Email-Worm.Win32.Cosol

Родительский класс: VirWare

Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:

• файловые;
• загрузочные;
• макровирусы;
• скриптовые.

Любой представитель данной категории может дополнительно содержать троянский функционал. Также следует отметить, что многие компьютерные черви используют более одного способа распространения своей копии по сетям.

Класс: Email-Worm

Размножаются по каналам электронной почты. При этом червь отсылает свою копию в виде вложения в электронное письмо или ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, ссылку (URL) на зараженный файл, расположенный на взломанном или хакерском веб-сайте). В первом случае код червя активизируется при открытии (запуске) зараженного вложения, во втором — при открытии ссылки на зараженный файл. В обоих случаях результат одинаков — активизируется код червя. Для отправки зараженных сообщений почтовые черви используют различные способы. Наиболее распространены: • прямое подключение к SMTP-серверу, с использованием встроенной в код червя почтовой библиотеки; • использование сервисов MS Outlook; • использование функций Windows MAPI. Почтовые черви используют различные источники для поиска почтовых адресов, на которые будут рассылаться зараженные письма: • адресная книга MS Outlook; • адресная база WAB; • файлы текстового формата на жестком диске: выделяют в них строки, являющиеся адресами электронной почты; • письма, которые находятся в почтовом ящике (при этом некоторые почтовые черви «отвечают» на обнаруженные в ящике письма). Многие почтовые черви используют сразу несколько из перечисленных источников. Бывают и другие источники адресов электронной почты, например адресные книги почтовых сервисов с web-интерфейсом.

Подробнее

Платформа: Win32

Win32 - платформа, управляемая операционной системой на базе Windows NT (Windows XP, Windows 7 и т.д.), позволяющей исполнять 32-битные приложения. В настоящее время данная платформа является одной из наиболее распространенных.

Описание

Technical Details

Вирус-червь. Распространяется через Интернет в виде файлов, прикрепленных к зараженным письмам. Содержит "бекдор"-процедуры.

Червь является приложением Windows (PE EXE-файл), имеет размер около 355K (упакован UPX, размер распакованного файла - около 675K), написан на Delphi.

Имя вложения в зараженных письмах случайно выбирается из вариантов:

cosol.exe
mirch.exe
myprog.exe
Anti.exe
projekt2.exe
eb.exe
Vis.exe
msn.exe
Buch.exe
Tach.exe

Текст письма также выбирается из нескольких вариантов:

Heloo!!!
I send you this program
I think you like it

Hi!
This is my Cool program
run this program, you mast like

Have do you do!!!
I sent this program, special for you.
Take the atachment and run!!!

Привет!!!
Шлю тебе класную прогу!
Мне понравилась!

Здравствуй!
Шлю тебе абгрейд для Internet Explorer.
При помощи его заметно расширяются возможности Internet Explorer

Привет!
Лови прогу (классный прикол)
Она такое вытворяет!!! :))

Червь активизируется только если пользователь сам запускает зараженные файл при двойном щелчке на вложении). Затем червь инсталлирует себя в систему, запускает процедуры своего распространения и выводит одно из сообщений о якобы ошибке:

Ошибка 5743#4657. Библиотека Winsl32.dll не найдена.
Программа выполнила не допустимое действие, и будет закрыта!
Ошибка #FF65. Библиотека Inetnsl16.dll не найдена.
Ошибка! 7654854.
Не установлен протокол TCP/Nuts!

Инсталляция

При инсталляции червь создает следующие файлы в каталоге Windows:

DC220.EXE - копия червя
BIOS.EXE - еще одна копия червя
CSOLP.EXE - компонента червя

Два файла регистрируются в ключах авто-запуска системного реестра:

HKLMSoftwareMicrosoftWindowsCurrentVersionRunServices
rundll = %WindowsDir%DC220.exe

HKLMSoftwareMicrosoftWindowsCurrentVersionRunOnce
rundll32 = %WindowsDir%csolp.exe

Червь также создает и запускает файл-"обманку" RASKR.EXE в каталоге "Program FilesCommon Files". Это невирусная программа-утилита.

Червь также создает подкаталоги в каталоге Windows и записывает в них свои временные файлы:

syssend
sysmai
sysem

Бекдор

Данная процедура позволяет удалённому "хозяину" управлять зараженным компьютером: сообщать данные о системе, дисках, каталогах и файлах, уничтожать и запускать файлы, отсылать файлы и информацию из системного реестра, а также файлы с паролями (включая WebMoney):

*.kwm
*.mag
*.pwl
*.pwm
*моирег*.txt
*pass*.txt
*пароли*.txt
*мои рег*.exl
*моирег*.exl
*pass*.exl
*пароли*.exl

Данная процедура также перехватывает клавиатуру, ведет соответствующий лог-файл и отсылает его "хозяину".

Смотрите также

Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com