Email-Worm.Win32.Puron

Родительский класс: VirWare

Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:

• файловые;
• загрузочные;
• макровирусы;
• скриптовые.

Любой представитель данной категории может дополнительно содержать троянский функционал. Также следует отметить, что многие компьютерные черви используют более одного способа распространения своей копии по сетям.

Класс: Email-Worm

Размножаются по каналам электронной почты. При этом червь отсылает свою копию в виде вложения в электронное письмо или ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, ссылку (URL) на зараженный файл, расположенный на взломанном или хакерском веб-сайте). В первом случае код червя активизируется при открытии (запуске) зараженного вложения, во втором — при открытии ссылки на зараженный файл. В обоих случаях результат одинаков — активизируется код червя. Для отправки зараженных сообщений почтовые черви используют различные способы. Наиболее распространены: • прямое подключение к SMTP-серверу, с использованием встроенной в код червя почтовой библиотеки; • использование сервисов MS Outlook; • использование функций Windows MAPI. Почтовые черви используют различные источники для поиска почтовых адресов, на которые будут рассылаться зараженные письма: • адресная книга MS Outlook; • адресная база WAB; • файлы текстового формата на жестком диске: выделяют в них строки, являющиеся адресами электронной почты; • письма, которые находятся в почтовом ящике (при этом некоторые почтовые черви «отвечают» на обнаруженные в ящике письма). Многие почтовые черви используют сразу несколько из перечисленных источников. Бывают и другие источники адресов электронной почты, например адресные книги почтовых сервисов с web-интерфейсом.

Подробнее

Платформа: Win32

Win32 - платформа, управляемая операционной системой на базе Windows NT (Windows XP, Windows 7 и т.д.), позволяющей исполнять 32-битные приложения. В настоящее время данная платформа является одной из наиболее распространенных.

Описание

Technical Details

Интернет вирус-червь, рассылающий свои копии в зараженных письмах электронной почты и заражающий Windows EXE-файлы на локальном компьютере и в локальной сети. Содержит ошибки и в некоторых случаях портит файлы при заражении или завешивает компьютер.

Содержит текст-"копирайт":

(c)Vecna
Vecna is a punk rocker now...

Заражение системы

При запуске зараженного файла вирус выделяет из зараженного файла свой "чистый" код (9.5-килобайтный Windows EXE-файл) и инсталлирует его в систему:

1. Копирует его во временный каталог Windows со случайным именем (например, LNBAMKON.EXE, MMCAAHAN.EXE) и запускает на выполнение.
2. Переносит его из временного каталога в каталог авто-запуска (см. ниже) со случайным именем, состоящим из 8-ми цифр (например, 00544102.EXE, 17060133.EXE, 37154273.EXE) и запускает на выполнение.
3. Удаляет свою копию из временного каталога.

Зачем нужна такая двух-ходовка при заражении системы не вполне понятно.

В некоторых случаях при инсталляции вируса происходит крах системы, и копия вируса из временного каталога не удаляется.

Каталог авто-запуска определяется вирусом по ключу системного реестра:

HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerShell Folders
Common Startup = %startup%

Имя каталога %startup% зависит от версии Windows, например:

Documents and SettingsAll UsersStart MenuProgramsStartup
%WindowsDir%All UsersStart MenuProgramsStartup

После зарершения инсталляции вирус запускает процедуры рассылки писем, заражения EXE-файлов и стелс-процедуру.

Заражение

Вирус ищет .EXE- и .SCR-файлы Windows во всех локальных и доступных сетевых каталогах и заражает их. При заражении вирус выделяет блок кода в файле, компрессирует его, и записывает назад вместе со своим кодом. В результате размер файла при заражении не увеличивается.

При заражении вирус также использует полиморфный алгоритм мутирования своего кода.

Электронная почта

Для рассылки зараженных писем вирус ищет базу данных WAB (Windows Address Book), считывает оттуда имя почтового SMTP-сервера, ищет адреса электронной почты и рассылает по ним сообщения.

Сообщения рассылаются в формате HTML и имеют поля:

From: "Mondo bizarro" [mourning@obituary.org]
Subject: Joey is dead, man... :-(
Text: A tribute to Joey Ramone (1951-2001)
Attach: ramones.mp3.exe

В HTMK-письме вирус использует одну из "дыр" в системе защиты Windows (Vulnerability identifier: CVE-2001-0154). В результате вложенный в письмо EXE-файл автоматически запускается на выполнение при открытии письма или даже при предварительном просмотре писем.

Microsoft уже выпустила заплатку, устраняющую эту дыру. Более подробную информацию, а также саму заплатку можно найти здесь: http://www.microsoft.com/technet/security/bulletin/MS01-020.asp

Стелс-процедура

Вирус перехватывает функции Windows поиска файлов на диске и процессов в памяти (FindFirstFileA, FindNextFileA, Process32First, Process32Next). Эти вызовы таким образом обрабатываются вирусом, что вирусный файл в каталоге авто-запуска оказывается невидим в списке файлов и в списке активных процессов.

Смотрите также

Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com