Родительский класс: VirWare
Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:- файловые;
- загрузочные;
- макровирусы;
- скриптовые.
Класс: Email-Worm
Размножаются по каналам электронной почты. При этом червь отсылает свою копию в виде вложения в электронное письмо или ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, ссылку (URL) на зараженный файл, расположенный на взломанном или хакерском веб-сайте). В первом случае код червя активизируется при открытии (запуске) зараженного вложения, во втором — при открытии ссылки на зараженный файл. В обоих случаях результат одинаков — активизируется код червя. Для отправки зараженных сообщений почтовые черви используют различные способы. Наиболее распространены: • прямое подключение к SMTP-серверу, с использованием встроенной в код червя почтовой библиотеки; • использование сервисов MS Outlook; • использование функций Windows MAPI. Почтовые черви используют различные источники для поиска почтовых адресов, на которые будут рассылаться зараженные письма: • адресная книга MS Outlook; • адресная база WAB; • файлы текстового формата на жестком диске: выделяют в них строки, являющиеся адресами электронной почты; • письма, которые находятся в почтовом ящике (при этом некоторые почтовые черви «отвечают» на обнаруженные в ящике письма). Многие почтовые черви используют сразу несколько из перечисленных источников. Бывают и другие источники адресов электронной почты, например адресные книги почтовых сервисов с web-интерфейсом.Подробнее
Платформа: Win32
Win32 - платформа, управляемая операционной системой на базе Windows NT (Windows XP, Windows 7 и т.д.), позволяющей исполнять 32-битные приложения. В настоящее время данная платформа является одной из наиболее распространенных.Описание
Technical Details
Вирус-червь. Распространяется через Интернет в виде файлов, прикрепленных к зараженным письмам. Червь является приложением Windows (PE EXE-файл), имеет размер около 370K, написан на Delphi.
Червь активизируется только если пользователь сам запускает зараженные файл (при двойном щелчке на вложении). Червь инсталлирует себя в систему, регистрируется как системное (скрытое) приложение и рассылает зараженные письма.
Инсталляция
Червь копирует себя в системный каталог Windows под случайно выбранным из списка именем:
Play.exe
Bigs as.exe
Zorro.exe
Honey.exe
Jefes.exe
Corte de pelo.exe
Tangas.exe
Canibal.exe
Picadita.exe
Josefina.exe
и регистрирует этот файл в ключе авто-запуска системного реестра:
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun Scorpion = %имя файла%
Рассылка писем
Зараженные письма содержат случайно выбираемые заголовки и тексты (см. ниже). Имя файла также выбирается случайно из приведенного выше списка.
Заголовки:
Sorpresa !!!
Este si que es un buen presente
Diviertanse
Todo debe estar limpio
Echale un ojo a esto
Buena PECHOnalidad
Con todo mi aprecio
El aguijon de Scorpion
Traseros
Mujeres
Тексты:
Abrelo sin miedo que, no es ningun Virus
No tiene ningun Virus
Abrelo no hay PELIGRO, esta limpio de Virus
Mira que bueno esta esto
Espero que esto te guste
Scorpion hace de las suyas
Esto si esta interesante abrelo que no hay peligro
Dime si te gusto
No tiene Virus, asi que abranlo y disfrutenlo
Observa el gran poder de las mujeres en su parte trasera
Для рассылки писем червь использует SMTP-соединение с почтовым сервером, имя которого считывает из системных установок (из соответствующего ключа системного реестра).
Почтовые адреса, по которым производится рассылка писем, считываются червем из адресной книги Windows (WAB - Windows Address Book). Сообщения каждый раз также рассылаются по адресам:
jajachistes@topica.com
tavojaja@yahoogroups.com
cartones@egroups.com
pensamientos@egroups.com
huateque@egroups.com
jacastro@geoline.net
forodelphi2000@yahoo.com.ar
Червь рассылает письма сразу при старте. Затем, через некоторые промежутки времени, червь рассылает письма повторно.
Payloads and other
Червь уничтожает все *.INF и *.SYS-файлы во всех каталогах диска, на котором установлена Windows. В результате система оказывается разрушенной и ее повторная загрузка Windows оказывается невозможной.
Начиная с сентября и начиная с 15-го числа месяца червь проявляется каким-то видео-эффектом.
Червь также создает ключи в системном реестре:
HKEY_LOCAL_MACHINESoftwareScorpionHelp
Mail = Negro
Fack = Rojo
Эти ключи означают: 1-й ключ - зараженные письма уже разосланы; 2-й ключ - INI и SYS-файлы уничтожены.
В зависимости от своих внутренних счетчиков червь закрывает окна активных приложений, открывает-закрывает CD-диск, мигает индикаторами клавиатуры Num/Caps/Scroll-lock, выводит 500 сообщений:
Scorpion ya estс aquэ !!!!
Смотрите также
Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com