Родительский класс: VirWare
Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:- файловые;
- загрузочные;
- макровирусы;
- скриптовые.
Класс: Email-Worm
Размножаются по каналам электронной почты. При этом червь отсылает свою копию в виде вложения в электронное письмо или ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, ссылку (URL) на зараженный файл, расположенный на взломанном или хакерском веб-сайте). В первом случае код червя активизируется при открытии (запуске) зараженного вложения, во втором — при открытии ссылки на зараженный файл. В обоих случаях результат одинаков — активизируется код червя. Для отправки зараженных сообщений почтовые черви используют различные способы. Наиболее распространены: • прямое подключение к SMTP-серверу, с использованием встроенной в код червя почтовой библиотеки; • использование сервисов MS Outlook; • использование функций Windows MAPI. Почтовые черви используют различные источники для поиска почтовых адресов, на которые будут рассылаться зараженные письма: • адресная книга MS Outlook; • адресная база WAB; • файлы текстового формата на жестком диске: выделяют в них строки, являющиеся адресами электронной почты; • письма, которые находятся в почтовом ящике (при этом некоторые почтовые черви «отвечают» на обнаруженные в ящике письма). Многие почтовые черви используют сразу несколько из перечисленных источников. Бывают и другие источники адресов электронной почты, например адресные книги почтовых сервисов с web-интерфейсом.Подробнее
Платформа: Win32
Win32 - платформа, управляемая операционной системой на базе Windows NT (Windows XP, Windows 7 и т.д.), позволяющей исполнять 32-битные приложения. В настоящее время данная платформа является одной из наиболее распространенных.Описание
Payload
Червь переходит в режим ожидания соединения по случайно выбранному TCP-порту из диапозона 8000 — 8255.
Таким образом, злоумышленник может выполнять различные команды на компьютере пользователя, иметь полный доступ к системе, получать информацию с зараженного компьютера, загружать любые файлы, запускать их и удалять.
Removal instructions
Для удаления червя необходимо проделать следующие действия:
1. Удалить ключ реестра [HKLMSoftwareMicrosoftWindowsCurrentVersionRunServices] "brsh32Service" = "%WinDir%brsh32.exe -q" 2. В диспетчере задач завершить процесс brsh32.exe 3. Удалить файл червя %WinDir%brsh32.exe 4. Произвести полную проверку компьютера Антивирусом Касперского (скачать пробную версию).- Удалить ключ реестра:
[HKLMSoftwareMicrosoftWindowsCurrentVersionRunServices]
"brsh32Service"="%WinDir%brsh32.exe -q" - В диспетчере задач завершить процесс brsh32.exe.
- Удалить файл червя %WinDir%brsh32.exe .
- Произвести полную проверку компьютера Антивирусом Касперского (скачать пробную версию).
Technical Details
Вирус-червь, распространяющийся через интернет в виде вложений в зараженные электронные письма. Представляет собой Windows PE EXE-файл размером 14316 байт.
Инсталляция
Червь создает свою копию в корневом каталоге Windows с именем brsh32.exe:
%WinDir%brsh32.exe
Затем червь регистрирует данный файл в ключе автозапуска системного реестра Windows в качестве нового сервиса:
[HKLMSoftwareMicrosoftWindowsCurrentVersionRunServices] "brsh32Service"="%WinDir%brsh32.exe -q"
При каждой следующей загрузке Windows автоматически запустит новый сервис.
Червь совмещает в себе две процедуры:
- распространение по электронной почте;
- бэкдор-процедура удаленного управления компьютером.
На зараженном компьютере червь производит поиск email-адресов, на каждый из которых происходит отправка зараженного письма.
При рассылке зараженных писем червь пытается осуществить прямое подключение к SMTP-серверам.
Email Subject
При составлении письма тема выбирается случайным образом из следующего списка:
- are you ready to enjoy?
- do you wanna laugh out?
- Download funny pics for free!
- download screensavers for free!
- Free pics and screensavers
- free screensaver
- funny pics is online again!
- funnypics special offer
- huff OUT!
- humor OnLine
- hunk of fun!
- Listen to Dr.Fun
- pics & screensavers
- ready? steady? laugh!
- Save your screen!
- what you wanna see?
Email Contents
Тело письма постоянно и представляет собой следующий текст:
Attachment
В качестве вложения червь отправляет по сети свою копию: файл %windir%brsh32.exe. Однако червь маскирует этот файл под файл-картинку с сайта www.funnypics.com.
Имя файла случайным образом выбирается из следующего списка:
- billBates.scr
- bzzz.scr
- funnyPic.scr
- intelAside.scr
- kennyIsAlive.scr
- mac0s.scr
- matrix-SP.scr
- mrBrown.scr
- nastyPokemon.scr
- paradise.scr
- phantomMenaze.scr
- southPark.scr
- SouthParkOuttaSpace.scr
- starWarz.scr
- waaazUp.scr
- x-filez.scr
Смотрите также
Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com