Email-Worm.Win32.PrettyPark

Родительский класс: VirWare

Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:

• файловые;
• загрузочные;
• макровирусы;
• скриптовые.

Любой представитель данной категории может дополнительно содержать троянский функционал. Также следует отметить, что многие компьютерные черви используют более одного способа распространения своей копии по сетям.

Класс: Email-Worm

Размножаются по каналам электронной почты. При этом червь отсылает свою копию в виде вложения в электронное письмо или ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, ссылку (URL) на зараженный файл, расположенный на взломанном или хакерском веб-сайте). В первом случае код червя активизируется при открытии (запуске) зараженного вложения, во втором — при открытии ссылки на зараженный файл. В обоих случаях результат одинаков — активизируется код червя. Для отправки зараженных сообщений почтовые черви используют различные способы. Наиболее распространены: • прямое подключение к SMTP-серверу, с использованием встроенной в код червя почтовой библиотеки; • использование сервисов MS Outlook; • использование функций Windows MAPI. Почтовые черви используют различные источники для поиска почтовых адресов, на которые будут рассылаться зараженные письма: • адресная книга MS Outlook; • адресная база WAB; • файлы текстового формата на жестком диске: выделяют в них строки, являющиеся адресами электронной почты; • письма, которые находятся в почтовом ящике (при этом некоторые почтовые черви «отвечают» на обнаруженные в ящике письма). Многие почтовые черви используют сразу несколько из перечисленных источников. Бывают и другие источники адресов электронной почты, например адресные книги почтовых сервисов с web-интерфейсом.

Подробнее

Платформа: Win32

Win32 - платформа, управляемая операционной системой на базе Windows NT (Windows XP, Windows 7 и т.д.), позволяющей исполнять 32-битные приложения. В настоящее время данная платформа является одной из наиболее распространенных.

Описание

Technical Details

Вирус-червь, распространяющий свои копии через Интернет и поражающий компьютеры под управлением Windows. На компьютер попадает в виде письма с вложенной "утилитой" PrettyPark, являющейся на самом деле кодом червя. При запуске Червь инсталлирует себя в систему, затем рассылает свои копии по адресам, обнаруженным в адресной книге Windows (Windows Address Book), через каналы IRC информирует о заражении компьютера какого-то пользователя IRC (автора червя?). Червь также может быть использован как утилита удаленного доступа к комрьютеру (Backdoor).

Червь представляет из себя выполняемый файл Windows32 в формате PE EXE и имеет размер около 37K. Запакован компрессором WWPack32. После распаковки предстает в своем "настоящем" виде - червь является 58-килобайтным файлом, созданным при помощи компилятора Delphi. "Чистый" код занимает около 45K, что крайне мало для приложений Delphi. Данный код, однако, вмещает количество функций, достаточных для организации процедур распространения через интернет, воровства паролей и удаленного контроля за системой.

При запуске зараженного файла червь проверяет системную память Windows и ищет в ней свою уже загруженную копию. Если таковая не обнаружена, червь остается в памяти Windows как скрытое приложение (невидимое в списке задач) и запускает процедуру инсталляции.

Процедура инсталляции червя копирует зараженный файл в системный каталог Windows под именем FILES32.VXD и регистрирует его в системном реестре таким образом, что файл FILES32.VXD запускается при старте каждой программы. Для этого червь создает новый ключ в системном реестре в HKEY_CLASSES_ROOT, имя ключа - exefileshellopencommand, ключ ассоциирован с файлом FILES32.VXD (копией червя). Этот файл имеет расширение VXD, однако он является не VxD-драйвером Win95/98, а абсолютно нормальной программой Windows32.

Если при инсталляции червя происходит ошибка, червь активизирует screen-saver SSPIPES.SCR (для скрытия своей активности?). Если таковой не обнаружен, вирус активизирует screen-saver Canalisation3D.SCR.

Затем червь инициализирует канал доступа в Интернет и запускает две дополнительные процедуры ("нитки") своего процесса: первая вызывается один раз в 30 секунд, вторая - один раз в 30 минут.

Первая процедура каждый раз при ее вызове пытается выйти на связь с одним из IRC-каналов (см. список каналов ниже) и при помощи специальных команд передать сообщение о своей активности какому-то пользователю канала. Скорее всего, автор таким образом следит за распространением своего червя и получает информацию о зараженных компьютерах. Список IRC-каналов, в которые передаются сообщения, выглядит следующим образом:

irc.twiny.net
irc.stealth.net
irc.grolier.net
irc.club-internet.fr
ircnet.irc.aol.com
irc.emn.fr
irc.anet.com
irc.insat.com
irc.ncal.verio.net
irc.cifnet.com
irc.skybel.net
irc.eurecom.fr
irc.easynet.co.uk

Будучи опознанным "хозяином", червь может управляться как программа удаленного администрирования системы (backdoor). При помощи набора команд червь высылает "хозяину" конфиденциальнцю информацию (пароли доступа в Интернет и ICQ, телефонные номера, логины и пароли Remote Access Service и т.п., а также выполнять ряд других функций: сообщать информацию и системе (диски, подкаталоги и файлы), создавать/уничтожать каталоги, создавать/уничтожать/запускать файлы, и т.п.

Вторая процедура, которая вызывается один раз в полчаса, открывает адресную книгу Windows, читает из нее список Интернет-адресов и посылает по этим адресам сообщение (при этом письмо может быть отослано не только на персональный адрес, но и в Интернет-конференцию). Поле "Subject" сообщения содержит текст:

C:CoolProgsPretty Park.exe

Само сообщение пустое, однако к нему присоединена копия червя - файл PrettyPark.exe.

Смотрите также

Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com