Email-Worm.Win32.Goner

Родительский класс: VirWare

Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:

• файловые;
• загрузочные;
• макровирусы;
• скриптовые.

Любой представитель данной категории может дополнительно содержать троянский функционал. Также следует отметить, что многие компьютерные черви используют более одного способа распространения своей копии по сетям.

Класс: Email-Worm

Размножаются по каналам электронной почты. При этом червь отсылает свою копию в виде вложения в электронное письмо или ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, ссылку (URL) на зараженный файл, расположенный на взломанном или хакерском веб-сайте). В первом случае код червя активизируется при открытии (запуске) зараженного вложения, во втором — при открытии ссылки на зараженный файл. В обоих случаях результат одинаков — активизируется код червя. Для отправки зараженных сообщений почтовые черви используют различные способы. Наиболее распространены: • прямое подключение к SMTP-серверу, с использованием встроенной в код червя почтовой библиотеки; • использование сервисов MS Outlook; • использование функций Windows MAPI. Почтовые черви используют различные источники для поиска почтовых адресов, на которые будут рассылаться зараженные письма: • адресная книга MS Outlook; • адресная база WAB; • файлы текстового формата на жестком диске: выделяют в них строки, являющиеся адресами электронной почты; • письма, которые находятся в почтовом ящике (при этом некоторые почтовые черви «отвечают» на обнаруженные в ящике письма). Многие почтовые черви используют сразу несколько из перечисленных источников. Бывают и другие источники адресов электронной почты, например адресные книги почтовых сервисов с web-интерфейсом.

Подробнее

Платформа: Win32

Win32 - платформа, управляемая операционной системой на базе Windows NT (Windows XP, Windows 7 и т.д.), позволяющей исполнять 32-битные приложения. В настоящее время данная платформа является одной из наиболее распространенных.

Описание

Technical Details

Вирус-червь. Распространяется через Интернет в виде файлов, прикрепленных к зараженным письмам а также через интернет пейджер ICQ. Производит атаку на канал IRC при помощи троянского скрипта.

Червь является приложением Windows (PE EXE-файл), имеет размер около 38K, написан на Visual Basic. Файл упакован утилитой UPX. После распаковки его размер около 148 Кб.

Зараженные письма содержат:

Заголовок:Hi
Имя вложения: gone.scr
Текст: How are you ?
When I saw this screen saver, I immediately thought about you
I am in a harry, I promise you will love it!

Червь активизируется только если пользователь сам запускает зараженные файл при двойном щелчке на вложении). Затем червь инсталлирует себя в систему,рассылает зараженные письма и выводит сообщения:

pentagone
coded by: suid
tested by: ThE_SKuLL and satan
greetings to: TraceWar,k9-unit, stef16,^Reno.
greetings also to nonick2 out
there where ever you are

После чего червь выводит диалоговое окно с сообщением:

Инсталляция

При инсталляции червь копирует себя в системный каталог Windows с именем GONE.SCR и регистрирует этот файл в ключе авто-запуска системного реестра:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun C:WINDOWSSYSTEMGONE.SCR = C:WINDOWSSYSTEMGONE.SCR

После чего червь продолжает находиться в оперативной памяти компьютера и выполняет свое распространение.

Противодействие антивирусным программам

После инсталляции в систему червь выполняет сканирование процессов в оперативной памяти. Для этого он проверяет имена запущенных процессов из списка:

FINET.EXE
APLICA32.EXE
ZONEALARM.EXE
ESAFE.EXE
CFIADMIN.EXE
CFIAUDIT.EXE
CFINET32.EXE
PCFWallIcon.EXE
FRW.EXE
VSHWIN32.EXE
VSECOMR.EXE
WEBSCANX.EXE
AVCONSOL.EXE
VSSTAT.EXE
NAVAPW32.EXE
NAVW32.EXE
_AVP32.EXE
_AVPCC.EXE
_AVPM.EXE
AVP32.EXE
AVPCC.EXE
AVPM.EXE
AVP.EXE
LOCKDOWN2000.EXE
ICLOAD95.EXE
ICMON.EXE
ICSUPP95.EXE
ICLOADNT.EXE
ICSUPPNT.EXE
TDS2-98.EXE
TDS2-NT.EXE
SAFEWEB.EXE
C:SAFEWEB

Для каждого процесса червь выполняет его закрытие при помощи функции TerminateProcess. Затем он удаляет все файлы в каталоге и подкаталогах найденного процесса. После удаления файлов червь ищет оставшиеся файлы и настраивает их удаление при перезагрузке компьютера. Для этого он, записывает соответствующие команды в файл WININIT.INI.

Рассылка писем

При рассылке писем червь использует функции MS Outlook и расылает себя по всем адресам, обнаруженным в адресной книге Outlook.

Рассылка через интернет пейджер ICQ

Червь рассылает себя через интернет пейджер ICQ. Для этого он использует функции из библиотечного файла ICQMAPI.DLL. Перед вызовом функций из этой библиотеки, червь копирует ее в системный каталог Windows. Для всех пользователей из контактного листа клиента ICQ червь периодически выполняет вызов функции SendFile ( пересылка файлы пользователю ICQ в он-лайн). При отсылка себя червь самостоятельно отвечает на запросы программы. Для этого он отвечает на сообщения диалогов с заголовками:

Send Online File
Send Online File Request

Червь постоянно сканирует имена вновь появившихся окон и закрывает окна с заголовками:

User has declined your request
Can't Send File Request

Send    Online File [User       Is in N/A mode]
Send    Online File [User       Is Away]
Send    Online File [User       Is Occupied]
Send    Online File [User       Is in DND mode]
User    has declined your       request
Can't Send File Request
Send Online File Request [User Is in N/A mode]
Send Online File Request [User Is Away]
Send Online File Request [User Is Occupied]
Send Online File Request [User Is in DND mode]

Атака на IRC канал

Червь сканирует в каталогах доступных дисков файл MIRC.INI. Он создает в том же каталоге файл REMOTE32.INI, вызов которого добавляет в MIRC.INI. Этот скрипт подключает пользователя со случайным именем к каналу #pentagonex через сервер twisted.ma.us.dal.net.

Смотрите также

Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com