Родительский класс: VirWare
Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:- файловые;
- загрузочные;
- макровирусы;
- скриптовые.
Класс: Email-Worm
Размножаются по каналам электронной почты. При этом червь отсылает свою копию в виде вложения в электронное письмо или ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, ссылку (URL) на зараженный файл, расположенный на взломанном или хакерском веб-сайте). В первом случае код червя активизируется при открытии (запуске) зараженного вложения, во втором — при открытии ссылки на зараженный файл. В обоих случаях результат одинаков — активизируется код червя. Для отправки зараженных сообщений почтовые черви используют различные способы. Наиболее распространены: • прямое подключение к SMTP-серверу, с использованием встроенной в код червя почтовой библиотеки; • использование сервисов MS Outlook; • использование функций Windows MAPI. Почтовые черви используют различные источники для поиска почтовых адресов, на которые будут рассылаться зараженные письма: • адресная книга MS Outlook; • адресная база WAB; • файлы текстового формата на жестком диске: выделяют в них строки, являющиеся адресами электронной почты; • письма, которые находятся в почтовом ящике (при этом некоторые почтовые черви «отвечают» на обнаруженные в ящике письма). Многие почтовые черви используют сразу несколько из перечисленных источников. Бывают и другие источники адресов электронной почты, например адресные книги почтовых сервисов с web-интерфейсом.Подробнее
Платформа: Win32
Win32 - платформа, управляемая операционной системой на базе Windows NT (Windows XP, Windows 7 и т.д.), позволяющей исполнять 32-битные приложения. В настоящее время данная платформа является одной из наиболее распространенных.Описание
Вирус-червь. Распространяется через Интернет в виде файлов, прикрепленных к зараженным письмам. Червь является приложением Windows (PE EXE-файл), имеет размер около 30K (упакован UPX, размер распакованного файла - около 76K), написан на Microsoft Visual C++. Зараженные письма содержат:
c:regctrl.exe - Win9x c:recycledregctrl.exe - WinNTи эта копия запускается на выполнение (червь запускает себя заново из своей копии в файле "regctrl.exe"). При этом, если имя файла-вложения было изменено (имеет расширение не .COM, как в оригинале, а .EXE), то червь дополнительно открывает Web-страницу "http://www.disney.com". Первоначальный файл (как он был запущен из вложения в письмо) перемещается в каталог Recylced/Recycler с именем:
либо C:RECYCLERF-%1-%2-%3 либо C:RECYCLEDF-%1-%2-%3где %1, %2, %3 - случайные числа, например:
F-12158-19044-21300 F-27729-23255-31008При инсталляции червь также проверяет поддержку языков и, если установлена поддержка русского языка, также перемещает себя в каталог Recylced/Recycler. Тоже самое происходит в любой день за исключением 25-29 января 2002 года. Рассылка писем При повторном запуске червь активизирует процедуру рассылки зараженных писем. При этом червь использует прямое подключение к SMTP-черверу, имя которого определяет по системным настройкам электронной почты. Адреса электронной почты, по которым будет рассылаться зараженное сообщение червь ищет в следующих файлах:
в базе данных WAB (Windows Address Book) в файлах *.DBX, которые ищет в каталогах Outlook ExpressПри этом червь также отсылает одно письмо (без вложения) на адрес "napster@gala.net" Прочее Под WinNT/2000/... червь создает в каталоге автозагрузки дополнительный файл:
%Userprofile%Start MenuProgramsStartupmsstask.exeкоторый является троянской программой типа "бекдоор" и управляется "хозяином" командами, расположенными на одной из страниц по адресу http://209.151.250.170. Известные модификации Известна одна модификация червя:
Myparty.bОсновное отличие от первой версии - имя файла-вложения:
"myparty.photos.yahoo.com".
Смотрите также
Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com
Нашли неточность в описании этой уязвимости? Дайте нам знать!