Email-Worm.Win32.Fizzer

Technical Details

Интернет-червь, распространяющийся в сообщениях электронной почты и общедоступных директориях KaZaA. Предоставляет удалённый доступ к заражённым компьютерам с помощью нескольких бэкдор-процедур.

Установка

После запуска червь создаёт в директории Windows следующие файлы:

iservc.exe (копия червя)
initbak.dat (копия червя)
ProgOp.exe (компонент червя)
iservc.dll (библиотека перехвата нажатий клавиш)
iservc.klg (содержит записанные нажатия клавиш)

Также червь записывает в реестр следующее значение, чтобы автоматически запускаться при старте Windows:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun
SystemInit=(Путь к директории Windows)iservc.exe

В Windows NT/2000/XP червь также может создавать системный сервис, однако эта возможность была отключена автором вируса.

Червь регистрируется как обработчик файлов с расширением “.TXT” так, что он запускается при открытии файлов “.TXT”.

Размножение: KaZaa

Червь создаёт свои копии со случайными именами в директории загруженных файлов KaZaA.

Размножение: E-mail

Для размножения в сообщениях электронной почты червь использует собственную библиотеку SMTP. Адреса получателей писем создаются случайным образом, а также извлекаются из адресных книг Outlook и Windows (WAB).

Заражённые сообщения могут иметь различные темы, тексты, а также имена вложений. Они создаются случайным образом, при этом червь использует несколько таблиц строк, записанных в его теле. Например:

Тема: Re: ;(
Вложение: desktop.exe
Текст: you must not show this to anyone…

Тема: Re: I think you might find this amusing…
Вложение: Logan6.exe
Текст: Let me know what you think of this…

Тема: Fwd: why?
Вложение: Taylor83.com
Текст: Today is a good day to die…

Бэкдор-процедура: IRC

Червь содержит список каналов IRC, с которыми он пытается соединиться для получения команд удалённого администрирования от злоумышленника.

Бэкдор-процедура: Другое

Червь также запускает HTTP и telnet-подобный сервера на определённых его автором портах, и предоставляет через них удалённый доступ к компьютеру.

Другое

Червь записывает все нажатия клавиш в файл “iservc.klg” в директории Windows.
Также он пытается скачать и установить свою обновлённую версию с
пользовательской web-страницы сервера geocities.
Червь ищет и закрывает процессы, имена которых содержат строки:

ANTIV
AVP
F-PROT
NAV
NMAIN
SCAN
TASKM
VIRUS
VSHW
VSS

Большинство настроек, такие как имена ключей реестра, адреса серверов IRC и
SMTP, номера портов и последовательности действий червя, записаны в ресурсах
его EXE-модуля в специальном конфигурационном файле, который хранится в
зашифрованном виде.