Email-Worm.Win32.Puron

Technical Details

Интернет вирус-червь, рассылающий свои копии в зараженных письмах электронной почты и заражающий Windows EXE-файлы на локальном компьютере и в локальной сети. Содержит ошибки и в некоторых случаях портит файлы при
заражении или завешивает компьютер.

Содержит текст-“копирайт”:

(c)Vecna
Vecna is a punk rocker now…

Заражение системы

При запуске зараженного файла вирус выделяет из зараженного файла свой “чистый” код (9.5-килобайтный Windows EXE-файл) и инсталлирует его в систему:

1. Копирует его во временный каталог Windows со случайным именем (например, LNBAMKON.EXE, MMCAAHAN.EXE) и запускает на выполнение.
2. Переносит его из временного каталога в каталог авто-запуска (см. ниже) со случайным именем, состоящим из 8-ми цифр (например, 00544102.EXE, 17060133.EXE, 37154273.EXE) и запускает на выполнение.
3. Удаляет свою копию из временного каталога.

Зачем нужна такая двух-ходовка при заражении системы не вполне понятно.

В некоторых случаях при инсталляции вируса происходит крах системы, и копия вируса из временного каталога не удаляется.

Каталог авто-запуска определяется вирусом по ключу системного реестра:

HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerShell Folders
Common Startup = %startup%

Имя каталога %startup% зависит от версии Windows, например:

Documents and SettingsAll UsersStart MenuProgramsStartup
%WindowsDir%All UsersStart MenuProgramsStartup

После зарершения инсталляции вирус запускает процедуры рассылки писем, заражения EXE-файлов и стелс-процедуру.

Заражение

Вирус ищет .EXE- и .SCR-файлы Windows во всех локальных и доступных сетевых каталогах и заражает их. При заражении вирус выделяет блок кода в файле, компрессирует его, и записывает назад вместе со своим кодом. В результате
размер файла при заражении не увеличивается.

При заражении вирус также использует полиморфный алгоритм мутирования
своего кода.

Электронная почта

Для рассылки зараженных писем вирус ищет базу данных WAB (Windows Address Book), считывает оттуда имя почтового SMTP-сервера, ищет адреса электронной почты и рассылает по ним сообщения.

Сообщения рассылаются в формате HTML и имеют поля:

From: “Mondo bizarro” [mourning@obituary.org]
Subject: Joey is dead, man… 🙁
Text: A tribute to Joey Ramone (1951-2001)
Attach: ramones.mp3.exe

В HTMK-письме вирус использует одну из “дыр” в системе защиты Windows (Vulnerability identifier: CVE-2001-0154). В результате вложенный в письмо EXE-файл автоматически запускается на выполнение при открытии письма или даже
при предварительном просмотре писем.

Microsoft уже выпустила заплатку, устраняющую эту дыру. Более подробную информацию, а также саму заплатку можно найти здесь:
http://www.microsoft.com/technet/security/bulletin/MS01-020.asp

Стелс-процедура

Вирус перехватывает функции Windows поиска файлов на диске и процессов в памяти (FindFirstFileA, FindNextFileA, Process32First, Process32Next). Эти вызовы таким образом обрабатываются вирусом, что вирусный файл в каталоге
авто-запуска оказывается невидим в списке файлов и в списке активных процессов.