Родительский класс: VirWare
Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:- файловые;
- загрузочные;
- макровирусы;
- скриптовые.
Класс: Email-Worm
Размножаются по каналам электронной почты. При этом червь отсылает свою копию в виде вложения в электронное письмо или ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, ссылку (URL) на зараженный файл, расположенный на взломанном или хакерском веб-сайте). В первом случае код червя активизируется при открытии (запуске) зараженного вложения, во втором — при открытии ссылки на зараженный файл. В обоих случаях результат одинаков — активизируется код червя. Для отправки зараженных сообщений почтовые черви используют различные способы. Наиболее распространены: • прямое подключение к SMTP-серверу, с использованием встроенной в код червя почтовой библиотеки; • использование сервисов MS Outlook; • использование функций Windows MAPI. Почтовые черви используют различные источники для поиска почтовых адресов, на которые будут рассылаться зараженные письма: • адресная книга MS Outlook; • адресная база WAB; • файлы текстового формата на жестком диске: выделяют в них строки, являющиеся адресами электронной почты; • письма, которые находятся в почтовом ящике (при этом некоторые почтовые черви «отвечают» на обнаруженные в ящике письма). Многие почтовые черви используют сразу несколько из перечисленных источников. Бывают и другие источники адресов электронной почты, например адресные книги почтовых сервисов с web-интерфейсом.Подробнее
Платформа: Win32
Win32 - платформа, управляемая операционной системой на базе Windows NT (Windows XP, Windows 7 и т.д.), позволяющей исполнять 32-битные приложения. В настоящее время данная платформа является одной из наиболее распространенных.Описание
Technical Details
Вирус-червь. Распространяется через Интернет в виде файлов, прикрепленных к зараженным письмам и через сеть обмена файлами Kazaa. Скачивает с хакерского Web-сайта троянскую программу-бекдор и устанавливает её в систему.
Червь является приложением Windows (PE EXE-файл), имеет размер около 4K (упакован FSG, размер распакованного файла - около 20K), написан на VisualBasic.
Инсталляция
При запуске своего EXE-файла червь копирует себя в системный каталог Windows с именем "MicrosoftUpdate.com" и регистрирует этот файл в ключе авто-запуска системного реестра:
HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun
Windows Update = %SystemDir%MicrosoftUpdate.com
Червь также создаёт ключ-счетчик в системном реестре:
HKLMSOFTWAREMicrosoftWindowsCurrentVersion
Startup = %счетчик%
где %счетчик% является числом. Первоначально в счетчик записывается единица, затем счетчик увеличивается на единицу при каждом запуске червя. В зависимости от значения счетчика червь активизирует свои процедуры распространения (на первом, 10-м, 20-м, 40-м и 80-м запуске и т.д.).
Рассылка писем
При рассылке зараженных писем червь подключается к MS Outlook и рассылает себя по всем адресам, обнаруженным в адресной книге.
Зараженные письма содержат поля:
Заголовок: Important: Microsoft Windows Patch For Xp,2k,ME,98,95.
Текст:
Microsoft just release this patch for all versions of Microsoft Windows.Имя вложения: MicrosoftUpdate.com
This update patches many of the recent vulnerabilities!
It is recommended that you patch your operating system now.
Though it is not required.*Please Note* This is not the actual Microsoft patch. The attached program is Microsoft Update
Червь активизируется только если пользователь сам запускает зараженные файл (при двойном щелчке на вложении). Затем червь инсталлирует себя в систему и запускает процедуры своего распространения.
Распространение: Kazaa
Червь создаёт в системном каталоге Windows подкаталог "system16" и копирует себя туда с именами:
kmd.exe Game Trainer.exe Hacker.exe icq2003a.exe Game.exe Hacks.exe icq2003b.exe App.exe xbox Hacker.exe icq2003Final.exe App Crack.exe Ps2 Bios Emulation.exe icq2002a.exe Cracker.exe xbox Bios Hack.exe icq2003a.exe Games.exe Burn ps2 Games To A Single CD-R.exe icq crack.exe Games trainer.exe Burn ps2.exe aim crack.exe Trainer.exe burn xbox.exe icq lite.exe Cheat.exe burn dreamcast.exe imeshv2.exe Game Hack.exeЗатем каталог "system16" регистрируется как каталог обмена файлов сети Kazaa.
Установка троянской программы
Червь скачивает с сайта http://www.wawater.com троянец-бекдор "Backdoor.Slackbot", записывает его в файл "c:unxrt.exe" и запускает на выполнение.
Смотрите также
Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com