemodels.com.criticalpath.net eccles@ballsy.net inbound.ballsy.net.criticalpath.net suck_my_prick@ijustgotfired.com mail.monkeybrains.net suck_my_prick4@ukr.net mail.ukr.net thisisno_fucking_good@usa.com usa-com.mr.outblaze.com S_Mentis@mail-x-change.com mail-fwd.rapidsite.net YJPFJTGZ@excite.com mta.excite.com JGQZCD@excite.com mta.excite.com XHZJ3@excite.com mta.excite.com OZUNYLRL@excite.com mta.excite.com tsnlqd@excite.com mta.excite.com cxkawog@krovatka.net imap.front.ru ssdn@myrealbox.com smtp.myrealbox.com Варианты
24-го ноября «в диком виде» был обнаружен вариант червя, который имеет следующие характеристики:
Клавиатурный шпион под именем KDLL.DLL создается также в системном каталоге Windows. Лог информации ведется в файле CP_25389.NLS. Информация шифруется, в качестве ключа используется кеш строки «uckyjw@hotmail.com». |
Узнай статистику распространения угроз в твоем регионе |